1. O nosso compromisso
Na Oquarto tratamos os dados dos nossos utilizadores e dos clientes das nossas ferramentas profissionais com o máximo cuidado. Esta página resume, de forma transparente e verificável, como protegemos a informação: que medidas de segurança a plataforma aplica, onde residem os dados, com que fornecedores trabalhamos e como cumprimos a regulamentação europeia de proteção de dados.
Para qualquer questão sobre privacidade ou segurança, pode escrever-nos para privacy@oquarto.com.
2. Segurança da plataforma
- Autenticação de dois fatores (TOTP): todas as contas podem ativar um segundo fator de autenticação baseado em códigos temporários (aplicações como Google Authenticator ou 1Password) a partir do seu perfil.
- Isolamento de dados por utilizador e equipa: a base de dados aplica Row Level Security (segurança ao nível da linha), de modo que cada consulta só pode aceder aos dados do utilizador ou da equipa autenticados. As políticas são reforçadas para as sessões que verificaram o segundo fator.
- Credenciais de integrações cifradas em repouso: os tokens de acesso das integrações de terceiros (email, WhatsApp, Google) são armazenados cifrados na base de dados.
- Cifragem em trânsito e em repouso: todas as comunicações são feitas sobre TLS e todos os nossos fornecedores de infraestrutura cifram os dados em repouso.
3. Residência de dados na União Europeia
- Base de dados e armazenamento principal: o nosso projeto Supabase (base de dados, autenticação e ficheiros) está alojado numa região da União Europeia.
- Documentos da base de conhecimento: são armazenados no Cloudflare R2 com jurisdição de dados da União Europeia.
- Servidores auxiliares: alojados num fornecedor europeu certificado ISO 27001, em centros de dados na Alemanha e na Finlândia.
- Fornecedores de inteligência artificial: o processamento é realizado nos EUA ao abrigo de Cláusulas Contratuais-Tipo (SCC) e, quando o fornecedor está certificado, do quadro EU-US Data Privacy Framework.
4. Subcontratantes e fornecedores
Trabalhamos com fornecedores de infraestrutura e serviços reconhecidos. As certificações indicadas são dos próprios fornecedores e podem ser verificadas nas suas páginas oficiais de segurança e conformidade, cujas ligações se indicam abaixo.
| Fornecedor | Serviço | Região | Certificações públicas |
|---|---|---|---|
| Vercel | Alojamento e entrega da aplicação web | Global (UE/EUA) | SOC 2 Type II, ISO 27001 |
| Supabase | Base de dados, autenticação e armazenamento | União Europeia | SOC 2 Type II, HIPAA disponível |
| Cloudflare | CDN e armazenamento de documentos (R2) | UE (R2 com jurisdição UE) | ISO 27001, ISO 27701, SOC 2 |
| Fornecedor de infraestrutura UE | Servidores auxiliares | UE (Alemanha/Finlândia) | ISO 27001 |
| Stripe | Processamento de pagamentos | UE/EUA | PCI DSS nível 1 |
| OpenAI | Modelos de inteligência artificial | EUA | SOC 2 Type 2, CSA STAR, ISO/IEC 27001, 27017, 27018 e 27701 |
| Fornecedor de voz de IA | Síntese de voz e chamadas com IA | EUA | SOC 2 |
| Início de sessão, integração do Gmail e geocodificação | Global | ISO 27001, SOC 2 | |
| Meta (WhatsApp) | Mensagens por WhatsApp Business | Global | Informação de segurança pública |
| Fornecedor de email transacional | Envio de email transacional | EUA | SOC 2 Type II |
| Fornecedor de orquestração de tarefas | Orquestração de tarefas em segundo plano | EUA | SOC 2 Type II |
| PostHog | Análise de produto | UE/EUA | SOC 2 Type II |
| Fornecedores de inferência de IA | Inferência de modelos de IA (pesquisa, extração e redação assistida) | EUA | SOC 2 Type II (consoante o fornecedor); lista nominal disponível para clientes ao abrigo do DPA |
As categorias completas de subcontratantes, com as suas funções e os mecanismos de transferência internacional aplicáveis, estão disponíveis na nossa Política de Privacidade. A lista nominal detalhada é facultada aos clientes no âmbito do acordo de subcontratação (DPA) e pode ser solicitada através de privacy@oquarto.com.
5. IA responsável
- O assistente telefónico identifica-se sempre como assistente virtual no início da chamada.
- As agências podem ativar um aviso de assistente de IA nas mensagens de texto enviadas pelos seus trabalhadores de IA.
- As ações dos trabalhadores de IA ficam registadas e podem ser supervisionadas por pessoas a partir da plataforma.
- Não são tomadas decisões automatizadas que produzam efeitos jurídicos para as pessoas nem que as afetem de forma significativa similar.
- Os fornecedores de IA com quem trabalhamos não utilizam os dados enviados através das suas API para treinar os seus modelos, em conformidade com os seus termos empresariais.
6. Conformidade regulamentar
- Cumprimos o Regulamento Geral sobre a Proteção de Dados (RGPD) e a Lei Orgânica 3/2018 (LOPDGDD).
- Mantemos internamente um registo de atividades de tratamento.
- Exercício de direitos: pode exercer os seus direitos de acesso, retificação, apagamento, oposição, limitação e portabilidade escrevendo para privacy@oquarto.com. Respondemos num prazo máximo de um mês.
- Notificação de violações: dispomos de um procedimento para notificar a Agência Espanhola de Proteção de Dados (AEPD), num prazo de 72 horas, das violações de segurança que representem um risco para os direitos das pessoas, e para informar os afetados quando o risco for elevado.
- DPA para clientes do CRM: o acordo de subcontratação está incluído como Anexo I dos nossos Termos e Condições.
7. Cookies
O nosso banner de cookies permite rejeitar os cookies não essenciais na primeira camada, com a mesma facilidade com que se aceitam. O consentimento pode ser retirado a qualquer momento a partir da ligação disponível no rodapé. Mais informações na Política de Cookies.
Se detetar uma vulnerabilidade de segurança ou tiver qualquer dúvida sobre esta página, escreva-nos para privacy@oquarto.com.