Acordo de Tratamento de Dados do PlanCoo

Este Acordo de Tratamento de Dados ("DPA") faz parte dos Termos de Serviço entre o planCoo ("Subcontratante") e o cliente empresarial ("Responsável pelo tratamento") que utiliza os nossos serviços.

1. Definições

Os termos utilizados neste DPA têm os significados que lhes são atribuídos no RGPD (Regulamento Geral sobre a Proteção de Dados).

2. Detalhes do tratamento

2.1 Objeto

Tratamento de dados pessoais necessário para prestar os serviços planCoo.

2.2 Duração

Durante a vigência do acordo dos Termos de Serviço.

2.3 Natureza e finalidade

Prestar serviços de gestão de projetos e colaboração ao Responsável pelo tratamento e aos seus utilizadores autorizados.

Isto pode incluir disponibilizar acesso ao mesmo serviço planCoo através do Microsoft Teams como interface de cliente, incluindo fluxos limitados de contexto do ambiente anfitrião e de autenticação necessários para apresentar o serviço no Teams e autenticar os utilizadores autorizados.

2.4 Tipos de dados pessoais

Informações básicas da conta (nomes, endereços de email)
Dados de autenticação (endereço de email; credenciais de palavra-passe tratadas e armazenadas pelo Firebase Authentication como valores com salt e hash; eventos de autenticação, como marcas temporais de início de sessão e metadados técnicos)
Dados limitados de autenticação e de contexto do ambiente anfitrião do Microsoft Teams / Microsoft Entra quando os utilizadores autorizados do Responsável pelo tratamento acedem ao planCoo através do Microsoft Teams
Informações de perfil
Metadados de projetos e tarefas
Registos de atividade dos utilizadores e registos técnicos (por exemplo, marcas temporais dos pedidos, endereço IP, agente de utilizador, identificadores dos pedidos, rastos de erros)

2.5 Categorias de titulares dos dados

Trabalhadores e prestadores de serviços do Responsável pelo tratamento
Outras pessoas que o Responsável pelo tratamento autorize a utilizar o serviço

2.6 Esclarecimento sobre o acesso através do Microsoft Teams

Quando o Responsável pelo tratamento ou os seus utilizadores autorizados optam por aceder ao planCoo através do Microsoft Teams, o Microsoft Teams funciona como canal de acesso ao serviço planCoo existente. Isto não altera as funções principais das partes ao abrigo deste DPA. O planCoo continua a tratar dados pessoais para as finalidades descritas neste DPA, enquanto a Microsoft pode tratar dados ao nível da plataforma ao abrigo dos seus próprios termos e compromissos de proteção de dados.

3. Obrigações do Subcontratante

O planCoo obriga-se a:

Tratar dados pessoais apenas de acordo com instruções documentadas do Responsável pelo tratamento
Garantir que as pessoas autorizadas a tratar os dados se comprometeram a manter a confidencialidade
Implementar medidas técnicas e organizativas de segurança adequadas
Auxiliar o Responsável pelo tratamento na resposta a pedidos dos titulares dos dados
Auxiliar o Responsável pelo tratamento a assegurar o cumprimento das obrigações de segurança
Eliminar ou devolver todos os dados pessoais após o fim dos serviços
Disponibilizar as informações necessárias para demonstrar o cumprimento

4. Outros subcontratantes

O planCoo utiliza os seguintes outros subcontratantes:

Microsoft Azure (alojamento, armazenamento)
Microsoft Azure OpenAI (geração de texto por IA para relatórios de projetos, sínteses para reuniões e análise de portefólios)
Firebase Authentication e reCAPTCHA (Google LLC) (autenticação e prevenção de abusos)
LemonSqueezy (processamento de pagamentos)
Cloudflare (gestão de DNS e gestão da segurança/do tráfego)

O Responsável pelo tratamento concede, pelo presente, autorização geral ao planCoo para contratar estes outros subcontratantes.

As integrações opcionais de terceiros iniciadas pelos utilizadores finais (como a associação de contas/partilha de conteúdos no LinkedIn) podem envolver contextos de tratamento separados por terceiros e são descritas na Secção 5.

5. Transferências internacionais

O planCoo utiliza uma combinação de armazenamento localizado na UE/EEE para os dados principais da aplicação e de tratamento global/localizado nos EUA para determinados serviços de plataforma e outros subcontratantes.

Visão geral atual do tratamento/das transferências (factual, conforme a configuração atual):

Microsoft Azure (dados principais da aplicação e ficheiros): West Europe (Países Baixos) para os dados principais da aplicação, incluindo Azure SQL Database e Azure Blob Storage.

Azure Static Web Apps (alojamento/disponibilização na periferia da rede): Região do recurso: East US 2 (localização do recurso Azure, conforme a configuração atual), com disponibilização na periferia da rede distribuída globalmente para conteúdos estáticos (Global).

Telemetria e registos técnicos (Microsoft Azure Application Insights / Log Analytics): Não ativados (o recurso Application Insights foi removido; não está configurada qualquer ingestão de telemetria da aplicação neste momento).

Firebase Authentication (Google LLC): Serviço global (Google). O planCoo utiliza email + palavra-passe, início de sessão por ligação enviada por email (“magic link”) e início de sessão com o Google.

Google reCAPTCHA (Google LLC): Serviço global (Google) utilizado para prevenção de abusos em endpoints públicos.

Pagamentos/subscrições (LemonSqueezy): Tratamento nos EUA/a nível global pelo prestador de serviços de pagamento.

Cloudflare (DNS/WAF): Tratamento numa rede global para DNS e gestão da segurança/do tráfego.

Azure OpenAI (Microsoft): Região Azure conforme configurada. Os dados submetidos para tratamento por IA não são utilizados para treinar os modelos de IA da Microsoft. Abrangidos pelo DPA do Microsoft Azure e pelas Cláusulas Contratuais-Tipo.

Quando os dados pessoais são tratados/transferidos fora da UE/EEE, o planCoo baseia-se nas Cláusulas Contratuais-Tipo (CCT) da Comissão Europeia e nas garantias contratuais/técnicas aplicáveis dos fornecedores.

5.1 Firebase Authentication – âmbito concreto

O planCoo utiliza o Firebase Authentication como serviço especializado de autenticação, para não ter de implementar e operar armazenamento e verificação de palavras-passe próprios. Isto reduz o risco de segurança e aproveita uma plataforma de autenticação madura.

O Firebase Authentication é um prestador de autenticação consolidado, amplamente utilizado no setor, com controlos de segurança e conformidade documentados.

O que utilizamos (métodos de autenticação):

Início de sessão com email + palavra-passe

Início de sessão por ligação enviada por email (“magic link”)

Início de sessão com o Google (através do Firebase Authentication)

Início de sessão com a Microsoft (através do Firebase Authentication)

Dados pessoais tratados para autenticação (categorias típicas):

Endereço de email (utilizado para identificar a conta e enviar ligações de início de sessão)

Credencial de palavra-passe (gerida pelo Firebase Authentication; o planCoo não armazena palavras-passe em texto simples)

Identificador de utilizador do Firebase (UID)

Para início de sessão com o Google: identificador do fornecedor e atributos básicos de perfil devolvidos pelo fornecedor (normalmente nome, email, fotografia de perfil)

Para início de sessão com a Microsoft: identificador do fornecedor e atributos básicos de perfil devolvidos pelo fornecedor (normalmente nome, email, fotografia de perfil)

Eventos/metadados de autenticação (por exemplo, hora de início de sessão, endereço IP e informações do dispositivo/navegador utilizadas para segurança e prevenção de fraude)

Por que motivo ocorre este tratamento: para verificar a identidade do utilizador, emitir/validar tokens de autenticação e assegurar o acesso ao serviço planCoo.

5.2 Chat em tempo real – âmbito concreto

O planCoo fornece uma funcionalidade de chat em tempo real para facilitar a colaboração entre utilizadores.

Prestador do serviço e localização:

Firebase Realtime Database e Firestore (Google Cloud)

Região: europe-west1 (Bélgica). Todos os dados de chat são armazenados e tratados exclusivamente na UE/EEE.

Dados tratados:

Mensagens de chat (conteúdo textual)

Metadados (marcas temporais, UID do remetente, UIDs dos participantes)

Medidas de segurança:

Controlo de acesso rigoroso: As regras da base de dados garantem que apenas os participantes específicos de uma conversa podem ler ou escrever mensagens.

Encriptação: Os dados são encriptados em trânsito (HTTPS/TLS) e em repouso.

Minimização dos dados: Os utilizadores podem remover uma conversa da sua própria caixa de entrada. A eliminação da conta remove os dados de chat remanescentes.

5.3 Telemetria e registo operacional – âmbito concreto

Para operar e proteger o serviço, o planCoo (e os prestadores de infraestrutura relevantes) podem tratar dados técnicos e operacionais limitados, tais como:

Metadados dos pedidos (marcas temporais, caminho URL, códigos de estado das respostas)

Identificadores de rede (endereço IP)

Informações do dispositivo/navegador (agente de utilizador)

Diagnósticos e rastos de erros

O planCoo procura minimizar os dados pessoais nos registos e utiliza ocultação/pseudonimização quando viável (por exemplo, não regista tokens de autenticação e evita registar os corpos completos dos pedidos por predefinição).

5.4 Conformidade dos outros subcontratantes (controlos concretos)

O planCoo utiliza as seguintes medidas concretas para manter a conformidade com o RGPD ao utilizar outros subcontratantes:

Governação contratual: Mantemos acordos de tratamento de dados (e CCT, quando aplicável) com os outros subcontratantes que tratam dados pessoais.

Limitação das finalidades: Os outros subcontratantes são utilizados para finalidades estritamente definidas (alojamento, autenticação, pagamentos, segurança), e não para tratamentos não relacionados.

Minimização dos dados: Minimizamos os dados pessoais enviados aos outros subcontratantes e evitamos enviar conteúdos sensíveis quando não necessário (por exemplo, não registamos tokens de autenticação; evitamos registar os corpos completos dos pedidos por predefinição).

Controlo de acesso: O acesso aos sistemas de produção e às ferramentas operacionais é restrito por função e pelo princípio do menor privilégio.

Medidas de segurança: TLS em trânsito, encriptação em repouso quando suportada e controlos de segurança normalizados dos prestadores de infraestrutura.

5.5 Associação de contas e partilha no LinkedIn (opcional)

O planCoo oferece funcionalidades opcionais do LinkedIn (associação/verificação de contas e partilha iniciada pelo utilizador).

Quando se aplica: apenas se um utilizador autorizado iniciar explicitamente a associação ao LinkedIn ou a partilha.

Categorias típicas de dados envolvidas: Identificador de conta do LinkedIn (`sub`), atributos básicos de perfil devolvidos pelo LinkedIn (normalmente nome, email, imagem de perfil), URL do perfil do LinkedIn e conteúdos que o utilizador opta por publicar.

Gestão de tokens: Os tokens de acesso OAuth do LinkedIn são utilizados a pedido para as operações solicitadas e não são armazenados de forma persistente pelo planCoo.

Função do LinkedIn: Para publicação/associação iniciada pelo utilizador, o LinkedIn pode atuar como responsável pelo tratamento independente dos dados tratados na sua plataforma, de acordo com os termos e a documentação de privacidade do LinkedIn.

5.6 Azure OpenAI – âmbito concreto

O planCoo utiliza o Microsoft Azure OpenAI para disponibilizar funcionalidades assistidas por IA a utilizadores autenticados, incluindo geração de relatórios de projetos, sínteses para reuniões e análise de portefólios.

Prestador do serviço e autenticação:

Microsoft Azure OpenAI (Microsoft Corporation)

Autenticação: chave de API armazenada como variável de ambiente do lado do servidor no Azure Functions. A chave de API nunca é transmitida para o navegador do utilizador nem é acessível a partir deste. Todas as chamadas de IA são efetuadas exclusivamente de servidor para servidor.

O que desencadeia o tratamento:
As funcionalidades de IA são iniciadas pelo utilizador. O tratamento só ocorre quando um utilizador com sessão iniciada solicita explicitamente um relatório ou uma síntese gerados por IA (por exemplo, clica em "Gerar relatório"). Não ocorre qualquer tratamento de dados pessoais por IA em segundo plano ou automaticamente.

Categorias de dados transmitidas ao Azure OpenAI:

Títulos, descrições e informações de estado dos projetos

Nomes de tarefas e estado de conclusão

Nomes de apresentação dos membros da equipa e funções no contexto do projeto

Títulos das reuniões e conteúdos da ordem de trabalhos (para sínteses para reuniões)

Categorias de dados NÃO transmitidas ao Azure OpenAI:

Endereços de email, palavras-passe ou tokens de autenticação

Dados de pagamento ou de subscrição

Mensagens privadas ou conteúdos de chat

UIDs do Firebase ou identificadores internos do sistema

Obrigações da Microsoft quanto à utilização dos dados:
Ao abrigo dos termos de serviço do Microsoft Azure OpenAI, a Microsoft não utiliza as entradas ou saídas do recurso Azure OpenAI do planCoo para treinar, voltar a treinar ou melhorar os seus modelos de IA. A Microsoft pode conservar entradas e saídas por um período até 30 dias, exclusivamente para monitorização de segurança e de abusos, após o qual são eliminadas.

Fundamento jurídico do tratamento: Necessidade contratual (prestação da funcionalidade de IA que o utilizador solicitou explicitamente).

Região Azure: Sweden Central (UE/EEE). Sem transferência para fora da UE/EEE para tratamento por IA.

Garantias para transferências internacionais: DPA do Microsoft Azure e Cláusulas Contratuais-Tipo (CCT) emitidas pela Comissão Europeia.

6. Medidas de segurança

O planCoo implementa medidas técnicas e organizativas de segurança adequadas, incluindo:

6.1 Autenticação e controlo de acesso

Autenticação através do Firebase Authentication (email + palavra-passe, início de sessão por ligação enviada por email “magic link”, início de sessão com o Google e início de sessão com a Microsoft)
Controlo de acesso baseado em funções para os recursos do sistema
Autenticação baseada em tokens, utilizando tokens de ID do Firebase de curta duração para acesso à API

6.2 Segurança do armazenamento de dados

Encriptação de dados em repouso no Azure SQL Database
Transparent Data Encryption (TDE) para proteção da base de dados
Azure Blob Storage com encriptação para o conteúdo dos ficheiros

6.3 Segurança da transmissão de dados

Encriptação HTTPS/TLS para todos os dados em trânsito
Endpoints de API seguros com autenticação adequada
Shared Access Signatures (SAS) com duração limitada para acesso ao armazenamento de blobs
Implementação segura de webhooks com verificação de assinaturas
Terminação e otimização de SSL/TLS através da Cloudflare

6.4 Segurança da aplicação

Atualizações regulares de segurança e gestão de correções
Validação de entradas e codificação de saídas para prevenir ataques de injeção
Proteção contra vulnerabilidades Web comuns (XSS, CSRF)
Práticas de desenvolvimento seguro e revisões de código
Implementação de uma Content Security Policy (CSP) que restringe as origens dos recursos
Cabeçalhos de segurança do navegador (X-XSS-Protection, X-Content-Type-Options)

6.5 Segurança da infraestrutura

Alojamento no Microsoft Azure (segurança da infraestrutura na nuvem e controlos de acesso)
Proteção contra DDoS através dos serviços Azure e da Cloudflare
Cloudflare Web Application Firewall (WAF)
Controlos de acesso para sistemas operacionais

6.6 Segurança operacional

Monitorização operacional e resolução de problemas utilizando telemetria e registos técnicos (ver Secção 5.3)

6.7 Medidas organizativas

Acesso concedido com base na necessidade de conhecimento
Políticas internas documentadas e periodicidade de revisão (quando estabelecidas)

6.8 Segurança de terceiros

Requisitos contratuais para outros subcontratantes (DPA e CCT, quando aplicável)

Anexo A — Detalhes do tratamento (resumo)

Objeto: Prestação dos serviços planCoo.
Duração: Durante a vigência dos serviços.
Natureza e finalidade: Funcionalidades de gestão de projetos e colaboração, administração de contas, segurança e prevenção de abusos.
Categorias de titulares dos dados: Utilizadores autorizados do Responsável pelo tratamento.
Tipos de dados pessoais: Conforme enumerados na Secção 2.4.

> Nota sobre dados de pedidos de contacto de marketing e vendas: Os dados pessoais recolhidos através do formulário "Contact me" do Microsoft Azure Marketplace (pedidos de contacto de potenciais clientes) são tratados pelo planCoo como responsável pelo tratamento independente para as suas próprias finalidades de vendas e desenvolvimento comercial. Estes dados não são tratados em nome de um Responsável pelo tratamento no âmbito deste DPA. A conservação e o tratamento desses dados são descritos na Política de Privacidade do planCoo (Secções 3.4 e 9.1).

Anexo B — Outros subcontratantes (resumo)

O planCoo utiliza os outros subcontratantes enumerados na Secção 4 para as finalidades descritas abaixo:

Microsoft Azure: Alojamento, armazenamento de dados da aplicação (Azure SQL Database, Blob Storage) e disponibilização da plataforma (Static Web Apps).

Google LLC (Firebase Authentication, reCAPTCHA): Autenticação e prevenção de abusos.

LinkedIn (integração opcional, iniciada pelo utilizador): Metadados de associação/verificação de contas e publicação nas redes sociais iniciada pelo utilizador.

LemonSqueezy: Processamento de pagamentos e subscrições.

Cloudflare: DNS e gestão da segurança/do tráfego.

7. Informações de contacto

Para assuntos relacionados com o DPA, contacte: [email protected]

Última atualização: 8 de junho de 2026