Como cumprimos as regras

O Portugal Expats AI é uma marca operada pela OCEANIRREQUIETO - UNIPESSOAL LDA, Portugal, que é a responsável pelo tratamento dos dados pessoais descritos nesta página. Número da empresa: NIF/NIPC 518779700. Sede: Rua das Murtas, n.º 13, Outeirinho, 2655-437 Ericeira, Mafra, Lisboa, Portugal.

Sede oficial:

• Rua das Murtas, n.º 13, Outeirinho
• 2655-437 Ericeira
• Freguesia: Ericeira
• Concelho: Mafra
• Distrito: Lisboa
• Portugal

Qualquer questão sobre privacidade, proteção de dados ou conformidade pode ser enviada para hello@oceanirrequieto.com e será respondida por uma pessoa, não por um sistema automático.

Somos uma empresa da UE que serve residentes da UE, pelo que a legislação europeia e portuguesa se aplica a tudo o que fazemos. Em particular:

• Regulamento Geral sobre a Proteção de Dados (Regulamento (UE) 2016/679) — fundamento de licitude, transparência, minimização, segurança e os seus direitos.
• Lei n.º 58/2019 — a lei portuguesa que executa o RGPD, incluindo o papel de supervisão da CNPD.
• Regras de privacidade nas comunicações eletrónicas (Lei n.º 41/2004) — o que podemos guardar no seu dispositivo e quando lhe podemos enviar email.
• Direito do consumo da UE, incluindo a Diretiva das Práticas Comerciais Desleais alterada pela Diretiva (UE) 2019/2161 — regras sobre avaliações, recomendações e transparência de classificação.
• Regulamento dos Serviços Digitais (Regulamento (UE) 2022/2065) — deveres aplicáveis a uma plataforma pequena que aloja conteúdos dos seus utilizadores, incluindo notificação e ação e um ponto de contacto claro.
• Regras portuguesas de consumo e contratos à distância (Decreto-Lei n.º 24/2014) para listagens pagas de negócios.

O direito do consumo da UE proíbe apresentar recomendações como genuínas quando não o são e ocultar colocações pagas. Construímos de acordo com essa regra e não à sua volta.

• Todas as recomendações vêm de uma pessoa real que diz ter recorrido ao profissional e que verifica um endereço de email antes da publicação.
• Não inventamos testemunhos e não publicamos estrelas nem pontuações.
• Ninguém pode pagar para subir na lista. Uma listagem paga dá um perfil, nunca posição.
• As recomendações podem ser retiradas por quem as fez e deixam de contar.

• Rascunhos e recomendações publicadas — nome do profissional, serviço, localidade e o seu motivo. Finalidade: funcionamento da rede. Fundamento: o seu consentimento, revogável. O registo também guarda os dados do profissional porque a recomendação é sobre ele.
• O seu email verificado — prova de que a recomendação vem de uma pessoa real e acesso à conta. Fundamento: interesse legítimo numa rede fiável e contrato quando tem conta.
• Dados de listagem submetidos por profissionais — informação de contacto e de serviço destinada a ser pública. Fundamento: contrato.
• Registos de pagamento — tratados pelo nosso processador; nunca vemos nem guardamos os dados completos do cartão. Fundamento: contrato e obrigações legais.
• Registos de segurança e abuso — identificadores de visitante em hash unidirecional, datas e tipos de evento. Fundamento: interesse legítimo na segurança do serviço.
• O que escreve ao Poe — usado para estruturar a sua recomendação ou pedido. Fundamento: consentimento.

Pedimos o mínimo necessário em cada passo. Não vendemos dados pessoais nem os usamos para publicidade ou perfis comportamentais de visitantes para marketing.

Ao abrigo do RGPD pode pedir-nos uma cópia dos seus dados, a sua correção ou eliminação, a limitação ou oposição ao tratamento, ou a portabilidade. Quando o fundamento é o consentimento, pode revogá-lo em qualquer momento — inclusive retirando uma recomendação.

Escreva para hello@oceanirrequieto.com e responderemos no prazo de um mês, como o RGPD exige, sem custos. Se não ficar satisfeito, pode apresentar reclamação à CNPD ou à autoridade de controlo do seu país da UE.

A base de dados, o armazenamento de ficheiros e a autenticação correm em infraestrutura cloud gerida e alojada na União Europeia. Quando um serviço de apoio trata dados fora do EEE, essa transferência está coberta pelas Cláusulas Contratuais-Tipo da Comissão Europeia e pelas salvaguardas que o fornecedor documenta publicamente.

A postura de conformidade da plataforma em que a nossa infraestrutura está construída — regiões, certificações e subcontratantes — é publicada no seu centro de confiança:

trust.lovable.dev

O Portugal Expats AI é construído e alojado na plataforma Lovable. Em vez de fazermos afirmações em nome dessa plataforma, indicamos a fonte: o seu centro de confiança publica o programa de segurança, certificações e relatórios de auditoria, a lista de subcontratantes, as opções de residência de dados e as práticas de resposta a incidentes, e é mantido atualizado pela própria plataforma.

Consultar o centro de confiança da plataforma

Na prática, os controlos por baixo da nossa aplicação — segurança física, isolamento de rede, atualizações, backups e monitorização do alojamento — são operados e evidenciados pela plataforma, enquanto as decisões ao nível da aplicação descritas nesta página são nossas. Se precisar de garantias formais sobre a camada de infraestrutura, o centro de confiança é a fonte autoritativa.

https://trust.lovable.dev/

Não reivindicamos qualquer certificação própria. Qualquer certificação, auditoria ou relatório aqui referido pertence à plataforma e é publicado por ela no seu centro de confiança.

O Poe é o nosso assistente. Lê o que escreve em linguagem natural e transforma-o em informação estruturada — que profissional, que serviço, que localidade e porque o recomenda. A interpretação acontece nos nossos servidores; o modelo nunca recebe mais do que a conversa exige.

Para responder a pesquisas, o serviço constrói e avalia um perfil para cada profissional ou negócio: serviço, área abrangida, idiomas, contactos, horário e histórico de recomendações. Compara automaticamente esses perfis com o que pediu — serviço, cidade, distância, idiomas e disponibilidade — e ordena os resultados pela confiança das recomendações e pela atualidade dos dados. As recomendações têm um valor de confiança e as submissões são pontuadas quanto a risco de abuso, para que o suspeito fique retido para revisão.

Quando uma recomendação ou listagem inclui um site ou link social, podemos ler essa página pública para completar ou confirmar serviço, contactos e localização. Só lemos páginas publicadas pelo profissional ou indicadas pelo recomendador; não fazemos scraping de registos nem compramos dados. Registamos a origem de cada dado para que continue visível.

• Nenhuma decisão com efeitos jurídicos ou significativos sobre uma pessoa é tomada automaticamente. A publicação, as retenções para moderação e as decisões sobre listagens seguem regras nossas, e uma pessoa revê o que fica retido.
• O Poe não pode inventar uma recomendação. Os dados necessários vêm de si e é a aplicação, não o modelo, que decide quando a recomendação está completa.
• O âmbito do Poe é deliberadamente estreito. Entradas fora de âmbito ou manipuladoras são filtradas antes e depois do modelo.
• Guardamos registos curtos e versionados dos pedidos de IA para qualidade e segurança, sem guardar mais detalhe pessoal do que a conversa já continha.

• Todo o tráfego é servido por HTTPS; os dados são cifrados em trânsito e em repouso.
• Todas as tabelas têm regras de acesso por linha, pelo que cada conta só lê e escreve os seus registos.
• Nos registos de segurança e abuso os visitantes são identificados por hashes unidirecionais, não por endereços IP em bruto. O registo de consentimento separado guarda o endereço IP porque é prova normal de uma escolha de consentimento ao abrigo do artigo 7.º do RGPD.
• As recomendações exigem um email verificado antes de poderem ser publicadas.
• Limites de utilização e filtragem de abuso aplicam-se a conversas, códigos e submissões.
• Os ficheiros privados estão limitados à conta que os enviou.

A segurança da camada de alojamento é operada pela plataforma e evidenciada no seu centro de confiança.

trust.lovable.dev

• Rascunhos incompletos: ficam apenas no seu navegador e são apagados quando começa de novo.
• Recomendações publicadas: mantidas enquanto se mantiverem válidas.
• Registos de verificação: mantidos apenas o tempo necessário para provar a verificação e evitar abuso repetido.
• Registos de segurança e de abuso: mantidos durante 60 dias para fins de deteção e depois eliminados.
• Pesquisas: mantidas durante 180 dias, ou 30 dias no caso de pesquisas sobre temas sensíveis, e depois eliminadas.
• Estatísticas de utilização: mantidas durante 12 meses e depois eliminadas.
• Registos de utilização da IA (que modelo respondeu, tempos e um identificador de sessão; nunca o texto das suas mensagens): mantidos durante 30 dias e depois eliminados.
• Listagens de negócios: mantidas durante a subscrição e um curto período após.
• Registos de pagamento: mantidos pelo prazo exigido pela lei fiscal portuguesa.
• Documentos enviados para reivindicar um perfil de negócio (licença, documento de identificação ou selfie com passaporte): guardados em armazenamento privado apenas até à decisão e apagados imediatamente depois. Fica apenas o registo de que tipo de documento foi verificado, por quem e quando.

Usamos um número reduzido de subcontratantes, cada um com contrato de tratamento de dados e limitado ao necessário:

• Alojamento da aplicação, base de dados, autenticação e ficheiros — a plataforma Lovable e a sua infraestrutura cloud na UE.
• Envio de email transacional — códigos de verificação e mensagens de conta.
• Pagamentos — subscrições de listagens; os dados do cartão ficam no processador.
• Interpretação linguística por IA — para o Poe, invocada apenas no servidor.

A plataforma publica e mantém atualizada a sua própria lista de subcontratantes no centro de confiança:

https://trust.lovable.dev/

Para comunicar um problema de segurança, uma listagem que não deveria estar publicada, conteúdo que viole os seus direitos ou um perfil sobre si que deva ser corrigido ou removido, escreva para hello@oceanirrequieto.com. Procuramos confirmar a receção em dois dias úteis e agir rapidamente nos casos claros.

Por favor não divulgue publicamente uma vulnerabilidade antes de nos contactar. Não perseguimos quem comunica um problema de boa-fé e sem acessar dados de terceiros.

O consentimento é pedido uma única vez, numa barra discreta, com aceitar e recusar igualmente fáceis, e apenas para uma categoria opcional: estatísticas de utilização. Nada opcional é ativado antes da escolha. A escolha pode ser alterada ou retirada em qualquer momento em «Preferências de cookies e consentimento», no rodapé.

Cada escolha é registada num registo interno de consentimento, acessível apenas à administração, com a escolha, o método, a versão do aviso, o momento, os identificadores do navegador e da sessão, o endereço IP e um código derivado dele, o país e a localidade ou região aproximada indicada pela sua rede, e a conta quando existe. Quando o registo pertence a uma conta, a administração pode ver esse endereço e essa localização aproximada junto da conta, e utiliza-os apenas para manter a rede segura e compreender que localidades serve. Estes registos são a nossa prova de conformidade com o artigo 7.º do RGPD e são eliminados após doze meses.

Não usamos publicidade, segmentação publicitária, rastreio entre sites ou entre dispositivos, nem perfis comportamentais de visitantes para marketing. Não vendemos dados pessoais. O serviço constrói perfis públicos de profissionais e negócios para responder a pesquisas e pontua a confiança das recomendações e o risco de abuso; isso está explicado na secção do Poe, IA e perfis acima. Não é tomada nenhuma decisão automatizada com efeitos jurídicos ou significativos sobre uma pessoa.