Política de Privacidade

Última atualização: 5 de outubro de 2026 · privacy-v0.6-2026-10-05

1. Responsável pelo tratamento e âmbito

XGROWTH, LDA, NIPC 518795977, com sede na Rua Pinto Bessa 522, rés-do-chão centro-esquerdo, 4300-428 Porto, Portugal, é a responsável pelo tratamento dos dados pessoais usados para prestar o serviço Kamla. Contacto para questões de privacidade: [email protected].

Esta política aplica-se ao serviço Kamla no seu conjunto: o site kamla.ai, as páginas de destino dos anúncios getkamla.com e ad.kamla.ai (que não usam cookies nem tecnologias de medição e passam os parâmetros de campanha às lojas de aplicações e às páginas do site para que ligam e, no registo no site, também os identificadores de clique das plataformas de anúncios recebidos no endereço), as aplicações móveis Kamla para iOS e Android e a aplicação Kamla para macOS.

2. Dados pessoais que recolhemos

Dados de conta: email, nome quando fornecido, número de telefone, país de residência declarado, país estimado a partir do endereço IP no registo, idioma, plano escolhido, estado da subscrição, data de criação, identificadores internos e preferências de conta e a fotografia de perfil: a que carregas na aplicação fica guardada num espaço de armazenamento de leitura pública em que qualquer pessoa pode listar e descarregar as fotografias guardadas, identificadas pelo identificador interno da conta; da fornecida pela Google no início de sessão guardamos o endereço da imagem alojada pela Google.
Dados de autenticação: identificadores Supabase Auth, provider OAuth, timestamps de login e metadata técnica necessária para segurança da conta.
Dados de billing: plano, ciclo, estado de pagamento, nome e morada de faturação, NIF quando indicado, IDs de cliente e subscrição, eventos de pagamento, valor, moeda e referências fiscais. Dados completos de cartão são processados pelo fornecedor de pagamento (Stripe no site; Apple ou Google nas compras dentro da aplicação) e não são armazenados pela Kamla.
Dados Telegram: das contas que ligaram o bot Telegram, funcionalidade atualmente indisponível, conservamos o username, o user ID, o chat ID, o nome, o idioma e a data de ligação.
Dados de utilização: páginas acedidas, eventos de onboarding, eventos de billing, ações de conta, preferências de plano e interações necessárias para prestar suporte.
Dados de suporte: email, nome quando indicado, categoria, gravidade, plano, assunto e mensagem dos pedidos de suporte e as mensagens trocadas em seguimento (com o autor e o respetivo email) e as notas internas da equipa sobre o pedido, prazos de resposta, idioma, plataforma e versão da aplicação ou identificação do navegador, incluindo pedidos feitos sem conta.
Dados de publicações públicas no Reddit (de pessoas que podem não ter conta): para identificar conversas a que podemos responder, recolhemos dos feeds públicos do Reddit, das páginas públicas lidas com a conta da Kamla e das respostas e mensagens dirigidas a essa conta o nome de utilizador do autor, o endereço, o título, um excerto, o idioma, a data, a pontuação e o número de comentários da publicação ou do comentário e, nos ficheiros de trabalho, cópias de texto das páginas lidas, com o texto integral da publicação e dos comentários da conversa e os nomes de utilizador de quem os escreveu, a que juntamos a nossa avaliação da adequação e uma proposta de resposta. Guardamos estes dados na nossa base de dados, em ficheiros de trabalho internos e numa folha de cálculo interna do Google Workspace, enviamos resumos (título, comunidade, endereço, avaliação da adequação e proposta de resposta) ao grupo Telegram da equipa e usamos ferramentas de IA da OpenAI para ler as conversas e redigir as propostas, com base no nosso interesse legítimo (art. 6.º, n.º 1, alínea f), do RGPD).
Dados de prospeção noutras comunidades e de criadores de conteúdo (de pessoas que podem não ter conta): dos grupos Telegram e do fórum da Alpaca em que participámos, o nome ou nome de utilizador, o grupo ou tópico, as mensagens que nos dirigiram e aquelas a que respondemos (texto ou resumo) e a nossa avaliação do interesse; dos criadores de conteúdo que contactámos, o nome, o email, a página pública onde encontrámos o contacto e as mensagens trocadas. Guardamo-los em ficheiros de trabalho internos, no histórico do grupo da equipa e, no caso dos emails, na caixa de correio da equipa (Google Workspace), com base no nosso interesse legítimo (art. 6.º, n.º 1, alínea f), do RGPD).
Dados de origem do registo: parâmetros de campanha (utm_*), identificadores de clique das plataformas de anúncios (por exemplo gclid, fbclid, ttclid, msclkid), página de entrada, site de proveniência e código de parceiro, recebidos no endereço usado para chegar ao serviço, no Android, o referenciador de instalação fornecido pelo Google Play e, na aplicação e apenas com o teu consentimento para a medição de anúncios da Meta, o endereço do anúncio da Meta que levou à instalação, devolvido pelo SDK da Meta. São guardados com a conta para atribuir o registo à campanha ou ao parceiro de origem, com base no nosso interesse legítimo em atribuir o registo e calcular as comissões devidas aos parceiros (art. 6.º, n.º 1, alínea f), do RGPD), a que te podes opor nos termos da secção 7; a recolha através do SDK da Meta assenta no teu consentimento.
Dados técnicos: IP, user agent, timestamps, logs de erro, eventos de segurança, cookies estritamente necessários e identificadores de sessão.
Dados de medição e publicidade (só com consentimento, ver secção 9): identificadores de cookies e do dispositivo, incluindo, no iOS e apenas se autorizado no pedido de rastreio da Apple, o identificador de publicidade (IDFA); páginas e ecrãs visitados, interações e gravações de sessão do Microsoft Clarity; eventos de conversão (registo, início de pagamento, subscrição e plano escolhido, ligação de corretora); na aplicação, o valor e a moeda das compras registadas pelo SDK da Meta.
Dados da aplicação móvel: tokens de notificações push (via Expo, Apple APNs e Google FCM), idioma do dispositivo, versão da app e identificadores técnicos necessários para entregar notificações e diagnóstico; com consentimento e, no iOS, autorização no pedido de rastreio da Apple, o identificador de publicidade (IDFA), através do SDK da Meta. Com o teu consentimento, utilizamos o Microsoft Clarity para analisar a utilização da aplicação através de gravações de sessão associadas a um identificador pseudonimizado da tua conta. Estas gravações não são anónimas. Podes retirar o consentimento em Definições, na opção «Gravações de sessão para melhorar a app», sem afetar as restantes funcionalidades. A gravação é suspensa nos ecrãs de início de sessão, registo, verificação em dois passos e ligação da corretora. As push são opcionais e podem ser desligadas nas definições do dispositivo.
Dados de ligação à corretora: quando ligas opcionalmente uma conta de corretora (atualmente Alpaca), tratamos as credenciais de API que forneces, o estado da ligação, o ambiente (paper/live), permissões, configurações de risco, ordens, posições, saldo/equity e logs de auditoria. As credenciais de API são guardadas encriptadas (AES-256) na nossa base de dados, com a chave de cifra guardada à parte em infraestrutura de segredos, e usadas apenas para consultar a tua conta na corretora e executar as ordens que autorizas; nunca são expostas no dashboard nem partilhadas com terceiros além da corretora. Ao removeres a ligação, deixamos de as usar para executar ordens; podemos ainda usá-las, só para leitura, para confirmar o estado e o preço das ordens que a Kamla colocou enquanto a ligação estava ativa. As credenciais encriptadas mantêm-se guardadas até à eliminação da conta; para as revogar, apaga-as no painel da corretora.

3. Finalidades e base legal

Execução do contrato (art. 6.º/1/b RGPD): prestar o serviço subscrito, autenticar a conta, gerir planos, processar pagamentos, alertas, dashboard, suporte e funcionalidades de conta.
Obrigação legal (art. 6.º/1/c): emissão de faturas, comunicação à AT, conservação por períodos exigidos por lei (10 anos para documentos contabilísticos).
Interesse legítimo (art. 6.º/1/f): segurança operacional, prevenção de fraude, debug, melhoria de produto, proteção contra abuso, monitorização de fiabilidade, atribuição do registo à campanha ou ao parceiro de origem e cálculo das comissões devidas aos parceiros (secção 2), identificação de conversas públicas a que podemos responder e contacto com comunidades e criadores de conteúdo (secção 2) e registo, sem cookies de medição, dos eventos do percurso no site e na aplicação (secção 9), e envio, a quem tem conta, de mensagens sobre o próprio serviço por email e notificação push (por exemplo, lembretes para concluir um pagamento iniciado ou para ligar a corretora), a que te podes opor a qualquer momento através de [email protected] (art. 21.º do RGPD).
Consentimento (art. 6.º/1/a): as tecnologias de medição de uso, gravação de sessões e medição de anúncios descritas na secção 9, revogável a qualquer momento.

Os dados necessários à criação e autenticação da conta, à gestão da subscrição e ao processamento dos pagamentos são requisitos para disponibilizar essas funcionalidades. Os dados de faturação exigidos por lei são tratados para cumprimento das obrigações legais. Sem os dados necessários, a respetiva funcionalidade pode não ser disponibilizada. A ligação à corretora e as notificações opcionais dependem da tua escolha. Os consentimentos para marketing, medição, publicidade e gravações de sessão são facultativos; a sua recusa ou retirada não impede a utilização das restantes funcionalidades.

4. Destinatários dos dados e fornecedores

Recorremos aos fornecedores e destinatários identificados nesta secção para prestar o serviço e realizar os tratamentos de medição e publicidade que autorizes. O papel de cada entidade depende da operação: pode atuar como subcontratante, por nossa conta e segundo as nossas instruções, ou como responsável autónomo ou conjunto pelo tratamento, nos termos indicados abaixo.

Supabase: autenticação, base de dados PostgreSQL e storage operacional.
Stripe: checkout, subscrições, pagamentos e eventos de billing.
Resend: emails transacionais, confirmação de conta e notificações.
AWS: infraestrutura, computação, logs, backups e gestão de segredos.
Cloudflare: DNS, proteção, cache, routing de tráfego, alojamento das páginas de destino getkamla.com e ad.kamla.ai e reencaminhamento dos emails enviados para endereços @kamla.ai.
Google e Apple: início de sessão com a tua conta Google ou Apple, quando o escolhes, de que recebemos o email, o nome e, da Google, o endereço da fotografia de perfil.
Alpaca: execução de ordens e dados de conta na corretora que ligas opcionalmente.
Apple (App Store e APNs), Google (Google Play e FCM) e Expo: distribuição das aplicações móveis, pagamento das subscrições compradas dentro delas e entrega de notificações push.
RevenueCat: gestão das subscrições compradas na aplicação móvel (identificador interno da conta, loja, produto, preço, moeda e impostos, identificadores das transações, estado e datas da subscrição, e dados técnicos do dispositivo e da aplicação).
Telegram: canal público de anúncios e avisos internos à equipa sobre registos, carteiras simuladas, ligações de corretora, subscrições (incluindo a desativação e a reativação da renovação automática), falhas de pagamento e cancelamentos, vendas manuais em conta real, pedidos de suporte (quando são criados e quando ficam por responder), a operação das contas reais na corretora, sinais de abuso do programa de parceiros e publicações do Reddit a que podemos responder. Estes avisos incluem o email ou, na sua falta, o identificador interno da conta, o país, o idioma, o canal e a origem do registo e a indicação de registo suspeito, o capital da carteira simulada, o identificador, o nome que deste à conta e o ambiente (simulado ou real) da conta na corretora, a loja ou o fornecedor de pagamento, o plano, o ciclo e o valor da subscrição, a data de fim, o motivo e o comentário deixados no cancelamento, o ativo vendido e o número da ordem na venda manual, os ativos e as quantidades em carteira quando divergem do nosso registo, o ativo e a perda de uma posição cujo stop falhou, o motivo por que a conta foi impedida de operar, os últimos quatro dígitos de um telefone repetido entre contas e, em cada pedido de suporte, a categoria, a gravidade, o plano, o assunto e os primeiros 220 caracteres da mensagem e, nos resumos do Reddit, o título, a comunidade, o endereço, a nossa avaliação da adequação e a proposta de resposta. No grupo da equipa, os emails aparecem reduzidos ao domínio.
Google (Google Workspace): caixas de correio da equipa, que recebem os emails que nos envias (incluindo pedidos de suporte e de exercício de direitos), e folha de cálculo interna de atribuição de campanhas, que recebe do nosso servidor, por conta, o identificador interno, a data de registo, o email, o nome próprio, o idioma, o país, o método e o canal de registo, a plataforma, a campanha, o conjunto de anúncios e o anúncio de origem, a escolha relativa à medição de anúncios da Meta (que não é consentimento para comunicações de marketing), o plano e o estado da conta, e se a pessoa abriu a aplicação, procurou descarregá-la e ligou uma corretora real; e folha de cálculo interna de revisão das publicações do Reddit (secção 2), com o nome de utilizador do autor, o título, o endereço e a data da publicação, a nossa avaliação da adequação, a nossa nota de recolha e a proposta de resposta.
Prestadores de serviços de marketing por nós contratados e quem estes subcontratam para gerir os anúncios: acesso a essa folha de cálculo, aos avisos internos da equipa e à conta de anúncios da Meta, num portefólio empresarial do prestador, a que está associado o conjunto de dados do pixel da Meta do site (secção 9), com os resultados das conversões e, consoante as permissões concedidas, os públicos criados a partir desses dados, para gerir as campanhas.
Anthropic, PBC (EUA): respostas do assistente de conversação do site, incluindo as mensagens que lhe escreves, e ferramentas de IA usadas pela equipa na operação e no suporte do serviço, que podem tratar dados de conta, de subscrição, de suporte e de ligação à corretora.
OpenAI (EUA): ferramentas de IA usadas pela equipa na prospeção no Reddit, em grupos Telegram e no fórum da Alpaca e no contacto com criadores de conteúdo (recolha, classificação e rascunho de respostas e mensagens) e na operação do serviço, que tratam os dados de prospeção descritos na secção 2 e podem tratar dados de conta e de origem do registo.
Fornecedores de dados de mercado: cotações, notícias e cobertura analítica.
InvoiceXpress: faturação fiscal, quando ligado.
Contabilista certificado (prestador externo de contabilidade): emissão das faturas e cumprimento das obrigações fiscais, com acesso só de leitura aos pagamentos na Stripe (nome, email, morada de faturação, valores e datas) e à faturação no InvoiceXpress.
Quem te convidou: se te registas com o código ou o link de convite de outro utilizador, essa pessoa vê no seu painel o número de registos feitos com o seu convite e os créditos ganhos quando a pessoa convidada paga a segunda mensalidade.
Sentry (Functional Software, Inc.): registo de erros técnicos do site, das aplicações móveis, da aplicação para macOS e dos nossos serviços de servidor, sem o email da conta (na aplicação móvel, com um identificador aleatório da instalação); dados alojados na União Europeia (Alemanha).
Usercentrics (Usercentrics GmbH, Alemanha): gestão do consentimento de cookies no site e registo das escolhas feitas, como prova do consentimento.
Google (Tag Manager): gestão das etiquetas do site, carregado em todas as páginas, sem instalar cookies.
Google (Analytics): medição de uso do site; ver na secção 9 o que acontece antes e depois do consentimento.
Microsoft (Clarity): mapas de calor e gravações de sessão no site e na aplicação móvel, só com consentimento (na aplicação, com uma opção própria, desligada por omissão). No site, o texto apresentado é mascarado, exceto nas páginas públicas de apresentação.

Os dados recolhidos pelas tecnologias de medição e publicidade descritas na secção 9 são também comunicados aos seguintes destinatários: Meta Platforms Ireland Limited (pixel no site, com o respetivo gateway da Conversions API, e SDK na aplicação), Google Ireland Limited (Google Ads, a partir das conversões do Google Analytics) e Microsoft (Microsoft Clarity e Microsoft Advertising). Consoante a operação e os termos aplicáveis, podem atuar como subcontratantes ou como responsáveis pelo tratamento; quando atuam como responsáveis, usam também os dados para direcionar anúncios e melhorar os seus produtos. Na recolha e transmissão através do pixel, da Conversions API e do SDK da Meta, a XGROWTH, LDA e a Meta Platforms Ireland Limited são responsáveis conjuntas pelo tratamento (art. 26.º do RGPD), para direcionamento, otimização da entrega de anúncios e personalização. Essa responsabilidade não abrange o tratamento posterior que a Meta realiza para as suas finalidades próprias, enquanto responsável autónoma. Aplica-se nos termos do Aditamento de Responsável pelo Tratamento da Meta: cabe à XGROWTH, LDA prestar esta informação e obter o consentimento, e à Meta permitir o exercício dos direitos relativos aos dados que conserva após a transmissão. Podes exercer os teus direitos perante qualquer uma das responsáveis conjuntas; para contactar a XGROWTH, LDA, utiliza [email protected].

Transferências para fora do Espaço Económico Europeu: a Google, a Meta e a Microsoft transferem dados para os EUA ao abrigo do Quadro de Privacidade de Dados UE-EUA (Decisão de Execução (UE) 2023/1795 da Comissão).

5. Transferências internacionais

Alguns fornecedores tratam dados fora do Espaço Económico Europeu. Nesses casos, as transferências assentam numa decisão de adequação, incluindo o Quadro de Privacidade de Dados UE-EUA, ou em cláusulas contratuais-tipo aprovadas pela Comissão Europeia (art. 45.º e art. 46.º, n.º 2, alínea c), do RGPD). Quando ligas uma conta numa corretora fora do EEE (atualmente a Alpaca, nos EUA), a transferência é necessária à prestação do serviço que pedes (art. 49.º, n.º 1, alínea b), do RGPD). Os avisos internos enviados pelo Telegram são tratados fora do EEE.

6. Períodos de conservação

Dados de conta e subscrição ativa: enquanto durar a conta ou subscrição.
Dados após cancelamento: período razoável para reativação, suporte, fraude e obrigações legais.
Documentos contabilísticos: 10 anos (obrigação fiscal).
Logs técnicos e eventos do percurso no site e na aplicação: 90 dias.
Dados de publicações públicas no Reddit e de prospeção noutras comunidades e de criadores de conteúdo: ficam na nossa base de dados, nos ficheiros de trabalho da equipa, na folha de cálculo interna, no histórico do grupo da equipa e, no caso dos emails trocados com criadores de conteúdo, na caixa de correio da equipa, sem prazo de apagamento automático; apagamo-los a pedido da pessoa a quem dizem respeito (secção 7).
Avisos internos à equipa enviados pelo Telegram e registo de envio das notificações: ficam no histórico das conversas da equipa e no registo de envios, sem prazo de apagamento automático.
Eventos de billing e auditoria: enquanto necessário para prova contratual, fraude, suporte e obrigações legais.
Marketing opcional: até retirada de consentimento ou inatividade prolongada.

7. Os teus direitos (RGPD)

Tens direito a:

Acesso aos teus dados pessoais;
Retificação de dados incorretos;
Apagamento ("direito ao esquecimento"), salvo obrigações legais de retenção;
Portabilidade: podes receber os dados pessoais que te digam respeito e que nos tenhas fornecido, tratados por meios automatizados com base no consentimento ou num contrato, em formato estruturado, de uso corrente e de leitura automática, como JSON. Podes transmiti-los a outro responsável ou solicitar a transmissão direta quando tecnicamente possível, sem prejudicar os direitos de terceiros, nos termos do artigo 20.º do RGPD;
Oposição ao tratamento baseado em interesse legítimo;
Limitação do tratamento;
Apresentar reclamação à CNPD (autoridade portuguesa de proteção de dados).

Podes exercer os teus direitos através de [email protected], mesmo que já não tenhas acesso ao endereço associado à conta. Quando existam dúvidas razoáveis sobre a tua identidade, podemos solicitar apenas a informação necessária para a confirmar. Respondemos sem demora injustificada e no prazo de um mês após a receção do pedido. Se a complexidade ou o número de pedidos o justificar, o prazo pode ser prorrogado por até dois meses adicionais, comunicando-te os motivos dentro do primeiro mês. Se não dermos seguimento ao pedido, comunicamos sem demora e até ao termo do primeiro mês os motivos e a possibilidade de reclamação a uma autoridade de controlo e de recurso aos tribunais. O exercício dos direitos é gratuito, ressalvados os casos de pedidos manifestamente infundados ou excessivos previstos no artigo 12.º, n.º 5, do RGPD.

8. Segurança

Aplicamos medidas técnicas e organizacionais adequadas: cifra em trânsito (TLS) e em repouso, controlo de acessos com least-privilege, rotação de credenciais e backups encriptados.

9. Cookies e tecnologias de terceiros

Utilizamos cookies sem consentimento apenas quando tenham como única finalidade transmitir uma comunicação através de uma rede de comunicações eletrónicas ou sejam estritamente necessários a um serviço que solicitas expressamente, nos termos do artigo 5.º, n.º 2, da Lei n.º 41/2004. Os cookies e as tecnologias de terceiros de medição, publicidade e gravação descritos nesta política só são ativados depois do teu consentimento; a medição própria sem cookies descrita a seguir assenta no interesse legítimo (secção 3). O banner de privacidade e o Google Tag Manager, que aplicam essa escolha, são carregados antes dela, como se descreve a seguir. Sem consentimento, registamos nos nossos servidores, sem cookies de medição, eventos do percurso no site e na aplicação (por exemplo, a visita à página inicial ou a abertura do ecrã de pagamento), com o endereço IP truncado, a identificação do navegador ou da aplicação (user agent) e o país e, no site, o endereço da página visitada (até 200 caracteres), incluindo, quando lá estejam, os parâmetros de campanha, os identificadores de clique das plataformas de anúncios e o código de parceiro; com sessão iniciada, estes eventos ficam associados à tua conta. No Android, lemos também o referenciador de instalação do Google Play (secção 2). Independentemente do consentimento, os erros técnicos do site, das aplicações e dos nossos servidores são enviados à Sentry (secção 4): no site, com o endereço da página sem parâmetros sensíveis, a página de proveniência, a identificação do navegador e o percurso de navegação, cliques e pedidos de rede que antecedeu o erro; nas aplicações, com dados técnicos do dispositivo (por exemplo o modelo, a versão do sistema, o idioma, o fuso horário, o ecrã e a memória) e a versão da aplicação e, na aplicação móvel, um identificador aleatório da instalação e os pedidos de rede e mensagens técnicas que antecederam o erro. Estes registos não incluem o email da conta, mas podem incluir identificadores técnicos presentes nos endereços dos pedidos. As finalidades e bases jurídicas dos tratamentos estão identificadas na secção 3.

O Google Tag Manager é carregado em todas as páginas do site, porque é através dele que a escolha feita no banner é aplicada às restantes tecnologias. Não instala cookies, mas o pedido do navegador transmite à Google o endereço IP, o tipo de navegador e o endereço do site. O banner de privacidade, fornecido pela Usercentrics, é carregado da mesma forma e transmite à Usercentrics o endereço IP, o tipo de navegador e o endereço da página visitada. Utilizamos o Google Analytics para analisar as páginas visitadas e as interações no site apenas após o teu consentimento específico para medição. Antes desse consentimento, não ativamos a medição, não instalamos nem lemos cookies deste serviço e não lhe enviamos eventos ou sinais sem cookies. Podes recusar ou retirar o consentimento nas definições de privacidade, sem impedir a utilização das restantes funcionalidades. O tratamento assenta no artigo 6.º, n.º 1, alínea a), do RGPD.

Com o consentimento dado no banner de privacidade do site (gerido pela Usercentrics) ou nas perguntas da aplicação móvel, são usadas também tecnologias de terceiros para medir o uso do serviço e a eficácia dos anúncios: os cookies do Google Analytics, ligado ao Google Ads para medir conversões; o pixel da Meta e o SDK da Meta na aplicação; e o Microsoft Clarity, no site e na aplicação. Estes terceiros, incluindo a Meta, podem usar cookies, web beacons e identificadores do dispositivo para recolher ou receber informação do nosso site, da nossa aplicação e de outros sites e aplicações, e usá-la para medir e direcionar anúncios. O consentimento (art. 5.º, n.º 1, da Lei n.º 41/2004) é também a base legal do tratamento dos dados assim recolhidos (art. 6.º, n.º 1, alínea a), do RGPD).

Os nossos servidores não enviam eventos diretamente à Meta pela Conversions API: esse envio direto está suspenso. Com consentimento, o pixel da Meta recebe pelo navegador as páginas visitadas e os eventos de criação de conta, de início de pagamento e de subscrição e, pela sua configuração automática, os cliques em botões e os metadados das páginas. Os eventos de páginas visitadas, de criação de conta, de início de pagamento e de subscrição recebidos pelo pixel da Meta são também reencaminhados para a Meta, servidor a servidor, através de um gateway da Conversions API alojado nos EUA. O pixel da TikTok está desativado desde 5 de outubro de 2026; os dados que recebeu antes dessa data, incluindo, com consentimento, as páginas visitadas, os eventos de criação de conta, de início de pagamento e de ligação de uma conta de corretora e o email e o número de telefone escritos nos formulários do site, transformados por hash (SHA-256), ficam sujeitos à política de privacidade da TikTok. A ligação de uma conta de corretora não é enviada à Meta. O SDK da Meta na aplicação regista a instalação, as aberturas da aplicação e as compras feitas dentro dela, com o valor e a moeda. Nunca são enviados saldos, posições, ordens nem credenciais da corretora. A escolha relativa à Meta fica associada à conta: o consentimento dado ao serviço «Facebook Pixel» (Meta) no banner do site, registado na conta na visita seguinte com sessão iniciada, ou na pergunta da aplicação autoriza a ativação do SDK da Meta na aplicação; a recusa ou retirada nas Definições da aplicação desativa-o de imediato; a feita no banner do site é registada na conta na visita seguinte com sessão iniciada e desativa o SDK na abertura seguinte da aplicação. Se o envio direto pelos nossos servidores através da Conversions API for retomado, descrevemo-lo nesta política e pedimos o teu consentimento específico antes do primeiro envio. O pixel da Meta no site segue apenas a escolha feita no banner de cada navegador.

O Microsoft Clarity é fornecido em parceria com a Microsoft Clarity e a Microsoft Advertising, que recolhem dados de utilização através de cookies próprios e de terceiros e de outras tecnologias de rastreio, para métricas de comportamento, mapas de calor e gravações de sessão, otimização do site, segurança e publicidade.

Duração: os cookies e o armazenamento local próprios necessários (idioma, autenticação, tema e a escolha feita no banner, pedida de novo ao fim de 12 meses) servem apenas o funcionamento do site. Com consentimento, são usados cookies de terceiros, a que as respetivas entidades têm acesso: Google Analytics (_ga, _ga_*), até 2 anos; Meta (_fbp, _fbc), até 90 dias; Microsoft Clarity (_clck, até 1 ano; _clsk, até 1 dia). A lista completa, com os cookies, a duração e os destinatários de cada serviço, está no separador «Serviços» das definições de privacidade.

O consentimento pode ser recusado ou retirado a qualquer momento, com a mesma facilidade com que foi dado: no site, pelo ícone de privacidade no canto inferior esquerdo de qualquer página, que reabre as definições do banner; na aplicação, em Definições, nos interruptores de medição de anúncios e de gravações de sessão; no iOS, a autorização de acesso ao identificador de publicidade pode também ser retirada em Definições › Privacidade e segurança › Rastreio. A retirada não afeta a licitude do tratamento efetuado até esse momento nem o uso do serviço. Os dados já transmitidos à Google, à Meta, à TikTok ou à Microsoft ficam sujeitos às políticas de privacidade dessas entidades (Google, Meta, TikTok, Microsoft), junto das quais podem também ser exercidos os respetivos direitos. É ainda possível opor-se, a qualquer momento, ao tratamento para fins de marketing direto, incluindo a definição de perfis associada, por pedido para [email protected] (art. 21.º, n.º 2, do RGPD). Mais opções em www.youronlinechoices.eu.

10. Alterações

Podemos atualizar esta política. Corrigimos sem demora informação inexata. Informamos-te das alterações relevantes por email ou na aplicação e, quando uma alteração exigir novo consentimento, pedimo-lo antes do respetivo tratamento. Cada versão indica o seu número e data.

Para exercer direitos RGPD ou colocar questões de privacidade, contacta [email protected].