Política de Privacidade

1. Responsável pelo Tratamento

O responsável pelo tratamento dos dados pessoais recolhidos através da plataforma AtivaMoney é:

Para exercer os seus direitos ou esclarecer qualquer dúvida relativa ao tratamento dos seus dados pessoais, pode contactar-nos através do endereço acima indicado.

2. Dados Pessoais Recolhidos

O AtivaMoney recolhe e trata as seguintes categorias de dados pessoais:

2.1 Dados de Registo

Aquando da criação de conta, recolhemos: nome completo, endereço de email e, opcionalmente, número de telemóvel (para autenticação multifator). Estes dados são necessários para a prestação do serviço.

2.2 Dados Bancários via Open Banking

Com o consentimento expresso do Utilizador e através de ligação PSD2 via GoCardless, recolhemos: informações de transações (montante, data, descrição, comerciante), saldos de contas e metadados associados às contas bancárias autorizadas. Estes dados são usados exclusivamente para a prestação das funcionalidades PFM.

2.3 Dados de Utilização

Recolhemos automaticamente dados sobre a utilização da plataforma, incluindo: registos de acesso (logs), preferências de interface, funcionalidades utilizadas e interações com a plataforma. Estes dados são utilizados para melhorar o serviço e garantir a segurança.

2.4 Dados de Categorização

Quando o Utilizador categoriza, etiqueta ou corrige sugestões de categorização automática das suas transações, esses dados de preferência e correção são tratados para personalizar e melhorar o modelo de inteligência artificial de categorização.

2.5 Inscrição na Lista de Espera

Quando se inscreve na lista de espera no site, guardamos: o endereço de email, o plano em que mostrou interesse, o idioma, a página do site onde se inscreveu e um resumo criptográfico (hash) do endereço IP, usado apenas para limitar inscrições abusivas. Quando existe, guardamos também a origem da visita: os parâmetros de campanha (utm_source, utm_medium, utm_campaign, utm_content, utm_term) e os identificadores de clique de anúncios da Google (gclid) e da Meta (fbclid) que vinham no endereço pelo qual chegou ao site (os identificadores de clique só se tiver aceitado todos os cookies). Usamos a origem para saber que campanhas trazem inscrições e medir o seu resultado. Para confirmar que a inscrição não é feita por um robô, o formulário usa o Cloudflare Turnstile.

2.6 Dados de Pagamento

Os pagamentos das subscrições são tratados pela Stripe (ver a Secção 5). Os dados do cartão ou de outro meio de pagamento são introduzidos diretamente na página de pagamento da Stripe e nunca passam pelos servidores do AtivaMoney. Da Stripe guardamos apenas o necessário para gerir a sua subscrição: os identificadores do seu cliente e da sua subscrição, o plano e a periodicidade, o estado (período experimental, ativa, cobrança em atraso, cancelada), as datas do fim do período experimental e do período em curso, se o cancelamento está marcado, e o preço e a campanha aplicados. Não guardamos o número do cartão, o nome nem a morada de faturação que indica à Stripe. Quando consulta «Métodos de pagamento», lemos da Stripe a marca, os últimos quatro dígitos e a validade do cartão para lhos mostrar e avisar da expiração; ficam apenas em memória temporária, por cerca de 10 minutos, e não são gravados na base de dados.

2.7 Dados de Navegação no Site

Se aceitar todos os cookies, o Google Analytics, a Google Ads e o pixel da Meta recolhem dados sobre a sua visita ao site ativamoney.com (páginas vistas, origem da visita, dispositivo e browser, identificadores guardados em cookies e, quando se inscreve na lista de espera, um evento de inscrição com o plano escolhido, sem o seu email). O detalhe está na Política de Cookies. O site usa ainda o Cloudflare Web Analytics, que mede o desempenho das páginas sem cookies.

2.8 Dados dos Períodos Experimentais e do Preço Garantido

Para aplicar as regras dos períodos experimentais e do preço garantido descritas nos Termos de Uso, guardamos: o período experimental que usou (o do plano Grátis, sem cartão, e/ou o de um plano pago, com cartão), as datas de início e de fim, o preço e a campanha em vigor no dia em que se registou e no momento em que aderiu a um plano pago, o preço garantido, a data até à qual está garantido e qualquer revisão desse preço a seu favor, e o registo dos avisos que lhe enviámos sobre estes temas. Não guardamos dados do cartão.

3. Finalidades e Bases Legais

O tratamento dos seus dados pessoais é realizado com base nas seguintes finalidades e respetivas bases legais, nos termos do Regulamento Geral sobre a Proteção de Dados (RGPD — Reg. UE 2016/679):

4. Dados Bancários — Tratamento Especial

Os dados bancários obtidos via Open Banking são tratados com particular cuidado e segundo as seguintes garantias:

• Uso exclusivo para PFM: Os dados bancários são tratados exclusivamente para as finalidades de gestão financeira pessoal descritas nesta Política, nunca para finalidades distintas;
• Não são vendidos: Os dados bancários do Utilizador não são, em circunstância alguma, vendidos, cedidos ou partilhados com terceiros para fins comerciais ou publicitários;
• Não são cedidos para fins comerciais: Não utilizamos os dados bancários para criar perfis comerciais, vender publicidade ou partilhar informações com instituições financeiras concorrentes;
• Acesso via GoCardless (PSD2): O acesso é realizado através de entidade regulada pela FCA, ao abrigo da PSD2, com autorização explícita do Utilizador, sendo revogável a qualquer momento conforme descrito nos Termos de Uso.

5. Partilha de Dados

O AtivaMoney partilha dados pessoais apenas com os subcontratantes e destinatários estritamente necessários à prestação do serviço, nos termos abaixo (os subcontratantes estão vinculados por acordos de processamento de dados conformes com o RGPD):

• GoCardless Ltd — Prestador de Open Banking (PSD2). Sede no Reino Unido, com operações no Espaço Económico Europeu. Autorizado e regulado pela FCA.
• Oracle Cloud Infrastructure (Oracle EU Sovereign Cloud) — Infraestrutura de alojamento e processamento de dados. Os dados residem exclusivamente em regiões 100 % europeias: Madrid, Espanha (EU Sovereign South) e Frankfurt, Alemanha (EU Sovereign Central), operadas por entidades legais sediadas na União Europeia e separadas das regiões comerciais globais da Oracle.
• MailerSend (grupo MailerLite) — Serviço de email transacional (confirmações de conta, alertas e notificações). Sede na União Europeia.
• Twilio Inc. — Serviço de mensagens SMS (verificação de número e alertas). Sede nos Estados Unidos da América; as transferências realizam-se ao abrigo dos mecanismos de garantia descritos na Secção 6.
• Stripe — Pagamentos das subscrições, através do serviço Stripe Managed Payments. Neste serviço, a Sold through Link, LLC (grupo Stripe, apresentada como Link) atua como comerciante registado (merchant of record) em nome do AtivaMoney. A Stripe e o AtivaMoney são responsáveis pelo tratamento autónomos: a Stripe trata os dados de pagamento, de faturação, de prevenção de fraude e de apoio às transações segundo a sua Política de Privacidade, sendo a Stripe Payments Europe, Limited (Irlanda) a entidade contratante para consumidores europeus; o AtivaMoney trata os dados que dela recebe para gerir a subscrição (email, plano, estado do período experimental, da subscrição e das cobranças).
• Cloudflare — Rede de distribuição e proxy do site e da aplicação, proteção contra ataques (WAF) e túnel seguro de acesso aos nossos servidores (todo o tráfego passa pela Cloudflare); verificação anti-robô (Turnstile) nos formulários do site e da aplicação e no início de sessão; e medição do desempenho das páginas, sem cookies (Web Analytics), no site e na aplicação.

Só se aceitar todos os cookies no site, os seguintes fornecedores recebem dados da sua visita (ver a Secção 2.7 e a Política de Cookies): Google Ireland Limited (Google Analytics, Google Ads e Google AdSense) e Meta Platforms Ireland Limited (pixel da Meta, Facebook e Instagram). Quanto ao Google Analytics, a Google trata os dados em nome do AtivaMoney, como subcontratante. Quanto ao Google Ads e ao Google AdSense, a Google atua como responsável pelo tratamento autónomo pelo uso que faz desses dados nos seus serviços, segundo os seus termos de proteção de dados e a sua política de privacidade. Quanto ao pixel da Meta, o AtivaMoney e a Meta Platforms Ireland Limited são responsáveis conjuntos pela recolha, através do pixel, dos dados do seu navegador e pela sua transmissão à Meta (art. 26.º do RGPD), nos termos do Adendo do Responsável pelo Tratamento da Meta; pode exercer os seus direitos junto de qualquer um de nós, pelos contactos da Secção 1. O tratamento que a Meta faz depois de receber os dados é da sua exclusiva responsabilidade, segundo a sua política de privacidade. Os pedidos que recebermos sobre os dados tratados pela Meta são-lhe reencaminhados no prazo de sete dias.

Fora da medição descrita acima, que depende sempre do seu consentimento, não partilhamos os seus dados pessoais para fins de marketing de terceiros, publicidade comportamental ou qualquer finalidade não descrita nesta Política. Os dados financeiros da aplicação nunca são partilhados com fornecedores de publicidade ou de medição.

5.1 Transferência de propriedade de carteira

O AtivaMoney permite ao proprietário de uma carteira transferir a sua propriedade para outro utilizador. Ao concluir uma transferência, o proprietário atual partilha com o destinatário todos os dados financeiros dessa carteira — contas, movimentos, categorias, etiquetas e histórico — passando o destinatário a ser o novo proprietário e o responsável por esses dados.

• Consentimento informado: a transferência só é concluída após o proprietário atual confirmar, de forma expressa, que compreende a partilha de dados e os respetivos riscos. Estes consentimentos são registados (tipo, versão e data/hora) ao abrigo do RGPD.
• Autenticação reforçada: a operação exige verificação de identidade adicional (códigos enviados por SMS e por email) antes de ser executada.
• Responsabilidade após a transferência: concluída a transferência, o AtivaMoney não controla nem se responsabiliza pelo uso que o novo proprietário faça dos dados partilhados. Recomendamos que transfira carteiras apenas para pessoas em quem confia.
• Subscrição: se, após a transferência, mantiver uma subscrição ativa sem carteira associada, será informado disso e poderá cancelá-la a qualquer momento nas Definições.

6. Transferências Internacionais

Sempre que seja necessário transferir dados pessoais para países fora do Espaço Económico Europeu (EEE), nomeadamente no contexto da prestação de serviços pelos subprocessadores identificados na Secção 5, tal transferência é realizada com base em mecanismos de garantia adequados, incluindo:

• Cláusulas Contratuais Tipo (CCT) aprovadas pela Comissão Europeia, nos termos do art. 46.º do RGPD;
• Decisões de adequação da Comissão Europeia, quando aplicável, incluindo o Quadro de Privacidade de Dados UE-EUA (EU-U.S. Data Privacy Framework) para fornecedores nele certificados, como a Google LLC, a Meta Platforms, Inc., a Stripe, LLC e a Cloudflare, Inc. (lista em www.dataprivacyframework.gov/list).

O Utilizador pode solicitar informação sobre as garantias específicas aplicáveis através do contacto do DPO indicado na Secção 1.

7. Retenção de Dados

Os dados pessoais são conservados apenas pelo tempo estritamente necessário às finalidades para as quais foram recolhidos:

• Durante a vigência do contrato: todos os dados necessários à prestação do serviço são mantidos enquanto a conta se encontrar ativa;
• Após cancelamento: os dados são eliminados no prazo máximo de 30 dias após o cancelamento da conta;
• Lista de espera: a inscrição e a origem da visita são conservadas até ao lançamento do plano em que se inscreveu e ao aviso respetivo, ou até pedir a sua remoção, e eliminadas, em qualquer caso, 12 meses depois da inscrição;
• Pagamentos: os registos de pagamento e faturação são conservados pela Stripe segundo a sua política e as obrigações legais que lhe cabem; os que o AtivaMoney guarda seguem a regra das obrigações legais abaixo;
• Períodos experimentais e preço garantido: enquanto a conta existir. Quando a conta é eliminada, estes registos ficam anonimizados e deixam de estar ligados a si. Não guardamos o seu email nem o seu identificador na Stripe para aplicar a regra «uma vez por pagador» a contas novas;
• Cookies e dados no browser: pelas durações indicadas na Política de Cookies;
• Obrigações legais: dados fiscais ou contabilísticos podem ser retidos pelo período exigido por lei (geralmente 10 anos ao abrigo da legislação fiscal portuguesa), findos os quais são eliminados;
• Dados anonimizados: dados estatísticos anonimizados, sem possibilidade de identificação, podem ser conservados por período indeterminado para análise e melhoria do serviço.

8. Direitos do Titular (RGPD)

Ao abrigo do RGPD, o Utilizador dispõe dos seguintes direitos relativamente aos seus dados pessoais:

• Acesso — Direito a obter confirmação sobre se os seus dados são tratados e a aceder aos mesmos;
• Retificação — Direito a corrigir dados incompletos ou inexatos;
• Apagamento — Direito a solicitar a eliminação dos seus dados ("direito a ser esquecido"), nos casos previstos no RGPD;
• Portabilidade — Direito a receber os seus dados num formato estruturado, de uso corrente e leitura automática, e a transmiti-los a outro responsável pelo tratamento;
• Limitação — Direito a solicitar a limitação do tratamento dos seus dados em determinadas circunstâncias;
• Oposição — Direito a opor-se ao tratamento baseado em interesses legítimos ou para fins de marketing direto;
• Não sujeição a decisão automatizada — Direito a não ser sujeito a decisões baseadas exclusivamente em tratamento automatizado que produzam efeitos jurídicos ou significativos.

Na aplicação, a função «Exportar os meus dados», nas Definições, entrega-lhe a qualquer momento uma cópia dos seus dados pessoais, das suas contas e dos seus movimentos num ficheiro que pode guardar.

Para exercer qualquer um destes direitos, contacte o nosso Encarregado de Proteção de Dados:
Email: [email protected]

O Utilizador tem ainda o direito de apresentar reclamação junto da autoridade de controlo competente: a Comissão Nacional de Proteção de Dados (CNPD), em www.cnpd.pt.

9. Segurança

O AtivaMoney implementa medidas técnicas e organizativas adequadas para proteger os dados pessoais contra acesso não autorizado, divulgação, alteração ou destruição, incluindo:

• TLS 1.3 — Toda a comunicação entre o Utilizador e a plataforma é cifrada com TLS 1.3;
• Encriptação em repouso — Os dados armazenados são encriptados em repouso;
• Autenticação Multifator (MFA) — Suporte a MFA para todas as contas de utilizador;
• Auditoria de acessos — Registos de auditoria de todos os acessos a dados sensíveis;
• Monitorização 24/7 — Monitorização contínua da infraestrutura para deteção de anomalias e incidentes;
• OWASP Top 10 — Desenvolvimento e testes de segurança orientados pelas recomendações OWASP Top 10.

10. Cookies

O AtivaMoney utiliza cookies e tecnologias similares para garantir o funcionamento da plataforma, guardar preferências do Utilizador e, com consentimento, analisar a utilização do site, medir o resultado das nossas campanhas de publicidade (Google Ads e pixel da Meta) e mostrar anúncios no blogue (Google AdSense).

Para informação detalhada sobre os tipos de cookies utilizados, as suas finalidades e como gerir as suas preferências, consulte a nossa Política de Cookies.