Política de Privacidade

Última atualização — 24 de setembro de 2026

A presente Política de Privacidade descreve a forma como a TakeControl App recolhe, utiliza, conserva e partilha os dados pessoais do Utilizador quando este utiliza a nossa aplicação ou o nosso site. Foi elaborada em conformidade com o Regulamento Geral sobre a Proteção de Dados da União Europeia (RGPD — Regulamento (UE) 2016/679) e com a Lei Geral de Proteção de Dados Pessoais brasileira (LGPD — Lei n.º 13.709/2018).

1. Quem Somos (Responsável pelo Tratamento)

Hello Design e Tecnologia LTDA CNPJ (número de registo de pessoa coletiva brasileiro): 26.161.413/0001-41 Entidade que explora a TakeControl App E-mail de contacto: [email protected]

A Hello Design e Tecnologia LTDA é a responsável pelo tratamento dos dados pessoais do Utilizador, nos termos descritos na presente Política.

2. Canal de Privacidade e Contacto do Encarregado da Proteção de Dados

A Hello Design e Tecnologia LTDA disponibiliza o seguinte canal para responder a pedidos e esclarecer dúvidas relacionadas com o tratamento de dados pessoais:

E-mail: [email protected]

3. Dados Pessoais que Recolhemos

Recolhemos os seguintes dados, consoante a forma como o Utilizador utiliza o Serviço:

3.1 Dados fornecidos pelo Utilizador

• Nome e nome de apresentação
• Endereço de e-mail
• Fotografia de perfil (opcional)
• Dados de despesas, grupos, participantes e acertos de contas que o Utilizador registar na aplicação

3.2 Dados recolhidos automaticamente

• Endereço IP
• Tipo e versão do navegador ou do sistema operativo
• Modelo e identificador do dispositivo
• Identificadores de publicidade do dispositivo, quando disponíveis e permitidos pelas definições do sistema operativo
• Identificadores pseudonimizados gerados pelos SDK e pelos serviços de análise ou de atribuição, utilizados para reconhecer uma instalação, um dispositivo ou uma sessão sem utilizar diretamente o nome ou o e-mail do Utilizador
• Páginas visitadas, ações realizadas na aplicação e tempo de utilização
• Origem da campanha e eventos de atribuição, como cliques para descarregar a aplicação, instalações e primeira abertura da aplicação
• Dados da subscrição PRO recebidos das lojas, como plataforma, plano ou produto, estado, datas de compra e de renovação, preço e moeda, país ou loja e identificadores da transação ou da compra
• Data e hora de acesso
• Localização aproximada (derivada do endereço IP)

3.3 Dados técnicos para estabilidade

• Mensagens de erro, rastreios de pilha (stack traces) e dados de diagnóstico recolhidos automaticamente para identificar e corrigir falhas na aplicação

4. Finalidades e Fundamentos Jurídicos do Tratamento

5. Eliminação da Conta e Conservação de Dados

5.1 Eliminação em cascata

O Utilizador pode eliminar a sua conta a qualquer momento, diretamente na aplicação. Ao fazê-lo, todos os dados associados à sua conta são apagados em cascata — incluindo perfil, despesas, grupos, participações, notas e histórico. A eliminação é definitiva e abrange os registos associados à conta do Utilizador na nossa base de dados.

5.2 Prazos de conservação

• Conta ativa: os dados são conservados enquanto a conta existir.
• Após a eliminação: os dados são removidos de imediato dos nossos sistemas de produção e apagados das cópias de segurança (backups) no prazo máximo de 30 (trinta) dias.
• Registos técnicos e de erros: conservados durante um período máximo de 90 (noventa) dias e, depois, eliminados automaticamente.
• Subscrições e obrigações legais: a Apple e a Google conservam os dados de conta, faturação e pagamento de acordo com as suas próprias políticas. O TakeControl pode conservar identificadores de transação, produto, estado e datas da subscrição durante o tempo necessário para disponibilizar o plano PRO, tratar cancelamentos ou reembolsos, prevenir fraude, prestar apoio e cumprir obrigações legais. Não recebemos o número completo do cartão nem os dados bancários utilizados nas lojas.

6. Partilha com Terceiros

Partilhamos dados com os seguintes prestadores de serviços, exclusivamente para as finalidades descritas. Não vendemos nem alugamos os dados pessoais do Utilizador. Quando o Utilizador autoriza tecnologias de publicidade, partilhamos dados técnicos e eventos com as plataformas indicadas abaixo para medir e atribuir campanhas.

6.1 Google Analytics

Operado por: Google LLC (Estados Unidos) Finalidade: Análise do tráfego do site e do comportamento dos utilizadores. Dados partilhados: ID anónimo de utilizador, páginas visitadas, origem do tráfego, localização aproximada. Política de privacidade: policies.google.com/privacy

6.2 PostHog

Operado por: PostHog Inc. (Estados Unidos) Finalidade: Análise do produto e do comportamento do utilizador (eventos de utilização, mapas de calor e gravações de sessão) para melhorar a experiência. Dados partilhados: Interações com a página e com a aplicação (cliques, navegação), identificador de utilizador, eventos de utilização. Política de privacidade: posthog.com/privacy

6.3 Microsoft Clarity

Operado por: Microsoft Corporation (Estados Unidos) Finalidade: Compreender a forma como os visitantes utilizam o site e interagem com ele, através de métricas comportamentais, mapas de calor e gravações de sessão, para melhorar a experiência e otimizar o site. Dados partilhados: Páginas visitadas e interações com o site (como cliques, deslocação na página e navegação), dados da sessão, endereço IP, informações do dispositivo e do navegador, localização aproximada e identificadores pseudonimizados. A recolha utiliza cookies próprios e de terceiros e tecnologias semelhantes e, quando exigido, depende do consentimento do Utilizador dado no banner de cookies. Política de privacidade: privacy.microsoft.com/privacystatement

6.4 Sentry

Operado por: Functional Software Inc. (Estados Unidos) Finalidade: Monitorização e rastreio de erros e falhas na aplicação. Dados partilhados: Mensagens de erro, rastreios de pilha, versão da aplicação, tipo de dispositivo (sem dados de identificação pessoal). Política de privacidade: sentry.io/privacy

6.5 Aikido Security

Operado por: Aikido Security (Bélgica, União Europeia) Finalidade: Análise e monitorização contínua da segurança da aplicação. Dados partilhados: Metadados da aplicação e informações de infraestrutura (sem dados pessoais de utilizadores finais). Política de privacidade: aikido.dev/privacy-policy

6.6 Cloudflare

Operado por: Cloudflare Inc. (Estados Unidos) Finalidade: Rede de distribuição de conteúdos (CDN), proteção contra ataques DDoS e WAF, segurança de DNS. Dados partilhados: Endereço IP, cabeçalhos HTTP, metadados de ligação. Política de privacidade: cloudflare.com/privacypolicy

6.7 OpenAI

Operado por: OpenAI, L.L.C. (Estados Unidos) Finalidade: Processamento de inteligência artificial para funcionalidades da aplicação, como o registo de despesas por voz e a leitura automática de recibos (OCR). Dados partilhados: Áudio de voz e imagens de recibos enviados pelo Utilizador ao utilizar essas funcionalidades. Enviamos apenas o conteúdo necessário para a funcionalidade (o áudio ou a imagem do recibo) — não partilhamos com a OpenAI os dados da conta, o e-mail nem o histórico de despesas do Utilizador. De acordo com a política da OpenAI para a API, estes dados não são utilizados para treinar os seus modelos. Política de privacidade: openai.com/policies/privacy-policy

6.8 Supabase

Operado por: Supabase, Inc. (Estados Unidos) Finalidade: Alojamento da base de dados e infraestrutura de backend — armazenamento da conta, autenticação e dados de despesas. Dados partilhados: Os dados de conta e de utilização que o Utilizador regista na aplicação (nome, e-mail, despesas, grupos), armazenados de forma segura e cifrada. Política de privacidade: supabase.com/privacy

6.9 Apple App Store e Google Play

Operado por: Apple Inc. e Google LLC, juntamente com as entidades afiliadas aplicáveis à região do Utilizador. Finalidade: Processar cobranças; gerir subscrições, renovações, cancelamentos e reembolsos; prevenir fraude; validar a compra; e disponibilizar o acesso ao plano PRO. Dados tratados pelas lojas: Dados da conta Apple ou Google, meio de pagamento, dados de faturação e histórico de compras, de acordo com as políticas de cada plataforma. Dados disponibilizados ao TakeControl: Loja e país ou região, produto ou plano, estado e datas da subscrição, preço e moeda, identificador ou token da transação e, quando configurado, um identificador que associa a compra à conta da aplicação. O TakeControl não recebe o número completo do cartão nem os dados bancários utilizados no pagamento. Fundamento jurídico: Execução de contrato e cumprimento de obrigações legais. Políticas de privacidade: Apple — App Store e Privacidade e Google

6.10 RevenueCat

Operado por: RevenueCat, Inc. (Estados Unidos). Finalidade: Gerir e validar as subscrições e compras efetuadas através da App Store e do Google Play, disponibilizar o acesso ao plano PRO, acompanhar o ciclo de vida das subscrições e apoiar a análise e a atribuição de campanhas publicitárias. Dados partilhados: Identificador da conta na aplicação, identificadores do dispositivo e da aplicação, plataforma, produto ou plano, estado da subscrição, datas de compra, renovação, cancelamento ou expiração, preço, moeda e identificadores de transação. Para efeitos de atribuição, podem também ser tratados identificadores pseudonimizados ou de publicidade permitidos pelo sistema operativo e pelos mecanismos de consentimento aplicáveis. O RevenueCat não recebe do TakeControl o número completo do cartão nem os dados bancários utilizados para pagamento nas lojas. Política de privacidade: revenuecat.com/privacy

6.11 Meta Platforms (Meta Pixel e Meta SDK)

Operado por: Meta Platforms, Inc. e as entidades afiliadas aplicáveis à região do Utilizador. Finalidade: No site, medir as visitas e os cliques que levam à descarga da aplicação. Na aplicação, atribuir instalações, primeiras aberturas e outros eventos configurados às campanhas veiculadas no Facebook e no Instagram, bem como avaliar e otimizar o desempenho dessas campanhas. Dados partilhados: Eventos como PageView, cliques para descarregar a aplicação, instalação, ativação ou primeira abertura, conclusão do registo e, quando aplicável, eventos relacionados com subscrições e receitas; página ou ecrã de origem, loja de destino, data e hora; endereço IP, user agent, informações da aplicação, do dispositivo e do sistema operativo; identificadores pseudonimizados gerados pelo SDK, como o Facebook Anonymous ID; identificadores do dispositivo, como o IDFV, e identificadores de publicidade, como o IDFA, apenas quando disponíveis e permitidos pelas definições, permissões e consentimentos aplicáveis. Fundamento jurídico: Consentimento para tecnologias não essenciais de publicidade e medição, quando aplicável. Política de privacidade: facebook.com/privacy/policy

6.12 TikTok (TikTok App Events SDK)

Operado por: TikTok e as entidades afiliadas aplicáveis à região do Utilizador. Finalidade: Atribuir instalações, primeiras aberturas e outros eventos configurados na aplicação às campanhas do TikTok, bem como medir e otimizar o desempenho dessas campanhas. Dados partilhados: Eventos como instalação, primeira abertura, abertura da aplicação, retenção, registo e outros eventos ativados; data e hora; versão da aplicação; endereço IP; user agent; modelo do dispositivo; idioma ou região; informações do sistema operativo e da rede; identificadores pseudonimizados gerados pelo SDK; identificadores do dispositivo, como o IDFV, e identificadores de publicidade, quando disponíveis e permitidos pelas definições, permissões e consentimentos aplicáveis. Fundamento jurídico: Consentimento para tecnologias não essenciais de publicidade e medição, quando aplicável. Política de privacidade: tiktok.com/legal/page/row/privacy-policy/pt-BR

7. Transferências Internacionais de Dados

Alguns dos nossos prestadores de serviços, incluindo a Supabase, a Apple, a Google, o RevenueCat, a Meta e o TikTok, tratam dados fora do Espaço Económico Europeu e do Brasil, nos Estados Unidos e noutros países indicados nas respetivas políticas. Em particular, a base de dados onde os dados do Utilizador são armazenados (Supabase) está alojada nos Estados Unidos. Estas transferências são realizadas com as garantias adequadas:

• Para titulares na UE/EEE (RGPD): as transferências assentam em Cláusulas Contratuais-Tipo aprovadas pela Comissão Europeia (art. 46.º do RGPD) ou noutros mecanismos de transferência adequados.
• Para titulares no Brasil (LGPD): as transferências internacionais são realizadas com base em cláusulas contratuais-tipo ou quando o país de destino assegura um nível de proteção adequado (art. 33 da LGPD).

8. Direitos do Utilizador enquanto Titular dos Dados

Direitos ao abrigo da LGPD (art. 18)

O titular dos dados tem os seguintes direitos relativamente aos seus dados pessoais:

• Confirmação da existência de tratamento dos seus dados;
• Acesso aos dados que detemos sobre si;
• Retificação de dados incompletos, inexatos ou desatualizados;
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD;
• Portabilidade dos seus dados para outro prestador de serviços (a aplicação permite exportar os dados em formato CSV);
• Eliminação dos dados tratados com base no seu consentimento;
• Informação sobre as entidades com as quais partilhamos os seus dados;
• Informação sobre a possibilidade de não dar consentimento e respetivas consequências;
• Retirada do consentimento a qualquer momento, sem prejuízo do tratamento já realizado;
• Revisão de decisões automatizadas que afetem os seus interesses.

Direitos adicionais ao abrigo do RGPD (para titulares na UE/EEE)

• Limitação do tratamento enquanto estiver pendente uma contestação (art. 18.º do RGPD);
• Oposição ao tratamento baseado em interesses legítimos (art. 21.º do RGPD);
• Portabilidade dos dados num formato estruturado, de uso corrente e de leitura automática (art. 20.º do RGPD);
• Apresentação de reclamação junto da autoridade de controlo competente do seu país de residência (em Portugal, a CNPD – Comissão Nacional de Proteção de Dados).

Para exercer qualquer um destes direitos, o Utilizador deve enviar o seu pedido para [email protected]. Responderemos no prazo de 15 (quinze) dias úteis (LGPD) ou de 1 (um) mês (RGPD), podendo este prazo ser prorrogado em função da complexidade do pedido.

9. Segurança dos Dados

A proteção dos dados do Utilizador é uma prioridade. Adotamos medidas técnicas e organizativas reconhecidas no setor, incluindo:

• Cifragem de todo o tráfego (TLS/HTTPS) entre a aplicação, o site e os nossos servidores;
• Cifragem dos dados em repouso na base de dados, protegendo as informações enquanto estão armazenadas;
• Palavras-passe protegidas com hash seguro, de forma que nunca são armazenadas em texto simples;
• Acesso restrito: apenas pessoas autorizadas acedem à infraestrutura, sujeitas a dever de confidencialidade;
• Monitorização contínua de segurança e análise automatizada de vulnerabilidades.

Em caso de incidente de segurança suscetível de implicar um risco ou dano relevante para os titulares, notificaremos as pessoas afetadas e as autoridades competentes:

• Na União Europeia: a autoridade de controlo competente, no prazo máximo de 72 (setenta e duas) horas, nos termos do art. 33.º do RGPD;
• No Brasil: a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados, no prazo máximo de 3 (três) dias úteis, nos termos da Resolução CD/ANPD n.º 15/2024.

A notificação incluirá a descrição do incidente, as categorias de dados envolvidas, os riscos e as medidas adotadas para os mitigar.

10. Consentimento e Escolhas do Utilizador

Os tratamentos essenciais, como manter a conta do Utilizador e processar as suas despesas e subscrições, baseiam-se na execução do contrato ou noutros fundamentos jurídicos aplicáveis. No site, as tecnologias não essenciais de análise e de publicidade ou medição dependem da escolha do Utilizador no banner de cookies. Na aplicação, utilizamos os SDK da Meta e do TikTok para atribuição e medição de campanhas. No iOS, quando o tratamento é considerado rastreio segundo as regras da Apple, pedimos autorização através do App Tracking Transparency (ATT) antes de permitir esse rastreio. A recusa dessa autorização não impede a utilização das funcionalidades principais do TakeControl.

• O consentimento do Utilizador é livre, informado e específico.
• O Utilizador pode retirá-lo a qualquer momento, sem que isso afete o funcionamento da aplicação.
• No site, o Utilizador pode autorizar a análise e a publicidade separadamente e alterar a sua escolha através da ligação Configurar, disponível no rodapé.
• Recusar tecnologias de análise ou de publicidade não limita a utilização do TakeControl.

No iOS, o Utilizador pode alterar posteriormente a permissão de rastreio nas definições de privacidade do dispositivo. No Android, os identificadores de publicidade são utilizados de acordo com as definições e os controlos disponibilizados pelo sistema operativo e pela Google.

11. Cookies e Tecnologias Semelhantes

Utilizamos cookies e tecnologias semelhantes para melhorar a experiência do Utilizador no site. Para mais informações sobre os tipos de cookies, as suas finalidades e a forma de os gerir, consulte a nossa Política de Cookies.

12. Menores

O Serviço não se destina a crianças com menos de 13 anos. Não recolhemos intencionalmente dados pessoais de crianças com menos de 13 anos. No Brasil, a idade mínima é de 14 anos, nos termos da LGPD.

Caso verifiquemos que foram inadvertidamente recolhidos dados de um menor, eliminá-los-emos de imediato.

13. Atualizações desta Política

Podemos atualizar a presente Política periodicamente para refletir alterações nas nossas práticas ou na legislação aplicável. No caso de alterações substanciais, notificaremos o Utilizador com, pelo menos, 30 (trinta) dias de antecedência, por e-mail ou através de aviso na aplicação. A data da última atualização estará sempre indicada no topo desta página.

14. Contacto e Autoridades de Controlo

Para dúvidas, pedidos ou exercício de direitos: [email protected]

Titulares na União Europeia / EEE: O Utilizador pode apresentar reclamação junto da autoridade de controlo de proteção de dados do seu país de residência ou estabelecimento. Em Portugal, essa autoridade é a CNPD – Comissão Nacional de Proteção de Dados (cnpd.pt).

Titulares no Brasil — Autoridade Nacional de Proteção de Dados (ANPD): gov.br/anpd