Política de privacidade

O responsável pelo tratamento é Stefan Alexandru Iancu, pessoa singular. A STEFLUX é a marca comercial. A STEFLUX é uma marca (identidade pública), distinta da pessoa singular responsável pelo tratamento. Não há entidade registada STEFLUX nem atividade aberta nas Finanças.

Para exercício de direitos e questões de privacidade, podes escrever para privacidade@steflux.pt ou usar o formulário na página Contacto.

Conta STEFLUX Check: o email da conta, o nome que indicares (opcional) e a password guardada só como hash scrypt. Não guardamos a password em claro. A autenticação usa Auth.js, com sessão JWT.

Obras do Check: os dados que tu introduzires sobre cada obra (nome, cliente, datas, custos, faturação, capítulos, artigos, medições, progresso e estado), associados à tua conta quando estás ligado. No servidor ficam na base Check (Turso / libSQL), na tabela de obras. Neste dispositivo há uma cópia em localStorage para o Check funcionar e sincronizar.

Cópia no browser: o Check guarda obras neste dispositivo em localStorage, na chave steflux-check:projects:v1, e a marca de sincronização steflux-check:sync-owner:v1. Esta cópia é necessária para o Check funcionar neste browser (incluindo quando ainda não há sessão). Não é um cookie. Com sessão, as obras reais sincronizam com a base Check.

Formulário de contacto: nome, email e mensagem do pedido. O campo anti-spam não é um dado que queiramos tratar — se estiver preenchido, o pedido não segue.

Endereço IP do pedido de contacto: o servidor lê o IP (cabeçalhos de encaminhamento) só para um limite anti-abuso em memória, cerca de 5 envios em 10 minutos por endereço. Os carimbos caducam com essa janela e não vão para base de dados.

Sessão: um cookie de sessão do Auth.js para te manter ligado no Check. O servidor guarda um sessionVersion: ao saíres com sucesso, esse valor sobe e a sessão deixa de ser aceite noutros pedidos. Sair não apaga as obras no localStorage.

Analytics: o site regista eventos de utilização (por exemplo, um pedido de orçamento enviado) numa fila no teu browser. Neste código não está ligado um fornecedor externo de analytics (não enviamos estes eventos para Google Analytics, Plausible ou PostHog).

Criar e autenticar a tua conta Check, confirmar o email e repor a password.

Guardar, mostrar e sincronizar as tuas obras no Check.

Responder a pedidos de orçamento e a mensagens de contacto.

Perceber, de forma agregada e no teu dispositivo, se as páginas e os botões principais são usados.

Execução do contrato ou diligências pré-contratuais: criar a conta Check, guardar as obras e responder a um pedido de orçamento.

Interesse legítimo: segurança da conta (hash da password, sessionVersion ao sair) e limite anti-abuso do formulário de contacto (endereço IP em memória), sem perfis publicitários.

Cumprimento de obrigações legais, quando existirem (por exemplo, responder a um pedido teu ao abrigo do RGPD).

A conta Check, a sessão e as obras no servidor ficam enquanto a conta existir. Se apagares a conta, removemos a conta, as sessões e os dados das obras dessa conta. Neste browser, apagar a conta também limpa as chaves de localStorage do Check. Sair da sessão não apaga essa cópia local — as obras podem ficar no dispositivo até apagares a conta, limpares os dados do site ou as removeres tu.

Os pedidos de contacto servem para te responder e não ficam na base de dados desta aplicação: o servidor envia-os por email (Resend) para a caixa geral@steflux.pt. A cópia nessa caixa é apagada manualmente ao fim de 12 meses.

Os registos do fornecedor de email (Resend) e os registos de função da Vercel seguem o prazo de retenção de cada fornecedor. Na Resend, emails e logs ficam 30 dias nos planos Free, Pro e Scale. Os registos da rota de contacto na Vercel só existem quando o envio falha e não incluem o email do visitante nem o corpo da mensagem.

O IP do limite anti-abuso fica só em memória no processo do servidor, na janela de cerca de 10 minutos.

Os eventos de analytics no browser não são enviados por nós para um serviço de medição de terceiros neste site.

Num ramo de código à parte existe um canal de feedback do STEFLUX Check (problema, sugestão ou funcionalidade pretendida). Em Production esse canal está desligado: a flag de activação não está ligada e a tabela de feedback não está aplicada. Enquanto estiver desligado, este tratamento não está activo e não recolhemos feedback in-app.

Quando for activado, o envio autenticado guardaria o identificador da conta Check, a categoria, a mensagem (até 2000 caracteres), uma classificação opcional de 1 a 5, a data e a versão da aplicação. Não copiaria o email para essa tabela, nem o IP, o user agent, identificadores do dispositivo nem dados da obra, orçamento, medições ou valores financeiros.

Conservação proposta: 12 meses, apenas se existir um procedimento de apagamento efectivamente implementado. No ramo de feedback, o apagamento da conta remove o feedback dessa conta se a tabela existir, e há um CLI de operador; não há job automático de retenção. Este texto não afirma que esse procedimento já corre em Production.

Base legal prevista só após activação e aviso publicado: interesse legítimo em melhorar o produto, com envio voluntário. Até lá, não usamos os dados do site ou do Check para melhoria do produto para além do que esta política já descreve. A validade dessa base fica por confirmar na revisão jurídica.

Tens direito de acesso, retificação, apagamento, limitação, portabilidade e oposição, nos termos do RGPD.

No Check podes apagar a conta na área autenticada: isso remove a conta, as sessões e os dados das obras dessa conta.

Para os outros direitos, escreve para privacidade@steflux.pt ou usa o formulário na página Contacto. Também podes apresentar reclamação à Comissão Nacional de Proteção de Dados (CNPD) em https://www.cnpd.pt.

Só usamos os subcontratantes que o código deste site usa de facto:

Vercel — alojamento e entrega do site.

Resend — envio do email de contacto e dos emails de confirmação e de password do Check.

Turso (libSQL) — base das contas Check e das obras.

Não vendemos os teus dados. Não há neste código integração com Google Analytics, Plausible, PostHog nem com um processador de pagamentos.

Vercel, Resend e Turso podem tratar dados fora do Espaço Económico Europeu, consoante a região em que o pedido é servido.

Quando houver transferência internacional, o tratamento deve assentar nas garantias previstas na lei — por exemplo cláusulas-tipo da Comissão Europeia (SCC) ou, se o fornecedor estiver certificado, o EU-US Data Privacy Framework — conforme o que cada um aplicar. Quais as garantias em vigor em cada fornecedor fica por confirmar na revisão jurídica. Este parágrafo não afirma que essas garantias já estão verificadas.

A identificação pública do responsável vem só das variáveis de servidor. A mesma configuração pode, mais tarde, passar a identificar outra entidade, se essa entidade existir e o founder o autorizar.

Essa mudança não transfere automaticamente os dados para o novo responsável: exige base legal e um aviso aos titulares. Esta página não afirma que essa entidade já existe nem que a transferência já ocorreu.

O Check usa um cookie de sessão (Auth.js) para manteres o acesso à conta. Sem esse cookie não consegues ficar ligado. É um cookie necessário ao serviço, não de publicidade.

O Check usa ainda localStorage (steflux-check:projects:v1 e steflux-check:sync-owner:v1) para as obras e a marca de sincronização neste dispositivo. É armazenamento necessário ao funcionamento, não um cookie de publicidade. Apagar a conta neste browser limpa essas chaves; sair da sessão não as limpa.

Não usamos cookies de publicidade, de redes sociais nem de analytics de terceiros neste site. Por isso não há um banner de consentimento para cookies não essenciais.