Política de Privacidade e Proteção de Dados

Versão da plataforma: v3.7.0. A proteção dos dados pessoais dos utilizadores e o isolamento dos dados comerciais dos restaurantes são compromissos centrais do GastroSpec Radar. O responsável pelo tratamento é Empresário em Nome Individual (NIF PT310747511), com sede em Lagoa, Faro, Portugal. Para exercer direitos, escreva para privacidade@gastrospec.app.

1. Dados Pessoais Tratados

Para a execução do serviço, recolhemos e tratamos apenas a informação indispensável:

• Dados de conta: nome, e-mail profissional, credenciais de acesso (palavra-passe em forma de hash) e, se usar Google, o identificador de autenticação social.
• Dados operacionais: fotografias e digitalizações de guias de remessa e faturas, nomes e NIF de fornecedores, linhas de artigos, quantidades e preços praticados.
• Dados de faturação: NIF e morada fiscal da empresa. Os dados de pagamento são tratados diretamente pela Stripe; a plataforma não armazena números de cartão.

2. Isolamento de Dados (Multi-tenant)

Cada registo está vinculado a um identificador de restaurante (tenant_id) e todas as consultas são filtradas por esse identificador. Um restaurante não consegue aceder, pesquisar ou comparar os dados de outro.

3. Medidas Técnicas de Segurança

• Encriptação em repouso: os segredos de assinatura dos webhooks guardados na base de dados são cifrados com AES-256-GCM, um método de encriptação autenticada.
• Mascaramento de tentativas de login: nas tentativas de autenticação falhadas (LOGIN_FAILED), o e-mail é gravado de forma mascarada, por exemplo a***@re***.pt, acompanhado de um pseudónimo criptográfico irreversível (HMAC-SHA256), e nunca em claro. Se o valor introduzido no campo de e-mail não tiver formato de e-mail (por exemplo, uma palavra-passe escrita por engano), não é gravado.
• Trilha de auditoria imutável: os eventos de segurança são gravados na tabela security_audit_logs do PostgreSQL, protegida por triggers SQL que rejeitam UPDATE, DELETE e TRUNCATE.
• Webhooks assinados: os envios de webhook são assinados com HMAC-SHA256.

4. Tratamento de Imagens e Inteligência Artificial

As fotografias enviadas para extração são processadas através da API Gemini da Google Cloud Platform. Os dados enviados não são utilizados para treinar modelos de inteligência artificial de terceiros, e são usados apenas para converter o texto do documento em dados estruturados durante o pedido.

5. Subprocessadores

• Google Cloud Platform (Gemini API): extração por OCR e inteligência artificial.
• Stripe Payments Europe, Ltd.: processamento de pagamentos e faturação.
• Resend, Inc.: envio de e-mails transacionais e relatórios em PDF.
• Neon, Inc.: base de dados PostgreSQL gerida.
• Vercel, Inc.: alojamento da interface web.

6. Direitos do Titular

Nos termos dos artigos 15.º a 22.º do RGPD, o titular pode aceder aos seus dados, pedir a retificação de dados incorretos, exportar o histórico em CSV ou pedir o apagamento da conta e dos documentos associados. Os pedidos devem ser enviados para privacidade@gastrospec.app. Para questões de segurança, use seguranca@gastrospec.app. O titular pode também apresentar reclamação junto da Comissão Nacional de Proteção de Dados (CNPD).