Política de Privacidade

O responsável pelo tratamento nos termos da DSGVO (RGPD) é:

RH Group GmbH
Südliche Münchner Str. 60c
82031 Grünwald
Alemanha
E-mail: info@preparaio.com
Telefone: +49 89 74044725

Tratamos dados pessoais apenas na medida em que tal seja necessário para disponibilizar um website funcional e os nossos conteúdos de aprendizagem ou quando exista uma autorização legal. Quando visitas o website, o nosso serviço de alojamento recolhe automaticamente dados de acesso (endereço IP, data, User-Agent) em registos do servidor para manter o funcionamento e prevenir ataques (Art. 6 Abs. 1 lit. f DSGVO). Os registos são eliminados após um máximo de 30 dias.

No registo, tratamos o endereço de e-mail, o nome de apresentação e os metadados de autenticação para executar o contrato (Art. 6 Abs. 1 lit. b DSGVO). Os dados são conservados até eliminares a conta, no máximo durante 3 anos após a última atividade.

Tratamos as respostas, o progresso, o perfil de competências e os resultados dos exames de treino para prestar o serviço contratualmente acordado (Art. 6 Abs. 1 lit. b DSGVO), bem como para melhorar os conteúdos de aprendizagem (Art. 6 Abs. 1 lit. f DSGVO, interesse na garantia da qualidade dos exercícios). Os dados são conservados até à eliminação da conta; as estatísticas agregadas anonimizadas (sem ligação a pessoas) continuam a ser conservadas após essa data.

Os pagamentos são processados por Stripe Payments Europe, Limited (1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irlanda) como subcontratante. São transmitidos: nome, email, dados de pagamento e endereço IP. Base jurídica: art. 6.º, n.º 1, al. b) do RGPD (execução do contrato). Detalhes na política de privacidade da Stripe em stripe.com/privacy.

IA de texto (escrita): As respostas de texto livre nos exercícios de escrita são transmitidas, para avaliação, através do Lovable AI Gateway a fornecedores de modelos de IA (Google Ireland Ltd. para os modelos Gemini e OpenAI Ireland Ltd. / OpenAI, L.L.C. para os modelos GPT). Fundamento jurídico: Art. 6 Abs. 1 lit. b DSGVO (execução do contrato). São transmitidos a própria resposta, o enunciado do exercício e um código pseudónimo do aluno — não são transmitidos nomes reais, e-mails nem dados de pagamento. Segundo os acordos com os fornecedores, os dados introduzidos não são utilizados para treinar os modelos.

Transcrição de voz (expressão oral): As gravações de áudio dos exercícios de expressão oral são transmitidas à ElevenLabs, Inc. (169 Madison Ave, New York, NY 10016, USA) para transcrição automática. É transmitido exclusivamente o ficheiro de áudio, juntamente com um código pseudónimo do aluno. Fundamento jurídico: Art. 6 Abs. 1 lit. b DSGVO.

Síntese de voz (compreensão oral): Para gerar os áudios de compreensão oral, transmitimos os textos dos exercícios (sem dados pessoais) à ElevenLabs, Inc. e, como alternativa, à OpenAI (Text-to-Speech). Os ficheiros de áudio gerados são depois armazenados temporariamente na nossa base de dados na UE.

Sem treino de modelos: De acordo com os acordos de subcontratação do tratamento de dados, ou Data Processing Agreements, celebrados com os fornecedores, nem os dados de entrada nem os dados de saída são utilizados para treinar os modelos de IA.

• Alojamento, base de dados, autenticação, armazenamento de ficheiros, e-mails de autenticação: Supabase (através do Lovable Cloud), região da UE.
• Processamento de pagamentos: Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irlanda (com transmissão à Stripe Inc., EUA).
• Avaliação de texto por IA (através do Lovable AI Gateway): Google Ireland Ltd. (Gemini) e OpenAI Ireland Ltd. / OpenAI, L.L.C. (GPT).
• Transcrição e síntese de voz: ElevenLabs, Inc., EUA; OpenAI (apenas como alternativa de recurso para a síntese de voz).
• Envio de e-mails (transacionais e lembretes de aprendizagem): Resend (Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA), enquanto prestador de serviços de envio de e-mails, tecnicamente integrado através do Lovable Connector-Gateway. São transmitidos o endereço de e-mail do destinatário, o assunto, o conteúdo do e-mail e os cabeçalhos técnicos de envio (incluindo a ligação para cancelar a subscrição).
• Medição de audiência (apenas com consentimento): Google Ireland Ltd. para o Google Analytics 4 e Microsoft Ireland Operations Ltd. para o Microsoft Clarity.
• Medição do alcance de marketing (apenas com consentimento): Google Ireland Ltd. / Google LLC para o Google Ads Conversion Tracking e TikTok Technology Ltd. (Irlanda) / TikTok Pte. Ltd. para o TikTok-Pixel e a TikTok Events API do lado do servidor.

Nós não vendemos dados e transmitimos dados pessoais exclusivamente aos prestadores de serviços acima indicados no âmbito da prestação do serviço. Na medida em que estes prestadores de serviços tratem dados pessoais por nossa conta, o tratamento rege-se pelas condições de subcontratação do tratamento de dados aplicáveis de cada fornecedor. No caso da Resend, de acordo com o seu Data Processing Addendum (DPA) publicado, o DPA faz parte do contrato com o cliente e torna-se vinculativo com a celebração desse contrato.

Alguns dos prestadores de serviços utilizados (em particular ElevenLabs, a empresa-mãe da OpenAI, Google LLC, Microsoft Corporation, TikTok Pte. Ltd., Stripe Inc., Resend) estão sediados nos EUA ou transmitem parte dos dados a empresas do grupo aí localizadas. A proteção destas transferências é assegurada, consoante o fornecedor, através das cláusulas contratuais-tipo da UE (Art. 46 Abs. 2 lit. c DSGVO) e/ou — desde que o respetivo fornecedor esteja certificado nesse âmbito — através do EU-U.S. Data Privacy Framework (decisão de adequação de 10 de julho de 2023). No caso da Resend, de acordo com as informações atualmente publicadas pelo fornecedor (DPA e página informativa sobre o RGPD), os dados são armazenados nos EUA e as transferências a partir do EEE são protegidas pelas cláusulas contratuais-tipo da UE incorporadas no DPA, bem como pela participação no EU-U.S. Data Privacy Framework. Apesar destas medidas de proteção, não é possível excluir completamente o acesso por parte das autoridades dos EUA ao abrigo da legislação local.

Tens, a qualquer momento, direito de acesso (Art. 15), retificação (Art. 16), apagamento (Art. 17), limitação do tratamento (Art. 18), portabilidade dos dados (Art. 20) e oposição (Art. 21 DSGVO). Para isso, contacta-nos, sem necessidade de formalidades, através de info@preparaio.com.

Além disso, tens o direito de apresentar uma reclamação junto de uma autoridade de controlo de proteção de dados. A autoridade competente para nós é:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach

Tecnicamente necessários (sem consentimento, § 25 Abs. 2 Nr. 2 TDDDG): sessão de início de sessão (token de autenticação Supabase), seleção de idioma e tema, armazenamento do consentimento, cookies do carrinho de compras e de checkout da Stripe durante o processo de pagamento.

Estatísticas – apenas com consentimento (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG):

• Google Analytics 4 (Google Ireland Ltd.) para a medição pseudonimizada do alcance. Anonimização de IP ativa; prazo de conservação de 14 meses.
• Microsoft Clarity (Microsoft Ireland Operations Ltd., One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland) para analisar como as nossas páginas são utilizadas — tanto as páginas públicas como a área de aprendizagem após o início de sessão. O Clarity regista cliques, movimentos de deslocamento, movimentos do rato e visualizações de páginas, e cria mapas de calor e gravações de sessões a partir desses dados. Os textos introduzidos e os conteúdos das páginas são mascarados, ou seja, não são transmitidos em texto simples. São também tratados informações sobre o dispositivo e o navegador, o endereço IP truncado, a localização aproximada e os carimbos de data e hora. Cookies ou identificadores: entre outros, _clck, _clsk, CLID, MUID; prazo de conservação, segundo a Microsoft, de até 1 ano. A base jurídica é o teu consentimento (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). É possível que haja uma transferência para a Microsoft Corporation nos EUA (ver secção 8). Mais informações: Declaração de privacidade da Microsoft. Podes retirar o consentimento a qualquer momento através das definições de cookies no rodapé.

Marketing – apenas com consentimento:

• Google Ads Conversion Tracking (Google Ireland Ltd. / Google LLC) para medir o sucesso dos anúncios publicitários.
• Pixel do TikTok (TikTok Technology Ltd., Irlanda) para medir o alcance das campanhas no TikTok.
• TikTok Events API (medição de conversões do lado do servidor): quando te registas ou subscreves um plano, transmitimos também o respetivo evento (registo ou compra) diretamente do nosso servidor para o TikTok, para que o sucesso das campanhas publicitárias continue a poder ser medido mesmo quando o pixel está bloqueado. São transmitidos: um endereço de e-mail e um identificador de utilizador submetidos a hash criptográfico (SHA-256), nas compras também o valor da compra, a moeda e o código do exame, em todos os casos carimbos de data e hora e um identificador de evento para evitar contagens duplicadas. Sem dados em texto simples e sem dados de pagamento. A base jurídica é o teu consentimento (Art. 6 Abs. 1 lit. a DSGVO); sem consentimento para marketing, esta transmissão não ocorre. Podes retirar o consentimento a qualquer momento através das definições de cookies no rodapé — a transmissão cessa então para todos os eventos futuros.

Utilizamos o Google Consent Mode v2 com a configuração por omissão «denied». Sem consentimento, não são carregados scripts de análise nem de marketing (incluindo o Microsoft Clarity) e não são definidos os cookies correspondentes. A personalização de anúncios permanece permanentemente desativada.

Estado atual: Ainda não foi feita nenhuma escolha. Podes alterar ou retirar a tua escolha a qualquer momento:

Finalidade: se ativares expressamente esta opção, enviamos-te lembretes de aprendizagem personalizados por e-mail — por exemplo, avisos sobre revisões pendentes, pausas de aprendizagem prolongadas, a tua sequência de dias de estudo, tarefas por concluir ou a contagem decrescente para o exame. Para isso, analisamos os teus dados de aprendizagem e de progresso (entre outros, última atividade, revisões pendentes, estado da sequência, data do exame, exame pretendido e definição de idioma).

Base jurídica: exclusivamente o teu consentimento (Art. 6 Abs. 1 lit. a DSGVO). Sem este consentimento, não há análise para fins de lembrete nem envio. A opção está desativada por omissão; uma definição geral de e-mail do passado não é considerada consentimento para este efeito.

Caráter voluntário: o consentimento é voluntário e não é uma condição para utilizar o Preparaio nem para celebrar um contrato. A sua não concessão não te causa quaisquer desvantagens no acesso aos conteúdos de aprendizagem.

Retirada do consentimento: podes retirar o consentimento a qualquer momento — nas definições da conta, em «Notificações», ou através da ligação para cancelar a subscrição em cada e-mail de lembrete (sem iniciar sessão, também através do cancelamento com um clique no programa de e-mail). A retirada produz efeitos para o futuro: a licitude dos tratamentos já efetuados não é afetada. A retirada diz respeito exclusivamente aos lembretes de aprendizagem. Continuarás a receber os e-mails necessários relativos à conta, ao contrato e aos pagamentos (por exemplo, e-mails de registo e de início de sessão, confirmações de compra, avisos de faturas, convites da tua escola de línguas, avisos relevantes para a segurança), uma vez que não se baseiam neste consentimento.

Frequência: o envio é limitado pelo sistema através de limites máximos configuráveis — tanto por dia como relativamente a uma janela móvel de 7 dias. Dentro de um ciclo de envio, o motor de regras dá prioridade ao lembrete adequado para cada aluno, de modo que não se acumulem lembretes no mesmo ciclo de envio. Optamos deliberadamente por não indicar aqui valores numéricos fixos, uma vez que estes limites máximos podem ser ajustados por razões operacionais.

Prova do consentimento: para cumprir a nossa obrigação de comprovação (Art. 7 Abs. 1 DSGVO), registamos, com minimização de dados, quando deste ou retiraste o consentimento: momento, evento (concedido/retirado), origem (definições ou ligação para cancelar a subscrição), versão do texto de consentimento e idioma. Não guardamos nenhum endereço IP, nenhum User-Agent nem qualquer cópia do e-mail. Estes comprovativos são eliminados automaticamente após 3 anos.

Ligações para cancelar a subscrição: a ligação para cancelar a subscrição contém um token aleatório, sem conteúdo informativo — não é possível deduzir dele o endereço de e-mail, o nome ou o identificador de utilizador. Do lado do servidor, guardamos apenas um hash criptográfico (SHA-256) do token. Os tokens são válidos durante 90 dias, podem ser revogados a qualquer momento e são eliminados 30 dias após a expiração ou revogação.

Sem medição por rastreamento: os e-mails de lembrete não contêm pixels de rastreamento nem parâmetros de rastreamento pessoais nas ligações. Para o envio técnico, utilizamos o prestador de serviços de envio de e-mail referido na secção 7.

Prazo de conservação dos registos de envio: para cada e-mail de lembrete, guardamos um registo técnico de envio (finalidade, estado, endereço do destinatário, momento), que serve para evitar duplicados, respeitar os limites máximos e prestar apoio. Estes registos são eliminados automaticamente 180 dias após o envio. Os registos relativos a e-mails obrigatórios (conta, compra, convite) não são afetados por esta regra.

Adaptamos esta declaração sempre que a situação jurídica ou as nossas operações de tratamento se alterem. Última atualização: 2026-06-14.