Política de Privacidade

• Com uma conta, recolhemos o seu email, nome e palavra-passe (guardada apenas como hash). Guardamos as suas conversas, imagens geradas e anexos até os eliminar ou eliminar a conta;
• Sem conta, as conversas ficam apenas no seu navegador; guardamos só identificadores pseudonimizados através de hash com sal e contadores para aplicar limites de utilização;
• Cada mensagem de texto é enviada ao fornecedor de IA(via OpenRouter) para gerar a resposta — também sem conta. Nos pedidos de texto, os fornecedores são excluídos do treino com as suas mensagens através do encaminhamento do OpenRouter;
• Quando gera imagens, a descrição que escreve é enviada ao fornecedor do modelo de imagem (via OpenRouter) e a imagem resultante fica guardada na sua conta até a eliminar. As políticas de retenção desse fornecedor podem ser diferentes das dos modelos de texto;
• Com início de sessão Google, acedemos apenas ao seu nome, email e fotografia de perfil, para criar e autenticar a sua conta. Nunca usamos esses dados para treinar modelos de IA nem para publicidade;
• Pagamentos são processados pela Stripe; nunca tratamos dados de cartão;
• Eliminamos os seus dados quando elimina as conversas, as imagens ou a conta (a eliminação de conta está disponível na área de faturação);
• Não vendemos os seus dados nem usamos cookies de publicidade. Pode exercer os seus direitos contactando-nos (secção 1) ou reclamar à CNPD.

Esta política explica como o serviço Nauta («Nauta», «Serviço»), disponível em nautaia.pt, trata os dados pessoais dos seus utilizadores, no cumprimento do Regulamento Geral sobre a Proteção de Dados (Regulamento (UE) 2016/679, «RGPD») e da legislação portuguesa aplicável.

O Serviço Nauta é explorado pelo seu titular, que responde pelo tratamento dos dados como responsável e pode ser contactado em support@nautaia.pt para questões de privacidade e para o exercício dos direitos descritos na secção 8.

Quando cria uma conta:

• Dados de conta: endereço de email, nome, palavra-passe (guardada apenas como hash criptográfico) ou identificadores do fornecedor de autenticação social (Google ou GitHub), e indicação de email verificado;
• Plano subscrito e estado da conta.

Quando conversa com uma conta criada:

• Conversas e mensagens (incluindo o conteúdo das suas perguntas e das respostas dos modelos), guardadas no sistema até as eliminar ou eliminar a sua conta;
• Anexos que envie (imagens e documentos), incluindo o texto extraído de documentos para poder ser usado como contexto pelos modelos;
• Metadados de utilização: modelo escolhido, número de tokens de entrada e saída, créditos consumidos, duração e código de erro em caso de falha. Estes registos operacionais não incluem o conteúdo das mensagens.

Quando gera imagens com uma conta criada:

• A descrição escrita (prompt) e a imagem gerada, guardadas no sistema até as eliminar ou eliminar a sua conta. A descrição é transmitida ao fornecedor do modelo de imagem para produzir o resultado;
• Metadados da geração: modelo, proporção, resolução, tamanho do ficheiro, créditos de imagem consumidos e custo do fornecedor, sem conteúdo adicional.

Quando usa o Serviço sem conta:

• As suas conversas são persistidas apenas no seu navegador (IndexedDB) e não ficam guardadas no nosso sistema como histórico. Limpar os dados do navegador pode eliminá-las de forma permanente;
• Para controlar limites de utilização e prevenir abusos, tratamos um identificador de instalação aleatório e endereços IP pseudonimizados através de hash com sal, contadores de utilização e sinais técnicos de risco, associados a mecanismos de limitação de pedidos;
• Em cada pedido, a mensagem e o contexto necessário da conversa são transmitidos temporariamente ao nosso sistema e ao fornecedor de IA para gerar a resposta, tal como descrito na secção 5.

Quando subscreve um plano pago:

• Os pagamentos são processados pela Stripe Payments Europe, Ltd. Não tratamos números de cartão nem dados de pagamento: apenas guardamos referências (identificador de cliente Stripe, identificadores de faturas e pagamentos, estado da subscrição) e o histórico de créditos necessário para gerir o seu saldo;
• Dados de faturação exigidos por obrigações fiscais e contabilísticas.

Não vendemos os seus dados. Partilhamos apenas o necessário para operar o Serviço, com as seguintes categorias de entidades que atuam como subprocessadores:

• Fornecedores de IA via OpenRouter — para gerar respostas e imagens, a sua mensagem ou descrição (e o contexto necessário, incluindo o texto de anexos) é transmitida ao OpenRouter e, por sua vez, ao fornecedor do modelo escolhido (ex.: OpenAI, Anthropic, Google). Isto aplica-se igualmente a utilizadores sem conta;
• Serviços de pesquisa web (ex.: Parallel, ou o motor de pesquisa do próprio fornecedor do modelo) — apenas quando ativa a pesquisa web, sendo transmitida a consulta necessária;
• Stripe — pagamentos e gestão da faturação;
• Turso — alojamento da base de dados do Serviço;
• Vercel — alojamento da aplicação e telemetria agregada de utilização;
• Google / GitHub — apenas se escolher iniciar sessão com essas contas.

Se escolher iniciar sessão com a sua conta Google, o Serviço acede apenas aos dados básicos de identificação que a Google fornece no início de sessão: o seu nome, o endereço de email e, quando disponível, a fotografia de perfil. Não pedimos acesso a outros dados da sua conta Google (ficheiros, contactos, emails, Drive ou histórico de atividade).

• Acesso: nome, endereço de email e fotografia de perfil fornecidos pela Google no momento do início de sessão;
• Utilização: exclusivamente para criar, identificar e autenticar a sua conta Nauta e apresentar o seu nome na interface. Não é utilizado para publicidade, perfis de utilizador ou partilha com terceiros para esses fins;
• Conservação: guardados no nosso sistema até eliminar a sua conta (ver secção 7);
• Proteção: transporte encriptado e acesso restrito ao sistema, conforme a secção 11;
• Partilha: não partilhamos, vendemos nem transferimos estes dados para terceiros para fins de publicidade ou criação de bases de dados;
• Inteligência artificial: não utilizamos dados obtidos da Google para treinar, melhorar ou desenvolver modelos de IA ou de aprendizagem automática.

Os fornecedores de IA não treinam os seus modelos com as suas mensagens: o Serviço envia os pedidos de forma a excluir fornecedores que utilizam os dados dos clientes para treino. Esta promessa é imposta tecnicamente no encaminhamento dos pedidos.

Contudo, não afirmamos retenção zero: os fornecedores podem reter temporariamente os pedidos nos termos das suas políticas (ex.: por razões de segurança ou de abuso), que variam por modelo e por fornecedor. Alguns modelos oferecem retenção zero como opção, e essa caraterística é assinalada na aplicação quando ativa. Se o modo de retenção zero for importante para si, escolha modelos com esse selo.

• Execução do contrato — criar e manter a conta, guardar as suas conversas, processar subscrições e créditos;
• Interesses legítimos — garantir a segurança do Serviço, prevenir abusos e fraudes, limitar a utilização sem conta aos limites definidos e melhorar a fiabilidade do Serviço;
• Cumprimento de obrigações legais — conservação de dados de faturação ao abrigo da legislação fiscal e contabilística.

• Conversas, mensagens e anexos: conservados até os eliminar (individualmente ou na totalidade) ou eliminar a sua conta. A eliminação remove o conteúdo do Serviço; cópias de segurança encriptadas podem persistir temporariamente por um período limitado antes de serem definitivamente apagadas;
• Dados de faturação: conservados durante os prazos legais aplicáveis;
• Utilização sem conta: identificadores com hash, contadores e sinais de abuso são conservados por períodos curtos e agregados;
• Registos operacionais: conservados por períodos limitados e nunca incluem o conteúdo das conversas.

Ao abrigo do RGPD, tem o direito de aceder, retificar, apagar, limitar, portabilizar e opor-se ao tratamento dos seus dados pessoais, bem como de retirar o consentimento quando este seja o fundamento do tratamento. Pode ainda apresentar reclamação à Comissão Nacional de Proteção de Dados (CNPD).

Dentro da aplicação pode eliminar conversas individualmente, apagar todo o histórico ou eliminar a conta. Para os restantes direitos, contacte-nos através do email indicado na secção 1.

O Serviço não se destina a menores de 13 anos (idade definida pela lei portuguesa para prestação de serviços da sociedade da informação). Se acreditar que uma criança criou uma conta, contacte-nos para a eliminarmos.

Utilizamos apenas cookies estritamente necessários ao funcionamento do Serviço (sessão de autenticação). Não utilizamos cookies de publicidade nem de seguimento. A telemetria de utilização é agregada e baseada em medidas respeitosas da privacidade, sem criar perfis publicitários. As conversas sem conta são guardadas pelo navegador (IndexedDB), o que não depende de cookies.

Adotamos medidas técnicas e organizativas adequadas, incluindo transporte encriptado (HTTPS), segredos de assinatura e de acesso isolados, controlo de acesso à base de dados, validação de entradas e limites de utilização. Nenhum sistema é infalível: em caso de violação de dados pessoal com risco para os utilizadores, será comunicada à CNPD e aos interessados nos termos da lei.

Esta política pode ser atualizada para refletir alterações ao Serviço ou à legislação. A data da última atualização surge no topo desta página. Alterações relevantes serão comunicadas de forma adequada (ex.: aviso na aplicação antes de entrarem em vigor).