Política de privacidade

1. Quem somos

O Unireply é um assistente de email desenvolvido em Portugal pela Unireply (em constituição) («Unireply», «nós»). Para qualquer questão sobre os seus dados, escreva para [email protected].

Esta política explica que dados pessoais tratamos quando visita unireply.com ou usa o Unireply, para quê, com quem os partilhamos, durante quanto tempo os guardamos e como pode exercer os seus direitos.

2. O nosso papel

Somos responsáveis pelo tratamento dos dados da sua conta, dos dados de utilização do site e dos emails de serviço que lhe enviamos.

Somos subcontratantes dos dados que as organizações clientes (por exemplo universidades e entidades públicas) colocam no Unireply: documentos, emails recebidos e respostas enviadas, e emails para os quais pedem um rascunho de resposta. Para esses dados, o responsável é a organização, que decide como são usados. Tratamo-los só segundo as instruções dela e nos termos de um acordo de subcontratação (artigo 28.º do RGPD).

3. Que dados tratamos

Tratamos apenas os dados de que precisamos:

• Conta: nome, email, nome de utilizador (opcional), foto de perfil (opcional) e as organizações e funções a que pertence.
• Início de sessão: palavra-passe (guardada apenas como hash, nunca em texto) ou a ligação a uma conta Google, GitHub ou X. Nesse caso, recebemos desse serviço o seu nome, email e foto.
• Sessões e segurança: endereço IP, navegador e datas de início de sessão.
• Conteúdo das organizações: documentos carregados, emails recebidos e respostas enviadas (pares de P&R) e definições do assistente de email. Podem conter dados pessoais de quem escreveu à organização.
• Emails para os quais pede um rascunho, e os rascunhos: o assunto e o texto do email (na extensão do navegador, toda a conversa aberta no Gmail ou no Outlook), o rascunho, a explicação do modelo, quem o pediu e quando. São guardados para que a organização veja como o assistente de email é usado e como os rascunhos se comparam com o que foi enviado.
• Respostas enviadas a partir da extensão do navegador: quando envia um rascunho a partir do Gmail ou do Outlook, o texto que enviou. É guardado com o email como um novo par de P&R da organização e usado para estimar o tempo poupado.
• Erros da extensão do navegador: quando a extensão falha no Gmail ou no Outlook, envia-nos o que estava a fazer, o erro, o endereço da página, as versões da extensão e do navegador e uma cópia do HTML da página. Essa cópia contém o que estava no ecrã, incluindo emails; é apagada ao fim de 30 dias.
• Contactos: o que nos escrever por email.

4. Para que usamos os dados e com que fundamento

Cada finalidade tem um fundamento no artigo 6.º do RGPD:

• Prestar o serviço à sua organização (base de conhecimento, rascunhos de resposta): execução do contrato com a organização; para o conteúdo, agimos por instrução dela.
• Gerir a sua conta e o seu acesso: execução de contrato e interesse legítimo da sua organização em dar acesso aos seus funcionários.
• Proteger o serviço (sessões, registos técnicos, prevenção de abuso): interesse legítimo.
• Enviar emails de serviço (códigos de início de sessão, convites, avisos de alteração de funções): execução de contrato.
• Cumprir obrigações legais (por exemplo fiscais): obrigação legal.

5. Inteligência artificial e revisão humana

O assistente de email usa modelos de linguagem para propor rascunhos de resposta a partir dos documentos e dos pares de P&R da organização. Funciona assim:

• Dados pessoais mascarados: antes de qualquer pedido a um modelo externo, o nosso servidor substitui nomes, emails, telefones e números de identificação por marcadores, e repõe-nos no rascunho já no nosso servidor. Os nomes já encontrados noutros textos da organização também são mascarados. A deteção é automática e pode não apanhar todos os dados.
• Exceção: as páginas digitalizadas e as imagens carregadas são enviadas sem máscara para a Google Vertex AI, na UE, para que o texto possa ser lido.
• Modelos na UE: os pedidos passam pela OpenRouter no seu ponto de acesso da UE e só são encaminhados para fornecedores que tratam os dados na UE.
• Sem retenção: os fornecedores de modelos não guardam os pedidos nem as respostas, e não os usam para treino.
• Uma pessoa decide sempre: o Unireply só propõe um texto. Uma pessoa da organização lê cada rascunho e decide o que envia. O Unireply não envia emails nem toma decisões sobre pessoas.

Não usamos os seus dados, nem os das organizações, para treinar modelos de IA.

6. Com quem partilhamos os dados

Recorremos a estes fornecedores, cada um com um acordo de tratamento de dados:

• OVH (França): servidor onde estão a base de dados e a aplicação, em Gravelines, França.
• Cloudflare (EUA): armazenamento dos ficheiros carregados e das fotos de perfil (Cloudflare R2), em centros de dados na Europa Ocidental. É a localização «Europa Ocidental» da Cloudflare, não a sua opção de jurisdição da UE, por isso a permanência na UE não está garantida por contrato.
• Cloudflare (EUA): proteção e entrega do site. Todo o tráfego passa pela rede da Cloudflare, normalmente pelo centro de dados mais próximo de si.
• OpenRouter (EUA): encaminha os pedidos aos modelos de IA, através do seu ponto de acesso na UE, onde os pedidos e as respostas são tratados. Os dados da nossa conta na OpenRouter (uso e faturação) ficam nos EUA.
• Fornecedores de modelos de IA, todos com tratamento na UE: Google (Vertex AI) para os rascunhos de resposta, para a pesquisa nos documentos e para ler páginas digitalizadas e imagens carregadas; Microsoft (Azure) para resumos de documentos e sugestões de etiquetas.
• Resend, Inc. (EUA): envio dos emails de serviço. Os dados de envio (endereço, assunto e conteúdo do email) são tratados e guardados nos EUA, ao abrigo de cláusulas contratuais-tipo.
• GitHub (EUA): aloja o nosso código e executa as atualizações automáticas e uma verificação diária do servidor, que copia as últimas linhas dos seus registos técnicos (secção 8).

Não vendemos dados pessoais. Só os divulgamos a autoridades quando a lei o obriga.

7. Transferências para fora da UE

A base de dados das organizações está na UE (França), os ficheiros na Europa Ocidental, e os modelos de IA tratam os seus dados na UE. Alguns fornecedores (Cloudflare, OpenRouter, Google, Microsoft, Resend e GitHub) são empresas dos EUA. Os emails de serviço, as cópias dos registos técnicos e os dados da nossa conta na OpenRouter são tratados nos EUA.

Nesses casos, a transferência está protegida pelo Quadro de Privacidade de Dados UE-EUA, quando o fornecedor está certificado, ou por cláusulas contratuais-tipo aprovadas pela Comissão Europeia. Pode pedir uma cópia destas garantias através de [email protected].

8. Durante quanto tempo guardamos os dados

• Emails para os quais pede um rascunho, e os rascunhos: enquanto a organização usar o Unireply. São apagados quando a organização é eliminada, ou antes, a pedido dela.
• Documentos e pares de P&R: até a organização os eliminar ou até ao fim do contrato. Quando um documento é eliminado, o ficheiro, o texto e os fragmentos usados na pesquisa são apagados de imediato; o título e as etiquetas ficam no histórico da organização. Um par de P&R eliminado deixa de ser usado de imediato; o texto é mantido para que a eliminação possa ser desfeita, e é apagado a pedido da organização ou no fim do contrato.
• Erros da extensão do navegador: a cópia da página é apagada 30 dias depois do erro; o resto do relatório (erro, endereço da página, versões) é mantido para acompanhar a correção.
• Conta: até a eliminar (em Conta) ou até a sua organização deixar de usar o Unireply.
• Sessões: expiram ao fim de 30 dias sem utilização.
• Registos técnicos: os registos do servidor web (endereço IP, página pedida, data) são mantidos durante 14 dias. Os registos da aplicação são mantidos até à atualização seguinte do serviço; uma verificação diária copia as suas últimas linhas para o GitHub, onde ficam até 90 dias.
• Cópias de segurança: a base de dados é copiada manualmente antes de trabalhos de manutenção, para o computador de quem os faz, em Portugal. Ainda não há um prazo fixo: as cópias são apagadas manualmente.

9. Segurança

• Todas as ligações são cifradas (HTTPS).
• Base de dados alojada na UE (França); ficheiros na Europa Ocidental.
• Dados pessoais mascarados antes de cada pedido a um modelo de IA externo.
• Cada organização só vê os seus próprios dados.
• Os ficheiros só podem ser abertos por ligações temporárias, criadas depois de confirmar que pertence à organização.
• As palavras-passe são guardadas apenas como hash.

10. Os seus direitos

Nos termos do RGPD, tem direito a:

• Acesso: saber que dados tratamos e receber uma cópia.
• Retificação: corrigir dados errados ou incompletos. Pode alterar o nome, o email e a foto em Conta.
• Apagamento: pedir que apaguemos os seus dados. Pode eliminar a sua conta em Conta.
• Limitação: pedir que suspendamos o tratamento em certos casos.
• Portabilidade: receber os dados que nos deu num formato de uso comum.
• Oposição: opor-se ao tratamento baseado em interesse legítimo.

Para exercer qualquer direito, escreva para [email protected]. Respondemos no prazo de um mês, que pode ser prolongado por mais dois meses em pedidos complexos; nesse caso, avisamos.

Se escreveu a uma organização que usa o Unireply e quer exercer os seus direitos sobre esse email, contacte essa organização: é ela a responsável. Se nos contactar diretamente, encaminhamos o pedido para a organização.

11. Reclamações

Pode apresentar uma reclamação à Comissão Nacional de Proteção de Dados (CNPD), em www.cnpd.pt, ou à autoridade de controlo do país onde vive ou trabalha.

12. Cookies no site

Usamos estes cookies e tecnologias semelhantes:

• Sessão (necessários): mantêm a sua sessão iniciada e lembram o último método de início de sessão. Sem eles não é possível usar a aplicação.
• Idioma (necessário): o cookie NEXT_LOCALE guarda o idioma que escolheu, durante um ano.
• Vídeo na página inicial: só é carregado do YouTube (Google), no modo de privacidade melhorada, quando carrega em reproduzir.

Não usamos cookies de análise nem de publicidade, por isso o site não pede o seu consentimento.

13. Alterações a esta política

Quando mudarmos esta política, atualizamos a data no topo. Se a alteração for importante, avisamos por email os utilizadores com conta.

14. Contacto

Para qualquer questão sobre esta política ou sobre os seus dados, escreva para [email protected].