Legal & Privacidade

1. Responsável pelo Tratamento

ALTERNATIVE PARADIGM - LDA (manecas.ai)
NIF: 519294637
Sede: Rua João Ramalho n.º 141, Porto, Portugal
Email: privacidade@manecas.ai

Esta política aplica-se a dois contextos distintos: Site (visitantes de manecas.ai que não têm conta) e Serviço (clientes com conta que utilizam a aplicação). As secções abaixo identificam a que contexto se aplica cada ponto.

2. Dados Pessoais Recolhidos

Site — visitantes sem conta

• Formulário de contacto: Nome, email, empresa/projeto (opcional), número estimado de faturas por mês, plano selecionado e consentimento RGPD.
• Comunicações: Qualquer informação que nos envies por email (ola@manecas.ai ou privacidade@manecas.ai).
• Dados de navegação (com consentimento): Endereço IP (anonimizado), tipo de dispositivo/browser, páginas visitadas, duração da visita — recolhidos através de Google Analytics.
• Dados de marketing (com consentimento): Dados de interação e atribuição de conversões recolhidos através do Google Ads e do LinkedIn Insight Tag.
• Dados de utilização da aplicação (ao abrigo dos Termos de Serviço, desativável): Eventos sobre funcionalidades utilizadas na aplicação (por exemplo, carregamento de documentos, revisão e exportação), associados a um identificador interno opaco da tua conta e da empresa selecionada, recolhidos através do PostHog. Não inclui faturas, documentos, NIFs, nomes de fornecedores, valores, nomes de ficheiros nem texto introduzido por ti.

Serviço — utilizadores com conta

• Perfil de conta: Nome, endereço de email, palavra-passe (hash bcrypt), Google OAuth sub (se registo via Google).
• Dados fiscais: Faturas, documentos carregados, dados extraídos por IA (fornecedor, cliente, NIF, valores, datas, linhas).
• Integrações de email: Endereço Gmail ligado, metadados da ligação, tokens OAuth encriptados, expiração da ligação e anexos PDF importados automaticamente quando correspondem a documentos fiscais/comerciais.
• Integração WhatsApp: Números de telemóvel autorizados pela empresa (e o identificador WhatsApp correspondente), registo das mensagens recebidas (identificador da mensagem, tipo, nome do ficheiro, data) e as faturas enviadas em PDF ou fotografia. O texto das mensagens não é guardado. O administrador confirma que o titular do número foi informado, e o titular confirma a ligação enviando um código a partir desse número.
• Integração AT (Portal das Finanças): Credenciais de acesso ao Portal das Finanças fornecidas pelo utilizador e os dados fiscais recolhidos através dessa ligação. São usadas estrita e exclusivamente para recolher, em nome do utilizador, os documentos de despesas e de vendas da própria empresa (e-Fatura). Não são usadas para nenhuma outra finalidade.
• Ligação bancária (opcional): Quando a empresa liga uma conta bancária através da Synci (plataforma de agregação de dados bancários, Noruega) e de um prestador de ligação ao banco licenciado ao abrigo da PSD2 (GoCardless SAS, França), recebemos o nome do banco, o nome e o tipo de cada conta, os saldos e os movimentos contabilizados (entidade, descrição, montante, moeda e datas). O acesso é só de leitura: o Manecas nunca recebe nem guarda as credenciais do banco (o início de sessão é feito no portal da Synci, com o banco) e nunca inicia pagamentos. Não pedimos identificadores sensíveis (IBAN completo, nomes dos titulares); o portal apresenta-os truncados. Ao ligar um banco, recebemos todas as contas que o banco disponibiliza nessa ligação: não há seleção conta a conta, e ocultar uma conta na aplicação ("Mostrar") apenas a retira da tabela, não interrompe a importação dos seus movimentos. Os movimentos são guardados na UE, encriptados em repouso, e visíveis apenas aos membros da empresa.
• Ligação Stripe (opcional): Quando a empresa liga a sua conta Stripe através da app Manecas no Stripe Marketplace, recebemos o saldo dessa conta por moeda e as suas transações de saldo: tipo (pagamento, comissão, reembolso, transferência para o banco), montante bruto, comissão do Stripe, moeda, datas e a descrição que o Stripe lhes associa, que pode incluir o texto que a empresa definiu no pagamento. O acesso é só de leitura: o Manecas não lê clientes nem cartões e nunca cria cobranças, reembolsos nem transferências. A empresa autoriza o acesso no Stripe (OAuth), sem partilhar chaves de API; guardamos apenas os tokens de acesso que o Stripe emite, encriptados. Uma conta Stripe só fica ligada a uma empresa no Manecas de cada vez: ligá-la noutra empresa termina a ligação anterior. Os movimentos são guardados na UE, encriptados em repouso, e visíveis apenas aos membros da empresa.
• Metadados de utilização: Registos de auditoria (ações realizadas, endereço IP, user-agent), tokens de sessão, códigos OTP.
• Consentimentos: Registo de finalidades aceites, versão de política, IP e user-agent no momento do consentimento.

3. Finalidades e Base Legal

Âmbito	Finalidade	Base Legal (RGPD Art. 6.º)
Site	Pedidos de contacto comercial e informação sobre a plataforma	Consentimento — al. a)
Site	Análise estatística de utilização do site	Consentimento — al. a)
Site	Medição de campanhas de marketing	Consentimento — al. a)
Site	Vídeos YouTube incorporados	Consentimento — al. a)
Site	Formulário de contacto	Interesse legítimo ou consentimento — al. f) / al. a)
Site	Envio de novidades e atualizações de produto	Consentimento — al. a)
Serviço	Prestação do serviço (extração, arquivo, exportação de faturas)	Execução de contrato — al. b)
Serviço	Ligação opcional de Gmail para importar automaticamente anexos PDF de faturas, recibos e documentos comerciais	Execução de contrato — al. b)
Serviço	Ligação opcional ao Portal das Finanças (AT) para recolher os documentos de despesas e vendas da empresa no e-Fatura	Execução de contrato — al. b)
Serviço	Ligação bancária opcional (Synci / GoCardless) para mostrar os movimentos das contas da empresa ao lado das faturas e apoiar a reconciliação	Execução de contrato — al. b). O acesso ao banco assenta no consentimento PSD2 dado pela empresa ao banco, através do portal da Synci, renovado a cada 90 a 180 dias.
Serviço	Ligação Stripe opcional para mostrar o saldo e as transações de saldo da conta Stripe da empresa ao lado dos movimentos bancários e das faturas, e apoiar a reconciliação	Execução de contrato — al. b). O acesso assenta na autorização dada pela empresa no Stripe ao instalar a app Manecas, revogável a qualquer momento no Manecas ou no painel do Stripe.
Serviço	Envio de emails transacionais (OTP, links de exportação)	Execução de contrato — al. b)
Aplicação	Análise de utilização do produto (PostHog, UE): que funcionalidades são usadas, para orientar o desenvolvimento	Consentimento — al. a), prestado na aceitação dos Termos de Serviço ao criar a conta. Desativável a qualquer momento em Definições › Privacidade e Dados › Cookies e análise, sem afetar o acesso ao Serviço.
Serviço	Registo de auditoria e segurança da conta	Interesse legítimo — al. f)
Serviço	Obrigações de conservação fiscal (faturas 10 anos)	Obrigação legal — al. c)
Serviço	Prova de consentimento (registos de consentimento 5 anos)	Obrigação legal — al. c)

4. Subprocessadores e Terceiros

Os teus dados podem ser tratados pelos seguintes prestadores de serviço, com os quais mantemos acordos de tratamento de dados:

Âmbito	Prestador	Finalidade	País	Garantia de Transferência
Serviço	Google Cloud Platform (Cloud Run, Cloud Functions, Cloud SQL, Cloud Storage, Firestore, Pub/Sub)	Alojamento, função de extração e infraestrutura da aplicação	UE (europe-west1)	Google Cloud DPA
Serviço	Google Vertex AI — Gemini 3.1 Flash Lite (classificação, categorização e qualidade) + Gemini 3.5 Flash-Lite (extração estruturada)	Classificação contabilística, extração, categorização e controlo de qualidade de faturas (inferência IA e cache temporário de contexto)	UE (endpoint multi-região eu)	Google Cloud DPA; inferência e cache de contexto limitados à União Europeia.
Serviço	Google Gmail API	Envio de emails transacionais e ligação opcional de Gmail para ingestão de anexos PDF de documentos fiscais/comerciais	Google routing / localização da caixa de correio	Google API Services User Data Policy + Google Workspace API User Data and Developer Policy; Google DPA/SCCs quando aplicável
Serviço	Meta Platforms Ireland Ltd. — WhatsApp Business Platform (Cloud API)	Receção opcional de faturas (PDF ou fotografia) enviadas por WhatsApp a partir de números autorizados pela empresa, e envio das respostas de receção e de resultado	UE/EEE e EUA	Termos de dados da WhatsApp Business (Meta como subcontratante); EU-US Data Privacy Framework e SCCs (Decisão CE 2021/914)
Serviço	Synci (Tonning, "doing business as Synci", org. n.º 930076066, Bergen, Noruega)	Ligação bancária opcional: portal de ligação ao banco, leitura de contas, saldos e movimentos em nome da empresa, e notificações de alteração (webhooks). Os dados financeiros são armazenados na UE (DigitalOcean); o alojamento do portal, a proteção de rede e os emails do portal usam subprocessadores da Synci nos EUA (Vercel, Cloudflare, Resend/Mailgun), tal como a monitorização de erros e desempenho e o registo de logs aplicacionais (Laravel Nightwatch). Lista completa: aviso de privacidade do portal Synci e DPA da Synci.	Noruega (EEE); subprocessadores da Synci nos EUA	DPA da Synci para aplicações geridas; SCCs (Decisão CE 2021/914) para os subprocessadores da Synci nos EUA
Site	Google Analytics, Google Ads e Google Tag Manager	Análise estatística e medição de conversões de campanhas (com consentimento)	EUA	SCCs (Decisão CE 2021/914) + anonimização IP
Site	LinkedIn (Insight Tag)	Medição de campanhas (com consentimento)	EUA	SCCs (Decisão CE 2021/914)
Site	Supademo	Demos interativos do produto	EUA	SCCs (Decisão CE 2021/914)
Aplicação	PostHog (PostHog EU Cloud)	Análise de utilização do produto: eventos sobre funcionalidades usadas, ao abrigo dos Termos de Serviço aceites na criação da conta e desativável na aplicação. Não recebe faturas, documentos, NIFs, nomes de fornecedores, valores nem texto introduzido.	UE (Frankfurt)	PostHog DPA; tratamento e armazenamento exclusivamente na União Europeia, sem transferência para países terceiros.
Site	Google Sheets (Google Workspace)	Armazenamento de dados de formulário (contactos comerciais)	UE/EEE	Google Workspace DPA
Site	Google Identity Services	Autenticação de editores allowlisted na área privada /admin	Google routing / infraestrutura global	Google API Services User Data Policy + Google DPA/SCCs quando aplicável
Site	GitHub Actions / GitHub	Disparo e registo do deploy automático após publicação editorial	UE/EUA	GitHub DPA + SCCs quando aplicável
Site	Cloudflare Turnstile	Verificação anti-bot em formulários (interesse legítimo — segurança; sem cookies de rastreio)	UE PoP	Cloudflare DPA

"SCCs" refere-se a Cláusulas Contratuais-Tipo aprovadas pela Comissão Europeia — Decisão de Execução (UE) 2021/914.

Ligação bancária — responsável independente: o prestador de ligação ao banco através do qual a Synci obtém os dados (para bancos portugueses e europeus, GoCardless SAS, França), é um responsável pelo tratamento independente, não um subprocessador: acede ao banco ao abrigo da sua própria licença PSD2 e da sua própria política de privacidade, apresentada no portal no momento da ligação: termos do GoCardless Bank Account Data e aviso de privacidade da GoCardless para titulares de contas. O portal de ligação é da Synci: aviso de privacidade do portal.

Ligação Stripe — responsável independente: o Stripe (para empresas da UE/EEE, Stripe Payments Europe, Limited, Irlanda) é o prestador de pagamentos da própria empresa e trata os dados da conta Stripe ao abrigo do contrato que tem com ela e da sua própria política de privacidade; não é um subprocessador do Manecas. O Manecas lê esses dados por instrução da empresa, através da app que ela instala na sua conta Stripe.

Nunca vendemos dados pessoais a terceiros.

5. Transferências Internacionais de Dados

Aplicação: O PostHog está alojado na União Europeia (Frankfurt). Os dados de utilização da aplicação não são transferidos para fora do Espaço Económico Europeu.

Site: Google Analytics, Google Ads, Google Tag Manager e LinkedIn Insight Tag enviam dados para os EUA ao abrigo de SCCs (Decisão 2021/914) quando consentes na utilização de cookies analíticos e de marketing.

Serviço — ligação bancária: A Synci (Tonning, Bergen, Noruega — EEE) armazena os dados financeiros na União Europeia. Alguns subprocessadores da Synci estão nos EUA (alojamento do portal, proteção de rede, emails do portal, monitorização de erros e logs aplicacionais) ao abrigo de Cláusulas Contratuais-Tipo (Decisão 2021/914). O prestador de ligação ao banco, GoCardless SAS, está em França e atua como responsável independente. Os movimentos importados são guardados pelo Manecas na UE (europe-west1).

Serviço — ligação Stripe: O Manecas lê os dados diretamente da API do Stripe, por instrução da empresa; o Stripe trata-os como responsável independente (ver secção 4). Os movimentos importados são guardados pelo Manecas na UE (europe-west1).

Serviço: O armazenamento e o tratamento operacional dos dados de faturas (Cloud Storage, Firestore, Cloud SQL, Pub/Sub, Cloud Functions) realizam-se na União Europeia (europe-west1). A inferência dos modelos Gemini 3.1 Flash Lite (classificação documental e contabilística, categorização e qualidade) e Gemini 3.5 Flash-Lite (extração estruturada) e o respetivo cache temporário de contexto são processados através do endpoint multi-região eu do Google Vertex AI, que limita este processamento a Estados-Membros da União Europeia. A integração Gmail depende da infraestrutura e routing da Google para aceder à caixa de correio autorizada pelo utilizador; no Manecas, apenas metadados da ligação, tokens encriptados e anexos PDF elegíveis seguem para o pipeline do serviço.

6. Períodos de Retenção

Âmbito	Categoria de Dados	Prazo de Retenção	Observações
Serviço	Conta de utilizador e perfil	Até pedido de eliminação	Eliminado imediatamente após exercício do direito de apagamento.
Serviço	Códigos OTP de verificação de email	24 horas após expiração (10 min)	Eliminados automaticamente pelo processo de limpeza diário.
Serviço	Tokens de sessão (refresh tokens)	7 dias após expiração	Eliminados automaticamente pelo processo de limpeza diário.
Serviço	Ligação Gmail (tokens OAuth encriptados, endereço, watch/history)	Até desconexão, substituição da ligação, eliminação de conta do utilizador que autorizou, ou eliminação da empresa	Tokens OAuth não são incluídos em exportações DSAR. Documentos importados seguem a retenção fiscal de 10 anos.
Serviço	Integração WhatsApp (número do remetente e nome do ficheiro no registo de mensagens; número de remetentes removidos)	90 dias	Apagados automaticamente após 90 dias; o registo mantém apenas identificadores e a ligação ao documento. Números ativos mantêm-se até serem removidos pela empresa. As faturas recebidas seguem a retenção fiscal de 10 anos.
Serviço	Ligação AT (credenciais do Portal das Finanças)	Até desconexão, substituição da ligação ou eliminação da empresa	Usadas exclusivamente para recolher despesas e vendas no e-Fatura. Documentos importados seguem a retenção fiscal de 10 anos.
Serviço	Ligação bancária — credencial da empresa na Synci (identificador do utilizador gerido e token de acesso encriptado)	Até eliminação da empresa	É uma credencial ao nível da empresa, comum a todos os bancos ligados. Na eliminação da empresa, em qualquer modo, é apagada e o utilizador gerido na Synci é eliminado, o que revoga todas as ligações.
Serviço	Ligação Stripe — tokens de acesso OAuth encriptados	Até a empresa desligar o Stripe, a conta Stripe ser ligada noutra empresa ou a empresa ser eliminada	Ao desligar, os tokens são apagados de imediato e o Manecas deixa de ter acesso; a app pode continuar instalada no Stripe até a empresa a remover no painel do Stripe, mas sem tokens não dá acesso. Na eliminação da empresa, em qualquer modo, são apagados. As contas e os movimentos do Stripe seguem as regras das ligações bancárias (linhas seguintes).
Serviço	Ligação bancária — registo de cada ligação e respetivas contas	Ligação: enquanto a empresa existir, em qualquer modo de eliminação, como marca de revogação; contas: até a empresa desligar o banco com apagamento ou eliminação definitiva da empresa; na eliminação com retenção fiscal, 10 anos com os movimentos	Desligar um banco revoga o acesso junto da Synci de imediato; o registo da ligação fica marcado como revogado (para a ligação nunca ser reaberta por engano) e, na eliminação da empresa, todas as ligações são marcadas assim. Se a empresa mantiver os movimentos, as contas ficam listadas como "banco desligado".
Serviço	Movimentos bancários importados	Enquanto a empresa os mantiver; na eliminação da empresa com retenção, 10 anos	Ao desligar um banco a empresa escolhe manter ou apagar os movimentos já importados. Na eliminação definitiva da empresa são apagados; na eliminação com retenção fiscal ficam retidos 10 anos com os restantes dados fiscais (Art. 52.º CIVA).
Serviço	Exportações de dados (ficheiros ZIP)	24 horas após criação	Link de download expira ao fim de 24h; ficheiro eliminado automaticamente.
Serviço	Faturas e documentos fiscais	10 anos	Obrigação legal — Art. 123.º CIRC. Referência ao utilizador removida após eliminação de conta.
Serviço	Cache temporário de contexto Vertex AI para extração	Até 1 hora	Eliminado após o processamento numa base de melhor esforço; o TTL configurado limita a retenção máxima a 1 hora.
Serviço	Registos de auditoria	10 anos	Obrigação de responsabilização (Art. 5.º n.º 2 RGPD). Email e IP anonimizados na eliminação de conta.
Serviço	Registos de consentimento	5 anos após substituição	Retidos como prova de base legal (Art. 7.º n.º 1 RGPD). Referência ao utilizador removida após eliminação de conta.
Serviço	Códigos de convite	90 dias	Eliminados automaticamente após 90 dias de inatividade.
Site	Cookies de consentimento (localStorage)	12 meses	Renovado automaticamente se o consentimento for reconfirmado.
Site	Sessão do admin editorial (cookie HTTP seguro)	12 horas após emissão ou até logout	Necessário para autenticação de editores allowlisted na área privada /admin.
Site	Rascunhos e metadados editoriais do blog (Firestore)	Até eliminação/substituição manual do artigo	Inclui conteúdo Markdown, metadados do artigo, email do editor e estado do deploy para auditoria básica de publicação.
Site	Analytics — GA4 (dados de utilização)	14 meses	Os cookies _ga têm validade técnica de 2 anos, mas os dados de utilização são eliminados ao fim de 14 meses.
Site	Dados de formulário — Google Sheets	24 meses após último contacto	Eliminados manualmente após o prazo.
Site	Dados de marketing — Google Ads	Conforme janela de conversão configurada	Informação de cliques em anúncios usada para atribuir conversões.
Aplicação	Dados de utilização — PostHog	12 meses	Retenção configurada no projeto PostHog; findo o prazo os eventos são eliminados automaticamente.
Site	Dados de marketing — LinkedIn	Até 180 dias	Para eventos de conversão, conforme política de retenção da LinkedIn.
Serviço	Logs de servidor / segurança	90 dias	Registos de acesso e eventos de segurança.

Serviço — Ficheiro SAF-T (Standard Audit File — Portugal): O Manecas pode gerar ficheiros SAF-T PT para arquivo, uso interno da empresa e para o contabilista importar num programa certificado pela Autoridade Tributária. O serviço Manecas não constitui, por si só, substituto de software de faturação homologado pela AT para comunicações fiscais obrigatórias; a conferência dos dados e as obrigações legais perante a AT permanecem da responsabilidade do cliente e do seu assessor fiscal.

7. Direitos dos Titulares

Nos termos do RGPD, tens os seguintes direitos. Se és utilizador do serviço, a maioria pode ser exercida diretamente em Definições → Privacidade. Se és apenas visitante do site, contacta privacidade@manecas.ai.

Direito	Artigo	Como exercer — Serviço	Como exercer — Site
Acesso	Art. 15.º	Definições → Privacidade → "Exportar os meus dados" (ZIP com todos os dados pessoais)	Email para privacidade@manecas.ai
Retificação	Art. 16.º	Definições → Perfil (nome, email) ou edição direta de campos de fatura	Email para privacidade@manecas.ai
Apagamento	Art. 17.º	Definições → Privacidade → "Eliminar a minha conta". Dados fiscais retidos 10 anos por lei.	Email para privacidade@manecas.ai (ex.: remover um pedido de contacto)
Portabilidade	Art. 20.º	Definições → Privacidade → "Exportar os meus dados" (JSON por categoria). Contas e movimentos bancários importados: ainda não constam da exportação automática; pedido por email para privacidade@manecas.ai, respondido em formato estruturado no prazo legal.	Não aplicável (dados mínimos)
Restrição	Art. 18.º	Definições → Privacidade → "Solicitar restrição de tratamento"	Email para privacidade@manecas.ai
Oposição	Art. 21.º	Definições → Privacidade → "Consentimentos" ou email	Email para privacidade@manecas.ai
Retirada de consentimento	Art. 7.º	Definições → Privacidade → "Consentimentos" (toggles por finalidade); para a análise de utilização, Definições → Privacidade e Dados → "Cookies e análise"	Botão "Cookies" no site ou email

Serviço: Apagamento de conta — o que acontece: Na eliminação de conta, o perfil e sessões são eliminados imediatamente. Ligações Gmail autorizadas por esse utilizador são desativadas e os tokens OAuth são limpos. Os registos de auditoria têm o email e IP anonimizados. Faturas e documentos são retidos 10 anos (Art. 123.º CIRC) com a referência ao utilizador removida. Os registos de consentimento são retidos 5 anos como prova de base legal. Na eliminação de uma empresa, em qualquer modo, as ligações bancárias são revogadas junto da Synci (o utilizador gerido é eliminado) e os tokens de acesso ao Stripe são apagados; os movimentos importados são apagados na eliminação definitiva e, na eliminação com retenção fiscal, ficam retidos 10 anos com os restantes dados fiscais.

Para assistência em qualquer direito, contacta privacidade@manecas.ai. Respondemos num prazo máximo de 30 dias.

8. Decisões Automatizadas

Não realizamos decisões baseadas exclusivamente em tratamento automatizado que produzam efeitos jurídicos ou que te afetem significativamente.

9. Reclamações

Tens o direito de apresentar reclamação à autoridade de controlo portuguesa:
CNPD — Comissão Nacional de Proteção de Dados
www.cnpd.pt

10. Alterações a esta Política

Podemos atualizar esta política periodicamente. A data de "última atualização" no topo desta página indica quando foi revista pela última vez. Alterações significativas serão comunicadas por email ou aviso no site.

1. O Que São Cookies

Cookies são pequenos ficheiros de texto armazenados no teu dispositivo quando visitas um website. São amplamente utilizados para fazer os sites funcionarem de forma eficiente e para fornecer informações aos proprietários do site.

2. Base Legal

A utilização de cookies neste site rege-se pelo Regulamento Geral sobre a Proteção de Dados (RGPD), pela Lei n.º 41/2004, de 18 de agosto (Lei da Privacidade nas Comunicações Eletrónicas), e pela Lei n.º 46/2012, de 29 de agosto, que transpõe a Diretiva ePrivacy para o ordenamento jurídico português. No site, os cookies não essenciais só são ativados com o teu consentimento prévio e explícito, dado no banner. Na aplicação, a análise de utilização é aceite nos Termos de Serviço no momento em que crias a conta e pode ser desativada a qualquer momento nas definições, sem qualquer efeito no acesso ao Serviço.

3. Cookies e Armazenamento Local Utilizados

a) Armazenamento Necessário (sempre ativo)

Nome	Tipo	Finalidade	Duração
cookie_consent	Armazenamento Local (localStorage)	Armazena as tuas preferências de cookies e tecnologias de rastreio	Persistente (até remoção manual)
cf_clearance (Cloudflare Turnstile)	Cookie de sessão	Verificação anti-bot e proteção de formulários — ao abrigo de interesse legítimo (segurança, Art. 6.º n.º 1 al. f) RGPD)	Sessão (eliminado ao fechar o browser)
manecas_admin_session	Cookie HTTP seguro	Manter a sessão autenticada de editores allowlisted na área privada /admin	12 horas ou até logout manual

Nota: Esta entrada utiliza localStorage do browser, que é tecnicamente distinto de um cookie HTTP, mas está sujeito às mesmas regras de consentimento ao abrigo da Lei n.º 41/2004 e da Diretiva ePrivacy.

b) Cookies Analíticos (requerem consentimento)

Nome	Fornecedor	Finalidade	Duração do Cookie
_ga	Google Analytics	Distinguir utilizadores únicos	2 anos *
_ga_3YG7C7ZQZK	Google Analytics	Manter o estado da sessão	2 anos *
supademo_session	Supademo	Identificador de sessão de demo interativo	Sessão (eliminado ao fechar o browser)
supademo_uid	Supademo	Identificador de utilizador anónimo para rastreio de interações	365 dias

* Os cookies _ga têm uma validade técnica de 2 anos, mas a retenção dos dados de utilização no Google Analytics está configurada para um máximo de 14 meses, após os quais os dados são automaticamente eliminados.

b.1) Cookies Analíticos da Aplicação (aceites nos Termos de Serviço)

Aplicam-se apenas em app.manecas.ai. A aplicação não mostra banner de cookies: a análise de utilização é aceite nos Termos de Serviço na criação da conta e podes desativá-la a qualquer momento em Definições › Privacidade e Dados › Cookies e análise. O consentimento dado no site é independente deste — são domínios distintos e não se estende à aplicação.

Nome	Fornecedor	Finalidade	Duração
ph_*_posthog	PostHog (UE)	Identificador opaco de dispositivo e estado de sessão, para associar eventos de utilização à mesma sessão	365 dias
cookie_consent	manecas (localStorage)	Guardar a tua opção de desativar (ou voltar a ativar) a análise de utilização na aplicação	Até alteração ou limpeza do browser

Se desativares a análise de utilização, o código do PostHog deixa de ser descarregado, nenhum pedido é enviado para os seus servidores, a recolha para de imediato e estas entradas são eliminadas do teu browser. A escolha fica guardada neste browser, pelo que tens de a repetir noutro dispositivo.

c) Cookies de Marketing (requerem consentimento)

Nome	Fornecedor	Finalidade	Duração
_gcl_* / _gcl_ls	Google Ads	Guardar informação de cliques em anúncios para atribuição de conversões	Conforme janela de conversão configurada
li_sugr	LinkedIn	Identificador de browser para correspondência de anúncios	3 meses
bcookie	LinkedIn	Identificador de browser	1 ano
lidc	LinkedIn	Seleção de data center	24 horas
UserMatchHistory	LinkedIn	Sincronização de ID de anúncios	30 dias
AnalyticsSyncHistory	LinkedIn	Sincronização de analytics	30 dias

4. Como Gerir os Teus Cookies

Podes retirar ou alterar o teu consentimento a qualquer momento através do botão "Cookies" no canto inferior esquerdo do site e, na aplicação, em Definições › Privacidade e Dados › Cookies e análise, onde um único botão ativa ou desativa a análise de utilização. A retirada do consentimento não afeta a licitude do tratamento realizado com base no consentimento previamente prestado (Art. 7.º n.º 3 do RGPD).

Também podes configurar o teu browser para bloquear ou eliminar cookies:

• Google Chrome
• Mozilla Firefox
• Safari
• Microsoft Edge

Nota: bloquear determinados cookies pode afetar a tua experiência de navegação.

5. Alterações

Podemos atualizar esta Política de Cookies periodicamente. Alterações serão refletidas nesta página com a data de "última atualização" no topo.

1. Definições

• "Serviço" — A plataforma manecas.ai, incluindo o site, a aplicação web e quaisquer funcionalidades relacionadas.
• "Utilizador" — Qualquer pessoa singular ou coletiva que acede ao Serviço, utiliza a plataforma ou submete um pedido de contacto.
• "Conta" — O perfil criado pelo Utilizador para aceder ao Serviço.
• "Conteúdo do Utilizador" — Quaisquer dados, documentos ou informações carregados pelo Utilizador na plataforma.
• "Ligação Bancária" — A funcionalidade opcional que permite à empresa ligar contas bancárias ao Serviço, através da Synci e de um prestador de serviços de informação sobre contas autorizado (PSD2) ou, no caso do Stripe, através da app Manecas que a empresa instala na sua conta Stripe, para ver os movimentos ao lado das faturas.

2. Aceitação dos Termos

Ao aceder ao site, utilizar a plataforma ou submeter um pedido de contacto, aceitas estes Termos de Serviço na íntegra. Se não concordares, deves cessar imediatamente a utilização do site.

Ao criares uma conta aceitas também que a aplicação recolha dados de utilização do produto — que funcionalidades são usadas — através do PostHog, alojado na União Europeia. Esta recolha nunca inclui faturas, documentos, NIFs, nomes de fornecedores, valores, nomes de ficheiros nem texto introduzido por ti, e está descrita na Política de Privacidade e na Política de Cookies. Podes desativá-la a qualquer momento em Definições › Privacidade e Dados › Cookies e análise, sem qualquer efeito no acesso ao Serviço nem nas funcionalidades disponíveis.

3. Elegibilidade

O Serviço destina-se a pessoas com idade igual ou superior a 18 anos, com capacidade legal para celebrar contratos. Ao utilizar o Serviço em nome de uma organização, declaras ter autorização para vincular essa organização a estes termos.

4. Registo e Contas

• Cada conta é pessoal e intransmissível.
• És responsável pela confidencialidade das tuas credenciais de acesso.
• Deves fornecer informação verdadeira, atual e completa durante o registo.

5. Acesso ao Serviço

A plataforma encontra-se disponível em produção. O acesso é efetuado através de conta na aplicação web e poderá estar sujeito a limites razoáveis de utilização, manutenção programada ou evolução contínua de funcionalidades. Funcionalidades e preços poderão ser ajustados ao longo do tempo.

Ligação Bancária. A Ligação Bancária é só de leitura: o Serviço lê contas, saldos e movimentos e nunca inicia pagamentos nem transferências. As credenciais do banco são introduzidas no portal da Synci, diretamente com o banco; o Manecas nunca as recebe. O consentimento dado ao banco expira a cada 90 a 180 dias e pode ser renovado na aplicação. A Ligação Bancária está incluída na subscrição do Manecas; o número de bancos ligados pode estar limitado consoante o plano. Uma ligação abrange todas as contas que o banco disponibiliza; ocultar uma conta na aplicação apenas a retira da tabela. A empresa pode desligar um banco a qualquer momento, escolhendo manter ou apagar os movimentos já importados. O Serviço apresenta os movimentos tal como o banco os comunica e não substitui o extrato bancário.

Ligação Stripe. A ligação ao Stripe é feita através da app Manecas no Stripe Marketplace e é igualmente só de leitura: o Serviço lê o saldo e as transações de saldo da conta Stripe (pagamentos, comissões, reembolsos e transferências para o banco) e nunca cria cobranças, reembolsos nem transferências. A empresa autoriza o acesso no Stripe, sem partilhar chaves de API, e pode desligá-lo a qualquer momento no Manecas, mantendo ou apagando os movimentos já importados, ou removendo a app no painel do Stripe. A ligação ao Stripe não conta para o limite de bancos ligados do plano. Uma conta Stripe só fica ligada a uma empresa no Manecas de cada vez. A utilização do Stripe continua sujeita aos termos que a empresa tem com o Stripe.

6. Subscrições e Pagamentos

• Os valores e condições são comunicados por proposta comercial ou conforme publicado na página de preços.
• As subscrições podem ser mensais ou anuais, conforme o plano selecionado.
• Os valores mensais das subscrições são atualizados, em regra uma vez por ano, por um valor pelo menos igual à taxa de inflação (variação média anual do IPC publicada pelo INE).
• Podemos ainda ajustar preços em qualquer altura e em qualquer montante.
• Qualquer alteração de preço, incluindo a atualização anual, é comunicada com aviso prévio de 30 dias e só se aplica na primeira renovação após esse prazo. O Utilizador pode cancelar a subscrição antes de esta entrar em vigor.

7. Utilização Aceitável

O Utilizador compromete-se a:

• Não partilhar credenciais de acesso com terceiros.
• Não realizar engenharia inversa, descompilar ou desmontar o Serviço.
• Não carregar conteúdos ilegais, difamatórios ou que violem direitos de terceiros.
• Não tentar aceder a áreas não autorizadas do sistema.
• Não utilizar o Serviço para fins de branqueamento de capitais, fraude ou qualquer atividade ilícita.
• Não sobrecarregar intencionalmente a infraestrutura do Serviço.

8. Propriedade Intelectual

• A marca "manecas.ai", o código-fonte, design, logótipos e conteúdos do site são propriedade exclusiva da manecas.ai e estão protegidos pela legislação de propriedade intelectual portuguesa e europeia.
• O Utilizador mantém a titularidade de todos os dados e documentos que carregar na plataforma (Conteúdo do Utilizador). A manecas.ai não reivindica qualquer direito de propriedade sobre o Conteúdo do Utilizador.
• O Utilizador concede-nos uma licença limitada para tratar o Conteúdo do Utilizador exclusivamente para a prestação do Serviço.

9. Disponibilidade do Serviço

Esforçamo-nos por manter o Serviço disponível 24/7, mas não garantimos disponibilidade ininterrupta. Podemos realizar manutenções programadas com aviso prévio. O Serviço é fornecido de forma contínua e poderá evoluir ao longo do tempo, sem prejuízo das garantias legalmente aplicáveis.

10. Limitação de Responsabilidade

• Na máxima medida permitida pela lei, a manecas.ai não será responsável por danos indiretos, incidentais, especiais, consequenciais ou punitivos decorrentes da utilização ou impossibilidade de utilização do Serviço.
• A responsabilidade total da manecas.ai perante o Utilizador não excederá o valor pago pelo Utilizador nos 12 meses anteriores ao evento que originou a reclamação.
• Nada nestes termos limita a responsabilidade por dolo, culpa grave ou morte/lesão corporal causada por negligência.

11. Indemnização

O Utilizador aceita indemnizar e isentar a manecas.ai de qualquer reclamação, prejuízo ou despesa (incluindo honorários de advogados) resultante da violação destes Termos ou da utilização ilícita do Serviço.

12. Suspensão e Cessação

• Podemos suspender ou encerrar contas que violem estes Termos ou comprometam a segurança do Serviço, com notificação prévia sempre que possível.
• O Utilizador pode cancelar a sua conta a qualquer momento contactando ola@manecas.ai.
• Após cessação, os dados do Utilizador serão eliminados conforme a Política de Privacidade e o período de retenção aplicável.

13. Lei Aplicável e Jurisdição

Estes Termos regem-se pela lei portuguesa. Para utilizadores profissionais (B2B), qualquer litígio será submetido aos tribunais da Comarca do Porto. Para consumidores na aceção da legislação portuguesa e europeia de defesa do consumidor, aplica-se o foro legalmente competente nos termos da lei, não podendo esta cláusula restringir os direitos que lhes sejam conferidos por normas imperativas.

14. Alterações aos Termos

Reservamo-nos o direito de alterar estes Termos a qualquer momento. Alterações significativas serão comunicadas com aviso prévio de 30 dias por email ou aviso no site. A continuação da utilização do Serviço após as alterações constitui aceitação dos novos Termos.

15. Disposições Gerais

• Se alguma disposição destes Termos for considerada inválida ou inaplicável, as restantes disposições permanecerão em vigor.
• A tolerância quanto ao incumprimento de qualquer obrigação não constitui renúncia ao direito de a exigir no futuro.
• Estes Termos constituem o acordo integral entre o Utilizador e a manecas.ai relativamente à utilização do Serviço.

1. Responsável pelo Tratamento

ALTERNATIVE PARADIGM - LDA (manecas.ai)
NIF: 519294637
Sede: Rua João Ramalho n.º 141, Porto, Portugal
Email para assuntos de privacidade: privacidade@manecas.ai

2. Encarregado de Proteção de Dados (DPO)

Atualmente, a manecas.ai é uma microempresa que não realiza tratamento de dados em larga escala, nem trata categorias especiais de dados pessoais, pelo que não é obrigatória a designação de um Encarregado de Proteção de Dados nos termos do Art. 37.º do RGPD. Todos os pedidos relacionados com proteção de dados devem ser dirigidos a privacidade@manecas.ai.

3. Base Legal para o Tratamento

• Art. 6.º n.º 1 al. a) — Consentimento: Lista de espera, comunicações de marketing, cookies analíticos e cookies de marketing.
• Art. 6.º n.º 1 al. b) — Execução de contrato: Prestação do serviço, gestão de conta, faturação.
• Art. 6.º n.º 1 al. c) — Obrigação legal: Cumprimento de obrigações fiscais e regulamentares.
• Art. 6.º n.º 1 al. f) — Interesse legítimo: Segurança do serviço, prevenção de fraude, melhoria da plataforma.

4. Direitos dos Titulares

Enquanto titular de dados, tens os seguintes direitos ao abrigo do RGPD:

Direito	Descrição	Como Exercer
Acesso (Art. 15.º)	Obter confirmação e cópia dos dados tratados.	Envia email para privacidade@manecas.ai identificando o pedido e anexando cópia de documento de identificação para verificação.
Retificação (Art. 16.º)	Corrigir dados inexatos ou completar dados incompletos.
Apagamento (Art. 17.º)	Solicitar eliminação dos dados ("direito a ser esquecido").
Limitação (Art. 18.º)	Restringir o tratamento em determinadas circunstâncias.
Portabilidade (Art. 20.º)	Receber os dados num formato estruturado e legível por máquina.
Oposição (Art. 21.º)	Opor-te ao tratamento baseado em interesse legítimo ou marketing direto.
Retirada de consentimento (Art. 7.º n.º 3)	Retirar consentimento a qualquer momento, sem afetar a licitude do tratamento anterior.

5. Prazos de Resposta

Respondemos a todos os pedidos de titulares num prazo máximo de 30 dias. Em casos de especial complexidade ou volume elevado de pedidos, o prazo pode ser prorrogado até 60 dias adicionais, nos termos do Art. 12.º n.º 3 do RGPD, com comunicação prévia ao titular.

6. Subprocessadores

Lista completa de subprocessadores utilizados pelo site e pelo serviço:

Âmbito	Subprocessador	Finalidade	Localização	Mecanismo de Transferência
Serviço	Google Cloud Platform (Cloud Run, Cloud Functions, Cloud SQL, Cloud Storage, Firestore, Pub/Sub)	Alojamento, extração e infraestrutura da aplicação	UE (europe-west1)	Google Cloud DPA
Serviço	Google Vertex AI — Gemini 3.1 Flash Lite (classificação, categorização e qualidade) + Gemini 3.5 Flash-Lite (extração estruturada)	Classificação contabilística, extração, categorização e controlo de qualidade de faturas (inferência IA e cache temporário de contexto)	UE (endpoint multi-região eu)	Google Cloud DPA; inferência e cache de contexto limitados à União Europeia.
Serviço	Google Gmail API	Envio de emails transacionais e ligação opcional de Gmail para ingestão de anexos PDF de documentos fiscais/comerciais	Google routing / localização da caixa de correio	Google API Services User Data Policy + Google Workspace API User Data and Developer Policy; Google DPA/SCCs quando aplicável
Serviço	Meta Platforms Ireland Ltd. — WhatsApp Business Platform (Cloud API)	Receção opcional de faturas (PDF ou fotografia) enviadas por WhatsApp a partir de números autorizados pela empresa, e envio das respostas de receção e de resultado	UE/EEE e EUA	Termos de dados da WhatsApp Business (Meta como subcontratante); EU-US Data Privacy Framework e SCCs (Decisão CE 2021/914)
Serviço	Synci (Tonning, "doing business as Synci", org. n.º 930076066, Bergen, Noruega)	Ligação bancária opcional: portal de ligação ao banco, leitura de contas, saldos e movimentos em nome da empresa, e notificações de alteração (webhooks). Os dados financeiros são armazenados na UE (DigitalOcean); o alojamento do portal, a proteção de rede e os emails do portal usam subprocessadores da Synci nos EUA (Vercel, Cloudflare, Resend/Mailgun), tal como a monitorização de erros e desempenho e o registo de logs aplicacionais (Laravel Nightwatch). Lista completa: aviso de privacidade do portal Synci e DPA da Synci.	Noruega (EEE); subprocessadores da Synci nos EUA	DPA da Synci para aplicações geridas; SCCs (Decisão CE 2021/914) para os subprocessadores da Synci nos EUA
Site	Google Analytics, Google Ads e Google Tag Manager	Análise estatística e medição de conversões (com consentimento)	EUA	SCCs (Decisão CE 2021/914) + anonimização IP
Site	LinkedIn (Insight Tag)	Medição de campanhas (com consentimento)	EUA	SCCs (Decisão CE 2021/914)
Site	Supademo	Demos interativos do produto	EUA	SCCs (Decisão CE 2021/914)
Site	Google Sheets (Google Workspace)	Armazenamento de dados de formulário (contactos comerciais)	UE/EEE	Google Workspace DPA
Site	Google Identity Services	Autenticação de editores allowlisted na área privada /admin	Google routing / infraestrutura global	Google API Services User Data Policy + Google DPA/SCCs quando aplicável
Site	GitHub Actions / GitHub	Disparo e registo do deploy automático após publicação editorial	UE/EUA	GitHub DPA + SCCs quando aplicável
Site	Cloudflare Turnstile	Verificação anti-bot em formulários (interesse legítimo — segurança; sem cookies de rastreio)	UE PoP	Cloudflare DPA

"SCCs" refere-se a Cláusulas Contratuais-Tipo aprovadas pela Comissão Europeia — Decisão de Execução (UE) 2021/914.

Ligação bancária: o prestador de ligação ao banco (GoCardless SAS, França) é um responsável pelo tratamento independente, não um subprocessador; ver a Política de Privacidade, secção 4 (termos, privacidade; aviso do portal Synci).

Ligação Stripe: o Stripe é o prestador de pagamentos da própria empresa e um responsável pelo tratamento independente, não um subprocessador; ver a Política de Privacidade, secção 4.

7. Transferências Internacionais

As transferências de dados para fora do Espaço Económico Europeu são realizadas ao abrigo de Cláusulas Contratuais-Tipo (Art. 46.º n.º 2 al. c) do RGPD) e, quando aplicável, ao abrigo do EU-U.S. Data Privacy Framework (Decisão de Adequação da Comissão Europeia de 10 de julho de 2023).

8. Notificação de Violação de Dados

Em caso de violação de dados pessoais que constitua risco para os direitos e liberdades dos titulares, notificaremos a CNPD no prazo máximo de 72 horas após tomar conhecimento da violação, conforme previsto no Art. 33.º do RGPD. Se a violação for suscetível de resultar num elevado risco, notificaremos igualmente os titulares afetados sem demora injustificada (Art. 34.º).

9. Medidas de Segurança

A nossa infraestrutura principal de aplicação e armazenamento de dados está alojada na UE/EEE em fornecedores com certificação ISO 27001. Determinados subprocessadores (listados na secção 6) operam fora do EEE, estando sujeitos às salvaguardas descritas na secção 7.

• Encriptação de dados em trânsito (TLS/HTTPS) e em repouso (AES-256).
• Controlo de acessos baseado em funções (RBAC).
• Monitorização e registos de auditoria.
• Backups encriptados com testes regulares de recuperação.

10. Reclamações

Sem prejuízo de qualquer outro recurso administrativo ou judicial, tens o direito de apresentar reclamação à autoridade de controlo competente:

CNPD — Comissão Nacional de Proteção de Dados
Rua de São Bento, n.º 148-3.º, 1200-821 Lisboa
Telefone: +351 213 928 400
Website: www.cnpd.pt
Email: geral@cnpd.pt