Legal

Política de privacidade

Atualizado 2026-07-09

A Finkavo é construída para pessoas que se preocupam com os seus dados fiscais e administrativos — e nós também. Esta página explica o que recolhemos, o que não recolhemos, e o que pode fazer sobre isso. Não é uma parede de texto jurídico; é o acordo real.

O que recolhemos

Os detalhes da sua conta (nome, email, hash de palavra-passe via Better-Auth). As suas respostas de onboarding (estado de residência, tipo de emprego, regime fiscal). Cada pergunta que envia e resposta que recebe. Cartas e documentos do cofre que carrega (cifrados em repouso — cifragem ponto-a-ponto se optar). Pesquisas guardadas, eventos do calendário, preferências do dashboard. Cookies de sessão. Se aceitar análise, eventos PostHog (identificados por um hash opaco do seu id de utilizador, nunca por email). Se mencionar identificadores como o seu NIF ou NISS numa conversa ou num documento carregado, o assistente guarda-os no perfil para poder raciocinar sobre a sua situação fiscal — pode consultar ou apagar em Definições → Perfil → Extras.

O que não recolhemos

Trackers de terceiros. IDs publicitários. Cookies de terceiros. Pixels de marketing. Quaisquer credenciais de autoridade tributária — a Finkavo não tem login no Portal das Finanças, nem scraping, nem ligação direta à AT. Números de cartão de pagamento (é o Stripe que os processa quando subscrever).

Quanto tempo guardamos

Tudo está associado à sua conta. Quando apaga a conta nas definições, eliminamos todas as linhas e blobs R2 e revogamos qualquer refresh token Google que tenha ligado — normalmente em minutos. As conversas apagadas ficam em soft-delete durante 30 dias para poder restaurar, e são depois eliminadas definitivamente por um job noturno. Os registos de envio de lembretes (usados para prevenir emails duplicados) são guardados 90 dias. As submissões da lista de espera (email + nota opcional "o que te trouxe cá", enviadas pela landing page de marketing) são guardadas 12 meses a contar da submissão, ou até criar a conta — o que ocorrer primeiro. Se nunca criar conta e quiser que o seu email da lista de espera seja removido antes, envie um email para hello@finkavo.com. Se alguma vez precisarmos de manter algo por razões legais (investigação de fraude, ordem judicial) avisaremos — nunca aconteceu.

Com quem partilhamos

Apenas os fornecedores necessários para operar a aplicação: CockroachDB Serverless (Frankfurt) para a base de dados, Cloudflare R2 (UE) para armazenamento cifrado de ficheiros, Cloudflare Workers AI para embeddings, OpenAI para inferência LLM, Tavily para pesquisa na web quando o nosso corpus não cobre a sua pergunta (processador US, DPA + SCCs), Resend para email transacional, PostHog UE para analytics (apenas com o seu consentimento), Stripe para pagamentos (após subscrever). Os cookies de sessão e hashes de password são geridos pelo Better-Auth, que corre dentro do mesmo Cloudflare Worker que o Finkavo — não há processador externo, nenhum terceiro tem acesso às suas credenciais. O GitHub só é processador se optar por iniciar sessão com GitHub (ver secção GitHub abaixo). Todos os fornecedores externos estão sujeitos a DPAs. Nunca vendemos dados a data brokers.

Acesso à conta Google

Iniciar sessão com o Google é opcional. Quando escolhe ligar o Google Calendar nas definições do perfil, a Finkavo pede um âmbito da Google Calendar API (https://www.googleapis.com/auth/calendar.app.created). Trata-se da variante 'app-created': permite à Finkavo criar um único calendário dedicado 'Finkavo — Prazos fiscais' na sua conta e ler/escrever eventos apenas nesse calendário. A Finkavo não consegue ver, ler ou modificar quaisquer outros calendários Google que possua. O uso das informações recebidas das APIs Google pela Finkavo cumpre a Google API Services User Data Policy, incluindo os requisitos de Limited Use. Especificamente: a Finkavo não transfere os seus dados Google a terceiros excepto quando necessário para fornecer o próprio serviço de lembretes (os fornecedores DPA acima listados), não usa os seus dados Google para publicidade, e não permite que seres humanos leiam os seus dados Google salvo com o seu consentimento afirmativo, por necessidade de segurança, ou quando os dados sejam agregados e anonimizados. Pode revogar o acesso da Finkavo em qualquer momento na página de definições do perfil, ou em https://myaccount.google.com/permissions.

Início de sessão com GitHub

Iniciar sessão com o GitHub é opcional. Se escolher esta via, o Finkavo recebe apenas os campos que o GitHub devolve por defeito: o seu id de utilizador GitHub, o seu email principal verificado e o seu nome de apresentação. NÃO lemos os seus repositórios, organizações, código privado, seguidores, ou qualquer outro dado GitHub — a OAuth app pede apenas os âmbitos por defeito 'read:user' + 'user:email'. O Finkavo não publica no GitHub em seu nome. Pode revogar o acesso do Finkavo a qualquer momento em https://github.com/settings/applications — a revogação invalida imediatamente qualquer sessão activa iniciada com GitHub.

Os seus direitos

Ao abrigo do RGPD pode aceder, corrigir, exportar ou apagar os seus dados. Acesso + correção: /app/settings/profile. Exportar: mesma página, Zona de Perigo → Exportar os meus dados (JSON). Apagar: mesma página, Zona de Perigo → Apagar a minha conta. Não precisa de pedir permissão a ninguém. Tem também o direito de apresentar reclamação à Comissão Nacional de Protecção de Dados (CNPD — https://www.cnpd.pt/) ou à autoridade de controlo do país da UE onde reside.

Responsável pelo tratamento

Responsável pelo tratamento: Abolfazl Shirkavand, empresário em nome individual, com sede em Rua Francisco Marques Beato n.º 8, 5.º B, Moscavide, Portugal. Contacto: hello@finkavo.com. Não foi designado formalmente um Encarregado de Proteção de Dados porque o Finkavo não realiza monitorização em grande escala de titulares de dados nem trata dados de categorias especiais como atividade principal (RGPD Art. 37.º/1) — hello@finkavo.com é a via direta para questões de privacidade e pedidos RGPD.

Contacto

hello@finkavo.com. Respondemos em 3 dias úteis. Para pedidos específicos do RGPD respondemos dentro da janela legal de 30 dias.