Política de Privacidade

1. Responsável pelo tratamento

O responsável pelo tratamento é Baralho D'Outrora – Tecnologia e Comércio, Unipessoal Lda., NIPC 519503406, com sede em Rua Jardim Júlio Moreira, n.º 102, R/C Dto., 2775-585 Carcavelos, Portugal. Para questões de privacidade, exercício de direitos ou contestação de uma sinalização, o contacto é privacidade@farol-sinaliza.pt.

2. Que dados tratamos

Conteúdo submetido para análise

Quando o utilizador escolhe analisar uma mensagem, conversa, email, link, número de telefone ou imagem, esse conteúdo é processado para produzir uma avaliação de risco. O Farol não acede a mensagens, fotografias ou ficheiros que o utilizador não tenha escolhido submeter.

O conteúdo original é tratado de forma transitória nos sistemas do Farol e não é conservado como mensagem, email, screenshot ou imagem depois de concluído o pedido. Quando a análise por inteligência artificial é necessária, o conteúdo é transmitido à Anthropic enquanto subcontratante, nos termos descritos no ponto 7.

Indicadores e informação derivada

Para reconhecer campanhas repetidas, melhorar a deteção e proteger a comunidade, o Farol pode conservar informação derivada da análise que não corresponde a uma cópia do conteúdo original, designadamente:

• uma impressão técnica do texto (por exemplo, um hash), usada para reconhecer conteúdos repetidos;
• o resultado da análise, incluindo o nível de risco, a categoria do esquema e sinais técnicos relevantes;
• domínios, URLs ou números de telefone identificados como relevantes para prevenção de fraude; um código derivado do endereço de email, quando denunciado, que permite reconhecer reincidência sem conservar o endereço em si;
• padrões de fraude extraídos de forma estruturada, como o tipo de esquema, o canal utilizado, a técnica de pressão, a categoria de entidade imitada e a frequência de uma campanha.

Uma impressão técnica ou um identificador derivado não é tratado como “anónimo” apenas por estar codificado: quando possa continuar relacionado com uma pessoa ou conteúdo, é protegido como dado pessoal ou pseudonimizado, conforme aplicável.

IBANs que apareçam numa mensagem

O IBAN não é uma categoria autónoma de verificação ou denúncia no Farol. Se um IBAN surgir dentro de uma mensagem submetida, pode influenciar a avaliação naquele momento, mas não é conservado como indicador próprio, não é adicionado à base comunitária e não é incluído, enquanto IBAN individual, nos produtos de inteligência antifraude.

Identificador pseudonimizado do dispositivo

A aplicação pode utilizar um identificador técnico aleatório, sem ligação direta ao nome, email ou número de telefone do utilizador, para limitar abusos, aplicar limites de utilização e manter o serviço operacional. Esse identificador não é usado para publicidade nem para criar um perfil comercial do utilizador.

Notificações

Se o utilizador ativar notificações, o Farol utiliza Firebase Cloud Messaging, da Google, para entregar alertas. Para esta funcionalidade podem ser tratados um identificador da instalação (Firebase Installation ID), um identificador/token técnico de entrega e informação técnica necessária ao funcionamento do serviço, como a versão da aplicação. Estes elementos são usados para disponibilizar notificações e não contêm, por si só, o nome, email ou número de telefone do utilizador.

Denúncias da comunidade

Quando o utilizador denuncia um número, domínio ou email, o elemento denunciado, a categoria da denúncia e os elementos técnicos estritamente necessários para prevenir duplicação e abuso podem ser conservados. Nenhum número, domínio ou email deve ser apresentado como associado a fraude com base numa única denúncia. A sinalização depende de corroboração adicional e pode ser revista a pedido do titular ou de quem demonstre interesse legítimo.

Dados de terceiros presentes no conteúdo

O conteúdo submetido pode conter dados de outras pessoas. Esses dados são tratados apenas na medida necessária à análise de risco e à prevenção de fraude. O Farol não utiliza esses dados para contactar a pessoa, criar um perfil pessoal, fazer publicidade ou tomar decisões de crédito, emprego, seguro ou equivalentes sobre ela. Se um número, domínio ou email for autonomamente denunciado e conservado como indicador de fraude, aplicam-se as regras específicas de denúncia, revisão e retenção desta Política.

Registos técnicos

Os servidores podem gerar registos técnicos de segurança, disponibilidade e diagnóstico. Estes registos não devem conter o conteúdo integral submetido e são mantidos pelo período estritamente necessário à operação e segurança do serviço.

3. O que não fazemos

• Não acedemos à lista de contactos, ao registo de chamadas, às SMS ou à localização do dispositivo.
• Não conservamos o conteúdo original de mensagens, emails, screenshots ou imagens depois de concluído o pedido nos nossos próprios sistemas.
• Não mostramos publicidade comportamental e não utilizamos identificadores para fins publicitários.
• Não vendemos a identidade, o histórico individual de utilização ou o conteúdo original submetido pelos utilizadores do Farol.
• Não utilizamos o conteúdo submetido para treinar modelos próprios de inteligência artificial.

4. Inteligência antifraude e utilização comercial de padrões

O Farol pode transformar informação derivada das análises e denúncias em inteligência antifraude destinada a melhorar o próprio serviço e a ajudar outras organizações a prevenir fraude. Esta atividade pode constituir um produto comercial e ser disponibilizada, mediante remuneração, a entidades como bancos, operadores postais e logísticos, telecomunicações, seguradoras, marketplaces, empresas de cibersegurança e entidades públicas com funções de prevenção ou combate à fraude.

Por defeito, essa inteligência é composta por estatísticas, tendências, padrões de campanha e informação agregada ou irreversivelmente anonimizada. Pode incluir, por exemplo, a frequência de determinado esquema, os canais usados, categorias de entidades imitadas e indicadores técnicos que não identifiquem utilizadores do Farol.

Determinados indicadores concretos — como domínios, URLs ou números de telefone denunciados — podem, consoante o contexto, constituir dados pessoais. Quando a sua comunicação a um parceiro de prevenção de fraude seja necessária, só será efetuada com fundamento jurídico adequado, após avaliação de necessidade e proporcionalidade e com medidas de segurança e confidencialidade apropriadas. Esses indicadores não são disponibilizados para publicidade, marketing direto ou criação de perfis comerciais de pessoas.

5. Fundamentos jurídicos

Os tratamentos necessários à deteção, prevenção e compreensão de fraude, à proteção da comunidade e à segurança do serviço assentam, em regra, no interesse legítimo do Farol e de terceiros na prevenção de fraude, nos termos do artigo 6.º, n.º 1, alínea f), do RGPD. Esse interesse é sujeito a uma avaliação documentada de necessidade, proporcionalidade e impacto nos direitos dos titulares.

Quando exista uma subscrição ou outra relação contratual, os tratamentos necessários à prestação e gestão do serviço assentam também na execução do contrato, nos termos do artigo 6.º, n.º 1, alínea b), do RGPD. Quando a lei imponha um tratamento, aplica-se o artigo 6.º, n.º 1, alínea c). Quando uma funcionalidade opcional dependa juridicamente de consentimento, este será pedido de forma específica e poderá ser retirado nos termos legais.

6. Decisões automatizadas e inteligência artificial

O Farol utiliza regras técnicas e sistemas de inteligência artificial para produzir uma avaliação automatizada de risco. Essa avaliação é informativa: não produz, por si só, efeitos jurídicos nem decisões de efeito equivalente sobre o utilizador ou sobre terceiros. O Farol não certifica que um conteúdo é seguro nem declara que uma pessoa cometeu uma infração.

7. Fornecedores e transferências internacionais

Supabase

A infraestrutura principal do serviço utiliza Supabase para funções de servidor e base de dados. A configuração utilizada pelo Farol privilegia alojamento na União Europeia. O acesso é limitado ao necessário à prestação e segurança do serviço.

Anthropic

Quando é necessária análise por inteligência artificial, o conteúdo é enviado à API comercial da Anthropic. Na política comercial padrão atualmente aplicável à API, a Anthropic elimina automaticamente inputs e outputs do seu backend no prazo de 30 dias, salvo acordo diferente, necessidade de aplicação das suas políticas de utilização ou obrigação legal. Por defeito, os inputs e outputs de produtos comerciais não são utilizados para treinar os modelos da Anthropic. As transferências internacionais aplicáveis são enquadradas pelo acordo de tratamento de dados e pelas cláusulas contratuais-tipo incorporadas nos termos comerciais da Anthropic.

Google / Firebase Cloud Messaging

Quando o utilizador ativa notificações, a Google/Firebase trata os identificadores técnicos necessários à entrega das notificações. O Farol procura limitar esta recolha ao momento em que a funcionalidade de notificações é ativada e não utiliza Firebase Analytics para publicidade ou criação de perfis, salvo se isso vier a ser expressamente introduzido e previamente refletido nesta Política.

Lojas de aplicações

Quando existam compras ou subscrições processadas pela Google Play ou por outra loja de aplicações, o pagamento é processado pela loja. O Farol pode receber informação técnica sobre o estado da compra ou subscrição, mas não recebe os dados completos do cartão de pagamento.

8. Durante quanto tempo conservamos os dados

9. Dados de categoria especial

O Farol não é concebido para recolher deliberadamente dados de categoria especial, como dados de saúde, origem racial ou étnica, convicções religiosas, opiniões políticas ou orientação sexual. O utilizador não deve submeter deliberadamente esse tipo de informação, salvo quando seja inevitável para mostrar uma tentativa de fraude. Se esses dados surgirem incidentalmente, o Farol não os utiliza para criar perfis pessoais nem os inclui deliberadamente nos padrões persistentes ou produtos de inteligência antifraude; o conteúdo original segue as regras de tratamento transitório e eliminação descritas acima.

10. Primeiro acesso e escolhas do utilizador

No primeiro acesso, o Farol identifica a entidade responsável, apresenta ligações para esta Política e para os Termos de Serviço e pede ao utilizador que confirme que leu a Política de Privacidade e que aceita os Termos de Serviço antes de submeter conteúdo. A Política de Privacidade é uma informação sobre o tratamento de dados e não é, por si só, a base jurídica para os tratamentos que assentam em interesse legítimo ou execução de contrato.

As notificações são opcionais. O utilizador pode recusá-las ou desativá-las nas definições do dispositivo sem perder o acesso às funções principais do Farol.

11. Direitos dos titulares

O utilizador e qualquer terceiro cujos dados sejam tratados podem, quando aplicável, exercer os direitos de acesso, retificação, apagamento, limitação, oposição e portabilidade, bem como retirar consentimento quando o tratamento dependa desse fundamento. Os pedidos podem ser enviados para privacidade@farol-sinaliza.pt.

Uma pessoa ou entidade que considere que um número, domínio ou email foi indevidamente associado a fraude pode pedir revisão. Para proteger terceiros, poderemos solicitar elementos suficientes para demonstrar a legitimidade do pedido. Quando a contestação seja fundamentada, a sinalização é corrigida ou removida.

O titular tem ainda o direito de apresentar reclamação à Comissão Nacional de Proteção de Dados (CNPD), em www.cnpd.pt.

12. Segurança e incidentes

Aplicamos medidas técnicas e organizativas adequadas ao risco, incluindo minimização de dados, comunicações cifradas, limitação de acessos e separação entre o conteúdo transitório e a informação persistente. Em caso de violação de dados pessoais, serão cumpridas as obrigações de avaliação, registo, notificação à CNPD e comunicação aos titulares previstas nos artigos 33.º e 34.º do RGPD, quando aplicáveis.

13. Alterações a esta Política

Esta Política pode ser atualizada para refletir alterações legais, técnicas ou funcionais. Se uma alteração introduzir uma nova finalidade relevante ou aumentar de forma material o impacto do tratamento, a informação será atualizada antes de essa nova utilização começar e serão adotadas as medidas adicionais legalmente exigidas.