Política de Privacidade

1. Quem é responsável pelos seus dados

A Kubo Loko, operada por Miguel Barras, com atividade em Portugal, é a entidade que pode contactar sobre os seus dados pessoais através de geral@kuboloko.pt.

A Kubo Loko ainda não concluiu a abertura formal de atividade empresarial junto das autoridades fiscais portuguesas; a identificação legal e fiscal completa será aqui adicionada assim que disponível.

2. Categorias de dados pessoais que processamos

Dados de conta: o seu nome completo, endereço de email e dados de autenticação, recolhidos no registo.

Dados da empresa e de participação: o nome, setor e dimensão da empresa que fornece durante o onboarding, e a sua função na conta da empresa.

Dados que a sua empresa introduz sobre pessoas que gere ("dados de pessoas"): se utilizar a funcionalidade "Pessoas", pode introduzir nomes, funções, endereços de email e estado ativo/inativo de pessoas ligadas ao seu negócio, como colaboradores. Estes dados são fornecidos e controlados pela sua empresa, não por nós — ver secção 5 sobre a partilha de responsabilidade.

Outro conteúdo operacional: processos de negócio, registos de risco, ações de mitigação, atribuições de responsáveis, e o histórico de pontuação resultante que cria ao utilizar o Serviço.

Dados de feedback: se utilizar o formulário de feedback dentro da aplicação, recebemos a sua mensagem, o email da sua conta, o nome da sua empresa e a data de envio.

Dados de faturação: se subscrever um plano pago, a Stripe recolhe diretamente os dados de pagamento — nunca vemos nem armazenamos o número do seu cartão. Armazenamos os identificadores de subscrição, o plano e o estado que a Stripe nos comunica.

Dados técnicos: informação padrão de pedidos e sessão gerada pelos nossos prestadores de infraestrutura para manter a sua sessão segura e o Serviço a funcionar (ver a nossa Política de Cookies).

Dados de utilização do produto: um conjunto limitado de eventos do produto associados à conta da sua empresa, descritos na secção 7.

3. Porque processamos estes dados

Para criar e proteger a sua conta e autenticá-lo.

Para disponibilizar a funcionalidade principal do Serviço: mapear pessoas, processos, riscos e gerar a sua Black Box Score.

Para processar pagamentos e gerir a sua subscrição.

Para responder a feedback e pedidos de apoio.

Para manter o Serviço seguro e diagnosticar problemas técnicos.

Para compreender a ativação e a utilização do produto, melhorar o onboarding e a experiência do produto e medir a passagem de período experimental a subscrição paga, através da análise da utilização do produto descrita na secção 7.

4. Fundamento jurídico do processamento

Quando o Regulamento Geral sobre a Proteção de Dados (RGPD) se aplica, baseamo-nos geralmente na execução de um contrato (para disponibilizar o Serviço que subscreveu) e em interesses legítimos (para manter o Serviço seguro e melhorá-lo). A determinação precisa do fundamento jurídico de cada atividade de processamento, e a sua documentação formal, está a ser tratada no âmbito da nossa revisão jurídica em curso.

5. Quem é o responsável, quem é o subcontratante

Para dados de conta (nome, email, credenciais) e para os nossos próprios registos empresariais (como o feedback que nos envia), a Kubo Loko atua geralmente como responsável pelo tratamento.

Para dados que a sua empresa introduz sobre os seus próprios colaboradores ou outros terceiros (por exemplo, na funcionalidade "Pessoas"), a sua empresa é, em regra, a responsável pelo tratamento, e a Kubo Loko atua como subcontratante, processando esses dados apenas segundo as instruções da sua empresa e apenas para disponibilizar o Serviço. A repartição precisa destes papéis, e as obrigações daí decorrentes, constam do nosso Acordo de Processamento de Dados, disponível a clientes empresariais mediante pedido.

6. Processamento automatizado e pontuação

A Black Box Score e os riscos em que se baseia são calculados por um motor baseado em regras, a partir da informação que a sua empresa introduz (pessoas, processos, responsabilidades, cobertura de substitutos e documentação). Trata-se de uma análise descritiva dos dados que fornece, destinada a ajudar a priorizar as suas próprias decisões — não constitui uma decisão automatizada com efeitos jurídicos ou similarmente significativos sobre qualquer pessoa, e nenhuma pessoa é avaliada, classificada ou pontuada enquanto indivíduo por esta funcionalidade.

7. Análise da utilização do produto

Separadamente da medição agregada de tráfego e desempenho descrita na secção 8 e na nossa Política de Cookies, registamos um conjunto limitado de eventos de utilização do produto para contas autenticadas, associados à conta da sua empresa no Business Black Box. O Vercel Analytics mede visitas agregadas e desempenho das páginas; os eventos de utilização do produto registam ações concretas realizadas numa conta de empresa, como iniciar um período experimental ou iniciar uma subscrição.

Utilizamos estes eventos para compreender como as contas são ativadas e como o Serviço é utilizado, melhorar o onboarding e a experiência do produto, medir a passagem de períodos experimentais gratuitos a subscrições pagas e apoiar a validação do Serviço junto de clientes iniciais. Não os utilizamos para publicidade.

Cada evento é composto por: um identificador interno da conta da sua empresa; o nome do evento (por exemplo, que um período experimental começou, que foi gerado um primeiro conjunto de riscos, que foi criada ou concluída uma primeira ação, que foi iniciado um checkout ou que uma subscrição começou); a data e hora do evento; e um pequeno número de propriedades limitadas, como o plano e o intervalo de faturação em causa, se um pagamento foi concluído, o montante e a moeda que a Stripe comunica para o pagamento de uma subscrição, se foi aplicado um preço promocional, e contagens ou pontuações simples (por exemplo, o número de pessoas, processos e riscos registados quando foi gerado o primeiro conjunto de riscos, e a Black Box Score resultante).

Estes eventos não contêm o seu endereço de email, o seu nome ou o de qualquer outra pessoa, o nome da sua empresa, os títulos ou descrições das suas ações, processos ou riscos, qualquer outro texto que introduza, o seu endereço IP, informação do navegador ou do dispositivo (user agent), dados de cartões de pagamento ou tokens de autenticação. Não armazenamos nestes eventos identificadores da Stripe de clientes, faturas, subscrições ou checkouts. Mantemos apenas um valor técnico com hash (um hash unidirecional SHA-256 da referência da Stripe em causa), exclusivamente para evitar que o mesmo evento seja registado duas vezes.

Os eventos são registados pelos nossos servidores quando a ação correspondente ocorre. Nunca são escritos diretamente a partir do seu navegador, e não é colocado no seu navegador nenhum cookie, script de monitorização ou identificador adicional para este efeito.

Os eventos de utilização do produto são armazenados na mesma base de dados alojada na UE que os restantes dados do Serviço (ver secção 8). O acesso é restrito a pessoal autorizado da Kubo Loko, apenas para utilização operacional e analítica. Estão protegidos por segurança ao nível da linha, pelo que as contas de clientes não os podem ler nem escrever através do Serviço, e os eventos de uma empresa nunca são visíveis para outra. Não os partilhamos com ninguém para além dos prestadores de serviços indicados na secção 8.

Os eventos de utilização do produto estão associados a uma conta de empresa, não a um utilizador individual: não armazenamos neles um identificador de utilizador separado. Quando uma conta de empresa é eliminada, os respetivos eventos de utilização do produto são eliminados com ela. Para pedir a eliminação, ver secção 11.

Conservamos os eventos de utilização do produto apenas durante o tempo necessário para as finalidades descritas nesta secção e sujeito aos requisitos legais aplicáveis. O período de conservação está ainda a ser definido no âmbito da nossa revisão jurídica em curso (ver secção 10), e esta política será atualizada assim que estiver finalizado.

Conforme descrito na secção 4, este processamento baseia-se nos fundamentos jurídicos aplicáveis à prestação, à segurança e à melhoria do Serviço, sob reserva da legislação de proteção de dados aplicável. Pode opor-se a este processamento contactando-nos através de geral@kuboloko.pt.

8. Com quem partilhamos dados

Partilhamos dados pessoais apenas com os prestadores de serviços de que dependemos para operar o Serviço, e apenas na medida necessária para que nos prestem esse serviço:

• Supabase — autenticação, base de dados e backend da aplicação, alojado na UE (eu-west-1).
• Stripe — processamento de pagamentos das subscrições.
• Resend — envio de emails de conta (confirmação, recuperação de palavra-passe) e notificações de feedback.
• Vercel — alojamento da aplicação, e Vercel Analytics / Speed Insights para medição agregada de tráfego e desempenho.

9. Transferências internacionais

A nossa base de dados está alojada na UE (Supabase, eu-west-1). A Stripe, a Resend e a Vercel são prestadores com sede nos EUA; a região exata de processamento e as garantias de transferência aplicadas à nossa conta em cada um destes prestadores estão ainda a ser confirmadas no âmbito da revisão em curso dos nossos prestadores, e esta secção será atualizada quando essa confirmação estiver concluída. Não vendemos dados pessoais nem os partilhamos com corretores de dados ou anunciantes.

10. Durante quanto tempo guardamos os dados

Atualmente conservamos os dados de conta e de empresa enquanto a sua conta existir. Cancelar uma subscrição altera o nível de acesso, mas não elimina automaticamente os seus dados. Não dispomos atualmente de um sistema automatizado de eliminação ou purga de dados; está a ser definido um calendário formal de conservação no âmbito da nossa revisão jurídica, e esta política será atualizada assim que estiver definido.

11. Os seus direitos

Consoante a lei aplicável, poderá ter o direito de aceder aos dados pessoais que detemos sobre si, solicitar a correção de dados inexatos, solicitar a sua eliminação, restringir ou opor-se a determinados processamentos, e solicitar uma cópia dos seus dados em formato portátil.

Não disponibilizamos atualmente eliminação ou exportação de dados em regime de autoatendimento dentro do produto. Para exercer qualquer um destes direitos, contacte-nos através de geral@kuboloko.pt e trataremos o seu pedido manualmente. Caso não fique satisfeito com a nossa resposta, tem o direito de apresentar reclamação junto da Comissão Nacional de Proteção de Dados (CNPD), a autoridade de controlo em Portugal.

12. Segurança

Utilizamos controlos de acesso (segurança ao nível da linha) para que os dados de cada empresa sejam visíveis apenas aos membros dessa empresa, e não armazenamos nós próprios dados de cartões de pagamento. Nenhum serviço online pode garantir segurança absoluta.

13. Alterações a esta política

Podemos atualizar esta Política de Privacidade à medida que o Serviço ou as nossas práticas de tratamento de dados evoluam. Alterações materiais serão comunicadas aos clientes ativos sempre que praticável.

14. Contacto

Questões ou pedidos relativos a esta Política de Privacidade podem ser enviados para geral@kuboloko.pt.