Política de privacidade

Com o teu consentimento, usamos o Google Analytics para analisar visitas às páginas públicas. O Google recebe dados de utilização e do dispositivo; pode haver tratamento nos EUA. Sem consentimento, a análise fica desativada. Guardamos a tua escolha durante 180 dias. Podes alterá-la aqui a qualquer momento.

1. Controlador

KENJTEC UG (haftungsbeschränkt) em constituição, e-mail: legal@kenjtec.com (endereço: ver aviso legal).

2. Hospedagem e entrega

Nossos sistemas funcionam no Google Cloud, na região europe-west1 (Bélgica); a base de dados é salva diariamente em várias regiões da UE. Os ficheiros da biblioteca de média (MediaStudio) são armazenados no Cloudflare R2, na UE (jurisdição da UE). À frente dos serviços está a Cloudflare (DNS, entrega, proteção), com uma rede mundial; em regra, um acesso é recebido no local mais próximo, também fora da UE. Ao abrir uma página, esses provedores tratam necessariamente o seu endereço IP (art. 6, § 1, alínea f do RGPD — o site não funciona sem ele).

3. Cookies

Os cookies necessários e a tua escolha de análise são separados. Os cookies do Google Analytics (_ga, _ga_*) só são definidos com consentimento, por até 60 dias sem renovação automática. A escolha fica no navegador durante 180 dias.

• o idioma e a moeda da sua escolha,
• o seu token de sessão quando você está conectado,
• antes do lançamento público: o cookie da porta de entrada.

4. Conta

No cadastro, armazenamos o seu e-mail, a sua senha (como hash, nunca em texto claro) e o seu nome, idioma e moeda, se você os informar (art. 6, § 1, alínea b do RGPD — execução do contrato). Registramos logins e tentativas de login com o endereço IP por 180 dias (art. 6, § 1, alínea f do RGPD — segurança da conta); depois disso, o registro é apagado.

Se você fizer login com «Continuar com Google», o Google nos transmite o seu e-mail confirmado e o seu nome. O Google é responsável pelo login no próprio Google.

5. Pagamentos

Os pagamentos são processados pela Stripe. Os dados do seu cartão ficam na Stripe e nunca chegam aos nossos sistemas. Da Stripe recebemos apenas a bandeira, os quatro últimos dígitos e a data de validade do seu cartão, além de um identificador a partir do qual não é possível obter o número do cartão. Com ele verificamos que o mesmo cartão não está vinculado a mais de três contas. A Stripe é controladora independente para o processamento de pagamentos.

6. E-mails

Enviamos os e-mails de sistema (cadastro, senha, notificações) pela Mailjet. Para isso, o seu e-mail é transmitido à Mailjet (art. 6, § 1, alínea b do RGPD). E-mails publicitários só com o seu consentimento expresso.

7. Funções de IA

As funções de IA (Kenji) usam quatro provedores: Google (Vertex AI, tratamento na multirregião da UE), Mistral AI (tratamento na UE), Anthropic (Claude; armazena os dados nos EUA, e o cálculo das respostas pode ocorrer também em outros países) e OpenAI (tratamento nos EUA). Qual provedor assume uma tarefa é definido por nós para cada tarefa com base na qualidade medida e no preço; se um não responder, ou não responder no formato exigido, assume o seguinte. Atualmente, as tarefas mais simples — por exemplo, sugestões de texto e de SEO, descrições de imagens, a análise de respostas de formulários ou produtos a partir de fotos — vão primeiro para o Google, com a Anthropic como alternativa de reserva; as tarefas exigentes — por exemplo, gerar um site, um formulário ou uma loja — funcionam via Anthropic. A Mistral AI e a OpenAI assumirão tarefas assim que as nossas medições mostrarem que é aí que ficam mais bem resolvidas. Imagens são geradas exclusivamente pelo Google, igualmente através da multirregião da UE.

É transmitido o que você dá à IA — o seu texto, os seus dados e, em tarefas com imagens, a imagem (para descrições de imagens, uma cópia reduzida). Isso só acontece quando você aciona uma função de IA; em segundo plano ou no carregamento, nenhum conteúdo chega aos provedores de IA. Os seus dados são separados por cliente: a IA de uma conta vê apenas os dados dessa conta. Segundo as suas condições contratuais, nenhum dos quatro provedores usa essas entradas para treinar os seus modelos; a Mistral AI e a OpenAI guardam entradas e saídas por até 30 dias para detetar abusos. A base jurídica é o art. 6, § 1, alínea b do RGPD.

8. Verificação de imagens no carregamento

Verificamos automaticamente, na entrada, as imagens carregadas nos nossos serviços ou incorporadas a partir das bibliotecas de imagens — na biblioteca de média (lá também ficheiros PDF), em formulários (também imagens e assinaturas carregadas por quem os preenche), em sites e como logotipo em faturas e orçamentos. Procuramos representações que não têm lugar em um site (por exemplo, conteúdos sexualmente explícitos, violência ou símbolos de ódio). Para isso, uma cópia reduzida vai para a Amazon Web Services (Amazon Rekognition, região eu-central-1, Frankfurt): no máximo 1.024 pontos de imagem no lado mais longo, recodificada como JPEG; nos ficheiros PDF, cópias rasterizadas das primeiras páginas. Da mesma cópia de uma imagem da biblioteca de média resultam palavras-chave para a pesquisa nela. Não enviamos o original para isso.

A base jurídica é, para a verificação, o art. 6, § 1, alínea f do RGPD — o nosso interesse legítimo em não entregar conteúdos ilegais sob o nosso domínio —, e para as palavras-chave, o art. 6, § 1, alínea b do RGPD. Segundo as suas condições, a AWS pode armazenar essas entradas e usá-las para melhorar os seus serviços, também em outra região, enquanto não houver oposição a isso; a indicação sobre se essa oposição está configurada para a nossa conta será completada.

9. Imagens, fontes e mapas

Baixamos as imagens que você escolhe nas bibliotecas do Pexels e do Pixabay e as servimos do nosso próprio armazenamento — os visitantes das suas páginas nunca se conectam a esses provedores. Somente enquanto você pesquisa no seletor de imagens, o seu navegador carrega as pequenas imagens de pré-visualização diretamente do Pexels ou do Pixabay; nesse momento, eles veem o seu endereço IP.

As fontes predefinidas da interface KENJTEC são servidas por nós. As pré-visualizações de fontes e os conteúdos dos clientes também podem carregar fontes através do Bunny Fonts (BunnyWay d.o.o., Eslovénia — UE); nesse caso, o seu navegador liga-se a fonts.bunny.net, que, segundo o fornecedor, não regista dados de visitantes nem define cookies. Nas nossas páginas e nos nossos modelos, o Google Fonts não é incorporado.

Nas nossas páginas, mapas explicam as redes de distribuição e as regiões de servidores. Primeiro aparece lá o nosso próprio desenho, que não carrega nada de fora. Só quando você clica em «Carregar o mapa do Google» é carregado um mapa do Google Maps; então o seu navegador se conecta a servidores do Google, e o Google recebe o seu endereço IP (art. 6, § 1, alínea a do RGPD — o seu consentimento pelo clique; ele vale apenas para este acesso à página e não é armazenado). O Google é controlador independente para isso e, segundo as suas condições, pode usar esses dados também para melhorar os seus próprios serviços.

10. Domínios

Se você registrar um domínio através de nós, transmitimos os dados do titular que você indicar para isso ao nosso registrador Tucows (OpenSRS), no Canadá; este os encaminha, na medida em que a extensão em questão o exija, à respetiva entidade de registro (art. 6, § 1, alínea b do RGPD — sem esses dados não é possível registrar um domínio).

11. Formulários que clientes criam com a KENJTEC

Se você preenche um formulário criado por um cliente da KENJTEC, esse cliente é o controlador das suas respostas; nós as tratamos por conta dele. Se você carregar uma imagem ou uma assinatura nesse processo, ela passa pela verificação automática de imagens da seção 8. Em campos de e-mail verificamos a existência do domínio por uma consulta DNS à Cloudflare — só é transmitida a parte depois do @, nunca o endereço em si.

12. Procedimento de denúncia e e-mails para nós

Se você denuncia conteúdos pelo nosso procedimento de denúncia, guardamos os seus dados para o processamento e como prova conforme o art. 17 DSA (art. 6, § 1, alínea c do RGPD — obrigação legal). Não armazenamos o seu endereço IP nesse processo.

Se você nos escrever um e-mail, por exemplo para legal@kenjtec.com ou abuse@kenjtec.com, a Cloudflare o recebe e o encaminha para a nossa caixa de e-mail no Google (Gmail); guardamos uma cópia no nosso próprio sistema para processá-lo (art. 6, § 1, alínea b do RGPD; em pedidos fora de um contrato, art. 6, § 1, alínea f do RGPD).

13. Seus direitos

Você tem direito de acesso, retificação, apagamento, limitação do tratamento, portabilidade dos dados e oposição (art. 15–21 do RGPD). Para isso, basta escrever ao endereço acima. Você também pode reclamar junto a uma autoridade de proteção de dados — competente para nós: o Comissário de Hamburgo para Proteção de Dados e Liberdade de Informação. Você apaga a sua conta no Painel, em «Conta»; ela é apagada no mínimo 30 dias depois do seu pedido e do fim do período contratual — até lá, pode retirar o pedido.

14. Prestadores de serviços e transmissões para países terceiros

Estes prestadores de serviços tratam dados pessoais para nós ou os recebem de nós. Onde uma informação ainda não está documentada, consta «será completada» — não escrevemos nada que não possamos comprovar.

• Google Cloud — Google Cloud EMEA Limited, Dublin (Irlanda). Operação, base de dados, ficheiros e backups (região europe-west1 na Bélgica, backups em regiões da UE), IA através da Vertex AI na multirregião da UE. Subcontratante. Na medida em que dados sigam para a Google LLC nos EUA: EU-US Data Privacy Framework e, subsidiariamente, cláusulas contratuais-padrão.
• Cloudflare — Cloudflare, Inc. (EUA). DNS, entrega e proteção através de uma rede mundial, recepção de e-mails para os nossos endereços, armazenamento dos ficheiros de mídia na UE (R2). Subcontratante. Base: EU-US Data Privacy Framework e, subsidiariamente, cláusulas contratuais-padrão.
• Anthropic — Anthropic Ireland, Limited, Dublin (Irlanda); empresa-mãe Anthropic, PBC (EUA). Funções de IA. Armazenamento nos EUA, cálculo das respostas também possível em outros países. Subcontratante. Base: as cláusulas contratuais-padrão contidas no acordo de tratamento de dados da Anthropic.
• Mistral AI — Mistral AI SAS, Paris (França). Funções de IA através do acesso europeu (tratamento na UE). Subcontratante.
• OpenAI — OpenAI Ireland Limited, Dublin (Irlanda). Funções de IA. Tratamento nos EUA. Subcontratante. Base: as cláusulas contratuais-padrão contidas no acordo de tratamento de dados da OpenAI.
• Amazon Web Services — Amazon Web Services EMEA SARL (Luxemburgo). Verificação de imagens e palavras-chave, região eu-central-1 (Frankfurt); sobre o armazenamento para fins próprios, ver seção 8. Subcontratante. Na medida em que dados sigam para os EUA: EU-US Data Privacy Framework e, subsidiariamente, cláusulas contratuais-padrão.
• Mailjet — Mailjet SAS (Sinch), Paris (França). Envio de e-mails de sistema. Tratamento na UE. Subcontratante.
• Stripe — Stripe Payments Europe, Limited (Irlanda). Pagamentos; controladora independente. Na medida em que dados sigam para a Stripe, LLC nos EUA: EU-US Data Privacy Framework.
• Tucows (OpenSRS) — Toronto (Canadá). Registro de domínios. Base: decisão de adequação da Comissão Europeia para o Canadá (2002/2/CE).
• Bunny Fonts — BunnyWay d.o.o., Liubliana (Eslovénia). Pré-visualizações de fontes e fontes nos conteúdos dos clientes. Tratamento na UE.
• Geoapify — KEPTAGO LTD, Pafos (Chipre). Sugestões de endereço no BrandStudio, apenas se utilizar a pesquisa: são transmitidos o texto pesquisado, o idioma e, se for o caso, o país escolhido — através do nosso servidor, ou seja, sem o seu endereço IP e sem dados da sua conta. Tratamento na UE. Subcontratante.
• Google — login com Google, o mapa (Google Maps) e a nossa caixa de e-mail para e-mails enviados para nós (Gmail). O Google é controlador independente para isso. Na medida em que dados sigam para a Google LLC nos EUA: EU-US Data Privacy Framework.
• Pexels e Pixabay — Canva Germany GmbH, Berlim. Imagens de pré-visualização no seletor de imagens; controladora independente.

Google Analytics 4

Google Analytics 4: fornecedor Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlanda. Dados: páginas vistas, horários, dispositivo, navegador, idioma, site de origem e identificador de cookie. O IP é tratado para a ligação. Bases: art. 6(1)(a) RGPD e § 25(1) TDDDG. Revogação nas definições de cookies; o tratamento anterior mantém-se lícito. O Google pode tratar dados nos EUA. Transferências e garantias: condições do Google. Detalhes: privacidade Google.

Os dados de utilizador e evento são eliminados do Google Analytics após dois meses, sem prolongamento por nova atividade. Os relatórios padrão agregados não estão sujeitos a este prazo.