01Responsável pelo tratamento
Bricola.pt é o nome do projeto. A empresa encontra-se em constituição. A identificação da entidade que explora a plataforma e decide sobre o tratamento dos dados ainda não está concluída neste documento.
- Denominação legal e NIPC
- Por preencher após confirmação dos dados da entidade.
- Sede e identificação do registo comercial
- Por preencher.
- Contacto geral e de proteção de dados
- contacto@bricola.pt. Endereço postal por preencher.
Os restantes elementos da entidade e os procedimentos de atendimento têm de estar concluídos antes da abertura ao público. Esta indicação de pendências não dispensa as obrigações relativas a dados já tratados durante a preparação.
Esta política descreve os dados tratados pela versão atual do Bricola. O enquadramento principal é o Regulamento Geral sobre a Proteção de Dados — Regulamento (UE) 2016/679, complementado em Portugal pela Lei n.º 58/2019, de 8 de agosto. A publicação de uma política não substitui as medidas e os procedimentos necessários ao seu cumprimento.
02Que dados são tratados e de onde vêm
- Conta e início de sessão: email, nome de utilizador, nome completo, tipo de conta, dados empresariais fornecidos no registo e data e versão dos termos aceites. A palavra-passe é guardada numa forma derivada por uma função de segurança (hash com salt), nunca em texto legível. São também tratados identificadores de sessão, confirmação e recuperação, com prazo de validade. O acesso privado do alojamento fornece um identificador, email e, quando disponível, nome; estes dados permitem associar os perfis anteriores mediante pedido do próprio. O email de autenticação do cliente não é divulgado à empresa.
- Perfil de cliente: nome de utilizador único, nome completo, email, telefone e localidade ou freguesia. O nome completo, email e telefone ficam privados para o cliente e para a gestão. Não existe um campo para morada completa.
- Perfil profissional: nome do representante, nome da empresa, NIF/NIPC, contactos profissionais, descrição, especialidades, zonas, disponibilidade e eventual declaração de garantia de 10 anos. Os pedidos de verificação incluem o código de acesso à certidão e o resultado da análise pela gestão.
- Pedidos e propostas: descrição do trabalho, zona, orçamento estimado, características do imóvel, prazo, materiais, imagens, propostas e decisões de aceitação ou conclusão.
- Chat e avaliações: mensagens, imagens, participantes, datas, classificação e comentário. Os dados podem ser fornecidos por si ou pela outra parte na relação de serviço.
- Carteira: saldo e movimentos de coins associados ao perfil profissional. Os movimentos da demonstração são fictícios. A aplicação ainda não recolhe dados de cartões para pagamentos reais.
- Contactos e avisos: pedidos de publicidade com nome da empresa e de contacto, email, telefone opcional, assunto e mensagem; preferências de avisos, confirmação do endereço e registos de envio de email. Os pedidos de publicidade destinam-se a contacto@bricola.pt.
- Apoio e segurança: perguntas e respostas do assistente, datas e estado dos pedidos. A aplicação usa chaves derivadas do endereço IP e dos identificadores de acesso para limitar tentativas abusivas; essas chaves são pseudonimizadas, não anónimas. A infraestrutura pode tratar endereço IP, informação do navegador e registos técnicos para servir o site e protegê-lo.
Não são pedidos dados de saúde, documentos de identificação, dados de menores ou outras informações sensíveis. Não os inclua nos campos livres nem nas imagens. Os campos obrigatórios permitem criar o perfil ou pedido; sem os preencher, essas funções não ficam disponíveis. As imagens e o uso do assistente são opcionais.
03Finalidades e fundamentos
Os fundamentos devem ser aplicados a cada operação, sem transformar a aceitação dos termos num consentimento geral para qualquer uso de dados. A matriz proposta para o lançamento é:
| Finalidade | Fundamento proposto |
|---|---|
| Conta, perfil, pedidos, propostas, chat e apoio solicitado | Execução do serviço solicitado e diligências pré-contratuais. |
| Reputação profissional e prevenção de avaliações falsas | Interesse legítimo em informar os utilizadores e proteger a confiança, sujeito a ponderação e oposição. |
| Segurança, prevenção de fraude e defesa em litígios | Interesse legítimo na proteção do serviço e dos seus utilizadores, limitado ao necessário. |
| Resposta a obrigações legais e pedidos válidos de autoridades | Cumprimento da obrigação legal concretamente aplicável. |
| Cookies opcionais ou marketing, se vierem a existir | Consentimento prévio quando exigido. Estas funções não estão ativadas pela aplicação atual. |
Antes da abertura ao público, a entidade deve confirmar esta matriz, documentar a ponderação dos interesses legítimos e os procedimentos correspondentes. A utilização de dados para uma finalidade nova exige informação prévia e um fundamento adequado.
04Quem pode ver a informação
- Profissionais: podem consultar os detalhes, imagens, nome de utilizador e indicador de cliente habitual dos anúncios. Depois de aceite o contacto, recebem o primeiro nome e a zona, além do acesso à conversa. Não recebem o nome completo nem os contactos privados do cliente.
- Clientes: veem informação de especialidades, zona e reputação. O nome e os contactos da empresa são disponibilizados na relação cujo contacto foi aceite. O NIF/NIPC e o código da certidão não são divulgados pelo site aos clientes. Podem ser apresentados o selo de identidade verificada, a disponibilidade, as condições de garantia declaradas e a recomendação por avaliações.
- Participantes de uma conversa: têm acesso às mensagens e imagens desse chat após a aceitação. Outros utilizadores não recebem esse acesso.
- Quem consulta avaliações: vê a nota, o comentário, a data e o nome de utilizador do autor, ou o primeiro nome nos perfis antigos, na página do profissional.
O profissional que recebe informação para preparar ou executar a obra tem de respeitar os seus próprios deveres de proteção de dados. Receber um contacto não autoriza publicidade não solicitada nem a sua revenda.
A gestão autorizada do Bricola pode consultar os contactos privados para apoio necessário ao serviço, analisar a identificação empresarial e responder a pedidos de publicidade. Fornecedores técnicos podem ter o acesso necessário a manutenção, segurança ou cumprimento da lei. O chat não dispõe de encriptação de ponta a ponta. Não existe no Bricola uma função de venda de bases de dados ou de partilha de contactos para publicidade.
05Contactos privados e avisos por email
Os contactos do cliente são usados pela gestão quando necessário ao pedido ou ao apoio. Os avisos de atividade abrangem propostas, aceitação, alterações de disponibilidade, novas mensagens e conclusão de serviços. Os profissionais podem receber novos pedidos compatíveis com as suas especialidades e zonas.
O email tem de estar confirmado e os avisos ativados no perfil. O endereço da conta autenticada é reconhecido; outro endereço requer confirmação por ligação válida durante 30 minutos. Pode desligar os avisos no perfil. Essa escolha não autoriza nem subscreve publicidade.
Os avisos não incluem o texto das conversas, fotografias ou contactos privados. Os pedidos de publicidade incluem os dados do formulário necessários à resposta e são dirigidos a contacto@bricola.pt. O envio automático ainda está em preparação; o site distingue pedidos guardados de mensagens aceites pelo serviço de email.
06Assistente de inteligência artificial
Ao enviar uma pergunta ao assistente, o texto e até seis interações anteriores dessa conversa de apoio são enviados à API da OpenAI para preparar a resposta. O Bricola guarda um histórico de perguntas e respostas associado à conta.
O assistente não recebe automaticamente os seus anúncios, perfil, saldo, fotografias ou conversas privadas com empresas. Existem filtros para alguns contactos e outros dados identificáveis, mas não garantem anonimização. Escreva apenas o necessário para obter ajuda.
A integração pede à OpenAI que não guarde a resposta como um objeto recuperável da aplicação. Isso não elimina necessariamente registos de segurança do fornecedor. Segundo a documentação de tratamento de dados da API da OpenAI, o conteúdo da API não é usado para treino por defeito, salvo adesão expressa, e os registos de prevenção de abuso podem ser conservados até 30 dias, com exceções legais ou de segurança. Não foi confirmada uma configuração de retenção zero para este projeto.
A IA dá informação de apoio e pode cometer erros. Não toma decisões sobre aceitação de propostas, débitos, avaliações ou exercício de direitos. Pode utilizar o restante site e as perguntas frequentes sem enviar perguntas à IA.
07Fornecedores e transferências internacionais
Esta versão utiliza Sites/ChatGPT para alojamento e controlo do acesso privado, infraestrutura Cloudflare para execução e armazenamento, e a OpenAI para o assistente. Dispõe também de integração PostgreSQL/Neon para guardar as contas e os restantes registos quando essa ligação está configurada. Stripe e PayPal são integrações previstas e ainda não recebem pagamentos reais através da aplicação. O envio de avisos, pedidos de publicidade e emails de acesso está preparado para a Resend, mas ainda depende da ativação do serviço e da verificação do domínio de envio. Quando ativado, esse fornecedor receberá o endereço do destinatário e o conteúdo estritamente necessário à mensagem. Os emails de acesso usam login@bricola.pt; os restantes avisos usam o remetente geral do Bricola.
Não foi confirmada a localização exclusiva dos dados no Espaço Económico Europeu. Os fornecedores podem tratar dados noutros países. Antes do lançamento, é necessário confirmar as entidades contratadas, as funções de cada uma, os países de tratamento e as garantias efetivamente aplicadas.
As transferências para países terceiros exigem um fundamento do capítulo V do RGPD, como uma decisão de adequação aplicável ou garantias adequadas, incluindo cláusulas contratuais-tipo quando apropriado. A versão final deve indicar o mecanismo usado e como consultar as garantias. Não se declara aqui uma certificação ou acordo que ainda não foi confirmado. Consultar o RGPD.
08Conservação dos dados
Na versão de preparação, os perfis, anúncios, propostas, movimentos, mensagens, imagens, avaliações, verificações, pedidos de publicidade, registos de email e histórico do assistente são guardados de forma persistente. Fechar um anúncio ou concluir um trabalho não apaga automaticamente os dados. Ver apenas as mensagens ou perguntas mais recentes no ecrã também não significa que as anteriores tenham sido eliminadas.
As sessões de conta expiram no máximo ao fim de sete dias ou após 24 horas sem atividade. As ligações de confirmação e recuperação são válidas durante uma hora e para uma única utilização. Os segredos dessas ligações são retirados do registo de envio após a entrega ao fornecedor ou quando um envio expirado é suprimido. A limpeza técnica executada em novos registos elimina sessões expiradas, ligações expiradas há mais de um dia e contadores de tentativas expirados há mais de um dia.
Para os restantes dados, não está ainda implementado um calendário automático de eliminação. A política operacional a concluir deve limitar a conservação à duração necessária ao serviço, à resolução de pedidos ou litígios e às obrigações legais concretamente aplicáveis. Deve definir prazos por categoria, incluindo contas, ficheiros não enviados, registos técnicos e cópias de segurança.
O apagamento pode estar limitado por uma obrigação legal ou pela necessidade de preservar prova num litígio, apenas quanto aos dados necessários. A entidade deve definir e executar estes procedimentos antes de admitir utilizadores externos. Os prazos do fornecedor de IA são distintos da conservação do histórico no Bricola.
09Os seus direitos e como exercê-los
Consoante as condições legais, pode pedir acesso e cópia dos dados, corrigir informação, solicitar apagamento ou limitação e obter portabilidade. Pode opor-se a tratamentos baseados em interesse legítimo e retirar consentimento quando esse for o fundamento, sem afetar o tratamento anterior lícito.
Os pedidos dirigem-se ao responsável pelo tratamento. Pode enviar o pedido para contacto@bricola.pt. Não existe ainda um botão de exportação ou apagamento automático, e o assistente de IA não encaminha pedidos formais. A gestão deve garantir o atendimento e os procedimentos de resposta antes do lançamento.
O exercício é, em regra, gratuito. O prazo legal de resposta é de um mês, podendo ser prolongado por dois meses quando necessário, com justificação dentro do primeiro mês. A confirmação de identidade deve ser proporcional. Consulte as orientações da CNPD sobre o exercício dos direitos.
Pode apresentar uma reclamação à Comissão Nacional de Proteção de Dados, sem prejuízo de recorrer aos tribunais. A apresentação de uma reclamação à CNPD não depende de autorização do Bricola.
10Proteção e segurança
A aplicação verifica o acesso às contas e às conversas e restringe a consulta das imagens do chat aos participantes autorizados. Os ficheiros têm limites de formato e dimensão. São usados controlos de acesso e limites de utilização para reduzir acessos indevidos e abuso do assistente.
Estas medidas não tornam a informação anónima nem garantem ausência de incidentes. Evite inserir dados desnecessários e proteja a conta utilizada para iniciar sessão. Fotografias podem revelar pessoas, documentos ou a localização, mesmo quando os campos de texto não pedem esses dados.
A entidade exploradora deve manter procedimentos de resposta a incidentes e efetuar as comunicações à CNPD e aos titulares quando legalmente exigidas. Esses procedimentos organizacionais têm de ser formalizados antes da abertura ao público.