Política de Privacidade — Ramo

Versão: 1.1 · Última actualização: 29 de Abril de 2026

⚠ Nota interna (não publicar): Versão 1.1 alinhada com o RGPD (Regulamento (UE) 2016/679), Lei n.º 58/2019 (lei portuguesa de execução), Lei n.º 41/2004 (privacidade nas comunicações eletrónicas) e inspirada nos padrões da política Cegid. Requer revisão final por DPO ou advogado especialista em proteção de dados antes de publicação para clientes pagantes. O DPO formal está [A NOMEAR].

1. Objetivo desta Política

A presente Política de Privacidade tem por objetivo informar os titulares dos dados sobre a recolha e o tratamento de dados pessoais efectuados pela Constelação Singela Unipessoal, Lda (doravante "Singela Tech"), no âmbito da operação da plataforma Ramo (também identificada pela marca em uso comercial "Ramora", disponível em https://app.singelatech.com).

Este documento foi preparado em conformidade com o art. 13.º e art. 14.º do RGPD (transparência) e demais legislação aplicável.

2. Identificação do Responsável e do Encarregado de Proteção de Dados

| Campo | Valor | |---|---| | Responsável pelo tratamento | Constelação Singela Unipessoal, Lda | | NIF / NIPC | 516 868 160 | | Sede | Avenida da Liberdade 180A, 1.º Tivoli Fórum, 1250-146 Lisboa, Portugal | | Conservatória do Registo Comercial | Odivelas, sob o n.º 516 868 160 | | Encarregado de Proteção de Dados (DPO) | [A NOMEAR — pendente avaliação Art. 37.º RGPD; entretanto, contacto via dpo@singelatech.com] | | Email DPO / RGPD | dpo@singelatech.com | | Prazo de resposta | 30 dias máximo (Art. 12.º, n.º 3 RGPD), podendo ser prorrogado para 90 dias em casos complexos |

3. Quando a Singela Tech actua como Responsável vs. Subcontratante

Esta distinção é central — explica quem decide sobre o tratamento e onde estão as obrigações:

3.1. Responsável pelo tratamento (Art. 4.º, n.º 7 RGPD)

A Singela Tech actua como Responsável quando trata directamente dados pessoais para finalidades próprias:

• Gestão de relações contratuais e pré-contratuais (clientes, candidatos, parceiros);
• Faturação dos seus próprios serviços;
• Marketing transacional sobre produtos próprios;
• Gestão de acessos à plataforma (logs, sessões, MFA);
• Cumprimento de obrigações legais próprias (fiscal, contabilística);
• Tratamento dos dados anonimizados para benchmarks e diretório público (com bases adicionais — ver §6).

3.2. Subcontratante (Art. 28.º RGPD)

A Singela Tech actua como Subcontratante quando trata dados que pertencem ao Cliente e existem na plataforma porque foram lá colocados pelo Cliente:

• Dados de fornecedores externos do Cliente (NIF, contactos, condições comerciais);
• Dados de produtos, encomendas, faturas, stock geridos pelo Cliente;
• Dados pessoais de pacientes/utentes que não devem ser carregados na plataforma — caso o sejam, em violação dos Termos, a Singela Tech actua à mesma como subcontratante para fins de cumprimento mínimo.

Para Tenants em planos Pro e Enterprise, está disponível o Acordo de Subcontratação de Tratamento de Dados (DPA) assinado eletronicamente — ver docs/legal/dpa-template.md. Para Tenants em planos Free e Starter, este documento serve de DPA por adesão.

3.3. Princípios gerais aplicados

Conforme o art. 5.º RGPD, aplicamos:

a) Licitude, lealdade e transparência; b) Limitação das finalidades — recolha para fins determinados, explícitos e legítimos; c) Minimização — só os dados estritamente necessários; d) Exactidão — dados actualizados, com mecanismos para corrigir/apagar inexactidões; e) Limitação da conservação — pelo período estritamente necessário; f) Integridade e confidencialidade — medidas técnicas e organizativas adequadas (Art. 32.º); g) Responsabilidade — capazes de demonstrar conformidade.

4. A quem se aplica esta política

a) Utilizadores das Tenants — funcionários ou colaboradores das organizações clientes; b) Fornecedores externos — destinatários de magic-links; c) Visitantes — pessoas que acedem a páginas públicas (/sign-in, /pricing, /legal/*, /discover/suppliers); d) Subscritores de comunicações — newsletter ou demos; e) Candidatos a colaboradores — quando aplicável (recrutamento da Singela Tech).

5. Que dados pessoais tratamos

5.1. Dados de utilizadores das Tenants

| Categoria | Exemplos | Origem | |---|---|---| | Identificação | Nome completo, email profissional, função | Convite emitido por Tenant Admin | | Autenticação | Hash da palavra-passe, ID Supabase Auth, token MFA (futuro) | Supabase Auth (subcontratante) | | Atividade | Última sessão, browser, IP truncado, data de criação | Auto-recolha durante uso | | Preferências | Idioma, modo de digest de email, eventos opt-in/opt-out | Definido pelo utilizador | | Sugestões | Mensagens enviadas via widget de feedback | Voluntário |

5.2. Dados de fornecedores externos

| Categoria | Exemplos | Origem | |---|---|---| | Contacto profissional | Nome do contacto, email do fornecedor | Carregado pelo Tenant | | Identidade da empresa | Razão social, NIF (se fornecido) | Carregado pelo Tenant | | Sessão magic-link | Token (hashed), IP da resposta, hora, user-agent | Gerado quando o fornecedor abre o link | | Resposta | Identidade da pessoa que assina, função, email | Voluntariamente preenchido pelo fornecedor |

Base legal específica para fornecedores externos: o tratamento dos dados de contacto profissional dos fornecedores é necessário para a execução do contrato comercial entre o Cliente (Tenant) e o fornecedor — ver Art. 6.º, n.º 1, alínea b). A Singela Tech actua como subcontratante.

5.3. Dados de visitantes

| Categoria | Exemplos | Origem | |---|---|---| | Tráfego anonimizado | IP truncado, user-agent, página acedida, referer | Logs de acesso (90 dias) | | Cookies estritamente necessários | Sessão Supabase, preferências de UI | Definidos pelo browser |

Não usamos cookies de tracking publicitário (Google Analytics, Meta Pixel, etc.) — ver Política de Cookies.

5.4. Dados de pagamento

Não armazenamos dados de cartão. O processamento é integralmente delegado em Stripe Payments Europe Ltd. (Irlanda). Apenas guardamos stripeCustomerId opaco e o histórico de eventos de subscrição.

6. Finalidades, bases legais e períodos de conservação

| Finalidade | Base legal RGPD | Retenção | |---|---|---| | Operar a conta do Utilizador (login, sessões) | Art. 6.º(1)(b) — execução do contrato | Vida da subscrição | | Enviar emails transacionais (encomendas, cotações, faturas, lembretes, notificações) | Art. 6.º(1)(b) — execução do contrato | 90 dias após cessação | | Calcular benchmarks de preços anonimizados (cross-tenant) | Art. 6.º(1)(f) — interesse legítimo, balanceado contra o impacto mínimo (dados anonimizados, opt-out) | Indefinido como agregado anonimizado | | Listagem agregada no diretório público de fornecedores | Art. 6.º(1)(f) — interesse legítimo, com opt-out por fornecedor e por Tenant | Até retirada do consentimento ou opt-out | | Detetar uso abusivo (rate-limit, BotID) | Art. 6.º(1)(f) — interesse legítimo de proteger a plataforma | 30 dias | | Cumprir obrigações fiscais e contabilísticas (faturação, SAF-T) | Art. 6.º(1)(c) — obrigação legal | 10 anos (art. 52.º Código do IVA) | | Prevenir fraude, segurança e auditoria | Art. 6.º(1)(f) — interesse legítimo + Art. 6.º(1)(c) | 7 anos (auditoria) | | Responder a sugestões via widget de feedback | Art. 6.º(1)(f) — interesse legítimo (melhorar produto) | Indefinido (retomar contexto), com possibilidade de apagamento mediante pedido | | Marketing transacional (changelog, manutenções, novidades produto) | Art. 6.º(1)(f) — interesse legítimo + opt-out claro em cada mensagem | Até opt-out | | Newsletter externa | Art. 6.º(1)(a) — consentimento explícito | Até retirada do consentimento |

7. Com quem partilhamos os dados (subcontratantes)

| Subcontratante | Localização | Função | Garantias | |---|---|---|---| | Vercel Inc. | EUA, com funções pinned em UE (arn1 — Estocolmo) | Hospedagem aplicacional, CDN | DPA Vercel + DPF (EUA-UE) | | Supabase Inc. | UE (Estocolmo, eu-north-1) | Base de dados PostgreSQL, autenticação, blob storage | DPA Supabase + dados na UE | | Resend Inc. | EUA | Envio transacional de email | DPA Resend + DPF | | Stripe Payments Europe Ltd. | Irlanda (UE) | Processamento de pagamentos | PCI-DSS Level 1, dados na UE | | Cloudware, S.A. (Cegid) | Portugal | Faturação eletrónica certificada AT (n.º 2397/AT) | Dados em servidores Cegid em Portugal; sub-processor essencial para emissão das faturas Constelação Singela aos Tenants | | Sentry (futuro, opcional) | EUA / UE | Observabilidade de erros | Replay com mascaramento de PII por defeito, DPF |

Não vendemos dados a terceiros, nem partilhamos para fins de marketing externo.

Transferências para fora da UE (Vercel, Resend, futuro Sentry) ocorrem ao abrigo de:

• Cláusulas Contratuais-Tipo (SCC) da Comissão Europeia;
• Data Privacy Framework (DPF) — Vercel e Resend são certificados.

8. Funcionalidades cross-tenant — anonimização e justificação

8.1. Benchmark de preços

• Calculado quando há ≥ 3 ordens de ≥ 2 Tenants distintas para o mesmo produto canónico (MasterProduct), no período de 90 dias;
• Mostra mediana e contagem agregada ("baseado em 12 compras de 4 clínicas, 90 dias");
• Nunca expõe nomes de Tenants ou preços individuais — apenas a mediana de mercado e a posição relativa do Tenant que consulta;
• O Tenant pode desactivar a contribuição em /settings.

8.2. Diretório público de fornecedores

• Apenas fornecedores que sirvam ≥ 3 Tenants distintas podem ser promovidos;
• Apresentado com contagem em buckets ("serve 3-10 clínicas"), nunca com lista nominal;
• O fornecedor pode reivindicar (claim) a sua listagem ou pedir remoção (opt-out) a qualquer momento via /s/opt-out/<token>;
• Os Tenants podem desactivar a contribuição em /settings.

8.3. Justificação RGPD

Estes tratamentos baseiam-se no interesse legítimo (Art. 6.º, n.º 1, alínea f)), com balanceamento favorável dado:

a) A finalidade legítima — transparência de mercado, descoberta de fornecedores; b) A minimização — apenas agregados, nunca identificadores; c) A possibilidade de opt-out clara e fácil — Tenants e fornecedores; d) A inexistência de impacto significativo nos direitos dos titulares.

Avaliação de impacto disponível mediante pedido a dpo@singelatech.com.

9. Retenção de dados

| Tipo de dado | Período de retenção | |---|---| | Conta activa | Vida da subscrição | | Conta cancelada — exportação | 180 dias após cancelamento | | Conta cancelada — apagamento ativo | 180 dias após cancelamento (alinhamento com cláusula 10.4 dos Termos) | | Backups | Até 90 dias adicionais | | Faturação e contabilidade (lei portuguesa) | 10 anos | | Logs de auditoria de acessos | 7 anos | | Logs técnicos (rate-limit, erros) | 30 dias | | Tokens magic-link expirados | Limpos por cron diário, máximo 14 dias após expiração |

10. Os seus direitos (Art. 15.º a 22.º RGPD)

Pode exercer os seguintes direitos contactando dpo@singelatech.com (ou directamente via /settings na app, em planos pagos):

| Direito | Como exercer | |---|---| | Acesso (Art. 15.º) | Pedido por email, resposta em 30 dias | | Rectificação (Art. 16.º) | Edição directa em /settings ou pedido escrito | | Apagamento / direito ao esquecimento (Art. 17.º) | Pedido por email; aplicável se não houver obrigação legal de retenção | | Limitação do tratamento (Art. 18.º) | Pedido por email | | Portabilidade (Art. 20.º) | Exportação JSON/CSV disponível em /settings/billing/export (planos pagos) | | Oposição (Art. 21.º) | Para tratamentos baseados em interesse legítimo (incluindo benchmarks): basta indicar opt-out em /settings/identity | | Não decisão automatizada (Art. 22.º) | A plataforma não toma decisões automatizadas com efeitos jurídicos sobre os utilizadores |

10.1. Reclamação à autoridade de controlo

Em qualquer momento, tem o direito de apresentar reclamação à autoridade portuguesa:

Comissão Nacional de Proteção de Dados (CNPD) Av. D. Carlos I, n.º 134, 1.º — 1200-651 Lisboa Tel: (+351) 213 928 400 · Email: geral@cnpd.pt Site: https://www.cnpd.pt

11. Segurança técnica e organizacional (Art. 32.º RGPD)

Aplicamos as seguintes medidas:

• Cifra em trânsito — TLS 1.3 em todas as comunicações;
• Cifra em repouso — discos da Supabase encriptados (AES-256); tokens OAuth do subcontratante Cegid encriptados com AES-256-GCM com chave dedicada;
• Isolamento multi-tenant — extensão Prisma withTenant() aplica filtro automático em todos os modelos sensíveis;
• Autenticação — Supabase Auth com bcrypt + JWT de sessão;
• Magic-links — tokens HMAC-SHA256, expiração de 14 dias, single-use;
• Rate-limiting — Upstash Redis, 200 emails/hora/Tenant cap global;
• Auditoria — todas as decisões críticas (aprovações, mudanças de papel, acessos Master) ficam em log imutável durante 7 anos;
• Backups — automáticos diários, restauro testado trimestralmente (docs/runbooks/restore-database.md);
• Segregação de ambientes — produção isolada de staging;
• Acesso a dados em produção — restrito à equipa Master da Singela Tech, com auditoria automática.

11.1. Notificação de violação

Em caso de violação que envolva risco para os direitos dos titulares, a Singela Tech notifica:

• A CNPD em 72 horas (Art. 33.º RGPD);
• Os titulares afectados, sempre que o risco seja elevado (Art. 34.º RGPD);
• Os Tenants afectados via email aos administradores.

12. Menores

A Ramo é uma ferramenta B2B e não é destinada a menores de 16 anos. Não tratamos conscientemente dados de menores. Se souber que um menor nos forneceu dados, contacte-nos imediatamente para apagamento.

13. Alterações a esta política

Atualizações materiais a esta Política são comunicadas:

• Por email aos administradores das Tenants, 30 dias antes da entrada em vigor;
• Banner persistente na plataforma para todos os Utilizadores;
• Histórico de versões em docs/legal/CHANGELOG.md.

A continuação da utilização após a entrada em vigor constitui aceitação tácita das novas versões. O Tenant pode rescindir sem custos antes da entrada em vigor.

14. Contactos

• Geral / proteção de dados: dpo@singelatech.com
• Pedidos de exercício de direitos: dpo@singelatech.com (assunto: "Exercício de direitos RGPD")
• Suporte técnico: suporte@singelatech.com
• Postal: Constelação Singela Unipessoal, Lda — Avenida da Liberdade 180A, 1.º Tivoli Fórum, 1250-146 Lisboa

Versão 1.1 — Constelação Singela Unipessoal, Lda. Documento publicado em 29 de Abril de 2026.

Para histórico de versões e alterações materiais, ver docs/legal/CHANGELOG.md.