Responsável pelo tratamento e contactos
O responsável pelo tratamento dos dados é a Offstream, Unipessoal, Lda, que explora a uViral: NIPC 516 654 721, com sede na Avenida 5 de Outubro, Edifício Avenida, 1.º Escritório E, 8135-100 Almancil, Portugal.
Para qualquer questão sobre dados pessoais, use Conta › Privacidade e dados, com sessão iniciada, ou o formulário de contacto, com o assunto «Privacidade e dados».
Encarregado de proteção de dados
Nesta fase, não é obrigatória a designação de um encarregado de proteção de dados (artigo 37.º do RGPD): a uViral não é uma entidade pública e não trata, em grande escala, categorias especiais de dados nem dados de controlo regular e sistemático de pessoas. Esta avaliação é revista na versão final; se for designado um encarregado, o contacto é indicado aqui.
Que dados tratamos e de onde vêm
Conta
Dados: nome, email, palavra-passe (guardada apenas como resumo criptográfico, nunca em texto), papel (marca ou criador) e confirmação do email.
Origem: indicados por si no registo.
Marca
Dados: nome da marca, site ou Instagram (opcional) e, só para emitir faturas, os dados de faturação.
Origem: indicados pela marca.
Perfil do criador
Dados: nome público, fotografia, cidade, categorias, apresentação, pacotes e preços, disponibilidade e portefólio.
Origem: indicados pelo criador.
Visualizações dentro da uViral
Dados: o número de pessoas diferentes que viram um perfil de criador ou uma oferta, por dia (no máximo uma contagem por pessoa e por dia). Para não contar a mesma pessoa duas vezes, guarda-se durante dois dias apenas um código irreversível e diário, calculado a partir da conta ou, sem sessão, do endereço IP e do navegador; depois fica só o total por dia. Não contam as visitas do próprio dono, da equipa nem de robôs.
Origem: gerados quando uma página é aberta na uViral (site ou app). O total é público e o dono vê a evolução; ninguém vê quem visitou.
Redes sociais
Dados: nome de utilizador, dados do perfil, métricas (como seguidores e visualizações), dados agregados sobre o público quando a rede os disponibiliza, e as publicações usadas para verificar entregas. Os acessos à rede são guardados cifrados.
Origem: a Meta (Instagram) ou o TikTok, com a autorização do criador ao ligar a conta; ou o próprio criador, quando indica só o endereço do perfil ou envia métricas com comprovativos.
Trabalhos
Dados: pedidos, propostas, acordos, candidaturas a ofertas, morada de envio de produtos, mensagens e anexos, conteúdo enviado para aprovação, registos e verificações de publicações, problemas comunicados e avaliações.
Origem: indicados por si e pela outra parte do trabalho; as verificações vêm das redes sociais.
Pagamentos
Dados: montantes, estados, referências do prestador de pagamentos, a identificação do meio de pagamento (por exemplo, a marca e os últimos dígitos do cartão) e, para os criadores, o estado dos recebimentos. Os dados completos do cartão, os dados bancários e os documentos de identificação ficam no prestador de pagamentos.
Origem: o prestador de pagamentos (Stripe) e a utilização da uViral.
Contacto e ajuda
Dados: nome, email, assunto e mensagem do formulário de contacto e dos pedidos de ajuda.
Origem: indicados por si.
Segurança e utilização
Dados: sessões abertas (endereço IP e navegador), tentativas de entrada e de envio de formulários, para limitar abusos, e estatísticas agregadas de visitas e de desempenho, sem cookies.
Origem: gerados pela utilização do site.
Aplicação para iPhone e iPad
Dados: o identificador de notificações do telemóvel (token do serviço de notificações da Apple, APNs), o sistema operativo, o modelo e a versão da aplicação; a sessão, guardada no Porta-chaves do iOS; e, só se enviar um relatório de problema pela aplicação, a versão do iOS, o modelo do telemóvel, o tipo de ligação (Wi‑Fi ou dados móveis), o ecrã onde estava e a descrição que escrever. A aplicação não usa o identificador de publicidade nem faz seguimento entre aplicações.
Origem: o seu telemóvel, ao autorizar as notificações ou ao enviar o relatório.
Entrar com a Apple
Dados: o identificador da sua conta Apple para a uViral e, se a Apple os partilhar, o nome e o email (podem ser um email privado de reencaminhamento da Apple).
Origem: a Apple, quando escolhe «Continuar com a Apple».
Fotografias, vídeos e câmara
Dados: as fotografias e os vídeos que escolher na biblioteca ou captar com a câmara para o perfil, o portefólio ou as entregas. A uViral só lê os ficheiros que escolher; não acede ao resto da biblioteca.
Origem: indicados por si, com a autorização do iOS.
Denúncias e bloqueios
Dados: quem denunciou ou bloqueou quem, o conteúdo em causa, o motivo e a decisão da equipa; as pessoas que bloqueou.
Origem: indicados por si e pela equipa que analisa a denúncia.
Estatísticas (Google Analytics)
Dados: só se aceitar «Estatísticas»: um identificador aleatório guardado em cookies, as páginas vistas, a origem da visita, o tipo de dispositivo, o navegador e a localização aproximada, obtida a partir do endereço IP, que, segundo a Google, o Google Analytics não guarda.
Origem: o seu navegador, através do código do Google Analytics.
Preferências
Dados: tema, notificações, comunicações comerciais e confirmações de leitura nas mensagens.
Origem: escolhas suas.
Para que usamos os dados e com que fundamento
Criar e gerir a conta
Dados: conta, segurança e preferências.
Fundamento: execução do contrato (artigo 6.º, n.º 1, alínea b), do RGPD).
Prestar o serviço
Dados: marca, perfil do criador e trabalhos: perfis, pacotes, ofertas, pedidos, propostas, mensagens, entregas e avaliações.
Fundamento: execução do contrato (alínea b)).
Pagamentos e recebimentos
Dados: pagamentos e trabalhos.
Fundamento: execução do contrato (alínea b)).
Ligar o Instagram ou o TikTok
Dados: redes sociais: ler os dados que autorizou e mostrá-los no perfil.
Fundamento: consentimento, dado ao ligar a conta e retirado ao desligá-la (alínea a)).
Verificar publicações
Dados: redes sociais e trabalhos: confirmar as publicações acordadas e o tempo online.
Fundamento: execução do contrato (alínea b)).
Emails do serviço
Dados: conta e trabalhos: códigos de confirmação, avisos e notificações.
Fundamento: execução do contrato (alínea b)).
Faturação e obrigações legais
Dados: marca e pagamentos: faturas, contabilidade e pedidos de autoridades.
Fundamento: obrigação legal (alínea c)).
Segurança e resolução de problemas
Dados: segurança, trabalhos e pagamentos: prevenir fraude e abusos, limitar tentativas de entrada, analisar problemas e litígios.
Fundamento: interesse legítimo em proteger quem usa a uViral e o próprio serviço (alínea f)).
Responder a contactos
Dados: contacto e ajuda.
Fundamento: interesse legítimo em responder (alínea f)) ou, num pedido sobre a sua conta, execução do contrato (alínea b)).
Estatísticas sem cookies
Dados: utilização: visitas e desempenho, de forma agregada.
Fundamento: interesse legítimo em manter o site rápido e útil (alínea f)).
Estatísticas com o Google Analytics
Dados: estatísticas (Google Analytics): perceber que páginas são úteis e como o site é usado.
Fundamento: consentimento (alínea a); Lei n.º 41/2004, artigo 5.º), dado no aviso de cookies ao aceitar «Estatísticas» e retirado a qualquer momento em «Definições de cookies».
Avisos no telemóvel (notificações)
Dados: aplicação para iPhone e iPad e preferências: enviar avisos de pedidos, mensagens, prazos e pagamentos. O texto no ecrã bloqueado é genérico, sem nomes, valores nem mensagens.
Fundamento: consentimento, dado na autorização do iOS e retirado em Definições do iOS ou em Conta › Notificações (alínea a)); os avisos de pagamentos e prazos fazem parte do serviço (alínea b)).
Denúncias, bloqueios e moderação
Dados: denúncias e bloqueios, trabalhos e mensagens em causa: analisar denúncias, retirar conteúdo, proteger quem usa a uViral.
Fundamento: interesse legítimo em manter o serviço seguro (alínea f)) e, quando aplicável, obrigação legal (alínea c)).
Relatório de problema na aplicação
Dados: aplicação para iPhone e iPad: perceber e resolver o problema que comunicou.
Fundamento: interesse legítimo em responder (alínea f)); só é enviado quando pede.
Comunicações comerciais
Dados: conta e preferências.
Fundamento: consentimento (alínea a)): só se as ligar em Conta › Privacidade e dados; estão desligadas por omissão.
A uViral não vende dados pessoais nem mostra publicidade de terceiros.
Decisões automatizadas e definição de perfis
A uViral não toma decisões exclusivamente automatizadas, incluindo a definição de perfis, que produzam efeitos jurídicos ou que afetem de forma significativa as pessoas (artigo 22.º do RGPD).
A ordem dos criadores na pesquisa segue o critério escolhido, como a disponibilidade, o preço ou o nome, e as métricas do perfil vêm das redes sociais ou do criador. Ordenar e filtrar não decide quem pode usar o serviço.
Algumas proteções são automáticas, como limitar tentativas de entrada repetidas, ocultar contactos em candidaturas ou enviar para revisão uma oferta com contactos. Retirar uma oferta, suspender uma conta ou decidir um problema é sempre feito por pessoas da equipa.
Com quem partilhamos
Entre utilizadores: o perfil público do criador, incluindo as avaliações de trabalhos concluídos, é visível para todos. A marca e o criador de um trabalho veem os dados necessários para o fazer; por exemplo, a morada para o envio de um produto só é partilhada depois de o acordo ser aceite.
Prestadores de serviços que tratam dados por conta da uViral (subcontratantes):
- Vercel: alojamento da aplicação, armazenamento privado de ficheiros (Vercel Blob) e estatísticas agregadas de visitas e de desempenho (Vercel Web Analytics e Speed Insights, sem cookies).
- Neon: base de dados, alojada em Frankfurt (União Europeia).
- Stripe: processamento de pagamentos e, para os criadores, verificação de identidade e recebimentos.
- Resend: envio de emails, como códigos de confirmação, avisos e notificações.
- Apple: «Continuar com a Apple» e entrega das notificações no iPhone e no iPad (serviço de notificações da Apple, APNs). A Apple trata os dados da sua conta Apple segundo a política de privacidade da Apple.
- Google Ireland Limited (Google Analytics): estatísticas de visitas, só com o seu consentimento, configurado sem os sinais Google e sem utilização para publicidade.
A Stripe trata também alguns dados como responsável própria, por exemplo para prevenir fraude e cumprir obrigações legais, como a verificação de identidade, segundo a política de privacidade da Stripe.
Redes sociais: quando liga o Instagram ou o TikTok, a uViral recebe da Meta ou do TikTok os dados que autorizou. Essas empresas tratam os dados da sua conta segundo as políticas próprias.
Nesta versão de demonstração, os pagamentos, o envio de emails e a ligação às redes sociais podem funcionar em modo simulado, sem enviar dados a esses prestadores.
Também partilhamos dados com autoridades quando a lei o exige.
Transferências para fora da União Europeia
A base de dados fica alojada em Frankfurt (União Europeia). Alguns prestadores, como a Vercel, a Stripe, a Resend, a Apple e a Google (Google Analytics), têm sede ou empresas do grupo nos Estados Unidos e podem tratar dados fora do Espaço Económico Europeu.
Essas transferências assentam numa das garantias do RGPD, conforme aplicável a cada prestador: uma decisão de adequação da Comissão Europeia, incluindo o Quadro de Privacidade de Dados UE-EUA para as empresas certificadas, ou cláusulas contratuais-tipo aprovadas pela Comissão (artigos 45.º e 46.º do RGPD). Pode pedir mais informação ou uma cópia das garantias pelo formulário de contacto.
Os dados do Google Analytics podem ser transferidos para os Estados Unidos ao abrigo do Quadro de Privacidade de Dados UE-EUA (EU-US Data Privacy Framework), conforme aplicável, ou das cláusulas contratuais-tipo dos termos de tratamento de dados da Google.
Durante quanto tempo
- Conta, perfil e preferências: enquanto a conta existir. A eliminação é automática: feita em Conta › Privacidade e dados com os trabalhos e pagamentos concluídos, a conta deixa de estar visível de imediato e, passados 7 dias (iniciar sessão de novo cancela), os dados são apagados ou anonimizados, exceto os que a lei obriga a guardar.
- Notificações no telemóvel: o identificador do telemóvel é apagado ao terminar a sessão na aplicação, quando a Apple o dá como inválido e quando a conta é eliminada.
- Denúncias e bloqueios: enquanto forem precisos para decidir a denúncia, proteger as pessoas envolvidas e cumprir a lei; o prazo exato está em definição. Os bloqueios duram até os desfazer ou a conta ser eliminada.
- Relatórios de problema: tratados como conversas de suporte: 90 dias depois do último contacto, quando não estão ligados a um pedido ou trabalho.
- Redes sociais: ao desligar uma rede, os acessos e as publicações recentes obtidas são apagados; as métricas já recolhidas mantêm-se, com a data em que foram obtidas, enquanto a conta existir.
- Candidaturas a ofertas: a mensagem de uma candidatura não selecionada, recusada ou retirada é apagada 90 dias depois do fecho da oferta.
- Faturas e registos de pagamento: 10 anos (a validar com aconselhamento jurídico).
- Provas de entrega e de publicação: 24 meses (a validar com aconselhamento jurídico).
- Conversas de suporte: 90 dias depois do último contacto, quando não estão ligadas a um pedido ou trabalho.
- Sessões e acessos: a sessão termina ao sair ou depois de 7 dias sem utilização. Códigos de confirmação por email: 10 minutos. Ligações para recuperar o acesso: 30 minutos.
- Estatísticas de visitas: só agregadas; segundo a Vercel, o resumo usado para contar visitas é descartado ao fim de 24 horas.
- Estatísticas (Google Analytics): os cookies duram 13 meses no máximo, contados da primeira visita, e são apagados quando recusa ou retira o consentimento; os dados no Google Analytics são apagados automaticamente no fim do prazo de conservação, de 14 meses no máximo.
- Restantes dados: as mensagens entre marca e criador são conservadas durante 24 meses depois do último contacto; os prazos dos acordos concluídos e dos pedidos de contacto e de ajuda ligados a trabalhos estão a ser definidos e constarão da versão final. Os prazos acima estão sujeitos a validação com aconselhamento jurídico.
Dados obrigatórios
- Para criar conta, são precisos o nome, o email e uma palavra-passe, e aceitar os Termos e esta política; a marca indica também o nome da marca. Sem estes dados, não é possível criar a conta.
- Para publicar o perfil, o criador indica pelo menos uma rede social. Ligar a conta é opcional: só com o endereço do perfil, os dados aparecem como não obtidos da rede.
- Para enviar pedidos, a marca indica um cartão. Os dados de faturação só são pedidos para emitir faturas; não são precisos para enviar pedidos.
- Para receber pagamentos, o criador configura os recebimentos no prestador de pagamentos, incluindo a verificação de identidade que este pedir. Sem isso, o pagamento não pode ser enviado.
Os seus direitos
- Acesso: saber que dados tratamos sobre si e receber uma cópia (artigo 15.º do RGPD).
- Retificação: corrigir dados inexatos ou incompletos (artigo 16.º).
- Apagamento: pedir que os dados sejam apagados, quando já não forem necessários ou não houver fundamento para os guardar (artigo 17.º).
- Limitação: pedir que o tratamento fique suspenso enquanto se analisa, por exemplo, uma correção (artigo 18.º).
- Portabilidade: receber os dados que forneceu num ficheiro estruturado, para os levar para outro serviço (artigo 20.º).
- Oposição: opor-se a tratamentos baseados no interesse legítimo e, sempre, às comunicações comerciais (artigo 21.º).
- Retirar o consentimento: a qualquer momento, sem afetar o tratamento já feito, por exemplo, ao desligar uma rede social ou, para as estatísticas, em «Definições de cookies» (artigo 7.º, n.º 3).
- Decisões automatizadas: não ficar sujeito a decisões tomadas só de forma automatizada com efeitos jurídicos (artigo 22.º).
Em Conta › Privacidade e dados pode pedir uma cópia dos seus dados (recebe um ficheiro por email), gerir as comunicações comerciais e pedir a eliminação da conta. Para os restantes pedidos, use o formulário de contacto, com o assunto «Privacidade e dados» (com sessão iniciada, segue como pedido de ajuda ligado à conta).
A resposta é gratuita e é dada no prazo de 30 dias, prorrogável por mais dois meses quando a complexidade ou o número de pedidos o justificarem (artigo 12.º do RGPD); nesse caso, avisamos dentro do primeiro mês. Podemos pedir informação para confirmar a sua identidade.
Reclamação à CNPD
Se considerar que o tratamento dos seus dados não cumpre o RGPD, tem o direito de apresentar reclamação à Comissão Nacional de Proteção de Dados (CNPD), em www.cnpd.pt. Pode também falar primeiro com a equipa, pelos contactos acima.
Menores
A uViral destina-se apenas a pessoas com 18 anos ou mais. O registo não pede a data de nascimento nem verifica a idade: ao aceitar os Termos, quem cria a conta declara ter 18 anos ou mais. Se soubermos que uma conta pertence a uma pessoa com menos de 18 anos, a conta é encerrada e os dados são apagados, exceto os que a lei obrigue a guardar.
Aplicação para iPhone e iPad
A aplicação trata os mesmos dados que o site, como descrito acima, e acrescenta o que está nas linhas «Aplicação para iPhone e iPad», «Entrar com a Apple» e «Fotografias, vídeos e câmara».
- Não faz seguimento entre aplicações nem usa o identificador de publicidade; não mostra anúncios nem inclui ferramentas de publicidade ou de análise de terceiros.
- A sessão fica no Porta-chaves do iOS; preferências, rascunhos e dados já vistos ficam guardados no próprio telemóvel, para a aplicação abrir depressa e funcionar sem ligação. Apagam-se ao terminar a sessão ou ao desinstalar a aplicação.
- Pede autorização ao iOS, só quando é preciso, para notificações, câmara, fotografias e vídeos. Pode retirá-las em Definições do iOS, sem perder a conta.
- Pode terminar a sessão, pedir a cópia dos dados e eliminar a conta na própria aplicação, em Conta › Privacidade e dados (os mesmos direitos da secção «Os seus direitos»).
- A etiqueta de privacidade da App Store resume estes dados; esta política prevalece sobre o resumo.
Contacto: suporte@uviral.app ou o formulário de contacto.
Segurança
As ligações são cifradas (HTTPS), as palavras-passe são guardadas apenas como resumo criptográfico, os acessos às redes sociais são guardados cifrados, as tentativas de entrada são limitadas e o acesso da equipa é restrito. Se houver uma violação de dados com risco para as pessoas, a uViral avisa a CNPD e, quando a lei o exige, as pessoas afetadas.
Alterações a esta política
Esta política pode mudar, nomeadamente na passagem para a versão final. As alterações importantes são comunicadas antes de entrarem em vigor.