shield_lock Proteção de dados

Política de Privacidade

Última atualização: Novembro de 2026 | Responsável pelo tratamento: Ostheimer OG, Fabriksgasse 20, 2230 Gänserndorf | office@qr3.app

1. Princípios

Tratamos dados pessoais em conformidade com o RGPD (UE) 2016/679. A proteção dos seus dados é uma preocupação central para nós. O qr3.app foi desenvolvido de acordo com o princípio de Privacy by Design: os endereços IP nunca são armazenados — são imediatamente pseudonimizados no Edge (Cloudflare Workers) com HMAC-SHA-256, um segredo de longa duração, finalidade e dia UTC antes de os dados serem persistidos.

2. Dados Tratados

2.1 Utilização da API (Utilizadores Registados)

  • Dados da conta: Endereço de e-mail, nome (através de autenticação Clerk.com)
  • Dados de faturação: ID de cliente Stripe, estado da subscrição (sem dados de cartão de crédito — o Stripe processa-os diretamente)
  • Dados de utilização: Códigos QR criados, configurações do espaço de trabalho (Workspace)
  • Base legal: Art. 6.º, n.º 1, alínea b) do RGPD (execução de contrato)

2.2 Análise de Leituras (Utilizadores finais que digitalizam códigos QR)

  • Pseudónimo de IP: HMAC-SHA-256 com segredo de longa duração, finalidade e dia UTC — dados pessoais pseudonimizados; não recuperáveis diretamente do hash, embora o titular do segredo possa recalcular um candidato de IP conhecido para esse dia
  • Dados do dispositivo: Tipo de dispositivo, SO, navegador (a partir do User-Agent, anonimizados)
  • Dados geográficos: País, cidade (a partir do cabeçalho Cloudflare CF-IPCountry — nenhum IP é armazenado)
  • Base legal: Art. 6.º, n.º 1, alínea f) do RGPD (interesse legítimo dos proprietários dos códigos QR em obter estatísticas)
  • Conservação: 90 dias, após os quais ocorre a eliminação automática

2.3 Visita ao Website (qr3.app)

  • Sem cookies de rastreio
  • Logs do servidor: A Cloudflare processa dados de ligação de acordo com a sua Política de Privacidade

Para contar as visualizações de páginas por versão de idioma, o qr3.app utiliza o Cloudflare Web Analytics. O serviço não utiliza cookies ou qualquer outro mecanismo de armazenamento no lado do cliente, não armazena endereços IP e não cria perfis de utilizador. Dados recolhidos, de forma agregada: caminho da página, referenciador (referrer), tipo de navegador e dispositivo, e país. Fornecedor: Cloudflare, Inc., como subcontratante (Adenda de Tratamento de Dados). Base legal: Art. 6.º, n.º 1, alínea f) do RGPD — interesse legítimo no alcance por idioma. Não é necessário nenhum cookie de autoexclusão (opt-out), uma vez que não são armazenados dados no seu dispositivo.

2.4 Estatísticas de Utilização e Registos de Webhooks (Utilizadores Registados)

  • Estatísticas de utilização: Atividade do dashboard por dia (em que dias UTC um utilizador abriu o dashboard de um workspace) e contadores de utilização da API por operação e dia (número de pedidos de uma chave de API por operação e resultado). Na atividade do dashboard são armazenados os identificadores do utilizador, da organização e do workspace, o dia UTC e a hora do primeiro acesso desse dia; nos contadores da API, os identificadores da organização, do workspace e da chave de API, o dia UTC, a operação, o resultado, a contagem e a hora do primeiro e do último pedido do dia — nenhum endereço IP e nenhum User-Agent.
  • Registos de entrega de webhooks: Por cada tentativa de entrega: tipo de evento, hora, estado, código de estado HTTP e tempo de resposta, os dados do evento enviados e o primeiro quilobyte (1 KB) da resposta do destinatário ou uma mensagem de erro. Nos eventos de leitura, os dados do evento contêm o país, o tipo de dispositivo, o sistema operativo, o navegador e o idioma do visitante; nos eventos de códigos, o código completo com o URL de destino e as notas. O endereço IP e o User-Agent dos visitantes não são armazenados, mas os dados do evento e a resposta do destinatário podem conter dados pessoais.
  • Finalidade: Funcionamento, deteção de erros e melhoria do produto
  • Base legal: Art. 6.º, n.º 1, alínea f) do RGPD (interesse legítimo num funcionamento seguro, na deteção de erros e no desenvolvimento do serviço)
  • Conservação: 90 dias (o dia UTC em curso e os 89 anteriores), após os quais ocorre a eliminação automática; com DELETE /v1/account, de imediato

2.5 Registo de Auditoria (Utilizadores Registados)

  • Conteúdo: Por cada alteração num workspace (por exemplo em códigos, chaves API, membros ou webhooks): data e hora, ação, recurso afetado, os valores alterados e quem agiu (ID do utilizador ou da chave API). Nas chamadas diretas à API, também o pseudónimo de IP (HMAC-SHA-256 por dia UTC, finalidade própria) e o user agent. Não são armazenados endereços IP, segredos (secrets) nem chaves API.
  • Finalidade: Rastreabilidade das alterações para a equipa de um workspace e segurança do serviço
  • Base legal: Art. 6.º, n.º 1, alínea f) do RGPD (interesse legítimo em alterações rastreáveis e na segurança do serviço)
  • Conservação: pseudónimo de IP e user agent 90 dias, o registo 365 dias (em cada caso o dia UTC em curso e os dias anteriores), seguido de eliminação automática; com DELETE /v1/account os registos das organizações próprias são eliminados de imediato e, noutras equipas, são removidos o pseudónimo de IP e o user agent

3. Partilha de Dados com Terceiros

Apenas partilhamos dados com os seguintes prestadores de serviços. Salvo indicação em contrário, tratam os dados por nossa conta (Art. 28.º do RGPD). Quando, nesse contexto, os dados chegam aos EUA, isso baseia-se no Quadro de Privacidade de Dados UE-EUA (EU-US Data Privacy Framework), ao abrigo do qual as sociedades norte-americanas destes prestadores estão certificadas (decisão de adequação, Art. 45.º do RGPD), e subsidiariamente nas Cláusulas Contratuais-Tipo da Comissão Europeia constantes dos seus acordos de tratamento de dados (Art. 46.º, n.º 2, alínea c) do RGPD).

  • Cloudflare, Inc. (EUA) — Infraestrutura, CDN, Workers: alojamento do website, do dashboard e da API, base de dados, armazenamento de ficheiros e filas, envio dos e-mails do sistema (Cloudflare Email Service) e Web Analytics (secção 2.3)
  • Clerk, Inc. (EUA) — Autenticação: endereço de e-mail, nome, dados de início de sessão e de sessão (incluindo endereço IP, localização dele derivada e navegador) e e-mails de confirmação. No registo, a Clerk integra uma proteção contra registos automatizados (Cloudflare Turnstile). Se iniciar sessão com uma conta Google, a Clerk recebe dessa conta o seu nome e endereço de e-mail.
  • Stripe Payments Europe, Ltd. (Irlanda) — Processamento de pagamentos e faturas. A Stripe recolhe diretamente os dados de pagamento; não recebemos dados de cartões. A Stripe é ela própria responsável pela prevenção de fraude, pelas suas próprias obrigações legais e pelo desenvolvimento dos seus produtos.
  • Functional Software, Inc. (Sentry) (EUA, armazenamento na UE) — Análise de erros para a API, os redirecionamentos e o dashboard: mensagens de erro e amostras de pedidos (método, caminho sem parâmetros, código de estado, duração, identificadores internos). Removemos endereços IP, cabeçalhos, cookies e parâmetros antes do envio; endereços de e-mail e chaves no texto são ocultados. Base legal: Art. 6.º, n.º 1, alínea f) do RGPD (interesse legítimo num funcionamento sem erros e seguro)
  • Google Cloud EMEA Ltd. (Irlanda; Google Cloud Web Risk) — Verificação de endereços de destino quanto a phishing e malware: ao criar ou alterar um código, numa verificação através da API e na verificação noturna, o endereço de destino do código ou as ligações da sua landing page. Só é enviado o endereço, sem dados de contas ou de visitantes; se o próprio endereço contiver dados pessoais (por exemplo, num parâmetro), estes seguem com ele. Base legal: Art. 6.º, n.º 1, alínea f) do RGPD (proteção dos visitantes contra destinos fraudulentos e segurança do serviço)
  • Microsoft (Microsoft 365) — A caixa de correio office@qr3.app: e-mails que nos envia, incluindo respostas a e-mails do sistema, e as nossas respostas. Base legal: Art. 6.º, n.º 1, alínea b) do RGPD (pedidos relativos ao contrato) ou alínea f) (outros pedidos)

Não ocorre qualquer partilha para fins publicitários.

4. Os Seus Direitos (Artigos 15.º a 22.º do RGPD)

  • Acesso (Art. 15.º): GET /v1/account/privacy ou e-mail para office@qr3.app
  • Portabilidade dos dados (Art. 20.º): GET /v1/account/export — exportação em formato JSON de todos os dados
  • Apagamento (Art. 17.º): DELETE /v1/account ou e-mail. A sua conta é apagada de imediato: as organizações de que é proprietário, com todos os espaços de trabalho, códigos, passaportes de produto, ficheiros e estatísticas (se uma dessas organizações tiver outro administrador da organização, este assume-a com os dados e a subscrição), as suas adesões a outras organizações, o seu início de sessão no Clerk e o seu registo de cliente no Stripe. Uma subscrição em curso termina de imediato, sem reembolso proporcional. Em contas muito grandes, a eliminação fica concluída em poucas horas. Nas cópias de segurança da base de dados (Cloudflare D1 Time Travel), os dados apagados permanecem recuperáveis durante até 30 dias, sendo depois removidos definitivamente. Excetuam-se as faturas, que conservamos no Stripe durante o prazo legal de conservação de sete anos (§ 132 BAO), e as denúncias de terceiros sobre códigos abusivos (prevenção de abusos).
  • Limitação do tratamento (Art. 18.º): E-mail para office@qr3.app
  • Oposição (Art. 21.º): A qualquer momento, por motivos relacionados com interesses legítimos

5. Cookies

O qr3.app utiliza exclusivamente cookies de sessão estritamente necessários do ponto de vista técnico (autenticação via Clerk). Sem cookies de marketing ou de rastreio. Por conseguinte, não é necessário consentimento nos termos da Diretiva de Cookies. O Cloudflare Web Analytics (ver secção 2.3) também não utiliza cookies.

6. Segurança dos Dados

Todos os dados são transmitidos de forma encriptada (TLS 1.3). Encriptação da base de dados em repouso (at-rest) através do Cloudflare D1. As chaves de API são armazenadas em formato hash. Assinaturas de Webhook via HMAC-SHA256.

7. Direito de Reclamação

Tem o direito de apresentar uma reclamação junto da Autoridade de Proteção de Dados austríaca:
Datenschutzbehörde (dsb.gv.at), Barichgasse 40-42, 1030 Viena

8. Contacto para Proteção de Dados

Ostheimer OG
Fabriksgasse 20, 2230 Gänserndorf
office@qr3.app