skyseatPolítica de privacidade
Rascunho 0.1 · 28 de outubro de 2026
RASCUNHO — pendente de revisão por assessoria jurídica. Ainda não é um texto definitivo nem vinculativo. A skyseat está em fase de protótipo e a sociedade ainda não está constituída: os dados da sociedade constam como «em preparação» até existir.
1. Em poucas palavras
- Das pessoas que usam o painel salvamos apenas o necessário para lhes dar acesso e proteger a conta: nome, e-mail, perfil, sessões e o que fazem no Registro.
- O que a sua empresa põe trabalhando na skyseat (tarefas, e-mails, documentos, chamadas, contatos) é da sua empresa: o tratamos por conta dela e segundo as suas instruções, com o contrato de operador.
- Servidores na União Europeia (Hetzner, Alemanha e Finlândia). Alguns fornecedores, como o modelo de IA ou a voz, estão nos Estados Unidos: tem todos na lista de suboperadores.
- O site não usa cookies; a análise de tráfego também não. Só te pede dados se enviar um pedido de acesso em Peça acesso antecipado. O painel só usa a cookie de sessão.
- Pode baixar os seus dados e apagar a sua conta você mesmo no painel, em Conta › Dados e privacidade.
2. Quem é o responsável
| Responsável pelo tratamento | skyseat (sociedade em preparação), com NIF em preparação e sede em preparação. Até a sociedade ser constituída, o responsável é o promotor do projeto skyseat. |
|---|---|
| Contato de privacidade | formulário de contato do site |
Esta política abrange dois papéis diferentes:
- Responsável pelo tratamento: os dados das pessoas que usam o painel (contas, sessões, Registro, avisos, faturamento), de quem peça acesso a partir do site e de quem o visita.
- Operador: os dados que a sua empresa trata com os seus funcionários IA. Aí a responsável é a sua empresa e a skyseat só os trata por conta dela (ver o ponto 8 e o contrato de operador).
3. Que dados tratamos como responsável
| Conta | Nome, e-mail, senha (salva apenas como hash scrypt, nunca em claro), empresas a que pertences e o seu perfil em cada uma. |
|---|---|
| Sessões | Data de entrada, endereço IP e navegador, para que possa ver e terminar as suas sessões e para detetar acessos indevidos. |
| Registro de atividade | O que faz no painel que altera alguma coisa (aprovar, pedir tarefas, alterar regras ou permissões, convidar…), com data, hora e origem. É o registro de auditoria que a sua empresa usa para saber quem fez o quê. |
| Avisos no celular | Se ativar os avisos, o endereço que o seu navegador fornece para os entregar (endpoint) e as respetivas chaves de criptografia. |
| Faturamento | Quando começarmos a cobrar: dados fiscais da empresa, plano e faturas. |
| Apoio | O que nos escrever quando nos pedir ajuda. |
| Pedido de acesso | Se o enviar a partir de Peça acesso antecipado: o seu nome, a sua empresa, o seu e-mail profissional, o seu telefone se o indicar, o plano que te interessa e quantos funcionários IA quer. Não salvamos o seu IP com ele. É salvo no servidor da plataforma (Hetzner, Helsinque) e só a equipe da skyseat o vê. |
| Visitas ao site | Análise anônima própria (Umami, no nosso servidor da UE, sem cookies): páginas vistas, país aproximado e site de origem, sempre agregados e sem te identificar. O alojamento (Vercel) recebe o seu IP e os dados técnicos do navegador para servir as páginas e protegê-las de abusos, e guarda-os durante pouco tempo nos seus registros. |
4. Para quê e com que fundamento jurídico
| Te dar acesso e prestar o serviço contratado pela sua empresa | Execução do contrato com a sua empresa (art. 6.º, n.º 1, alínea b), do GDPR) e o nosso interesse legítimo em que as pessoas que ela autoriza o possam usar (art. 6.º, n.º 1, alínea f)). |
|---|---|
| Segurança, prevenção de abusos e registro de auditoria | Interesse legítimo em proteger a plataforma e em que cada empresa saiba quem fez o quê (art. 6.º, n.º 1, alínea f)). Também o exige o dever de segurança (art. 32.º). |
| Analisar o seu pedido de acesso, criar a sua conta e te escrever sobre ele | Diligências pré-contratuais a seu pedido (art. 6.º, n.º 1, alínea b)). Não o usamos para publicidade nem o cedemos a ninguém. |
| Avisos no celular | O seu consentimento, que dá ao ativá-los no navegador e retiras ao desativá-los (art. 6.º, n.º 1, alínea a)). |
| Faturamento e obrigações fiscais | Obrigação legal (art. 6.º, n.º 1, alínea c)). |
| Responder às suas perguntas | Interesse legítimo ou execução do contrato, consoante o caso. |
Não vendemos dados, não fazemos publicidade com eles e não os usamos para treinar modelos de IA.
5. Durante quanto tempo
- Sessões: expiram ao fim de 30 dias sem uso e são apagadas.
- Endereços IP das sessões e do Registro: são apagados ao fim de 6 meses.
- Conta: enquanto a tiver. Se a apagar, são apagadas a sua conta, as sessões e os avisos, e no Registro o seu nome passa a «Pessoa apagada».
- Registro de atividade: enquanto a empresa existir. Se a empresa cancelar o serviço, é apagado com tudo o resto ao fim de 30 dias.
- Pedidos de acesso: depois de resolvido, é apagado ao fim de 90 dias; se ninguém o resolver, ao fim de 180. Se te demos acesso, passa a ser a sua conta.
- Cópias de segurança: diárias e criptografadas; o que é apagado desaparece delas ao rodarem, no máximo ao fim de 63 dias (14 diárias e 8 semanais, mais 7 dias de instantâneos).
- Faturamento: os prazos que a lei estabelece (6 anos, art. 30.º do Código de Comercio espanhol).
6. Quem mais os trata
Fornecedores que nos ajudam a prestar o serviço (alojamento, modelo de IA, voz, telefone, registros técnicos), com contrato de operador e apenas para isso. A lista completa, com país e garantias, está em suboperadores. Não cedemos dados a terceiros, salvo obrigação legal.
7. Transferências para fora da UE
Alguns desses fornecedores estão nos Estados Unidos. Só lhes enviamos dados com as garantias do capítulo V do GDPR: o Quadro de Privacidade de Dados UE‑EUA quando o fornecedor aderiu e, caso contrário, as cláusulas contratuais-tipo da Comissão Europeia (Decisão 2021/914). O detalhe de cada um está na lista de suboperadores.
8. Os dados que a sua empresa trata com os seus funcionários IA
Os funcionários IA trabalham para a sua empresa com as contas, permissões e regras que ela lhes dá: leem e escrevem e-mails, preenchem programas, atendem chamadas ou criam contas em serviços. Para tudo isso a sua empresa é a responsável pelo tratamento e a skyseat é a sua operador: só tratamos esses dados para lhe prestar o serviço, segundo as suas instruções e com o contrato de operador.
Se é uma pessoa que contatou com um funcionário IA (por e-mail, num site ou por telefone), te dirige à empresa para a qual ele trabalha. Nas chamadas, o funcionário IA diz logo no início que é uma IA e que a chamada é gravada; o resto está na página de chamadas com um assistente de IA.
9. Decisões automatizadas
A skyseat não toma decisões com efeitos jurídicos sobre você baseadas exclusivamente num tratamento automatizado (art. 22.º do GDPR). As regras automáticas da plataforma (limites de gastos, ligar e desligar computadores, distribuição de chamadas) afetam o serviço, não as pessoas. O que um funcionário IA faz é decidido e supervisionado pela empresa para a qual trabalha.
10. Os seus direitos
Pode pedir o acesso, a retificação, o apagamento, a limitação e a portabilidade dos seus dados, te opor ao seu tratamento e retirar o seu consentimento quando for esse o fundamento.
- No painel, em Conta › Dados e privacidade: baixar os seus dados (JSON), baixar os da empresa se a administrar (ZIP), cancelar a empresa ou apagar a sua conta.
- Se enviou um pedido de acesso, respondendo ao e-mail que te enviarmos.
- Por escrito através do formulário de contato do site, indicando o que pede. Respondemos no prazo máximo de um mês.
- Se achar que não te atendemos bem, pode apresentar reclamação à Agencia Española de Protección de Datos (aepd.es, C/ Jorge Juan 6, 28001 Madrid).
11. Segurança
Conexões criptografadas (HTTPS), senhas com hash scrypt, chaves das contas conectadas criptografadas (AES‑256‑GCM) com a chave fora da base de dados, cada empresa separada das outras, perfis, registro que não pode ser alterado e cópias diárias. Se uma violação afetar os seus dados, avisamos a empresa cliente no prazo máximo de 48 horas após a detetarmos, para que possa cumprir os seus prazos perante a autoridade e os titulares. O detalhe está no anexo II do contrato de operador.
12. Menores
A skyseat é um serviço para empresas e profissionais. Não se destina a menores de 18 anos.
13. Alterações
Se alterarmos esta política, publicaremos aqui a nova versão com a respetiva data e, se a alteração for importante, avisaremos no painel antes de ser aplicada.
Outros textos: Termos do serviço · Contrato de operador · Suboperadores · Aviso legal · Política de cookies · Todos