Política de Privacidade

O responsável pelo tratamento dos dados pessoais é a Unprofit, Lda., através da sua marca Unpaid.

Para questões relacionadas com a proteção de dados, podes contactar-nos por email:
info@unprofit.ai

Tratamos apenas os dados necessários para prestar o serviço de reconciliação:

• Dados de faturação: faturas importadas (PDF, CSV, SAF-T), números de fatura, NIF, nome da contraparte, montantes, datas, produtos/serviços descritos.
• Dados bancários: movimentos de conta importados manualmente ou via Open Banking (AIS), incluindo descrições, montantes, datas e número de conta encriptado (IBAN).
• Dados de conta: endereço de email utilizado para criar conta ou experimentar a demo.

Os dados são tratados exclusivamente para permitir a reconciliação automática de faturas com recebimentos e para apoiar o controlo de cobranças. Não utilizamos os teus dados para publicidade, perfilização comercial nem os vendemos a terceiros.

A base legal do tratamento é o consentimento do utilizador e a execução do contrato de prestação do serviço. O utilizador pode retirar o consentimento a qualquer momento, sem prejuízo da licitude do tratamento efectuado até essa data.

Ao abrigo do RGPD, tens os seguintes direitos: acesso, retificação, apagamento (“direito ao esquecimento”), limitação do tratamento, oposição, portabilidade dos dados e retirada do consentimento.

Para exercer qualquer um destes direitos, envia um email para info@unprofit.ai. Responderemos no prazo legal máximo de 30 dias.

O acesso aos dados bancários é feito apenas com o teu consentimento explícito, através de um prestador de serviços de informação sobre contas (AISP) licenciado, no modo leitura apenas (AIS — Account Information Service).

O consentimento pode ser revogado a qualquer momento, quer na própria aplicação, quer diretamente no teu banco. A revogação faz com que deixemos de sincronizar novos movimentos e removemos os acessos previamente autorizados.

Podes ligar a tua conta Google (Gmail) ou Microsoft (Outlook) para que a Unpaid envie, em teu nome, os avisos de cobrança que tu próprio preparas na aplicação. Os emails partem do teu endereço e chegam ao teu cliente como se os tivesses escrito.

Que permissão pedimos e porquê. Ao Google pedimos a permissão de envio de email (https://www.googleapis.com/auth/gmail.send), que serve para uma coisa só: enviar mensagens a partir do teu endereço. À Microsoft pedimos a permissão equivalente (Mail.Send), com o mesmo propósito. Para identificar a conta que ligaste e manter a sessão ativa, pedimos também os âmbitos de identidade mínimos — openid e email no Google, openid, offline_access e User.Read na Microsoft —, que devolvem apenas o teu endereço e o teu nome de perfil, sem darem acesso ao conteúdo da tua caixa de correio.

O que não fazemos. Não lemos a tua caixa de correio. Não acedemos a mensagens recebidas nem enviadas, nem a rascunhos, contactos, anexos ou definições. A permissão que pedimos não o permite sequer tecnicamente — só autoriza o envio.

O que guardamos. Guardamos o endereço da conta ligada e as credenciais de acesso, cifradas (AES-GCM), no nosso servidor na União Europeia. Guardamos também o registo de que um aviso foi enviado — data, destinatário e assunto —, para saberes o que já foi cobrado a quem. Não guardamos cópia do conteúdo da tua caixa de correio, porque não lhe acedemos.

Com quem partilhamos. Com ninguém. Os dados obtidos através destas permissões não são vendidos, não são partilhados com terceiros, não são usados para publicidade nem para perfilar ninguém, e não são usados para treinar modelos de inteligência artificial.

Como desligar. A qualquer momento, em Integrações, no botão «Desligar» — e também diretamente na tua conta Google ou Microsoft. Ao desligar, apagamos as credenciais guardadas e deixamos de conseguir enviar em teu nome.

Quanto tempo guardamos e como se apaga. As credenciais de acesso ficam guardadas só enquanto a ligação estiver ativa: ao carregares em «Desligar» são apagadas de imediato. O registo dos avisos enviados (data, destinatário e assunto) fica guardado enquanto a tua conta existir, para teres o histórico das cobranças. Se apagares a conta — em O meu perfil, ou pedindo-nos para info@unprofit.ai —, apagamos as credenciais, a ligação e todo o registo de envios.

Como protegemos. As credenciais são cifradas (AES-GCM) antes de serem guardadas e só são decifradas no servidor, no momento do envio. Todas as ligações usam encriptação em trânsito (HTTPS/TLS), cada empresa só vê os seus próprios dados, e o acesso interno é limitado aos administradores da plataforma.

Utilização Limitada. A utilização que a Unpaid faz da informação recebida das APIs do Google respeita a Política de Dados de Utilizador dos Serviços de API do Google, incluindo os requisitos de Utilização Limitada.

Scopes. Unpaid requests only https://www.googleapis.com/auth/gmail.send, plus openid and email to identify the connected account. We use gmail.send for one user-facing feature: sending, from the user's own Gmail address, the payment reminders that the user writes and reviews in the app, to the user's own customers.

Data accessed. The connected account's email address and the OAuth tokens. We cannot and do not read, list, modify or delete any message, draft, contact, attachment or setting.

Data use. Tokens are used only to send the reminders the user asks us to send. We keep a record of each reminder sent (date, recipient, subject) so the user can see what was sent to whom.

Data sharing. None. Google user data is not sold, not transferred to third parties, not used for advertising, profiling or credit decisions, and not used to develop, improve or train AI/ML models.

Data protection. Tokens are encrypted at rest (AES-GCM) and decrypted only server-side at send time; all traffic uses TLS; data is hosted in the European Union and isolated per company.

Retention and deletion. Tokens are kept only while the connection is active and are deleted immediately when the user clicks "Disconnect" (or revokes access in their Google account). The send log is kept while the account exists. Deleting the account (in the profile screen, or by emailing info@unprofit.ai) deletes the tokens, the connection and the send log.

Limited Use. Unpaid's use and transfer of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

A infraestrutura de alojamento está localizada na União Europeia. Os dados são conservados apenas pelo tempo estritamente necessário à prestação do serviço e às obrigações legais aplicáveis.

Aplicamos medidas técnicas e organizativas razoáveis para proteger os dados contra acesso não autorizado, alteração, destruição ou divulgação indevida, incluindo encriptação em trânsito, isolamento por cliente e controlo de acessos.

Utilizamos serviços de infraestrutura cloud e de comunicação email para operar a plataforma. Estes prestadores atuam como subprocessadores, com responsabilidades claramente delimitadas, e estão sujeitos a cláusulas de confidencialidade e proteção de dados.

Esta política pode ser atualizada periodicamente para refletir alterações legislativas ou na forma como tratamos os dados. Publicaremos a versão mais recente nesta página e indicaremos a data da última atualização.