Política de privacidade

Última atualização: 7 de outubro de 2026

Esta tradução destina-se apenas a facilitar a leitura. Em caso de divergência, prevalece a versão espanhola.

Esta Política informa sobre o tratamento de dados pessoais realizado através do serviço AIM CODEX. A BIOMAG, S.L.U. cumpre o Regulamento (UE) 2016/679 (RGPD), a lei orgânica espanhola 3/2018 (LOPDGDD) e a LSSI, garantindo transparência e segurança na utilização dos dados.

1. Responsável pelo tratamento

2. Dois papéis: responsável e subcontratante

Pela própria natureza do Serviço coexistem dois papéis que importa distinguir:

• A BIOMAG, S.L.U. atua como RESPONSÁVEL pelos dados da conta e da relação contratual: os dados de quem contrata ou utiliza o Serviço (nome, e-mail, empresa, dados de faturação) e os dados de utilização necessários para o prestar e proteger.
• A BIOMAG, S.L.U. atua como SUBCONTRATANTE relativamente aos dados pessoais que o utilizador decida incluir nos documentos que sela, partilha ou envia através do Serviço, bem como aos dados dos destinatários. Nesse âmbito o responsável é o utilizador e a BIOMAG trata os dados por sua conta e segundo as suas instruções, nos termos do Contrato de subcontratação.
• Página de origem do registo: se criar a conta ao carregar num botão de uma das nossas páginas (por exemplo, o modelo de orçamento), guardamos o nome dessa página com o registo, para saber que páginas são úteis. Apenas o nome da página: nada fica guardado no seu navegador e não o seguimos entre visitas. Fundamento: interesse legítimo.

3. Que dados tratamos?

• Dados de identificação e contacto: nome, endereço de e-mail, organização.
• Dados de faturação: os necessários para emitir faturas e gerir o pagamento da subscrição.
• Dados de utilização e segurança: endereço IP, dados de navegação e registos das ações realizadas no Serviço (criação, selagem, verificação, aceitação), para funcionamento, prova e prevenção da fraude.
• Conteúdo dos documentos e dados dos destinatários (nome e e-mail de quem recebe, abre, verifica ou aceita um documento): tratados como subcontratante, por conta do utilizador responsável.
• Texto enviado às funções de inteligência artificial (redigir, rever ou explicar um documento), apenas quando o utilizador as utiliza. Pode incluir dados pessoais de terceiros se o documento os contiver; é tratado como subcontratante, por conta do utilizador. Não utilize estas funções com categorias especiais de dados (saúde, convicções, filiação sindical, origem étnica, vida sexual, biometria, dados penais).
• Gravações áudio de reuniões, apenas quando o utilizador usa a função de atas: o áudio é enviado ao fornecedor de inteligência artificial (através da OpenRouter) para o transcrever e redigir o rascunho da ata. O CODEX não conserva a gravação: guarda apenas a sua impressão digital SHA-256 e o seu tamanho. Contém a voz e o que dizem os participantes; é tratada como subcontratante, por conta do utilizador, que deve informar os participantes antes de gravar.
• Medição anónima do funcionamento do sítio: ao sair de cada página, o navegador envia três tempos de carregamento, a página e se o ecrã é de um dispositivo móvel. Sem cookies, sem identificadores e sem guardar o endereço IP.
• Relatórios técnicos do navegador quando a política de segurança do sítio bloqueia algo: a página (sem parâmetros), a regra e a origem bloqueada. Nenhum dado sobre a pessoa.
• Respostas a inquéritos voluntários para melhorar o sítio: anónimas; não pedimos nome nem e-mail.

A ancoragem da prova na blockchain pública publica apenas uma impressão digital criptográfica (hash SHA-256) do documento: nem o conteúdo do documento nem qualquer dado pessoal são publicados na cadeia.

4. Finalidades e fundamento jurídico

5. Destinatários e subcontratantes (subcontratantes ulteriores)

Os dados não são cedidos a terceiros, salvo obrigação legal ou quando necessário para prestar o Serviço. Para o prestar, tratam dados como subcontratantes da BIOMAG, S.L.U., com contrato de subcontratação, os seguintes fornecedores (a lista atualizada, com os dados que cada um trata e onde, está em aim-codex.ai/subencargados):

• Railway (EUA): alojamento da aplicação e da base de dados, em servidores nos Países Baixos.
• Resend (EUA): envio dos e-mails do serviço, a partir da sua região europeia (Irlanda).
• Migadu-Mail GmbH (Suíça): a caixa de contacto e o envio de correio de reserva.
• OpenRouter, Inc. (EUA): acesso aos modelos de inteligência artificial, apenas quando essas funções são utilizadas: recebe o texto e, se forem usadas as atas de reunião, a gravação áudio. Cada pedido exige que o fornecedor que executa o modelo não guarde os dados e não os utilize para treino.
• Paddle.com Market Limited (Reino Unido): cobrança das subscrições como revendedora; trata os dados de pagamento como responsável, e não por nossa conta.
• Calendários de selagem temporal da blockchain pública (OpenTimestamps) e autoridades de selagem temporal (DigiCert, Sectigo e FreeTSA): recebem apenas a impressão digital SHA-256, nenhum dado pessoal.
• Exploradores públicos de Bitcoin (blockstream.info e mempool.space): quando verifica um documento, o seu navegador pede-lhes diretamente os dados públicos do bloco em que está ancorado; como qualquer sítio web, recebem o seu endereço IP e o número do bloco, nunca o documento nem a sua impressão digital. O nosso servidor também os consulta, apenas com o número do bloco.
• Consultores fiscais e contabilísticos, auditores e serviços jurídicos, quando necessário, e autoridades e administrações públicas, quando a lei o exija.

Onde estão os seus dados. Os dados da sua conta e os seus documentos são guardados na União Europeia. O texto e o áudio que envia às funções de inteligência artificial são processados nos Estados Unidos ou noutros países onde se encontram os fornecedores dos modelos.

Transferências internacionais: a Railway, a Resend e a OpenRouter são empresas norte-americanas. Qualquer transferência ou acesso a partir de fora do Espaço Económico Europeu está coberto pelas cláusulas contratuais-tipo da Comissão Europeia incluídas nos seus contratos de subcontratação e, no caso da Resend, também pelo Quadro de Privacidade de Dados UE-EUA. A Suíça e o Reino Unido beneficiam de uma decisão de adequação da Comissão Europeia.

6. Prazos de conservação

• Dados da conta e dos documentos: enquanto a conta estiver ativa e, após o seu encerramento, durante o prazo que o utilizador determine ou o necessário para responder a responsabilidades legais.
• Faturação: os prazos exigidos pela legislação fiscal e comercial.
• Pedidos/apoio: até à sua resolução e, se for o caso, para rastreabilidade.
• Segurança/fraude: enquanto forem necessários; depois, bloqueados para responder a responsabilidades.
• Aberturas de ligações e códigos: o endereço IP e o navegador de cada abertura são apagados ao fim de 12 meses (conserva-se apenas a data); os códigos de verificação e as ligações para alterar a palavra-passe, no dia seguinte ao fim da validade; as subscrições de avisos nunca confirmadas, ao fim de 30 dias.
• Após a eliminação da conta: os seus documentos e dados são apagados. De cada documento selado conserva-se apenas a impressão digital criptográfica, a versão, a data da selagem e se estava revogado ou tinha validade, sem título nem dados pessoais, para que quem o recebeu possa continuar a comprovar que é autêntico.

Apagamento dos dados de quem assina ou acusa a receção. A pedido da pessoa, o emissor apaga os seus dados na consola: nome, e-mail, IP e navegador desaparecem das listas, do registo de atividade e das exportações, e a sua ligação deixa de funcionar. Os comprovativos e dossiês já selados não são alterados, porque a sua impressão digital mudaria e deixariam de provar o que quer que fosse: são conservados sem ligação pública, só o emissor os pode descarregar e apenas para efeitos de declaração, exercício ou defesa de um direito num processo judicial (art. 17.º, n.º 3, al. e), do RGPD), e são apagados com a conta. Nos dossiês partilhados por ligação, os e-mails vão mascarados.

7. Os seus direitos

Pode exercer os direitos de acesso, retificação, apagamento, oposição, limitação, portabilidade e retirada do consentimento dirigindo-se a:

• Correio postal: c/ Barrachi, 39 – Pab. 3, 01013 Vitoria-Gasteiz (Álava, Espanha).
• E-mail: hola@aim-codex.ai.

Podemos pedir comprovativo de identidade. Prazo de resposta: máximo de 1 mês (prorrogável por 2 meses). Quando os dados são tratados como subcontratante (os contidos nos documentos de um cliente), os pedidos dos titulares serão encaminhados para o cliente responsável para que lhes dê resposta. Pode apresentar reclamação à Agência Espanhola de Proteção de Dados: www.aepd.es.

8. Menores

O Serviço não se destina a menores de 14 anos e os seus dados não são tratados deliberadamente. Se forem detetados, serão apagados.

9. Segurança e violações

Aplicamos medidas técnicas e organizativas adequadas (controlo de acesso, cifragem em trânsito, selagem e integridade da prova, registo de incidentes e cópias de segurança). Em caso de violação de segurança que implique risco, notificá-la-emos à AEPD no prazo máximo de 72 horas e, quando necessário, aos titulares dos dados.

10. Cookies

A informação sobre cookies encontra-se na Política de cookies.