# Política de privacidade **Última atualização:** 24 de outubro de 2026 ## 1. Responsável pelo tratamento Antonio Fernández Porrúa, empresário em nome individual que opera promethia.dev.\ Número de identificação fiscal espanhol (NIF): 71643249C.\ Morada: Muros del Nalón 7 5N, 33012 Oviedo, Espanha.\ Contacto: [support@promethia.dev](mailto:support@promethia.dev). ## 2. Dados recolhidos e finalidades - **Chaves API para GitHub Actions:** o titular da conta pode criar e revogar chaves para entregar versões de código à aplicação da chave. Guardamos hash, prefixo, nome, criação e último uso autorizado, nunca a chave completa. Não expiram automaticamente; a revogação elimina o registo. A chave entrega ZIP, mas não lê relatórios, configura regras nem administra a conta. O GitHub guarda o segredo do repositório. A Action regista identificador de versão, commit e impressão do ZIP. A regra escolhida e confirmada pelo proprietário determina o início da avaliação; entregar código não inicia cobranças nem confirma a conclusão da análise. - **Contas e convites:** o Clerk gere identidade e sessões. A Promethia guarda identificador da conta, empresa, fase, marco, perguntas partilhadas, aceitação dos termos e datas para gerir o pedido e o serviço (RGPD, art. 6.1.b). Os convites de avaliação limitam-se a uma avaliação; guardamos hash, revisão e validade, nunca o segredo completo. A ligação permite à equipa ler e atualizar o contexto partilhado e aceder ao relatório, mas não administrar outras avaliações. O titular da conta pode revogá-la. Os ZIP são guardados de forma privada com tamanho, impressão e data de receção. O relatório e o método pertencem à mesma avaliação. - **Contacto e contratação:** se nos contactar, usamos email, idioma e informações fornecidas para responder. Na compra registamos moeda e consentimentos contratuais para prestar o serviço (RGPD, art. 6.1.b). Iniciar sessão não autoriza a publicação. - **Faturação:** O Stripe trata métodos de pagamento, faturas e dados de faturação. A Promethia guarda a associação entre a tua conta e o respetivo Customer Stripe, subscrições por aplicação, pedidos e confirmações de pagamento (arts. 6.1.b e 6.1.c). Os dados de cartão e fiscais permanecem no Stripe. Enviar um ZIP não autoriza cobranças extra; subscrições e avaliações adicionais são confirmadas no Stripe. - **Registos técnicos:** o Cloudflare processa endereços IP e metadados dos pedidos para servir e proteger o site (interesse legítimo, art. 6.1.f). - **Verificação de certificados:** quando envia um PDF para o validador público, processamo-lo temporariamente para verificar a assinatura, o documento certificado e a inclusão no registo. Não guardamos o ficheiro nem o enviamos ao fornecedor de IA. Os metadados dos PDF exportados incluem o documento assinado e a prova de inclusão; os blocos contêm hashes, sem documentos nem identificadores reais de outras contas. - **Notificações:** o painel privado conserva os eventos importantes de entrega, avaliação e pagamento, os identificadores dos recursos, as datas, os montantes quando aplicáveis e o estado de leitura. Só o titular da conta pode consultá-los. Não contêm código-fonte, documentos de apoio ou dados de cartão e não enviam emails. A revisão web opcional usa apenas páginas, recursos e ações autorizados no painel. O acesso privado aceita um utilizador de testes, ligação temporária ou token, cifrados separadamente do contexto, revogáveis e válidos no máximo 24 horas. A manutenção remove os segredos expirados do registo ativo; as cópias de segurança seguem o seu ciclo de conservação separado; o uso é bloqueado na expiração mesmo se a remoção estiver pendente. O agente não recebe credenciais. Com autorização expressa, o texto de páginas privadas pode conter dados reais, ser tratado pelo fornecedor de análise e conservado como evidência privada; não se garante anonimização completa. Não são capturadas imagens de sessões privadas. Não inclua segredos em ZIPs, documentos ou contexto. - **Membros das aplicações:** Para partilhar uma aplicação guardamos o email convidado, os identificadores da aplicação e da conta, a função, o criador do convite, as datas, o estado e a revisão. Os convites expiram após sete dias e exigem sessão iniciada com o email convidado e verificado. Proprietários e administradores gerem membros. Os administradores também podem publicar ou revogar certificados após rever o documento exato; os editores alteram contexto e documentos e solicitam avaliações; os membros de só leitura consultam materiais e resultados autorizados. A adesão não dá acesso à faturação da conta proprietária. Os convites aparecem na conta do destinatário; nenhum email é enviado automaticamente. ## 3. Aplicações, documentos e relatórios privados O contexto pertence à aplicação: descrição, práticas declaradas de tratamento de dados, utilizadores, mercados e documentação. Cada avaliação conserva a versão usada, o ZIP, as leituras de evidências e os relatórios separados. Os documentos podem ser texto simples, Markdown, PDF ou DOCX. Remover um documento do contexto ativo não elimina cópias referenciadas por avaliações já iniciadas. Contacte o suporte para pedidos de apagamento. O histórico conserva também versões não avaliadas. A mesma política de conservação e eliminação aplica-se a esses ZIP. O fornecedor de IA escolhido — OpenAI ou Anthropic — processa instruções e partes do código-fonte, contexto e documentos necessários à análise. As fontes públicas são consultadas através de um catálogo fechado; os pedidos não incluem conteúdo privado da aplicação. Os relatórios permanecem privados. O titular pode publicar um certificado assinado com as conclusões datadas apenas depois de rever o conteúdo e confirmar a publicação. Código e materiais de apoio permanecem privados. ## 4. Cookies A Promethia define o cookie funcional próprio `promethia_lang` para recordar o idioma durante um ano. O acesso à conta também utiliza os cookies de autenticação necessários geridos pelo Clerk para manter e verificar a sessão. Consulte a [documentação de cookies do Clerk](https://clerk.com/docs/guides/how-clerk-works/cookies). A página não carrega scripts de análise ou publicidade. O cookie funcional `promethia_application` memoriza durante um ano a última aplicação aberta na área privada. Contém apenas o identificador; o acesso da conta é verificado em cada pedido. ## 5. Subcontratantes Usamos **Clerk** para identidade e acesso à conta, **Cloudflare** para alojamento, armazenamento estruturado D1 e objetos privados R2, **OpenAI ou Anthropic** para análise assistida por IA e **Stripe** para faturação onde esteja configurado. Alguns tratamentos podem ocorrer fora do EEE através de um mecanismo de transferência aplicável. Não vendemos dados pessoais. ## 6. Conservação As avaliações pedidas através da conta e os seus ficheiros privados são revistos para eliminação até 12 meses após a última atividade, salvo obrigação legal ou necessidade justificada de conservação. A Promethia revê a conservação destes ficheiros e trata os pedidos de apagamento. ## 7. Os seus direitos Pode pedir acesso, retificação, apagamento, limitação, portabilidade, retirar consentimento quando aplicável ou opor-se ao tratamento escrevendo para [support@promethia.dev](mailto:support@promethia.dev). Também pode reclamar junto da Agência Espanhola de Proteção de Dados ([aepd.es](https://www.aepd.es)) ou da autoridade de controlo local.