Política de privacidade

A Factu Labs S.L. ("Factu", "nós") presta um serviço que ajuda empresas e independentes a obter facturas dos seus fornecedores. Esta política explica que dados pessoais tratamos, com que finalidade e como podes exercer os teus direitos.

• Dados de conta: email e palavra-passe.
• Dados da organização: razão social, NIF/CIF, morada fiscal e email de contacto.
• Dados dos pedidos: fornecedor, descrição da operação, valor e notas internas.
• Facturas e PDFs que recebemos ou processamos para validar o pedido.
• Dados Google quando ligas o Gmail: endereço da caixa, permissões autorizadas, tokens OAuth, metadados das mensagens revistas dentro do período escolhido e anexos PDF candidatos a factura.
• Confirmação legal com timestamp e IP quando crias um pedido.
• Eventos de produto agregados com privacidade activa.

• Contactar fornecedores em teu nome para pedir a factura.
• Validar as facturas recebidas antes de as entregar.
• Localizar, eliminar duplicados e processar facturas que decidas procurar ou adicionar.
• Cumprir obrigações legais e contabilísticas.
• Melhorar o produto com base em uso agregado.

Quando ligas o Gmail, a Factu recebe o endereço da caixa, as permissões que autorizas e tokens OAuth. Com gmail.send enviamos pedidos de factura, lembretes e seguimentos a partir dessa caixa. Com gmail.readonly consultamos os metadados necessários para identificar mensagens que possam conter facturas e descarregamos os respectivos anexos PDF dentro do período que escolheres (1, 3 ou 12 meses). Podes desactivar a leitura a qualquer momento sem desligar a caixa. A Factu não modifica, move nem elimina mensagens do Gmail.

Usamos estes dados exclusivamente para prestar as funcionalidades que solicitas: enviar comunicações a partir da caixa autorizada, localizar facturas, evitar duplicados, mostrar candidatos dentro da Factu e processar por OCR os PDFs relevantes.

A Factu não vende dados Google, não os usa para publicidade, retargeting, avaliação de solvabilidade ou concessão de crédito, nem os usa para treinar modelos de IA de propósito geral.

A utilização e a transferência pela Factu de informação recebida das APIs Google cumprem a Política de Dados de Utilizador dos Serviços API da Google, incluindo os requisitos de Uso Limitado.

Tratamos os teus dados com base na execução do contrato, no teu consentimento explícito ao confirmar cada pedido e no cumprimento de obrigações legais aplicáveis.

Para prestar o serviço, a Vercel executa a aplicação; o Supabase gere a autenticação, a base de dados e o armazenamento privado de PDFs; a Mistral recebe durante o OCR um URL assinado e temporário do PDF; e a Resend trata os dados de contacto e o conteúdo mínimo necessário para enviar notificações da Factu. A Resend não envia as mensagens que saem da tua caixa do Gmail. Estas transferências limitam-se à prestação das funcionalidades solicitadas. A lista e a finalidade dos fornecedores são mantidas em /subprocesadores.

Quando o indicares ou autorizares, a Factu pode disponibilizar facturas, documentos e dados associados ao teu contabilista ou gabinete de contabilidade, ou a outras pessoas da tua organização com as permissões correspondentes.

Também podemos comunicar dados quando uma lei, um tribunal ou uma autoridade competente o exigir, ou quando for necessário para proteger a segurança e os direitos dos utilizadores, de terceiros ou da Factu.

O acesso humano ao conteúdo Google é excepcional, limita-se ao mínimo necessário e só é permitido com a tua autorização afirmativa para dados concretos, para suporte indispensável que autorizes, por motivos de segurança ou para cumprir uma obrigação legal. O pessoal e os colaboradores autorizados estão sujeitos a deveres de confidencialidade e acesso restrito.

• Protegemos os dados em trânsito através de HTTPS/TLS.
• Ciframos especificamente os tokens OAuth em repouso com AES-256-GCM.
• Mantemos os PDFs em armazenamento privado e geramos URLs assinados que expiram, normalmente, após 600 segundos.
• Isolamos os dados por organização e aplicamos controlos de acesso e funções para limitar quem os pode consultar.
• Restringimos os segredos aos sistemas de servidor e aplicamos medidas para evitar que apareçam nos registos operacionais.

Aplicamos prazos diferentes conforme o tipo de dados e a sua finalidade:

• As credenciais OAuth são conservadas cifradas enquanto existir a ligação ou até atendermos um pedido de eliminação, sujeito às obrigações legais aplicáveis. Ao desligar, a Factu desactiva a ligação e deixa de a usar, mas isto não implica por si só a revogação do acesso no Google nem a eliminação imediata de todas as credenciais armazenadas.
• Os candidatos a factura não aceites e os respectivos PDFs são eliminados após 30 dias. Se ignorares um candidato, o respectivo PDF é eliminado após 30 dias, mas pode conservar-se durante até 400 dias um registo mínimo sem o PDF para impedir que o mesmo anexo seja novamente importado.
• As facturas e PDFs aceites, os pedidos e as provas fiscais ou comerciais podem ser conservados durante seis anos quando necessário para cumprir obrigações legais ou comprovar operações.
• Os eventos não fiscais de uma organização encerrada são eliminados após 90 dias.

Podes pedir acesso, rectificação, portabilidade ou eliminação dos teus dados, bem como opor-te ou limitar determinados tratamentos, escrevendo para privacy@mrfactu.com. Quando existir uma obrigação legal de conservação, limitaremos o tratamento até ao seu termo. Também podes apresentar uma reclamação junto da Agência Espanhola de Proteção de Dados.

Podes desactivar a leitura do Gmail sem desactivar o envio e desligar a caixa na Factu. Para retirar directamente o acesso concedido à Factu, usa a página de permissões da tua Conta Google. Também podes pedir-nos a revogação ou eliminação escrevendo para privacy@mrfactu.com.

Se alterarmos esta política, avisaremos por email e actualizaremos a data no cabeçalho.