Política de Privacidade

1. Responsável pelo Tratamento e Contactos

O responsável pelo tratamento dos seus dados pessoais é:

• Vento Digitale di Marco Forlani
• NIF IT03694090139 — Itália
• Morada registada: Via Pietro Mascagni, 119 - 24033 Calusco d'Adda (BG) - Italy
• Plataforma: CaseStories — www.casestories.com
• E-mail: support@casestories.com

Encarregado de Proteção de Dados (EPD)

Nos termos do Art. 37 RGPD, um EPD é obrigatório para autoridades públicas, organizações que realizam monitorização sistemática em grande escala ou que tratam categorias especiais de dados em grande escala. A Vento Digitale di Marco Forlani é um pequeno operador privado que não realiza monitorização sistemática em grande escala. Por conseguinte, não é legalmente obrigatório designar um EPD. Todos os assuntos de privacidade são tratados diretamente pelo responsável.

2. Dados que Recolhemos

2.1 Dados de Conta

Quando se regista, recolhemos:

• Endereço de e-mail (obrigatório — identificador de conta)
• Nome e apelido (obrigatórios)
• Palavra-passe — hash Argon2id (não reversível)
• Nome da empresa, descrição, website, cidade, país, setor, telefone (opcionais)
• Logótipo da empresa (opcional)
• Idioma preferido

2.2 Dados de Conteúdo

Todos os casos de estudo, descrições, ficheiros de média e mensagens diretas são armazenados e associados à sua conta.

2.3 Análise

2.3.1 Análise web sem cookies — Matomo (sem consentimento necessário)

Utilizamos o Matomo, uma plataforma de análise web de código aberto que alojamos nós próprios em servidores na União Europeia (matomo.ventodigitale.com). Nenhum dado analítico é enviado para serviços de análise de terceiros. O Matomo está configurado de forma a ser considerado uma ferramenta de análise equiparada aos cookies técnicos, segundo as diretrizes sobre cookies da autoridade italiana de proteção de dados (Garante) de 10 de junho de 2021, pelo que não requer o seu consentimento prévio:

• Sem cookies: o Matomo funciona em modo sem cookies e não armazena qualquer cookie ou outro identificador no seu dispositivo.
• IP anonimizado: os dois últimos bytes são mascarados antes do armazenamento (ex. 203.0.0.0); o IP completo nunca é guardado.
• Sem User ID: as visitas nunca são associadas à sua conta, nome ou e-mail. As páginas da área reservada não são medidas.
• Dados mínimos: páginas visitadas e horários, tipo de browser e sistema operativo, URL de origem, país aproximado (derivado do IP mascarado). A deteção de características do browser (plugins, resolução) está desativada.
• Sem cruzamento nem partilha: os dados não são combinados com outras informações nem partilhados com terceiros. Os dados em bruto são eliminados automaticamente após 25 meses.

Base jurídica: o nosso interesse legítimo (art. 6.º, n.º 1, al. f) do RGPD) em medir de forma agregada a utilização do site para o melhorar.

Do Not Track / Global Privacy Control: se o seu browser enviar um destes sinais, o script do Matomo não é carregado e não são recolhidos dados analíticos sobre a sua visita.

Oposição (opt-out): pode excluir o seu browser das nossas estatísticas a qualquer momento através do controlo abaixo. Nesse caso, é armazenado um único cookie técnico (mtm_consent_removed), apenas para memorizar a sua escolha; se apagar os cookies, terá de repetir o opt-out.

2.3.2 Análise first-party no servidor (sem consentimento necessário)

Independentemente do consentimento de cookies, a plataforma regista no servidor eventos de interação — nomeadamente visualizações de página, cliques em CTA, partilhas, pesquisas e cliques em links de contacto de casos de estudo publicados. Estes dados são processados exclusivamente para fornecer aos proprietários de casos de estudo estatísticas de desempenho agregadas. A base jurídica é o interesse legítimo (Art. 6(1)(f) RGPD).

Por cada evento são registados no servidor os seguintes dados:

• Tipo de evento (visualização, clique, partilha, pesquisa ou clique de contacto)
• Hash SHA-256 do endereço IP — o IP bruto nunca é armazenado; apenas o seu hash unidirecional, irreversível.
• Código de país (ISO 3166-1 de 2 letras, ex. IT, PT) — derivado do IP antes do hash.
• URL de referência — o cabeçalho HTTP Referer, se presente.
• Cadeia User-Agent — o identificador completo de browser e sistema operativo enviado pelo seu browser em cada pedido HTTP (ex. Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7)…). Esta cadeia é armazenada tal qual e utilizada para classificar as visitas por tipo de dispositivo e browser nas estatísticas agregadas. Embora a cadeia User-Agent não identifique por si só de forma unívoca, combinada com o hash IP e o referente constitui um dado pseudonimizado nos termos do RGPD. É conservada durante 24 meses e depois eliminada.

Este tratamento não utiliza cookies nem mecanismos de armazenamento do lado do cliente, ficando portanto fora do âmbito da Diretiva ePrivacy. Pode opor-se a este tratamento a qualquer momento ao abrigo do Art. 21 RGPD contactando-nos em support@casestories.works.

Não utilizamos Google Analytics, Meta Pixel nem scripts de rastreamento de terceiros na plataforma ou nos nossos e-mails.

2.4 Dados de Pagamento

O Paddle atua como Merchant of Record e responsável autónomo pelo tratamento dos dados de pagamento. Não armazenamos números de cartão nem CVV. Apenas conservamos o ID de cliente, subscrição, transação e estado de pagamento do Paddle.

2.5 Conteúdo Gerado por IA

O Serviço recorre a uma IA externa fornecida pela Anthropic (Claude), acessível através da sua API, para gerar e traduzir o conteúdo dos case studies. Quando utiliza as funcionalidades de escrita ou tradução por IA, o texto do projeto que fornece (desafios, soluções, resultados) é transmitido à API da Anthropic para processamento. Os pedidos à API são encaminhados através da configuração de residência de dados na UE da Anthropic, pelo que os seus dados são processados e permanecem em servidores localizados na União Europeia mesmo quando tratados pelo fornecedor de IA externo. Não transmitimos identificadores pessoais (nome, e-mail, nome da empresa) à Anthropic. O texto é tratado de forma transitória e, ao abrigo do nosso Acordo de Tratamento de Dados API, não é utilizado para treinar os modelos da Anthropic.

2.6 Dados de Início de Sessão OAuth

Via Google, LinkedIn ou Facebook: apenas recebemos e-mail e nome de exibição. Armazenamos nome do fornecedor e ID de utilizador. Sem tokens OAuth nem palavras-passe.

2.7 Metadados de E-mails Transacionais

Para e-mails transacionais tratamos o seu endereço e estado de entrega. Não incorporamos pixels de rastreamento nem links rastreados nos nossos e-mails.

3. Como Utilizamos os Seus Dados

• Prestação do serviço: Gestão de conta, publicação de casos, pagamentos, IA de escrita e tradução.
• Melhoria do serviço: Análise de padrões de utilização agregados e anonimizados.
• Comunicação: E-mails transacionais (verificação, redefinição, recibos, alertas). Sem e-mails de marketing sem consentimento explícito prévio.
• Segurança: Deteção e prevenção de acessos fraudulentos, limitação de taxa, prevenção de abusos.
• Cumprimento legal e contabilidade: Conservação de registos de faturação conforme exigido pela legislação fiscal da UE e italiana.
• Divulgação a autoridades públicas: Quando exigido por lei, ordem judicial ou pedido vinculativo de autoridade competente, podemos divulgar dados pessoais. Notificaremos o titular salvo proibição legal.
• Suporte: Resposta a pedidos e resolução de disputas.
• Administração e manutenção da plataforma: Como operador da plataforma, podemos aceder aos dados de conta e conteúdos dos utilizadores estritamente quando necessário para manutenção técnica, diagnóstico do sistema, resposta a incidentes de segurança e investigação de abusos. Tal acesso é limitado ao estritamente necessário, é registado e nunca é utilizado para fins comerciais.

Nunca vendemos, arrendamos, cedemos nem comercializamos os seus dados pessoais a terceiros. Não os utilizamos para publicidade dirigida nem os partilhamos com corretores de dados.

4. Bases Jurídicas do Tratamento (Art. 6 RGPD)

• Execução contratual (Art. 6(1)(b)): Tratamento necessário para prestar o serviço — gestão de conta, publicação de casos, pagamentos, escrita IA.
• Interesses legítimos (Art. 6(1)(f)): Monitorização de segurança, prevenção de fraudes e análise própria. Foi realizada uma Avaliação de Interesses Legítimos (LIA): os nossos interesses são equilibrados com técnicas de proteção da privacidade (hash de IP, anonimização). Pode opor-se a qualquer momento (§8).
• Obrigação legal (Art. 6(1)(c)): Conservação de registos de faturação conforme legislação fiscal (10 anos).
• Consentimento (Art. 6(1)(a)): Atualmente apenas para o registo (verificação de e-mail). Funcionalidades opcionais futuras serão opt-in, com direito a retirar o consentimento a qualquer momento sem penalização.

5. Subcontratantes e Prestadores de Serviços

5.1 Paddle (Pagamentos — Responsável Autónomo)

Paddle.com Market Ltd (Reino Unido / Irlanda). Atua como Merchant of Record — o Paddle é responsável autónomo pelos dados de pagamento, não subcontratante nosso. Conformidade PCI-DSS segundo a sua própria política: paddle.com/legal/privacy. Apenas recebemos os metadados do §2.4.

5.2 Anthropic (Escrita IA & Tradução — Subcontratante)

Anthropic, PBC. Ao abrigo de DPA assinado. Os pedidos à API são encaminhados através da configuração de residência de dados na UE da Anthropic: o texto do projeto é processado e mantido em servidores localizados na União Europeia. Apenas texto do projeto é transmitido — sem identificadores pessoais. Não ocorre qualquer transferência para fora da UE para este tratamento. Política: anthropic.com/privacy.

5.3 Fornecedores OAuth — Google, LinkedIn (Identidade — Responsáveis Autónomos)

Google LLC e LinkedIn Corporation — apenas se optar por iniciar sessão através dos seus serviços. Cada fornecedor é responsável autónomo pela autenticação OAuth. Apenas recebemos nome e e-mail (§2.6); não recebemos tokens OAuth, palavras-passe nem outros dados de perfil. O início de sessão via Facebook também está disponível como opção alternativa. As transferências para os EUA são cobertas pela decisão de adequação EU-EUA (10 de julho de 2023) ou, quando aplicável, por SCCs.

5.4 Infraestrutura de Alojamento — Amazon Web Services UE (Subcontratante)

Todos os servidores de aplicações e bases de dados estão alojados na Amazon Web Services (AWS), região União Europeia (eu-west-1 — Irlanda ou eu-central-1 — Frankfurt). Nenhum dado primário é armazenado fora da União Europeia. A AWS assinou um DPA connosco e está vinculada pelo RGPD Art. 28. As regiões UE da AWS são certificadas ISO 27001, SOC 2 e oferecem garantias contratuais de residência de dados na UE.

5.5 Entrega de E-mails Transacionais (Subcontratante)

E-mails transmitidos via SMTP com encriptação TLS. Infraestrutura na UE, vinculada por DPA e RGPD Art. 28. O seu endereço é utilizado exclusivamente para a entrega da notificação do sistema.

5.6 Análise — Matomo (Operado por Nós, Infraestrutura UE)

Alojamos autonomamente o Matomo, uma plataforma de análise web de código aberto, na nossa própria infraestrutura dentro da União Europeia. O Matomo não é um serviço de terceiros — funciona inteiramente em servidores que controlamos e nenhum dado analítico é transmitido a partes externas. O Matomo processa apenas os dados anonimizados descritos em §2.3. Como ferramenta interna, o Matomo está integralmente sujeito a esta política de privacidade.

6. Cookies e Tecnologias Similares

A CaseStories utiliza apenas cookies e tecnologias semelhantes estritamente necessários. Não utilizamos cookies analíticos, de definição de perfis ou publicitários.

Cookies Estritamente Necessários (sem consentimento necessário)

Estes cookies são essenciais para o funcionamento da plataforma e não podem ser desativados.

• Cookie de sessão (PHPSESSID): mantém a sua sessão iniciada, protege os formulários contra ataques CSRF (o token de segurança é guardado no nosso servidor, dentro da sessão) e memoriza o idioma da interface. É eliminado ao fechar o browser ou após 30 minutos de inatividade. Atributos: HttpOnly, Secure, SameSite=Lax.
• Janela promocional (cf_home_promo_free20_slots_seen, sessionStorage): memoriza que a janela promocional da página inicial já foi mostrada, para não a voltar a mostrar durante a mesma visita. É eliminado automaticamente ao fechar o separador. Sem dados pessoais.
• Barra lateral do painel (cf_sidebar_collapsed, localStorage): definido apenas na área reservada quando recolhe ou expande a barra lateral, para memorizar a sua escolha. Sem dados pessoais.

Análise web sem cookies (sem consentimento necessário)

A nossa análise Matomo auto-alojada (§2.3.1) funciona sem cookies: não armazena qualquer cookie ou identificador no seu dispositivo. A única exceção é o cookie técnico mtm_consent_removed, definido apenas se utilizar o opt-out do §2.3.1, para memorizar a sua escolha.

Sem recursos de terceiros

Os tipos de letra e scripts (tipo de letra Inter, Tailwind CSS, Alpine.js, editor Quill) são servidos a partir dos nossos próprios servidores: as nossas páginas não carregam recursos do Google Fonts nem de CDN de terceiros, pelo que o seu endereço IP não lhes é comunicado.

Não utilizamos cookies publicitários, pixels de rastreamento, fingerprinting nem cookies de terceiros.

7. Conservação de Dados

• Dados de conta: Enquanto ativa. Eliminados em 30 dias após pedido de apagamento verificado (§8), ressalvadas as obrigações de conservação legal.
• Casos de estudo: Até eliminação ou encerramento. Removidos imediatamente da visualização pública; apagados das cópias de segurança em 90 dias.
• Dados analíticos (IP hash + estatísticas): 24 meses. O hash de IP é tecnicamente irreversível.
• Registos de faturação: 10 anos — Diretiva IVA da UE e lei fiscal italiana. Não podem ser eliminados antes.
• Mensagens de suporte: 3 anos após o último contacto.
• Registos de entrega de e-mails: 30 dias, apenas para resolução de problemas.
• Dados eliminados nas cópias de segurança: Substituídos em 90 dias.

8. Os Seus Direitos ao abrigo do RGPD e da Legislação Aplicável

No EEE, no Reino Unido ou na Suíça, tem os seguintes direitos:

• Acesso (Art. 15): Cópia de todos os seus dados pessoais e informações sobre o seu tratamento.
• Retificação (Art. 16): Corrigir dados inexatos. A maioria dos campos é editável nas definições de conta.
• Apagamento — "direito a ser esquecido" (Art. 17): Eliminação em 30 dias. Exceção: dados legalmente obrigatórios (§7).
• Portabilidade (Art. 20): Dados em formato JSON. Solicite por e-mail.
• Limitação (Art. 18): Tratamento limitado durante resolução de disputas.
• Oposição (Art. 21): Opor-se ao tratamento baseado em interesses legítimos. Cessamos salvo motivos legítimos imperiosos.
• Retirar consentimento (Art. 7(3)): A qualquer momento, sem efeito retroativo.
• Não ser sujeito a decisões automatizadas (Art. 22): Não tomamos decisões baseadas exclusivamente em tratamento automatizado. Ver §15.

Fornecimento de dados — obrigatório e voluntário (Art. 13(2)(e)): O endereço de e-mail e o nome são obrigatórios para criar uma conta. Todos os outros campos do perfil são opcionais.

Exercício de direitos: E-mail para support@casestories.com, assunto "GDPR Request", ou por carta para: Vento Digitale di Marco Forlani, Via Pietro Mascagni, 119 - 24033 Calusco d'Adda (BG) - Italy. Resposta em 30 dias (extensível a 60 para pedidos complexos). Sem encargos.

Direito de apresentar queixa: Pode apresentar queixa junto de qualquer autoridade de controlo competente do EEE no Estado-membro da sua residência habitual ou local de trabalho. A autoridade líder é:
Garante per la protezione dei dati personali — www.garanteprivacy.it
Os residentes no Reino Unido podem também contactar a ICO: ico.org.uk.
Os titulares de dados brasileiros podem contactar a ANPD: gov.br/anpd.

9. Segurança dos Dados

Implementamos medidas técnicas e organizacionais (MTO) adequadas nos termos do RGPD Art. 32 e privacidade desde a conceção (Art. 25):

• HTTPS com TLS 1.2+; redireccionamentos HTTP para HTTPS
• Hash Argon2id para palavras-passe (não reversível, com salt)
• Anonimização IP SHA-256 + salt (IP bruto nunca armazenado)
• Tokens CSRF em todos os pedidos que alteram estado
• Limitação de taxa em endpoints de autenticação e API
• HttpOnly, Secure, SameSite=Strict nos cookies de sessão
• Prevenção de injeção SQL via declarações preparadas
• Validação MIME e armazenamento fora da raiz web
• Controlo de acesso baseado em funções com princípio do mínimo privilégio
• Revisões de segurança regulares e auditorias de dependências
• Cópias de segurança encriptadas na UE

Nenhum sistema é 100% seguro. Em caso de violação: notificação ao Garante em 72 horas (RGPD Art. 33) e aos utilizadores afetados sem demora em caso de risco elevado (Art. 34).

10. Transferências Internacionais de Dados

Todos os dados primários — contas, conteúdos, análises — são armazenados e processados exclusivamente na Amazon Web Services (AWS), região União Europeia. Não transferimos os seus dados para fora da UE para qualquer finalidade de armazenamento ou processamento principal. A escrita e tradução por IA (Anthropic / Claude) são também realizadas na UE através da configuração de residência de dados na UE da Anthropic — ver §5.2.

As únicas transferências fora da UE/EEE estão estritamente limitadas ao seguinte:

• Fornecedores OAuth (EUA) — Google, LinkedIn: Decisão de adequação EU-EUA (10 de julho de 2023) ou SCCs. Aplica-se apenas quando opta ativamente por iniciar sessão através destes fornecedores.

Não vendemos, partilhamos nem transferimos dados pessoais a qualquer outra parte fora da UE para fins de marketing, comerciais ou técnicos.

UK GDPR: Os utilizadores do Reino Unido estão cobertos pelo UK GDPR. As transferências para o RU beneficiam da decisão de adequação da UE. Os direitos do §8 aplicam-se igualmente. Contacte-nos para detalhes sobre as salvaguardas específicas em support@casestories.com.

11. Privacidade de Menores

CaseStories é uma plataforma B2B profissional não destinada a pessoas com menos de 16 anos (idade de consentimento digital RGPD). Não recolhemos conscientemente dados de menores de 16 anos. Se acredita que uma criança nos forneceu dados, contacte-nos imediatamente em support@casestories.com.

12. Notificação de Violação de Dados

Em caso de violação de dados:

• Notificação ao Garante em 72 horas (RGPD Art. 33), salvo risco improvável
• Notificação aos afetados sem demora (RGPD Art. 34) em caso de risco elevado, salvo dados ininteligíveis
• Conteúdo: natureza e âmbito, categorias e número de afetados, prováveis consequências, medidas tomadas
• Manutenção de um registo interno de violações (RGPD Art. 33(5))

13. Alterações a esta Política

Podemos atualizar esta política para refletir mudanças nas nossas práticas, tecnologia ou requisitos legais.

As alterações substanciais (finalidades, tipos de dados, novos subcontratantes ou alterações aos direitos) serão notificadas aos titulares de contas por e-mail com pelo menos 30 dias de antecedência e com aviso proeminente na plataforma. A utilização continuada implica apenas aceitação de atualizações não substanciais.

As alterações não substanciais (esclarecimentos, formatação, contactos) podem entrar em vigor imediatamente.

Versões anteriores disponíveis mediante pedido.

14. Contacto

Para qualquer consulta, pedido ou reclamação relacionada com privacidade:

• E-mail: support@casestories.com — assunto "Privacy / GDPR"
• Morada postal: Vento Digitale di Marco Forlani, Via Pietro Mascagni, 119 - 24033 Calusco d'Adda (BG) - Italy, Itália
• Tempo de resposta: 30 dias (extensível a 60 para pedidos complexos, RGPD Art. 12(3)). Confirmação de receção em 5 dias úteis.

Verificação de identidade antes de processar qualquer pedido. Sem encargos para pedidos padrão; pode ser cobrada uma taxa razoável para pedidos manifestamente infundados ou excessivos (RGPD Art. 12(5)).

15. Decisões Automatizadas e Elaboração de Perfis

Em conformidade com os Art. 13(2)(f) e 22 do RGPD:

• Não realizamos qualquer tomada de decisão automatizada individual que produza efeitos jurídicos ou igualmente significativos.
• Não realizamos elaboração de perfis nos termos do Art. 4(4) RGPD — nenhum tratamento automatizado para avaliar aspetos pessoais, analisar ou prever comportamentos, preferências ou interesses.
• A análise própria (§2.3) produz apenas estatísticas agregadas e anonimizadas.
• As funcionalidades de IA (§2.5) geram texto editorial com base em descrições de projetos. Sem avaliação, pontuação ou decisão individual.
• A limitação de taxa e deteção de fraudes envolvem verificações automatizadas, mas qualquer restrição de conta está sujeita a revisão humana antes de ser aplicada.

Em caso de alteração, atualizaremos esta secção e notificaremos os utilizadores com antecedência.

16. Sem Venda ou Comercialização de Dados Pessoais

Confirmamos explicitamente que:

• Nunca vendemos, arrendamos, cedemos nem trocamos os seus dados pessoais por qualquer contrapartida monetária ou não monetária.
• Não partilhamos dados com corretores de dados, anunciantes ou redes publicitárias.
• Não utilizamos os seus dados para publicidade comportamental, segmentação baseada em interesses ou rastreamento comportamental entre contextos.
• Não utilizamos o conteúdo dos seus casos publicados para treinar modelos de IA nem para outros fins que não a prestação do serviço.

Este compromisso aplica-se independentemente da sua jurisdição. Titulares de dados brasileiros: esta política está em conformidade com a Lei Geral de Proteção de Dados (LGPD, Lei n.º 13.709/2018). Os direitos dos titulares ao abrigo da LGPD (acesso, correção, anonimização, portabilidade, eliminação, informação sobre compartilhamento, revogação de consentimento) podem ser exercidos através dos contactos indicados no §8 e §14.

17. Jurisdições Adicionais

17.1 UK GDPR

Os residentes no Reino Unido estão protegidos pelo UK GDPR e pelo Data Protection Act 2018. Os direitos do §8 aplicam-se integralmente. Autoridade: ICO — ico.org.uk.

17.2 Brasil — LGPD

Os titulares de dados brasileiros estão protegidos pela LGPD (Lei 13.709/2018). Direitos exercíveis através do §14. Autoridade: ANPD — gov.br/anpd.

17.3 Suíça

Os residentes suíços estão protegidos pela LPD revista (em vigor desde 1 de setembro de 2023). Autoridade: PFPDT — edoeb.admin.ch.

17.4 Califórnia — CCPA/CPRA

Os residentes da Califórnia têm direitos ao abrigo do CCPA/CPRA. Como indicado no §16, não vendemos nem partilhamos dados. Direitos exercíveis através do §14.