Informativa sobre Proteção de Dados

1. Âmbito e finalidade da presente informativa

A presente informativa sobre proteção de dados estabelece as regras aplicáveis ao tratamento de dados pessoais realizado no âmbito da utilização dos serviços, interfaces, canais de comunicação e funcionalidades disponibilizadas pela Loxia AI. O seu objetivo é esclarecer, de forma transparente, quais categorias de dados podem ser recolhidas, para que finalidades são tratadas, com que fundamento jurídico e por quanto tempo são conservadas, bem como os mecanismos disponíveis para exercício dos direitos dos titulares.

Esta informativa aplica-se às interações realizadas por utilizadores, clientes, potenciais clientes, contactos comerciais, visitantes de páginas institucionais, parceiros e outros titulares de dados que entrem em contacto com os serviços. Abrange igualmente dados transmitidos por canais digitais frequentemente utilizados nos mercados do Brasil e de Portugal, incluindo formulários online, correio eletrónico, integrações API, fluxos de suporte e comunicações por aplicações de mensagens, quando existentes e juridicamente aplicáveis. A sua leitura deve ser feita em conjunto com as demais políticas internas ou contratuais que regem a utilização do serviço.

A proteção de dados é tratada segundo princípios de licitude, lealdade, transparência, minimização, limitação da finalidade, exatidão, integridade, confidencialidade e responsabilidade. Quando aplicável, observam-se as exigências do RGPD e da legislação complementar de privacidade e proteção de dados em vigor nas jurisdições relevantes. Caso exista conflito entre uma disposição contratual e a legislação obrigatória aplicável, prevalecerá sempre a norma legal imperativa.

2. Identificação do responsável pelo tratamento e contactos

Para efeitos de proteção de dados, a entidade que determina as finalidades e os meios do tratamento atua como responsável pelo tratamento. Essa entidade define quais dados são necessários para a prestação do serviço, para a gestão da relação contratual, para a segurança operacional e para o cumprimento de obrigações legais, regulatórias ou contabilísticas. Em determinadas situações, poderá existir corresponsabilidade, subcontratação ou atuação como subcontratante, consoante a arquitetura de integração e o papel efetivamente desempenhado em cada fluxo de dados.

Os contactos para questões relacionadas com privacidade, exercício de direitos ou esclarecimentos sobre o tratamento de dados devem ser disponibilizados pelos meios oficiais indicados pela organização. Sempre que exista um encarregado da proteção de dados, ou função equivalente, o titular poderá recorrer a esse contacto para obter informações sobre bases legais, retenção de dados, transferência internacional, medidas de segurança da informação ou análise de pedidos de acesso, retificação e eliminação.

Em contextos empresariais, a distinção entre responsável pelo tratamento e subcontratante é particularmente relevante. Por exemplo, quando uma empresa de e-commerce em São Paulo utiliza uma solução tecnológica para gerir pedidos de contacto ou suporte, essa empresa pode continuar a ser a responsável pelo tratamento dos dados dos seus clientes finais, enquanto o prestador tecnológico atua apenas segundo instruções documentadas. Do mesmo modo, um operador turístico no Algarve ou no Douro poderá determinar finalidades próprias de atendimento e reserva, mantendo a titularidade das decisões sobre os dados dos seus hóspedes.

3. Categorias de dados pessoais tratados

Os dados pessoais tratados podem variar consoante a relação estabelecida e a natureza da interação. Em regra, podem incluir dados de identificação, como nome, apelido, endereço de correio eletrónico, número de telefone, cargo ou entidade representada; dados de contacto profissional; dados de contexto comercial; e dados técnicos associados ao uso de plataformas, como endereço IP, identificadores de sessão, registos de acesso, informação do dispositivo e eventos de utilização. Quando necessário para a finalidade, podem ainda ser tratados elementos ligados a comunicações, preferências de atendimento e histórico de interações.

Em cenários de suporte ou integração técnica, podem ser processados dados transmitidos em mensagens, formulários, tickets, logs de sistema, chamadas de API e eventos de configuração. Em ambientes regulados, como fintechs no Brasil ou serviços financeiros em Portugal, pode ser necessário tratar dados adicionais para fins de verificação, segurança, prevenção de fraude, auditoria ou demonstração de conformidade. Nesses casos, o tratamento deve ser estritamente limitado ao necessário e com acesso restrito apenas a pessoal autorizado.

Não se pretende, em qualquer caso, recolher dados excessivos ou incompatíveis com a finalidade declarada. Sempre que um campo for facultativo, isso será indicado. Se o titular optar por não fornecer determinados dados, isso poderá limitar a possibilidade de resposta, de execução contratual ou de prestação de suporte. A ausência de certos elementos, no entanto, não poderá justificar a recolha indiscriminada de informação não necessária.

4. Finalidades e base legal do tratamento

O tratamento de dados pessoais pode ser realizado para várias finalidades legítimas, desde que exista uma base legal adequada. Entre as finalidades mais comuns encontram-se: gestão de pedidos de informação, execução de contratos, apoio ao cliente, administração técnica de contas, prevenção de abuso e fraude, segurança da informação, gestão de evidências operacionais, melhoria da qualidade do serviço e cumprimento de obrigações legais. Em cada caso, o fundamento jurídico deve ser identificado de forma objetiva e proporcional.

A base legal pode variar consoante a operação. A execução de um contrato ou diligências pré-contratuais pode justificar o tratamento necessário para criar acessos, responder a solicitações ou gerir integrações. O cumprimento de obrigação legal pode sustentar a retenção de certos registos fiscais, contabilísticos ou de auditoria. O interesse legítimo pode ser invocado para assegurar a proteção de sistemas, a continuidade do serviço, a gestão de incidentes ou a análise de risco, sempre que não prevaleçam os interesses ou direitos fundamentais do titular. O consentimento será utilizado apenas quando exigido pela lei ou quando nenhuma outra base legal seja adequada.

Em termos práticos, uma empresa de retalho online em Lisboa pode fornecer dados de contacto para receber assistência sobre integrações ou faturação; uma fintech em Belo Horizonte pode transmitir dados técnicos e de autenticação para controlo de acessos; e uma empresa de turismo premium no Porto pode enviar dados de reserva e preferências de atendimento para coordenar um serviço. Em todos os casos, a finalidade deve ser específica e compatível com a expectativa razoável do titular.

5. Retenção de dados, conservação e eliminação

A retenção de dados é definida segundo o princípio da limitação temporal. Os dados pessoais serão conservados apenas durante o período estritamente necessário para cumprir as finalidades que justificaram a sua recolha, salvo obrigação legal de conservação por prazo superior. Terminado esse período, os dados devem ser eliminados, anonimizados ou bloqueados, conforme o regime aplicável e a natureza do registo.

Os prazos de conservação podem depender do tipo de dado e do contexto. Registos contratuais e de faturação podem ter de ser mantidos por períodos determinados pela legislação comercial, fiscal ou contabilística. Logs de segurança e registos de eventos técnicos podem ser preservados durante o tempo necessário para deteção de incidentes, auditoria e proteção contra acessos não autorizados. Dados associados a pedidos de apoio ou contactos comerciais podem ser eliminados quando deixarem de ser necessários, salvo se a lei exigir a sua guarda.

Na prática de privacidade online, a retenção deve ser revista periodicamente. Por exemplo, se um potencial cliente solicitar informações e não iniciar qualquer relação contratual, os seus dados não devem permanecer indefinidamente em bases internas. Do mesmo modo, se um titular retirar o seu consentimento, os dados tratados exclusivamente com essa base devem deixar de ser processados, sem prejuízo de conservação limitada para prova do cumprimento, oposição ou defesa em procedimento administrativo ou judicial.

6. Direitos dos titulares e forma de exercício

Os titulares de dados dispõem de direitos dos titulares que podem ser exercidos nos termos da legislação aplicável. Esses direitos incluem, em regra, o direito de acesso, retificação, apagamento, limitação do tratamento, oposição, portabilidade e, quando o tratamento se basear em consentimento, o direito de o retirar a qualquer momento sem comprometer a licitude do tratamento efetuado até então. Podem ainda existir direitos relacionados com decisões automatizadas, quando aplicável.

O exercício desses direitos deve ser avaliado caso a caso, tendo em conta a finalidade do tratamento, a base legal invocada e eventuais obrigações legais de conservação. O direito ao apagamento, por exemplo, pode não ser absoluto quando existirem requisitos de retenção por motivos fiscais, regulatórios ou de defesa de direitos. O pedido deve ser analisado com rigor, transparência e em prazo razoável, podendo ser exigida a comprovação da identidade do requerente para evitar divulgações indevidas.

Em ambientes empresariais, estes direitos são particularmente relevantes para utilizadores de plataformas de atendimento, parceiros comerciais e clientes finais. Um titular sediado em Portugal pode solicitar confirmação sobre os dados que lhe dizem respeito, enquanto um utilizador no Brasil pode pedir correção de dados de contacto incorretos ou oposição a certas comunicações. Sempre que a legislação local o imponha, podem existir mecanismos específicos de reclamação perante a autoridade de controlo competente.

7. Segurança da informação e medidas de proteção

A segurança da informação é um componente central da proteção de dados. Devem ser adotadas medidas técnicas e organizativas adequadas para proteger os dados pessoais contra destruição acidental ou ilícita, perda, alteração, divulgação não autorizada e acesso indevido. Essas medidas podem incluir controlo de acessos, autenticação forte, segregação de ambientes, registo de eventos, gestão de permissões, encriptação em trânsito e em repouso, cópias de segurança e procedimentos de resposta a incidentes.

A proteção deve ser proporcional ao risco. Sistemas que tratam dados de contacto simples não exigem o mesmo nível de proteção que fluxos que envolvem dados sensíveis, informações financeiras ou registos de autenticação. Em todo o caso, o desenho de segurança deve privilegiar a confidencialidade, integridade e disponibilidade dos dados, com revisão periódica de vulnerabilidades, gestão de fornecedores e procedimentos internos para tratar incidentes de segurança ou suspeitas de violação de dados pessoais.

Em contextos de integração com plataformas externas, a avaliação de risco é particularmente importante. Quando uma empresa em São Paulo, Porto ou Faro integra sistemas via API, devem existir mecanismos de autenticação e limitação de permissões para evitar exposição excessiva de dados. A privacidade online não depende apenas de declarações formais, mas também da implementação consistente de controlos adequados ao ciclo de vida do tratamento.

8. Transferências, subcontratantes e comunicação de dados

Os dados pessoais podem ser comunicados a prestadores de serviços que atuem em nome e sob instruções documentadas do responsável pelo tratamento, designadamente para alojamento, suporte técnico, monitorização, análise operacional, comunicações ou gestão de infraestrutura. Esses prestadores devem assumir obrigações contratuais adequadas em matéria de confidencialidade, proteção de dados, segurança e limitação de finalidade. Sempre que atuem como subcontratantes, não podem utilizar os dados para fins próprios incompatíveis com a instrução recebida.

Poderão ocorrer transferências internacionais quando a infraestrutura tecnológica, os prestadores ou os pontos de apoio estejam localizados fora do Espaço Económico Europeu, ou quando os dados sejam acedidos a partir de outra jurisdição. Nesses casos, devem ser asseguradas garantias adequadas, como decisões de adequação, cláusulas contratuais-tipo ou outros mecanismos legalmente válidos. A avaliação da transferência deve considerar o risco, a legislação do país de destino e as medidas suplementares eventualmente necessárias.

A comunicação de dados a autoridades públicas apenas ocorrerá quando exista obrigação legal, ordem válida ou fundamento jurídico aplicável. Em caso de fusão, aquisição, reestruturação societária ou transferência de ativos, os dados poderão ser incluídos no perímetro da operação, desde que respeitados os requisitos legais de informação, finalidade e continuidade da proteção.

9. Atualizações da informativa e contacto para questões de privacidade

A presente informativa sobre proteção de dados pode ser atualizada sempre que houver alterações nas operações de tratamento, nos requisitos legais, nos sistemas utilizados ou nas medidas de segurança da informação. A versão vigente deve estar claramente identificada e disponível aos titulares, de modo a permitir a consulta das regras aplicáveis no momento da recolha e do tratamento. Alterações materiais devem ser comunicadas de forma apropriada, sobretudo quando impliquem novas finalidades, novas bases legais ou modificações relevantes nos prazos de retenção.

A revisão periódica da política de dados é essencial para assegurar conformidade contínua. Em mercados com forte intensidade digital, como o e-commerce brasileiro, o setor financeiro e os serviços de turismo premium em Portugal, as configurações de tratamento podem mudar em função de integrações, automações e requisitos operacionais. Por esse motivo, a governança de privacidade deve ser acompanhada por processos de documentação, auditoria e controlo interno.

Questões relativas à presente informativa, ao exercício dos direitos dos titulares, ao consentimento, à base legal, à retenção de dados ou a eventuais incidentes devem ser encaminhadas pelos canais oficiais disponibilizados para esse fim. Sempre que aplicável, o titular poderá também apresentar reclamação junto da autoridade de controlo competente, sem prejuízo de outros meios administrativos ou judiciais previstos na lei.