Esta Política de Privacidade explica que dados pessoais recolhemos sobre ti quando usas o serviço Pyralis e como os tratamos. Foi redigida em conformidade com o RGPD (Regulamento UE 2016/679) e a Lei n.º 58/2019, de 8 de Agosto.
1. Responsável pelo tratamento
O responsável pelo tratamento dos teus dados é Pyralis
(a entidade legal está em processo de constituição; será aqui identificada
com NIF e sede assim que registada). Contacto: ticket em
/customer/support.
2. Dados que recolhemos
2.1 Dados fornecidos por ti
- Conta: nome, email, palavra-passe (armazenada com hash Argon2id), país, idioma.
- Discord OAuth (opcional): ID Discord, username, avatar URL — apenas se associares a tua conta.
- 2FA (opcional): segredo TOTP cifrado.
- Suporte: conteúdo das mensagens em tickets de suporte.
- Faturação: nome de faturação e NIF (apenas para tiers pagos).
2.2 Dados recolhidos automaticamente
- Técnicos: IP, user-agent, timestamps de login (audit log, retenção 90 dias).
- Eventos de segurança: tentativas falhadas de login, alterações de password, activação de 2FA.
- Auditoria de acções: histórico de operações no painel (criar bot, mudar config, etc.).
2.3 Dados dos teus bots Discord
- Token Discord do teu bot — armazenado cifrado com Fernet (AES-128-CBC + HMAC-SHA-256).
- Configurações que definires (canais, cargos, mensagens, embeds).
- Estatísticas geradas pelo bot (votos em polls, convites, scores de jogos, etc.).
3. Finalidades e base legal
| Finalidade | Base legal |
|---|---|
| Prestação do Serviço | Execução de contrato (art. 6.º/1/b RGPD) |
| Faturação e contabilidade | Obrigação legal (art. 6.º/1/c) |
| Segurança e prevenção de fraude | Interesse legítimo (art. 6.º/1/f) |
| Comunicação operacional (e.g. verificação de email) | Execução de contrato |
| Comunicação de marketing | Consentimento (opt-in explícito) |
4. Subcontratantes
Usamos os seguintes prestadores para operar o Serviço:
- Stripe Payments Europe Ltd. — processamento de pagamentos (IE).
- Discord Inc. — APIs de bot e OAuth (US, com cláusulas-tipo).
- Fornecedor de infra-estrutura (cloud europeu) — alojamento de servidores e bases de dados.
- SMTP provider — envio de emails transaccionais (verificação, password reset).
Todos os subcontratantes operam sob contrato de tratamento de dados (DPA) que garante medidas de segurança apropriadas e, quando aplicável, cláusulas-tipo da Comissão Europeia para transferências internacionais.
5. Retenção
- Conta activa: enquanto a conta existir.
- Após encerramento: 30 dias e depois eliminação (excepto dados de faturação, retidos 10 anos por obrigação legal).
- Audit log e eventos de segurança: 90 dias.
- Backups: cifrados, ciclo de 30 dias.
6. Os teus direitos
Tens direito a:
- Acesso — pedir cópia dos teus dados pessoais.
- Rectificação — corrigir dados inexactos.
- Apagamento ("direito ao esquecimento") — sujeito a obrigações legais de retenção.
- Limitação e oposição ao tratamento.
- Portabilidade — receber os teus dados num formato estruturado.
- Retirar consentimento a qualquer momento, sem afectar o tratamento anterior.
- Reclamação à autoridade de controlo: Comissão Nacional de Protecção de Dados (CNPD), www.cnpd.pt.
Para exercer estes direitos: abre ticket em /customer/support.
7. Cookies
Usamos cookies essenciais para autenticação (auth_token) e segurança
(csrf_token). Não usamos cookies de marketing nem analytics de terceiros
por defeito. Detalhes em /legal/cookies.
8. Segurança
- Passwords com Argon2id (memory-hard hashing).
- Tokens Discord cifrados com Fernet.
- 2FA TOTP opcional para staff e clientes.
- HSTS + CSP estrita + cookies
httponly+SameSite=Lax. - Audit log append-only para acções administrativas.
- Backups cifrados diários.
9. Alterações a esta política
Esta política pode ser actualizada. Alterações materiais serão notificadas por email com pelo menos 30 dias de antecedência.