Política de privacidade

1. Quem somos

Nomad Inno Ltd, Northlink Business Centre, Level 2, Burmarrad Road, Naxxar NXR 6345, Malta.

Para qualquer questão ou pedido relativo aos seus dados pessoais, escreva para hello-bongu@nomadinno.com.

2. Os nossos dois papéis

Responsável pelo tratamento. Decidimos como tratamos os dados das pessoas que utilizam o HelloDesk por conta dos nossos clientes (os seus colaboradores), dos nossos contactos profissionais e dos visitantes do nosso sítio web. Relativamente a esses dados, somos o responsável pelo tratamento.

Subcontratante. Quando uma empresa (o nosso «cliente») utiliza o HelloDesk para responder aos seus próprios clientes por WhatsApp, Messenger, Instagram, SMS, telefone, chat web ou email, tratamos essas conversas por sua conta e apenas segundo as suas instruções. A empresa é o responsável pelo tratamento e nós somos o seu subcontratante. Se contactou uma empresa que utiliza o HelloDesk, pode dirigir os seus pedidos diretamente a essa empresa; nós ajudamo-la a responder-lhes. Pode igualmente escrever-nos e transmitiremos o seu pedido.

3. Dados que tratamos

Dados de conta (colaboradores dos nossos clientes): nome, endereço de email, número de telefone, língua, função, empresa, data do último início de sessão, preferências de notificação e o token de notificações push do seu dispositivo.

Dados da empresa: nome da empresa, denominação social, número de IVA ou de registo, morada, número de telefone e endereço de email.

Dados de conversa (pessoas que contactam uma empresa): as mensagens e fotografias que envia, as respostas do assistente e dos colaboradores da empresa, o nome ou nome de perfil fornecido pelo canal, o seu número de telefone, ID do WhatsApp, ID de utilizador do Messenger ou do Instagram ou endereço de email, e os dados que fornece durante um pedido (por exemplo, a data, a hora e o número de pessoas para uma reserva).

Chamadas telefónicas: o seu número de telefone e o que diz. As chamadas são convertidas em texto em tempo real e apenas o texto é conservado. Não gravamos nem armazenamos o áudio das chamadas.

Emails e formulários: quando uma empresa liga a sua caixa de correio ou um formulário, o remetente, os destinatários, o assunto e o texto dos emails e das respostas de formulário que o assistente trata (ver secção 4).

Conteúdos de conhecimento: os documentos, páginas web e horários de funcionamento que a empresa fornece para que o assistente possa responder.

Dados técnicos: registos de segurança e de funcionamento dos nossos servidores. As aplicações HelloDesk não contêm publicidade nem ferramentas de análise ou de rastreio.

4. Dados de utilizador Google

Uma empresa pode ligar uma conta Google ao HelloDesk para que o seu assistente trate os seus emails, as respostas aos seus formulários e os seus documentos. Esta secção descreve exatamente o que fazemos com os dados que obtemos através das API da Google.

Gmail: lemos os emails que correspondem às regras definidas pela empresa (uma etiqueta, a caixa de entrada ou remetentes escolhidos): o remetente, os destinatários, o assunto, os identificadores da mensagem e o texto da mensagem. Não descarregamos anexos. Adicionamos etiquetas aos emails que tratámos, criamos rascunhos que a empresa pode rever e enviamos as respostas que a empresa aprovou ou optou por enviar automaticamente.

Google Drive (apenas leitura): lemos os ficheiros da pasta escolhida pela empresa (documentos, folhas de cálculo, PDF, ficheiros de texto e imagens) para construir a base de conhecimento do seu assistente.

Google Sheets (apenas leitura): lemos as novas linhas da folha de respostas ligada pela empresa, para responder às submissões de formulários.

Endereço de email da conta Google: para mostrar qual a conta ligada.

Como utilizamos estes dados: apenas para prestar as funcionalidades que a empresa ativou, ou seja, responder aos seus emails e às submissões dos seus formulários, e responder aos seus clientes a partir dos seus próprios documentos. Não utilizamos os dados de utilizador Google para fins publicitários, não os vendemos e não os utilizamos para criar perfis de utilizadores.

Inteligência artificial: para redigir uma resposta ou indexar um documento, o texto relevante é enviado à Mistral AI, o nosso fornecedor de IA, que o trata apenas segundo as nossas instruções. Nem nós nem a Mistral AI utilizamos os dados de utilizador Google para desenvolver, melhorar ou treinar modelos generalizados de IA ou de aprendizagem automática.

Partilha: os dados de utilizador Google são partilhados apenas com os fornecedores necessários ao funcionamento destas funcionalidades (Supabase para o alojamento e o armazenamento, Mistral AI para o tratamento, ver secção 9), ao abrigo de contrato e exclusivamente para este fim. Não os transferimos para mais ninguém, salvo obrigação legal ou no âmbito de uma fusão ou aquisição, caso em que será informado previamente.

Acesso humano: ninguém na Nomad Inno lê os seus emails ou documentos, exceto com o seu acordo explícito para um pedido de apoio específico, quando necessário por razões de segurança (por exemplo, investigação de abusos), para cumprir a lei, ou de forma agregada e anonimizada para operações internas.

Armazenamento e proteção: os tokens de acesso Google são armazenados cifrados num cofre de segredos e nunca são expostos às aplicações. Os dados são cifrados em trânsito e em repouso, e regras de acesso isolam os dados de cada empresa.

Conservação: o texto dos emails tratados é apagado após 30 dias. O remetente, o assunto e o estado de tratamento permanecem no histórico da empresa até que esta os apague ou encerre a sua conta. As cópias dos ficheiros do Drive são conservadas enquanto a pasta estiver sincronizada. Quando a empresa desliga a sua conta Google, revogamos imediatamente o nosso acesso e deixamos de ler os seus dados. A empresa escolhe se os documentos já importados para a sua base de conhecimento são conservados ou apagados; os documentos apagados são removidos no prazo de 30 dias.

Revogar o acesso: a empresa pode desligar a sua conta Google a qualquer momento no HelloDesk, ou a partir de https://myaccount.google.com/permissions.

A utilização e a transferência pelo HelloDesk, para qualquer outra aplicação, das informações recebidas através das API da Google respeitarão a Google API Services User Data Policy (Política de dados do utilizador dos serviços de API da Google, https://developers.google.com/terms/api-services-user-data-policy), incluindo os requisitos de utilização limitada (Limited Use).

5. WhatsApp, Messenger e Instagram

Uma empresa pode ligar a sua conta WhatsApp Business, a sua Página do Facebook ou a sua conta profissional do Instagram. Quando escreve a essa empresa, a Meta envia-nos a sua mensagem, as eventuais fotografias, o seu ID do WhatsApp e número de telefone ou o seu ID de utilizador do Messenger ou do Instagram, e o seu nome de perfil. Utilizamos estes dados apenas para responder em nome da empresa e para permitir que os seus colaboradores acompanhem e assumam a conversa.

Para ligar uma conta, recebemos os identificadores da Página, da conta WhatsApp e dos números de telefone da empresa, bem como um token de acesso que é armazenado cifrado. Não utilizamos os dados recebidos da Meta para fins publicitários, não os vendemos e não os partilhamos com corretores de dados.

Apagar os seus dados: para que os seus dados sejam apagados, escreva para hello-bongu@nomadinno.com com o assunto «Pedido de eliminação de dados», indicando o canal utilizado e o seu número de telefone ou nome de perfil. Confirmamos a receção no prazo de 5 dias úteis e apagamos os dados, ou fazemos com que sejam apagados pela empresa que é o seu responsável pelo tratamento, no prazo de 30 dias. Quando uma empresa desliga um canal no HelloDesk, deixamos imediatamente de receber dados desse canal.

6. Chamadas telefónicas e SMS

Uma empresa pode ligar números de telefone fornecidos pela Vonage ou pela Twilio. Para os SMS, recebemos e enviamos o número de telefone e o texto da mensagem.

Para as chamadas, o que a pessoa que efetua a chamada diz é convertido em texto em tempo real pela Gradium ou pelo operador de telefonia, e a resposta do assistente é convertida em voz da mesma forma. Apenas o texto da conversa é conservado; não é efetuada qualquer gravação.

7. Inteligência artificial e respostas automatizadas

As respostas são redigidas por modelos de IA da Mistral AI, com base nas informações fornecidas pela empresa. A empresa decide até que ponto o assistente pode agir de forma autónoma, e os seus colaboradores podem assumir qualquer conversa a qualquer momento.

O assistente não toma nenhuma decisão que produza efeitos jurídicos a seu respeito ou que o afete significativamente de forma similar, na aceção do artigo 22.º do RGPD. As reservas e os pedidos que recolhe são tratados pela empresa.

Não utilizamos o conteúdo das conversas para treinar modelos de IA, e o nosso fornecedor de IA não está autorizado a utilizá-lo para treinar os seus próprios modelos.

Todas as noites, as conversas inativas há 24 horas são resumidas (língua, tom, temas e uma frase de resumo) para fornecer à empresa estatísticas sobre os pedidos dos seus clientes.

8. Finalidades e fundamentos jurídicos

Prestação do HelloDesk aos nossos clientes e gestão das suas contas: execução do nosso contrato (artigo 6.º, n.º 1, alínea b) do RGPD).

Tratamento das conversas por conta das empresas: segundo as suas instruções, ao abrigo do fundamento jurídico que cada empresa determina enquanto responsável pelo tratamento.

Segurança do serviço, prevenção de abusos e melhoria da sua fiabilidade: o nosso interesse legítimo (artigo 6.º, n.º 1, alínea f) do RGPD).

Faturação e cumprimento das nossas obrigações legais: obrigação jurídica (artigo 6.º, n.º 1, alínea c) do RGPD).

Envio de notificações aos colaboradores: execução do nosso contrato, sob reserva da autorização concedida no seu dispositivo, que pode retirar a qualquer momento.

9. Os nossos prestadores de serviços

Recorremos aos seguintes prestadores, que tratam os dados apenas segundo as nossas instruções e ao abrigo de contrato:

Supabase Inc.: base de dados, autenticação, armazenamento de ficheiros e funções de servidor, alojados no Reino Unido (Londres).

Mistral AI (França): redação das respostas, pesquisa na base de conhecimento, extração de texto de documentos e resumos de conversas.

Scaleway (França): o nosso servidor de voz para as chamadas telefónicas, em Paris.

Gradium (França): reconhecimento de voz e síntese de voz para as chamadas telefónicas.

Vercel Inc. (Estados Unidos): alojamento da aplicação web HelloDesk.

Hostinger (Lituânia): alojamento do sítio web hello-desk.eu.

Expo (650 Industries Inc., Estados Unidos): envio de notificações para os telemóveis dos colaboradores através dos serviços de notificação da Apple e da Google, e atualizações das aplicações. Uma notificação pode conter o nome do cliente e os primeiros 140 caracteres da sua mensagem.

Resend (Estados Unidos): envio dos emails de convite de conta e de reposição de palavra-passe.

Quando uma empresa as liga, as plataformas dos seus canais recebem igualmente as mensagens que transportam: Meta Platforms Ireland (WhatsApp, Messenger, Instagram), Vonage e Twilio (SMS e chamadas), Google (Gmail, Drive e Sheets). Utilizamos ainda a API Google Places para importar os horários de funcionamento de uma empresa; nenhum dado pessoal lhe é enviado.

A lista de prestadores pode mudar. Os nossos clientes são informados de qualquer novo prestador que trate os dados dos seus clientes e podem opor-se.

10. Transferências para fora da União Europeia

A nossa base de dados está alojada no Reino Unido, que beneficia de uma decisão de adequação da Comissão Europeia. Quando um prestador está localizado nos Estados Unidos, a transferência assenta no Quadro de Privacidade de Dados UE-EUA (EU-U.S. Data Privacy Framework), se o prestador estiver certificado, ou, caso contrário, nas cláusulas contratuais-tipo da Comissão Europeia.

11. Durante quanto tempo conservamos os dados

Dados de conta: enquanto a conta estiver ativa; depois, apagados no prazo de 90 dias após o encerramento da conta, com exceção dos dados de faturação, conservados durante o prazo exigido por lei.

Conversas e as fotografias que contêm: a empresa decide. Por defeito, são conservadas enquanto a empresa utilizar o HelloDesk, para que possa consultar o seu histórico. A empresa pode pedir-nos a qualquer momento que definamos um prazo de eliminação automática ou que apaguemos a totalidade ou parte do seu histórico.

Texto dos emails tratados pelo assistente: apagado após 30 dias. O remetente, o assunto e o estado de tratamento permanecem no histórico da empresa.

Registos técnicos das mensagens recebidas dos canais e enviadas para os canais: apagados após 30 dias.

Quando um cliente deixa de utilizar o HelloDesk: a sua conta é arquivada. Os seus dados são conservados, sem acesso, durante 90 dias para que possam ser exportados ou a conta reativada, sendo depois apagados definitivamente, com exceção dos dados que devemos conservar por lei.

12. Segurança

Os dados são cifrados em trânsito e em repouso. Os tokens de acesso e as credenciais dos canais ligados são armazenados num cofre de segredos cifrado e nunca são enviados às aplicações. Regras de acesso isolam os dados de cada empresa, as mensagens recebidas dos canais são verificadas por assinatura e a autenticação de dois fatores está disponível para as contas. O acesso pela nossa equipa limita-se ao necessário.

13. Os seus direitos

Tem o direito de aceder aos seus dados, de os retificar ou apagar, de limitar o seu tratamento ou de se opor a este, de os receber num formato portável e de retirar o seu consentimento a qualquer momento quando o tratamento nele se baseie.

Para exercer estes direitos, escreva para hello-bongu@nomadinno.com. Respondemos no prazo de um mês. Se o seu pedido disser respeito a uma conversa com uma empresa, transmitimo-lo a essa empresa, que é o responsável pelo tratamento.

Pode apresentar uma reclamação junto do Information and Data Protection Commissioner de Malta (idpc.org.mt) ou da autoridade de proteção de dados do seu país, por exemplo a CNIL em França.

14. Eliminação de uma conta

Um colaborador pode pedir ao administrador da sua empresa que apague a sua conta, ou escrever para hello-bongu@nomadinno.com com o assunto «Eliminação de conta» a partir do endereço de email da conta. A conta e os seus dados pessoais são apagados no prazo de 30 dias, com exceção dos dados que devemos conservar por lei.

15. Cookies e armazenamento local

Sítio web: utilizamos apenas um cookie que memoriza a língua que escolheu. Não existem cookies de publicidade nem de rastreio.

Aplicações: a sessão de início de sessão é conservada no seu dispositivo para que permaneça autenticado.

Janela de chat nos sítios web das empresas: um identificador de conversa aleatório é conservado no seu navegador para que possa reencontrar a sua conversa. Não é utilizado nenhum cookie e não há qualquer rastreio.

16. Crianças

O HelloDesk é um serviço destinado a empresas e não se dirige a crianças com menos de 16 anos. Não recolhemos conscientemente dados sobre elas.

17. Alterações a esta política

Podemos atualizar esta política. A data no topo indica a versão mais recente. Se uma alteração for significativa, informamos os nossos clientes por email ou na aplicação antes de a mesma se aplicar.

18. Contacto

Nomad Inno Ltd, Northlink Business Centre, Level 2, Burmarrad Road, Naxxar NXR 6345, Malta. Email: hello-bongu@nomadinno.com.