Política de Privacidade

Esta política explica como a SPECIAL OPTION, LDA (marca SkyFirstLabs) trata dados pessoais na plataforma Sky (web), na app móvel Sky by SkyFirstLabs (iOS e Android) e no site skyfirstlabs.com, nos termos do Regulamento Geral sobre a Proteção de Dados (RGPD).

1. Quem somos

Não nomeámos um Encarregado de Proteção de Dados (EPD/DPO), porque a empresa não cumpre os critérios do artigo 37.º do RGPD. As questões de privacidade são tratadas pela gerência através do contacto acima.

2. Responsável ou subcontratante: quem decide sobre os seus dados

A Sky é uma plataforma empresarial. Não há registo público. As contas são criadas pela organização que contrata a Sky (o «Cliente»), normalmente a sua entidade empregadora.

• Dados que o Cliente traz para a Sky. Isto inclui as perguntas e as respostas, as conversas, os documentos anexados, os agentes, as páginas e os resultados das consultas às bases de dados do Cliente. Para estes dados, o Cliente é o responsável pelo tratamento e a SkyFirstLabs é subcontratante (artigo 28.º do RGPD). Tratamo-los apenas para prestar o serviço, segundo as instruções do Cliente e o Acordo de Tratamento de Dados (DPA) assinado com ele. Para exercer direitos sobre estes dados, deve dirigir-se primeiro ao seu administrador ou à sua organização. Se nos escrever, encaminhamos o pedido ao Cliente e ajudamo-lo a responder.
• Dados que tratamos para gerir e proteger o serviço. Isto inclui a conta (nome, email, papel), os registos de segurança, os tokens de notificação, o suporte e a faturação ao Cliente. Para estes dados, a SkyFirstLabs é responsável pelo tratamento, e é a eles que esta política se aplica diretamente.
• Site e contactos comerciais. Para os dados do site e dos contactos comerciais, somos responsáveis pelo tratamento (secção 9).

3. Que dados tratamos e porquê

3.1 Conta e acesso

A password nunca é guardada em claro: guardamos apenas um hash. Quando entra com Google, Microsoft ou Okta, recebemos desse fornecedor o seu email, o nome e, se existir, a fotografia de perfil. O fornecedor de identidade é escolhido pela sua organização.

3.2 Segurança e registos técnicos

Os registos técnicos da componente de IA não guardam os valores dos dados do Cliente: os valores são substituídos pelo seu comprimento e os literais de SQL por «?».

3.3 Conteúdo que cria na Sky (tratado por conta do Cliente)

• Perguntas, respostas e conversas. Isto inclui as que são feitas por voz, que ficam guardadas como texto (secção 4).
• Documentos anexados a uma pergunta. Na conversa, extraímos o texto do documento (até 10 MB por ficheiro) e guardamos apenas esse texto, para responder sobre ele. Não guardamos o ficheiro original.
• Biblioteca de conhecimento. O texto extraído dos documentos que a organização carrega fica guardado, dividido em excertos para pesquisa, na base de dados do Cliente. Não usamos serviços de armazenamento de objetos (como o Amazon S3). Fica guardado enquanto a organização o mantiver e é apagado quando o documento é eliminado.
• Agentes, achados, páginas, widgets, comentários e reações, criados por si ou pelos seus colegas.
• Pedidos de suporte (assunto, descrição, categoria, plataforma) e reportes de respostas da IA (secção 6).

3.4 Dados das bases de dados do Cliente

A Sky liga-se às fontes de dados que o Cliente autoriza (por exemplo, PostgreSQL ou BigQuery) e consulta-as ao vivo, no momento da pergunta.

• Não guardamos as linhas dos dados do Cliente. Os gráficos e os widgets voltam a correr a consulta quando são abertos. Os resultados podem ficar em memória temporária durante até 10 minutos, para evitar consultas repetidas.
• Guardamos o esquema das fontes (nomes de tabelas e colunas e as descrições que o Cliente acrescenta), para a IA saber onde procurar.
• Para acelerar perguntas repetidas, guardamos a pergunta, o texto da resposta e a consulta SQL durante até 30 dias. Passado esse prazo, deixam de ser usados e são apagados. O texto da resposta pode conter números referidos na resposta.
• Num registo de auditoria das consultas, guardado na base de dados dedicada do Cliente, ficam a pergunta, a consulta SQL executada, o número de linhas e os primeiros 500 caracteres da resposta. Este registo é conservado durante 12 meses.
• As credenciais de acesso às fontes são guardadas cifradas.

3.5 Dispositivo e notificações (app móvel)

A app não recolhe a localização, os contactos, o identificador de publicidade nem a lista de outras apps instaladas. Também não inclui ferramentas de análise de utilização, de publicidade ou de relatórios de falhas de terceiros.

No dispositivo, a app guarda os tokens de sessão no armazenamento seguro do sistema (Keychain ou Keystore) e as suas preferências. Não guarda conversas no disco. Se ativar o desbloqueio biométrico (Face ID ou impressão digital), a verificação é feita pelo sistema operativo: nenhum dado biométrico sai do dispositivo nem chega até nós.

3.6 Faturação e relação contratual com o Cliente

Para faturar ao Cliente, tratamos os dados da organização e das pessoas de contacto (nome, email, telefone, morada de faturação). A base legal é o art. 6.º, n.º 1, al. b) e c), incluindo as obrigações fiscais e contabilísticas.

4. Voz

O modo de voz e o ditado só funcionam quando os ativa. O sistema pede autorização para o microfone na primeira utilização.

• Enquanto fala, o áudio é transmitido em tempo real, por ligação cifrada, para os nossos servidores. Daí segue para os serviços da Amazon Web Services: Amazon Nova Sonic (Amazon Bedrock, região UE de Estocolmo), para a conversa por voz, e Amazon Transcribe (região UE da Irlanda), para a transcrição e as legendas. As respostas faladas são geradas pelo próprio Nova Sonic ou pelo Amazon Polly (Irlanda).
• Não guardamos o áudio. Não é gravado em disco, em armazenamento de objetos nem em registos.
• Guardamos a transcrição (o texto do que disse e do que a Sky respondeu) como mensagens da conversa. A transcrição segue as regras de conservação do conteúdo (secção 10).
• No dispositivo, o áudio das respostas fica em ficheiros temporários na cache da app, que são reutilizados e substituídos.
• Na raiz da nossa organização AWS está ativa a política de exclusão (opt-out) dos serviços de IA da AWS. O conteúdo que estes serviços tratam, incluindo o áudio e as transcrições, não é usado pela AWS para melhorar ou treinar os seus serviços.

5. Inteligência artificial

• As perguntas e o contexto necessário são processados por modelos de linguagem alojados no Amazon Bedrock, na União Europeia. Usamos modelos de pesos abertos (por exemplo, gpt-oss e Qwen) na região da Irlanda e modelos Claude, da Anthropic, através dos perfis de inferência europeus do Bedrock. Estes perfis podem processar o pedido noutra região da UE (Irlanda, Paris, Frankfurt ou Estocolmo), sem sair da UE.
• Não guardamos registos das perguntas no Bedrock. O registo de invocações dos modelos (model invocation logging) está desligado nas regiões da Irlanda (eu-west-1) e de Estocolmo (eu-north-1).
• Os fornecedores dos modelos (por exemplo, a Anthropic) não têm acesso às perguntas nem às respostas, porque os modelos correm em contas operadas pela AWS.
• Os seus dados não são usados para treinar modelos, nem por nós nem pela AWS. Na raiz da nossa organização AWS está ativa a política de exclusão dos serviços de IA.
• A AWS pode reter pedidos temporariamente para deteção de abuso, nos termos do serviço Amazon Bedrock.
• As representações vetoriais (embeddings) são calculadas dentro da nossa própria infraestrutura, sem enviar dados a terceiros.
• As respostas são geradas automaticamente e podem conter erros. Verifique a informação antes de tomar decisões importantes. A Sky não toma decisões com efeitos jurídicos sobre si, nem decisões que o afetem de forma igualmente significativa (art. 22.º do RGPD).
• Não enviamos perguntas nem respostas para serviços externos de observabilidade de IA. Se um dia o fizermos, os valores dos dados do Cliente são mascarados antes do envio e o serviço passa a constar da lista de subcontratantes.

6. Reportar respostas da IA

Em cada resposta da Sky e em cada descoberta de um agente pode tocar em Reportar para assinalar conteúdo ofensivo, impróprio, errado ou enganador. O reporte guarda o seu identificador de utilizador, uma cópia do conteúdo reportado (porque a resposta pode ser apagada depois), o motivo e o comentário opcional que escrever (até 2000 caracteres). Fica na base de dados dedicada do Cliente. Usamos estes reportes para corrigir defeitos e prevenir abusos, com base no art. 6.º, n.º 1, al. f).

7. Com quem partilhamos dados

Não vendemos dados pessoais nem os usamos para publicidade. Recorremos apenas a subcontratantes necessários para prestar o serviço, todos com contrato de tratamento de dados:

• Fornecedores de identidade. Google, Microsoft e Okta só recebem pedidos de início de sessão quando a sua organização os escolhe como método de autenticação. Nesse caso, atuam ao abrigo da relação que a sua organização mantém com eles.
• Conteúdo das notificações. Só enviamos notificações push para achados de agentes, menções e convites para projetos. Cada notificação leva um título (por exemplo, «Vendas: novidades nos seus dados» ou «Ana convidou-o para «Operações»»), um texto curto com a descrição da notificação, que pode incluir um resumo do achado ou da menção, e identificadores internos para a app abrir o ecrã certo. Passa pela Expo e pelos serviços da Apple ou da Google até chegar ao dispositivo.
• Acesso da equipa SkyFirstLabs. Para dar suporte, a nossa equipa pode aceder temporariamente à conta de um utilizador (no máximo 60 minutos por sessão). Cada acesso fica registado em auditoria. Só a nossa equipa autorizada acede, quando necessário.
• Autoridades. Podemos divulgar dados quando a lei o exigir.

A lista atualizada está em skyfirstlabs.com/legal/sub-processors.

8. Transferências internacionais

Os dados da plataforma ficam alojados na União Europeia. Há transferências para fora do Espaço Económico Europeu nos casos da Expo, da Apple e da Google (notificações) e de alguns fornecedores do site. A 650 Industries (Expo) declara na sua política de privacidade estar certificada no Quadro de Privacidade de Dados UE-EUA. Nos restantes casos, baseamo-nos nesse Quadro quando o destinatário está certificado e, quando não está, nas garantias adequadas previstas no artigo 46.º do RGPD, incluindo as Cláusulas Contratuais-Tipo da Comissão Europeia. Pode pedir uma cópia das garantias através do contacto de privacidade.

9. Site e contactos comerciais

Quando visita skyfirstlabs.com ou fala connosco, tratamos:

• Formulário de contacto e marcações: nome, email profissional, empresa, cargo e mensagem. Servem para responder e preparar propostas (art. 6.º, n.º 1, al. b).
• Prospeção B2B: nome, email profissional, cargo, empresa e dados públicos do LinkedIn. Cada email inclui uma forma simples de oposição (art. 6.º, n.º 1, al. f).
• Estatísticas do site: identificadores pseudónimos, páginas, país e tipo de dispositivo. Só com o seu consentimento no aviso de cookies (art. 6.º, n.º 1, al. a). Detalhes na Política de Cookies.
• Demonstração pública: email, nome, empresa e cargo de quem pede acesso. Os dados da sessão de demonstração são apagados ao fim de 7 dias.

Fornecedores do site: Vercel Inc. (alojamento e estatísticas Vercel Analytics, EUA), Google (Google Analytics 4, só com consentimento) e Resend, Inc. (envio dos pedidos do formulário de contacto, EUA). Na demonstração pública: Cloudflare, Inc. (proteção antirrobô Turnstile), Resend, Inc. (emails da demonstração) e Slack Technologies (aviso interno de novos pedidos). As ferramentas comerciais (CRM, prospeção e marcação de reuniões) constam da lista de subcontratantes.

10. Durante quanto tempo guardamos os dados

11. Segurança

• Ligações cifradas (HTTPS/TLS e WSS) entre a app, o navegador e os nossos servidores.
• Base de dados e cache cifradas em repouso.
• Credenciais das fontes de dados e segredos de dois fatores cifrados ao nível da aplicação.
• Cada Cliente tem uma base de dados dedicada.
• Infraestrutura em rede privada, com acesso restrito e registado.
• Autenticação de dois fatores disponível.
• Revisão periódica de acessos e de fornecedores.

Em caso de violação de dados, notificamos a CNPD e, quando necessário, as pessoas afetadas, nos termos dos artigos 33.º e 34.º do RGPD. Quando os dados são do Cliente, avisamos o Cliente sem demora injustificada.

12. Os seus direitos

Nos termos dos artigos 15.º a 22.º do RGPD, tem direito de acesso, retificação, apagamento, limitação, portabilidade e oposição ao tratamento baseado em interesse legítimo. Quando o tratamento se baseia no consentimento, pode retirá-lo a qualquer momento.

• Para dados da conta e de segurança (em que somos responsáveis): escreva para info@skyfirstlabs.com, a partir do email da conta.
• Para o conteúdo da sua organização (em que o Cliente é responsável): fale com o seu administrador. Se nos escrever, encaminhamos o pedido ao Cliente.
• Eliminação da conta: a conta é criada e removida pela sua organização. Veja Eliminação de conta e dados.

Respondemos no prazo de um mês, prorrogável por mais dois meses em pedidos complexos. Podemos pedir-lhe que confirme a sua identidade.

Tem ainda o direito de apresentar reclamação à Comissão Nacional de Proteção de Dados (CNPD), em www.cnpd.pt, ou à autoridade de controlo do país onde vive ou trabalha.

13. Menores

A Sky destina-se a utilizadores profissionais. Não recolhemos intencionalmente dados de menores de 16 anos.

14. Alterações

Quando o tratamento mudar, atualizamos esta política e a data no topo. Se a alteração for relevante, avisamos os Clientes com antecedência e, quando for possível, também dentro da app.