Jurídico

Política de Privacidade

Vigente desde 13 de maio de 2026

Última atualização: 10 de outubro de 2026

DueVestor é uma plataforma autónoma de due-diligence operada a partir de Israel. Esta política explica que informações recolhemos sobre os utilizadores do nosso SaaS, por que razão as recolhemos, durante quanto tempo as conservamos e os direitos de que dispõe ao abrigo do RGPD (UE/RU), da CCPA (Califórnia) e da Lei Israelita de Proteção da Privacidade. Para exercer qualquer direito, envie um e-mail para [email protected] ou utilize os controlos de exportação de dados e eliminação de conta disponíveis na aplicação.

1. O que recolhemos

Conta: nome, email, identificador OAuth, número de telefone opcional. Utilização: páginas visitadas, funcionalidades utilizadas, ID de sessão anónimo através do cookie `dv_sid` (apenas com o seu consentimento). Faturação: identificadores de captura PayPal e montantes de transação (nunca temos acesso ao seu cartão). Dados dos sujeitos: as pessoas/empresas que escolhe pesquisar — armazenadas na sua conta e nunca partilhadas. Pessoas pesquisadas num caso de um cliente: é a organização proprietária do caso que decide sobre esses dados, e nós tratamo-los em seu nome. Se a organização aplicar uma retenção legal a um caso, conserva os dados desse caso com base no seu próprio fundamento jurídico (por exemplo, o art. 17.º, n.º 3, alínea e), do RGPD, ações judiciais) até que a retenção seja levantada a seu pedido. Um pedido de apagamento relativo a esses dados que nos chegue é encaminhado para essa organização, e prestamos-lhe assistência. Documentos do caso: ficheiros que os membros de uma organização adicionam a um caso, e o texto que lemos deles, que é guardado com o documento. A organização a que o caso pertence decide sobre eles, e tratamo-los em seu nome. Registo de auditoria: um log server-side de ações sensíveis da conta, conservado durante dois anos. Se você pertence a uma organização em que o registro de atividade está ativado, os administradores e proprietários dela podem ver um registro das ações dos membros nos casos da organização: quem abriu, exportou ou excluiu um caso, ou aplicou uma retenção legal a um caso ou pediu sua liberação, e quando. O registro não mostra endereços de rede nem dispositivos. E-mails de status: se você se inscrever em nossa página de status, guardamos seu endereço de e-mail e idioma apenas para enviar um link de confirmação e depois avisos quando abrimos ou resolvemos um incidente e, para proteção contra abusos, um registro pseudonimizado do endereço de rede da solicitação por no máximo uma hora; um endereço não confirmado em 48 horas é excluído, e cancelar a inscrição (um link em cada e-mail) o exclui imediatamente.

2. Como utilizamos os dados

Para prestar o serviço a que se inscreveu, para proceder à faturação, para melhorar o produto (apenas com análises agregadas) e para cumprir as nossas obrigações legais. NÃO vendemos os seus dados, NÃO utilizamos os dados dos seus sujeitos para treinar modelos e NÃO realizamos publicidade comportamental entre sites.

3. Com quem partilhamos os dados

Apenas subcontratantes: PayPal (pagamentos), Google Cloud (Vertex AI, EU Multi-Region) e Amazon Web Services (Bedrock, eu-central-1) para a inferência de LLM na elaboração de relatórios, Anthropic (apenas como alternativa e, nos relatórios, somente com o seu consentimento expresso — ver 3A; os dados do sujeito são enviados ao abrigo do respetivo contrato de não treino), Cloudflare (CDN, DNS, WAF e armazenamento de ficheiros), RunPod (alojamento da aplicação e da base de dados), Resend (e-mail), Twilio (verificação telefónica) e GitHub (alojamento de código; não circulam dados de utilizadores). A lista atual está em /sub-processors. Avisaremos com 30 dias de antecedência antes de adicionar um subcontratante que trate dados pessoais da UE.

3A. Processamento por IA, servidores europeus e o seu consentimento

A elaboração de relatórios é executada em grandes modelos de linguagem alojados na União Europeia: primeiro o Google Cloud Vertex AI (EU Multi-Region) e depois o Amazon Web Services Bedrock (eu-central-1, Frankfurt). Em casos raros, ambos estão indisponíveis em simultâneo. Nunca transferimos um relatório para servidores dos EUA por iniciativa própria. Em vez disso, o relatório é colocado em pausa, enviamos-lhe um e-mail e a página do relatório pede-lhe que escolha: tentar novamente mais tarde nos servidores europeus ou consentir expressamente que este relatório seja processado através da Anthropic em servidores nos Estados Unidos, onde o fornecedor conserva os seus dados durante 30 dias. O seu consentimento é registado, com a hora e a sua conta, antes de qualquer dado ser enviado para lá. Se não decidir em 7 dias, o relatório é mantido na sua conta como «à espera dos servidores europeus» — não é marcado como falhado e não volta a ser cobrado. Este consentimento aplica-se ao processamento de relatórios. O chat do relatório, as demonstrações financeiras carregadas e os assistentes de ajuda e de vendas pedem todos o seu próprio consentimento da mesma forma. Os documentos do caso e o texto que lemos deles não são enviados a nenhum fornecedor de IA.

4. Durante quanto tempo conservamos os dados

Dados da conta: até eliminar a sua conta. Relatórios: indefinidamente enquanto o projeto estiver ativo, eliminados quando o projeto for eliminado. Registo de auditoria: 2 anos (retenção legal). Cópias de segurança: as cópias diárias são conservadas 14 dias e as semanais 8 semanas. Quando exercer o direito ao apagamento, procedemos ao soft-delete imediatamente e ao hard-delete após um período de tolerância de 30 dias, para que possa reverter a decisão enviando um e-mail para [email protected]. Documentos do caso: até que o membro que adicionou um documento, ou um administrador da organização, o elimine enquanto o caso estiver aberto e não estiver sob retenção legal, ou até que o caso ou a organização sejam eliminados. Quando um documento é eliminado, enviamos de imediato a eliminação do ficheiro ao nosso armazenamento de ficheiros; as cópias de segurança da nossa base de dados não contêm o ficheiro. O texto que lemos dele é eliminado da nossa base de dados ativa ao mesmo tempo, mas permanece nas cópias de segurança encriptadas da base de dados até expirarem (cópias diárias 14 dias, cópias semanais até 8 semanas). Um caso sob retenção legal mantém os seus documentos até a retenção ser levantada.

5. Os seus direitos

RGPD/RU: acesso, retificação, eliminação, limitação, portabilidade, oposição. CCPA: conhecimento, eliminação, opt-out de venda (não vendemos dados). Lei Israelita de Proteção da Privacidade: acesso e correção. Dois destes direitos são de self-service: GET /api/v1/me/export devolve um snapshot JSON dos seus dados; DELETE /api/v1/me/erase inicia o fluxo de eliminação. Para qualquer outro assunto, envie um e-mail para [email protected] — respondemos no prazo de 30 dias.

6. Cookies

Essenciais: `authjs.session-token` (sessão autenticada), `dv_ref` (atribuição de afiliado, se aplicável). Análise (opt-in): `dv_sid` ID de sessão anónimo — apenas definido quando aceita o banner. Respeitamos o Do-Not-Track e o Sec-GPC; se qualquer um destes cabeçalhos estiver presente, ignoramos a análise independentemente do estado do banner.

7. Contacto

Questões de privacidade/DPO: [email protected]. Divulgação de vulnerabilidades de segurança: [email protected]. Suporte geral: [email protected].