A KidsNoted é operada por [TESTE] Entidade legal por definir, NIF 000000000, com sede em [TESTE] Morada legal por definir. Questões de privacidade: privacidade-temporaria@example.invalid.
1. Quem decide o tratamento
A instituição cliente decide por que motivo e como são usados os dados das crianças, familiares, pessoas autorizadas e comunicações escolares. Nesses tratamentos, a instituição é o responsável pelo tratamento e o operador da KidsNoted atua como subcontratante segundo o DPA e as instruções documentadas do cliente.
O operador da KidsNoted atua como responsável pelos tratamentos próprios necessários a gerir a relação comercial, contas administrativas, faturação, segurança, prevenção de abuso, suporte e cumprimento de obrigações legais. Estas finalidades não transformam os dados escolares do cliente em dados para uso próprio.
2. Dados tratados
- Cliente e conta: instituição, email, ano letivo, nome, username, email, hash e salt da palavra-passe, função, permissões, salas atribuídas, estado da conta e datas técnicas.
- Criança e família: nome, data de nascimento, NIF, sala, familiares, irmãos, contactos, morada, código postal, localidade, responsável financeiro e nomes de pesquisa de pagadores.
- Categoria especial: alergias, medicação, alimentação e observações de saúde introduzidas pela instituição ou pelo encarregado.
- Imagem e recolha: fotografia da criança e pessoas autorizadas a recolher, incluindo nome, parentesco e documento quando o cliente o regista.
- Financeiro: mensalidade, método habitual, extras, dívidas, banco, data, valor, descrição/pagador, linha original, associação e confiança da sugestão.
- Uploads: PDF recebido transitoriamente para extração, rótulo genérico, banco, datas, método/versão/aviso de processamento, contagens, movimentos derivados e estado. A rota atual não conserva os bytes nem o nome original do PDF depois do pedido, mas conserva metadados e resultados minimizados.
- Portal: relações entre encarregados e crianças, parentesco, convites e respetiva validade/uso, recados, destinatários e estado de leitura.
- Serviço e segurança: cookies técnicos de sessão e convite pendente, identificadores internos, pedidos e erros mínimos, além de suporte/incidentes. A auditoria aplicacional guarda apenas referências HMAC pseudónimas de IP e user-agent com chave separada, nunca esses valores em bruto; a infraestrutura deve ter inventário e retenção próprios.
- Subscrição: identificador Stripe, plano, estado, período experimental, renovação e informação de faturação recolhida pela Stripe.
- Conformidade: documento e versão aceites/consultados, origem e data, referências HMAC pseudónimas de rede/dispositivo, pedidos de direitos, prazo, estado, exceções e evidência minimizada.
3. Finalidades e bases
- Disponibilizar contas, autenticação, serviço e suporte: contrato ou diligências pré-contratuais aplicáveis ao utilizador/cliente.
- Faturação, fiscalidade e resposta a autoridades: cumprimento das obrigações legais aplicáveis.
- Segurança, prevenção de fraude e defesa de direitos: interesse legítimo sujeito a avaliação, minimização e direito de oposição quando aplicável.
- Dados escolares, comunicações, fotos e finanças: instruções e base definida pela instituição responsável; a KidsNoted não escolhe essa base pelo cliente.
- Análise de utilização (melhorar a usabilidade da aplicação e do site): consentimento prévio, dado ou recusado no aviso que aparece no fundo da página, e retirável a qualquer momento — ver a secção 10.
O cliente deve informar os titulares e documentar a sua base. A celebração do contrato com a KidsNoted não é, por si, base para todos os tratamentos que a instituição realiza sobre crianças.
4. Saúde e outros dados especialmente protegidos
O cliente é responsável por demonstrar uma base do artigo 6.º e uma condição aplicável do artigo 9.º do RGPD antes de inserir saúde, medicação, alergias ou alimentação. Um checkbox genérico da app não cria essa condição. O acesso deve ser limitado às funções necessárias e estes dados não são enviados para analytics, Stripe ou para o extrator de PDFs.
5. Fornecedores e transferências
- Vercel: alojamento e execução da aplicação; regiões, logs, contrato e transferências têm de constar do registo aprovado do ambiente.
- Base de dados: Neon, região declarada AWS eu-central-1 (Frankfurt, União Europeia).
- Stripe: cliente, checkout, subscrição, faturação e pagamento quando a cobrança está configurada.
- Anthropic: recebe o ficheiro PDF do extrato bancário carregado pela instituição, para dele extrair os movimentos a crédito, quando chave, ativação e aprovação documentada estão simultaneamente ativas. O nome do ficheiro não é enviado. O resultado é validado e confirmado por uma pessoa da instituição antes de qualquer lançamento.
- PostHog Inc.: análise de utilização, só para quem a aceita (secção 10). Projeto alojado na região da UE (Frankfurt); os pedidos passam por um endereço da própria KidsNoted, que não reencaminha o endereço IP de quem usa a aplicação.
Nenhuma referência a DPA, SCC ou adequação vale como prova automática. Antes de ativar cada fornecedor, são registados entidade contratual, países, subprocessadores, retenção e, para fora do EEE, a decisão de adequação ou o mecanismo do artigo 46.º, a TIA e medidas suplementares. A lista vigente e alterações são comunicadas pelo contacto de privacidade e anexadas ao DPA.
6. Extração por IA
A extração está desligada por omissão. Quando autorizada para um ambiente, o carregamento de extratos usa-a: o utilizador é informado antes do upload de que o ficheiro PDF do extrato é enviado à Anthropic para dele serem extraídos os movimentos a crédito. Isso inclui o conteúdo do documento — identificação da conta, saldos e a totalidade dos movimentos, incluindo os movimentos a débito. O nome do ficheiro não é enviado. Sem autorização, o carregamento de extratos fica indisponível — não há processamento alternativo que envie dados a terceiros. O resultado é validado pela aplicação e confirmado por uma pessoa da instituição antes de qualquer lançamento; a KidsNoted não toma decisões automáticas com efeitos jurídicos sobre a criança ou o pagador.
Segundo a documentação pública da Anthropic, por omissão os inputs e outputs enviados à API são eliminados num prazo da ordem de 30 dias, com exceções documentadas (por exemplo, obrigações legais ou análise de violações das políticas de utilização). Retenção zero ("Zero Data Retention") só se aplica a contas com acordo ou configuração elegível. A condição concreta da conta usada pela KidsNoted permanece por confirmar e tem de ser validada antes de a extração por IA ser ativada com dados reais. O processamento externo tem custo por utilização, contabilizado na quota do plano.
7. Retenção, arquivo e eliminação
A aplicação mantém atualmente dossiers, fotografias, recados e registos financeiros enquanto o serviço está ativo; arquivo e soft-delete não equivalem a eliminação. O PDF original é processado em memória na rota atual, mas os movimentos e metadados derivados ficam na base. Os prazos concretos por categoria, logs, backups e fornecedor constam do plano de retenção aprovado antes da produção.
No fim do contrato, o cliente escolhe devolução ou eliminação segundo o DPA, ressalvadas obrigações legais documentadas. A execução abrange base primária, fornecedores e expiração de backups, com evidência. Enquanto estes prazos e procedimentos não tiverem owner e aprovação, a publicação e o tratamento real permanecem bloqueados.
8. Direitos
Para dados escolares, o pedido deve ser dirigido em primeiro lugar à instituição responsável; a KidsNoted ajuda-a a localizar, exportar, corrigir, limitar ou eliminar dados segundo instrução válida. Para conta, billing, segurança e suporte tratados pelo operador, o pedido pode ser enviado para privacidade-temporaria@example.invalid. Pode ainda ser apresentada reclamação à CNPD.
A identidade e, no caso de crianças, a legitimidade do representante são verificadas de forma proporcional. A app não pede novamente dados que já permitam verificar o pedido e não envia exports por canais inseguros.
9. Segurança e incidentes
As palavras-passe são guardadas como hash scrypt com salt individual, não como texto reversível. As sessões são assinadas e o cookie é HttpOnly, SameSite e Secure em produção. Existem controlos de função/capability e contexto de instituição, mas estes não substituem testes de isolamento, cifragem, gestão de acessos, monitorização e resposta a incidentes.
Se ocorrer uma violação, a KidsNoted preserva factos mínimos, contém o incidente e determina se atua como subcontratante ou responsável. Como subcontratante informa o cliente sem demora injustificada; nos tratamentos próprios gere a avaliação e as notificações aplicáveis.
10. Cookies e análise de utilização
A aplicação usa três cookies estritamente técnicos: kidsnoted_session, que mantém a sessão por um máximo configurado de 30 dias, kidsnoted_invite_pending, que troca o token de convite por uma sessão HttpOnly de até 20 minutos antes de remover o segredo do URL, e kidsnoted_analytics, que guarda durante 12 meses a tua escolha sobre a análise de utilização (aceite ou recusada, a versão do aviso e o dia).
Análise de utilização (opcional). Se a aceitares no aviso, a KidsNoted, como responsável pelo tratamento, mede como a aplicação e o site são usados para melhorar a usabilidade: as páginas vistas (reduzidas ao padrão da rota, sem identificadores, parâmetros nem fragmentos), os cliques, mapas de calor, cliques sem efeito e cliques repetidos, o rótulo do botão quando é um texto fixo da aplicação (por exemplo «Guardar»), o tipo de dispositivo e de browser, e — depois de entrares — um identificador pseudónimo da conta e da instituição (calculado com uma chave secreta, nunca o nome, o email ou o identificador interno) e o papel (por exemplo educador ou encarregado). Fornecedor: PostHog Inc., com o projeto alojado na UE (Frankfurt). Base legal: consentimento. Retenção: 12 meses, configurada no projeto.
Nunca é recolhido: nomes, emails, contactos, o que escreves (campos, recados, mensagens), dados de saúde, fotografias, valores, documentos, nem o teu endereço IP — os pedidos passam por um endereço da própria KidsNoted que não o reencaminha. Não há gravação de sessão. A análise nunca corre dentro da app para iPhone, na consola de operação, nem nas páginas com códigos ou ligações secretas (convites, recuperação de palavra-passe, verificação de email, segundo fator, matrícula e recolha por ligação pública, quiosque e QR de presenças).
Recusar ou mudar de ideias: recusar (ou fechar o aviso) não tem qualquer consequência e nada é enviado. Podes retirar o consentimento a qualquer momento em «Preferências de análise» — no rodapé do site, na tua Conta ou em Privacidade e dados no portal das famílias; a partir daí deixa de ser enviado qualquer evento.
11. Alterações e contacto
Alterações materiais criam uma nova versão e data efetiva; as versões anteriores permanecem ligadas no arquivo. Clientes são avisados pelo canal contratual antes da entrada em vigor quando necessário. O contacto de privacidade é privacidade-temporaria@example.invalid.