Política de Privacidade

1. Quem somos

O Kamaia é uma plataforma de gestão de contratos e projectos jurídicos, disponível na web (app.kamaia.cc) e nas aplicações para iOS e Android.

A plataforma é explorada por [Nome completo ou denominação social do responsável], NIF [NIF], com sede em [Morada completa, Luanda, Angola] («Kamaia», «nós»).

Esta política explica que dados pessoais tratamos, para quê, com quem os partilhamos, durante quanto tempo os guardamos e como podes exercer os teus direitos, nos termos da Lei n.º 22/11, de 17 de Junho (Lei da Protecção de Dados Pessoais).

2. Responsável e subcontratante

O Kamaia actua em dois papéis diferentes:

• Responsável pelo tratamento — para os dados da tua conta de utilizador (nome, email, credenciais, preferências), para a segurança do serviço e para a faturação da subscrição.
• Subcontratante — para os conteúdos que a tua organização coloca na plataforma (contratos, documentos, entidades, tarefas, mensagens). Nesses casos, o responsável é a organização cliente, que decide o que regista e porquê; o Kamaia trata esses dados apenas para prestar o serviço e segundo as instruções da organização.

Se tens uma questão sobre dados que uma organização guardou sobre ti no Kamaia (por exemplo, como parte ou representante num contrato), dirige-te primeiro a essa organização. Nós ajudamo-la a responder.

3. Que dados tratamos

• Conta: nome, apelido, email, telefone (opcional), cargo, fotografia de perfil (opcional), idioma e preferências de notificação. Se entrares com Apple, Google ou Microsoft, recebemos o teu email, o identificador dessa conta e, quando o partilhas, o teu nome. Com Apple podes escolher ocultar o email — nesse caso recebemos um endereço de reencaminhamento da Apple.
• Credenciais e segurança: palavra-passe (guardada apenas como hash bcrypt), segredo e códigos de recuperação da autenticação de dois factores (cifrados), sessões activas, data do último acesso, tentativas de acesso falhadas.
• Registos técnicos e de auditoria: endereço IP e identificação do navegador ou aparelho associados a sessões, acessos e acções relevantes (por exemplo, quem criou, alterou, exportou ou eliminou um contrato).
• Conteúdos da organização: contratos e as suas versões, documentos e ficheiros, datas-chave, obrigações, tarefas, projectos, eventos de agenda, comentários e mensagens do chat interno.
• Dados de terceiros registados pela organização: identificação de partes e contrapartes (nome, NIF, número do bilhete de identidade, morada, estado civil, regime de bens, profissão), contactos (nome, cargo, email, telefone) e documentos de diligência (KYC/AML).
• Colaboradores externos e assinaturas: nome e email de quem colabora num contrato por ligação partilhada; na assinatura electrónica, nome, email, número de identificação, cargo, imagem da assinatura, IP, identificação do navegador e localização aproximada (cidade e país).
• Correio: emails reencaminhados para o endereço de triagem da organização (remetente, assunto, texto e anexos); se ligares a tua conta Outlook, o remetente, assunto, pré-visualização e ligação de cada mensagem da pasta que escolheres — o corpo completo não é guardado.
• Agenda: eventos que crias e, se ligares Outlook ou Google Calendar, os eventos desses calendários.
• Assistente de IA (Cibelle): as perguntas que fazes, as respostas e os excertos de contratos e documentos que a assistente consulta para responder.
• Aplicação móvel: identificador de notificações push do aparelho e plataforma (iOS/Android). As fotografias e ficheiros só são acedidos quando escolhes anexar um documento. A biometria (Face ID / impressão digital) é verificada pelo sistema do telemóvel e nunca chega até nós.
• Faturação da subscrição: dados da organização (denominação, NIF, morada) e a referência e o valor de cada pagamento. Não recebemos nem guardamos dados de cartões.

Não tratamos, por iniciativa própria, dados sensíveis (saúde, origem racial, convicções religiosas ou políticas). Se uma organização os registar num contrato ou documento, é responsável por ter fundamento legal para isso.

4. Para que usamos os dados e com que fundamento

Não vendemos dados pessoais, não fazemos publicidade na plataforma nem usamos os teus dados para perfis de marketing.

5. Inteligência artificial

A assistente Cibelle e a extracção automática de campos usam o modelo Gemini da Google, através da respectiva API. Quando usas estas funcionalidades, enviamos à Google a tua pergunta e os excertos necessários para responder (por exemplo, o texto de um contrato, até alguns milhares de palavras, ou resultados de pesquisa de entidades, tarefas e prazos).

A Google trata esses dados como subcontratante, segundo os termos da API, para gerar a resposta. O Kamaia não usa os teus conteúdos para treinar modelos próprios.

O reconhecimento de texto em documentos digitalizados (OCR) corre nos nossos servidores, sem envio a terceiros.

As respostas da IA podem conter erros e não substituem a análise de um profissional.

6. Com quem partilhamos

Recorremos aos seguintes subcontratantes, que tratam dados apenas para prestar o respectivo serviço ao Kamaia:

Só se tu ou a tua organização os ligarem: Microsoft (Outlook — correio e calendário) e Google (Google Calendar e início de sessão com Google). Nesses casos, os dados circulam entre o Kamaia e a tua conta nesse fornecedor, dentro das permissões que autorizaste, e podes desligar a ligação a qualquer momento.

Dentro da tua organização, os dados são visíveis a outros utilizadores segundo o papel e as permissões de acesso definidos pelos administradores. Colaboradores externos só vêem o que lhes for partilhado.

Podemos ainda divulgar dados quando a lei o exija ou por ordem de autoridade judicial ou administrativa competente.

7. Transferências internacionais

Os servidores do Kamaia e a maioria dos subcontratantes estão fora de Angola, sobretudo nos Estados Unidos da América. Isto significa que os dados são transferidos para fora do país.

Escolhemos fornecedores com práticas de segurança reconhecidas e vinculados por termos de tratamento de dados que os obrigam a tratar os dados apenas para prestar o serviço, com medidas de segurança adequadas e com dever de confidencialidade. Estas transferências são realizadas nos termos da Lei n.º 22/11, incluindo o regime aplicável da Agência de Protecção de Dados (APD).

8. Durante quanto tempo guardamos

• Conta de utilizador: enquanto a conta existir. Quando a eliminas, o nome, email, telefone, fotografia e credenciais são apagados de imediato; os espaços em que eras o único membro são encerrados.
• Conteúdos da organização: enquanto a organização mantiver o serviço, ou até os eliminar. Os documentos eliminados ficam 30 dias na reciclagem e são depois apagados definitivamente — excepto os que tenham valor probatório (versões assinadas de contratos, procurações, comprovativos fiscais e documentos KYC), que a organização é obrigada a conservar.
• Registos de auditoria e de segurança: enquanto a organização existir no serviço, para garantir a integridade e a prova das operações.
• Faturas: pelo prazo exigido pela lei fiscal angolana.
• Identificador push: até terminares a sessão no aparelho ou o aparelho deixar de estar registado.
• No telemóvel: a app guarda a sessão no cofre seguro do sistema (Keychain/Keystore) e uma cópia temporária dos dados consultados, até 24 horas, para funcionar sem rede. As conversas com a IA, o chat e os documentos abertos não ficam em cache. Tudo isto é apagado quando terminas a sessão.

Quando uma organização termina o serviço, pode pedir a exportação dos seus dados antes da eliminação.

9. Os teus direitos

Nos termos da Lei n.º 22/11, tens direito a:

• Informação e acesso — saber que dados teus tratamos e obter uma cópia;
• Rectificação — corrigir dados inexactos ou incompletos (muitos podes corrigir tu no teu perfil);
• Oposição — opor-te a tratamentos baseados em interesse legítimo;
• Eliminação — pedir o apagamento dos teus dados quando deixarem de ser necessários, sem prejuízo do que a lei ou a organização cliente estejam obrigadas a conservar;
• Retirar consentimentos que tenhas dado (por exemplo, ligações a Outlook ou Google, notificações push).

Podes eliminar a tua conta a qualquer momento, na app (Mais → Eliminar a minha conta) ou na web (Configurações → Segurança). A eliminação apaga os teus dados identificativos, termina todas as sessões e remove as ligações a Outlook e Google; se fores o único administrador de uma organização com outros membros, terás primeiro de nomear outro administrador.

Para exercer os restantes direitos, escreve para privacidade@kamaia.cc a partir do email da tua conta. Respondemos no prazo máximo de 30 dias. Se os dados em causa pertencerem a uma organização cliente, encaminhamos o pedido para ela e informamos-te.

Tens também o direito de apresentar reclamação à Agência de Protecção de Dados (APD) — www.apd.ao.

10. Segurança

Aplicamos medidas técnicas e organizativas proporcionais ao risco, entre as quais:

• comunicações cifradas (HTTPS/TLS) entre as apps e os servidores;
• palavras-passe guardadas com hash bcrypt e bloqueio após tentativas falhadas;
• autenticação de dois factores (obrigatória para administradores);
• cifra AES-256-GCM dos segredos de autenticação de dois factores e das credenciais de integrações (Outlook, Google);
• isolamento dos dados de cada organização e controlo de acesso por contrato;
• aprovação por uma segunda pessoa para exportações e eliminações sensíveis;
• registo de auditoria das acções relevantes;
• ligações de documentos assinadas e com validade limitada;
• limites de pedidos para mitigar abusos.

Nenhum sistema é totalmente seguro. Se detectarmos uma violação de dados com risco para os titulares, notificamos a APD e, quando o risco for elevado, as pessoas afectadas, sem demora injustificada.

11. Cookies e armazenamento local

A aplicação web usa apenas cookies essenciais: a sessão de início de sessão e a escolha de idioma. Não usamos cookies de publicidade nem ferramentas de análise de terceiros na plataforma.

12. Menores

O Kamaia é um serviço profissional destinado a maiores de 18 anos, utilizado no âmbito de organizações. Não recolhemos intencionalmente dados de menores.

13. Alterações a esta política

Podemos actualizar esta política quando o serviço ou a lei mudarem. A data da versão em vigor aparece no topo. Se a alteração for relevante, avisamos com antecedência na plataforma ou por email.

14. Contactos

[Nome completo ou denominação social do responsável] — NIF [NIF]

[Morada completa, Luanda, Angola]

Privacidade e protecção de dados: privacidade@kamaia.cc