Política de Privacidade

1. Quem é responsável pelos seus dados

Relativamente aos dados pessoais aqui descritos, a IntoClouds é a responsável pelo tratamento. A IntoClouds é operada a partir de Chișinău, República da Moldávia. Para qualquer questão de privacidade, ou para exercer os seus direitos, contacte hello@intoclouds.io.

Esta política abrange os dados pessoais dos nossos próprios clientes e titulares de conta. Quando armazena dados pessoais de outras pessoas nos seus servidores ou nas suas caixas de correio, é o responsável pelo tratamento desses dados e nós atuamos como seu subcontratante — consulte a nossa Adenda de Tratamento de Dados.

2. O que recolhemos

Recolhemos apenas o que precisamos para prestar e proteger o serviço:

• Detalhes da conta — o seu endereço de email, o seu nome e o nome da sua organização.
• Credenciais — a sua palavra-passe, armazenada apenas como um hash argon2id (nunca em texto simples), e, se o ativar, o segredo da sua autenticação de dois fatores.
• Dados de sessão — um cookie de sessão que contém um token aleatório; do nosso lado armazenamos apenas um hash desse token.
• Registos técnicos — os endereços IP aparecem nos registos dos nossos servidores e são usados pela nossa limitação de taxa para proteger contra abusos.
• Metadados de recursos — os servidores que cria (hostnames, endereços IP, região, plano), os seus domínios e registos DNS, e os endereços das suas caixas de correio.
• Registo de auditoria — um registo de cada ação que altera algo na sua conta (quem fez o quê, a que recurso, e quando), que mantemos por razões de segurança e responsabilização.
• Metadados de faturação — subscrições, faturas e montantes. Não recebemos nem armazenamos o número do seu cartão ou outras credenciais de pagamento — essas vão diretamente para a Polar (ver secção 4).
• Mensagens de apoio — tudo o que nos envia por email ou através do nosso bot de apoio do Telegram.

As funcionalidades opcionais guardam versões de configuração, implementações e evidências de diagnóstico. Valores de ambiente e credenciais de bases de dados são guardados encriptados; a aplicação usa-os no servidor escolhido. As API de leitura e exportações da conta omitem os segredos.

Ao ligar o GitHub, guardamos identificadores de instalação, repositório, fluxo e compilação para verificar implementações e pré-visualizações. O GitHub recebe as interações de autorização e fluxo necessárias à ligação.

Se ligar notificações Telegram, guardamos o identificador do chat privado, serviços escolhidos, preferências de eventos e tentativas de envio. As mensagens contêm um resumo e uma ligação ao espaço autenticado. O Telegram processa o identificador e as mensagens para as entregar. Pode desligar nas definições ou enviar /stop ao bot de notificações.

Um proprietário ou administrador pode publicar etiquetas de serviços, estado atual, histórico público e textos de manutenção numa página de estado. O conteúdo fica acessível sem conta. Os endereços de subscrição e confirmações permanecem privados e servem às atualizações pedidas por email, não à publicidade.

3. Porque o usamos, e o nosso fundamento jurídico

Ao abrigo do RGPD, baseamo-nos nos seguintes fundamentos jurídicos:

• Execução de um contrato — para criar e gerir a sua conta, aprovisionar e operar os seus servidores, domínios, DNS e email, e tratar da faturação.
• Interesses legítimos — para manter a plataforma segura e para prevenir e investigar fraude e abuso (por exemplo, endereços IP nos registos e limites de taxa, e o registo de auditoria).
• Obrigação legal — para cumprir requisitos como manter faturas para fins fiscais, e fornecer dados exatos do titular aos registos de domínios conforme exigido pelas regras da ICANN e do registo.

Relatórios internos dos serviços

Os administradores usam registos existentes de contas, faturação e aprovisionamento para relatórios agregados sobre ativação, pagamentos registados e prestação do serviço. Estes relatórios não recolhem eventos de navegação nem acrescentam píxeis de rastreio. Os ficheiros contêm contagens e montantes agregados sem identificadores de clientes.

4. Quem mais trata os seus dados

Partilhamos dados pessoais apenas com os prestadores de serviços de que precisamos para gerir a IntoClouds. Cada um atua ao abrigo de um contrato e apenas para os fins abaixo:

Alojamento — Hetzner

A Hetzner Online GmbH (Alemanha) fornece a infraestrutura na nuvem em que correm os seus servidores e os nossos sistemas. Os nossos próprios sistemas e os dados da sua conta estão em centros de dados da UE; os servidores que cria estão na região que escolheu para eles, que pode ficar fora da UE (ver a secção 5).

Pagamentos — Polar

A Polar atua como nosso comerciante oficial (merchant of record) e processador de pagamentos. A Polar recolhe diretamente os seus dados de pagamento e informações de faturação; recebemos apenas metadados de faturação (como o estado da subscrição e os montantes das faturas) e nunca os dados do seu cartão.

Domínios — registrador e registo

Já não são aceites novos pedidos de registo, transferência e renovação de domínios. Ligue um domínio do seu agente de registo atual para gerir o DNS. As condições abaixo aplicam-se a pedidos de domínio históricos.

Quando regista ou transfere um domínio, o registrador e o registo de domínio relevantes tratam os dados do titular necessários para operar o domínio, conforme exigido pelas políticas da ICANN e do registo.

Consulta DNS — resolvedor público da Cloudflare

Quando nos pede para importar a zona DNS de um domínio existente, consultamos o resolvedor público de DNS-over-HTTPS da Cloudflare para ler os registos públicos atuais desse domínio. Isto envia apenas uma consulta DNS padrão para o seu domínio — sem dados de conta — e apenas para os domínios que nos pede para importar.

Apoio — Telegram

Se nos contactar através do nosso bot de apoio no Telegram, o Telegram trata essas mensagens como parte da entrega da conversa.

Não vendemos os seus dados pessoais, nem os partilhamos para fins publicitários.

5. Onde os seus dados são armazenados

Os dados da sua conta — tudo o que consta da secção 2 — são armazenados na União Europeia (Alemanha e Finlândia). É aí que correm os nossos próprios sistemas e não depende de qualquer escolha sua.

Os servidores que cria são caso à parte, e é você que escolhe onde correm. Oferecemos regiões em Falkenstein e Nuremberga (Alemanha), Helsínquia (Finlândia), Ashburn, Virgínia e Hillsboro, Oregon (Estados Unidos) e Singapura. Se implantar fora da UE, quaisquer dados pessoais que coloque nesse servidor ficam armazenados nesse país: o responsável pelo tratamento desses dados é você, pelo que essa transferência e a sua base legal lhe cabem. Escolha uma região da UE se a residência na UE for importante para si.

Alguns dos subcontratantes indicados acima também podem operar a partir de fora da UE; quando isso implica uma transferência de dados pessoais pela qual somos responsáveis, é feita ao abrigo de uma garantia adequada, como as cláusulas contratuais-tipo da Comissão Europeia.

6. Durante quanto tempo o conservamos

• Dados da conta — enquanto a sua conta estiver aberta, e até 90 dias após o seu encerramento, findos os quais são eliminados ou anonimizados.
• Registos de auditoria — mantidos durante 12 meses por razões de segurança e responsabilização.
• Faturas e registos fiscais — mantidos durante o tempo que a lei fiscal e contabilística nos exige.

As subscrições exigem confirmação por email. Endereços ativos confirmados são guardados enquanto a subscrição e a página publicada estiverem ativas. A limpeza remove endereços não confirmados sete dias após expirar, cancelados após 30 dias e subscrições de páginas não publicadas há 30 dias. A eliminação ocorre em lotes limitados em segundo plano.

O histórico de estado, manutenções terminadas e registos de envio são agendados para remoção após 30 dias. A limpeza remove códigos Telegram expirados e ligações desativadas após 30 dias. Desligar ou cancelar para os envios pendentes; uma mensagem em curso ainda pode chegar.

7. Os seus direitos

Ao abrigo do RGPD, tem o direito de:

• aceder aos dados pessoais que detemos sobre si;
• retificar dados que estejam inexatos ou incompletos;
• apagar os seus dados ("direito a ser esquecido"), sob reserva dos nossos deveres legais de retenção;
• portabilizar os seus dados — recebê-los num formato estruturado, comum e legível por máquina;
• opor-se ao tratamento baseado nos nossos interesses legítimos, ou restringi-lo.

Para exercer qualquer um destes direitos, escreva para hello@intoclouds.io. Responderemos dentro do prazo permitido por lei (normalmente um mês).

8. Cookies e rastreio

Usamos um único cookie de sessão estritamente necessário para o manter com sessão iniciada. Contém um token de sessão aleatório e é definido com as flags HttpOnly e SameSite, para que não possa ser lido por scripts nem enviado a partir de outros sites.

Não usamos análise de navegação, rastreio publicitário, impressão digital nem cookies ou scripts de rastreio de terceiros.

9. Tomada de decisões automatizada

Não realizamos decisões automatizadas que produzam efeitos jurídicos ou similarmente significativos sobre si. Processos automatizados como a limitação de taxa contra abusos e a suspensão por falta de pagamento seguem regras fixas e publicadas e não constituem definição de perfis.

10. Crianças

A IntoClouds é um serviço empresarial para adultos e não é dirigido a crianças. Não recolhemos conscientemente dados pessoais de ninguém com menos de 18 anos. Se acredita que uma criança nos forneceu dados pessoais, contacte-nos e apagá-los-emos.

11. Reclamações

Se tiver alguma preocupação sobre a forma como tratamos os seus dados, contacte-nos primeiro em hello@intoclouds.io — gostaríamos de ter a oportunidade de corrigir a situação. Tem também o direito de apresentar uma reclamação junto de uma autoridade de controlo da proteção de dados, em particular no país da UE onde vive ou trabalha.