1. Quem é responsável
O Kqtus é responsável pelo tratamento de dados pessoais necessário para operar a plataforma. Para pedidos de privacidade ou esclarecimentos, use [email protected].
Os administradores de cada casa também decidem que informação introduzem sobre membros e dependentes, quem recebe acesso e como essa informação é usada dentro da casa.
2. Dados que tratamos
Conta e autenticação
Nome, nome de utilizador, email, palavra-passe protegida por hash, estado da conta, papéis, sessões, chaves de acesso (passkeys), códigos e pedidos de recuperação.
Casa e organização financeira
Casas, membros, dependentes, permissões, perfis, contactos inseridos, entradas, despesas, dívidas, financiamentos, investimentos, contas de pagamento, listas, produtos, estoque, compras, viagens, anexos, notas, partilhas e exportações.
Uso, suporte e segurança
Datas de acesso, eventos de auditoria, módulos utilizados em formato agregado por casa, estado de leitura de comunicados, endereço IP ou respetivo hash em controlos de segurança, dados do navegador/dispositivo e registos técnicos necessários para diagnosticar falhas e impedir abuso.
Dados opcionais do dispositivo
Localização, câmara, imagens escolhidas, subscrição de notificações push e dados necessários a recursos que o utilizador ativa. A câmara usada para ler um QR fiscal é processada no dispositivo; só são guardados os dados que o utilizador decide importar ou registar.
3. Por que usamos os dados
- Prestação do serviço: criar a conta, autenticar, manter casas, sincronizar dados, aplicar permissões, calcular valores, apresentar calendários, enviar notificações pedidas e gerar exportações.
- Segurança e interesse legítimo: prevenir fraude e abuso, limitar tentativas, manter auditoria, investigar incidentes e melhorar a fiabilidade.
- Escolha ou consentimento: ativar câmara, localização, notificações e outras permissões opcionais do dispositivo. Pode recusá-las ou revogá-las nas definições do dispositivo, embora a função correspondente deixe de operar.
- Obrigações legais: responder a pedidos legítimos de autoridades e conservar informação quando a lei o exigir.
A base jurídica concreta depende da finalidade: execução do serviço solicitado, interesse legítimo, consentimento quando aplicável ou cumprimento de obrigação legal.
4. Visibilidade e partilha dentro da casa
Os dados de uma casa são apresentados aos membros autorizados conforme o respetivo papel e os módulos permitidos. Administradores têm poderes mais amplos; membros controlados e observadores têm acesso limitado.
Quem administra uma casa deve rever convites e permissões, remover acessos que já não sejam necessários e informar as pessoas cujos dados introduz.
5. Fornecedores e destinatários
Não vendemos dados pessoais e não os usamos para publicidade direcionada. Podemos disponibilizar dados apenas na medida necessária a:
- Cloudflare: alojamento da aplicação, execução do serviço, base de dados, armazenamento de imagens, rede e segurança.
- Resend: envio de emails de recuperação quando essa função está ativa.
- Fornecedores do navegador ou sistema: entrega de notificações push solicitadas pelo utilizador.
- Serviços consultados numa função: mapas, geocodificação, câmbio e fontes públicas. O pedido pode revelar ao fornecedor dados técnicos, como o endereço IP, e os parâmetros necessários à consulta.
- Autoridades ou terceiros: apenas quando houver obrigação legal, necessidade de proteção de direitos ou resposta a incidente de segurança.
Exigimos que os prestadores tratem dados segundo as nossas instruções e salvaguardas contratuais aplicáveis.
6. Cookies e armazenamento no dispositivo
O Kqtus usa armazenamento local e mecanismos equivalentes para manter a sessão, preferências de tema e interface, dados necessários ao funcionamento offline, filas de sincronização e estado da aplicação instalada (PWA). Estes elementos são funcionais, não publicitários.
Pode limpar esses dados nas definições do navegador. Isso pode terminar a sessão, apagar preferências locais ou remover alterações offline ainda não sincronizadas.
7. Durante quanto tempo conservamos
- Dados da conta e da casa permanecem enquanto a conta/casa estiver ativa ou enquanto forem necessários para prestar o serviço.
- Ao eliminar uma conta, os identificadores pessoais são eliminados ou anonimizados; registos partilhados da casa podem permanecer para não destruir o histórico dos restantes membros.
- Casas sem qualquer membro ativo entram num período de recuperação e podem ser eliminadas após 365 dias. Utilizadores inativos, sem casa, podem ser anonimizados após 365 dias.
- Exportações geradas ficam disponíveis durante 48 horas.
- Pedidos técnicos de recuperação por email são eliminados após 30 dias; tokens expirados ou usados são removidos em períodos técnicos mais curtos.
- Métricas diárias agregadas de utilização da casa são conservadas até 400 dias.
Alguns dados podem ser mantidos por mais tempo quando necessário para cumprir a lei, resolver litígios, prevenir abuso ou preservar provas de auditoria. Cópias de segurança e registos técnicos são eliminados segundo ciclos operacionais limitados.
8. Como protegemos os dados
Aplicamos TLS em trânsito, controlos de acesso por utilizador/casa/papel, palavras-passe e códigos de recuperação protegidos por hash, limitação de tentativas, registos de auditoria e proteção da infraestrutura em repouso.
Campos privados selecionados do perfil interno de membros — nome apresentado, email de contacto, telefone e apelido — e ficheiros de exportação usam também cifragem AES-256-GCM ao nível da aplicação. Dados necessários à autenticação e pesquisa, como nome, username e email da conta principal, são protegidos por TLS, cifragem da infraestrutura e controlos de acesso, mas não usam atualmente essa cifragem adicional ao nível da aplicação.
9. Transferências internacionais
Alguns prestadores podem tratar dados fora do Espaço Económico Europeu. Nesses casos, recorremos a mecanismos reconhecidos pela lei aplicável, como decisões de adequação, cláusulas contratuais-tipo e medidas complementares quando necessárias.
10. Os seus direitos
Conforme a lei aplicável, pode pedir acesso, retificação, apagamento, limitação, portabilidade ou oposição ao tratamento. Quando o tratamento depender de consentimento, pode retirá-lo sem afetar o que foi feito antes.
Envie o pedido para [email protected]. Podemos pedir informação suficiente para confirmar a identidade e proteger a conta. O exercício é, em regra, gratuito e respondemos no prazo legal aplicável, normalmente até um mês, sujeito às extensões permitidas para pedidos complexos.
Também pode apresentar reclamação à Comissão Nacional de Proteção de Dados (CNPD) ou à autoridade de controlo competente no seu país.
11. Menores e perfis dependentes
O Kqtus não se destina a crianças criarem e gerirem autonomamente contas sem autorização adequada. Um adulto autorizado pode criar um perfil dependente para organização da casa e é responsável pela legitimidade, exatidão e visibilidade desses dados.
Não introduza informação sensível de menores que não seja necessária para a finalidade doméstica pretendida.
12. Alterações desta política
Podemos atualizar esta política para refletir mudanças no serviço, fornecedores ou legislação. Indicaremos a nova data e, quando a alteração for relevante, procuraremos avisar dentro da aplicação ou por outro canal adequado.
13. Contacto e referências
Questões, pedidos de direitos e comunicações de segurança:
[email protected]Informação pública adicional: proteção de dados na União Europeia e direitos dos titulares segundo a CNPD.