Conformidade com o RGPD

O BankStatementLab está plenamente empenhado no cumprimento do Regulamento Geral sobre a Proteção de Dados (UE) 2016/679. Enquanto serviço que trata extratos bancários — documentos financeiros altamente confidenciais — seguimos elevados padrões de proteção de dados. No âmbito do RGPD, tratamos os documentos por conta dos utilizadores, que determinam as finalidades do tratamento. Convertemos os documentos em formatos estruturados (Excel, CSV, OFX), protegemos e prestamos suporte ao Serviço e cumprimos obrigações legais. Não criamos perfis a partir dos seus dados financeiros nem os utilizamos para publicidade ou outros fins alheios. Os PDF de origem são eliminados após o processamento. Exceção: para utilizadores autenticados, os PDF de extrações com várias tabelas podem ser conservados até 7 dias para controlo de qualidade. Os PDF conservados são acessíveis apenas a administradores autorizados. Não podem ser descarregados pelos utilizadores nem através da API pública.

Seguimos o princípio da minimização de dados. Apenas recolhemos o estritamente necessário à prestação do serviço: • Informação da conta: endereço de e-mail, palavra-passe com hash, preferência de idioma • Dados de faturação: geridos inteiramente pela Stripe — nunca armazenamos números de cartão de crédito • Os PDF de origem são eliminados após o processamento. Exceção: para utilizadores autenticados, os PDF de extrações com várias tabelas podem ser conservados até 7 dias para controlo de qualidade. • Resultados da extração: dados de transações estruturadas (colunas, valores, datas) mantidos até os eliminar ou até que se aplique o período de eliminação automática configurado • Sessões de divisão de PDF: estado técnico pseudonimizado ligado à sua conta (números de ficheiros e páginas, pontos de divisão, resultado e duração), retido no máximo durante 365 dias para diagnosticar e melhorar a ferramenta; nenhum conteúdo PDF, nome de ficheiro, miniatura ou texto é armazenado neste histórico • Registos técnicos: métricas de utilização minimizadas usadas para segurança, diagnóstico e melhoria do serviço; quando permanecem ligados a uma conta, não os apresentamos como anónimos NÃO recolhemos: o seu endereço IP para rastreio, histórico de navegação, impressões digitais do dispositivo ou quaisquer dados para além dos listados acima.

Quando carrega um extrato bancário em PDF, eis exatamente o que acontece: 1. O seu ficheiro é enviado através de uma ligação TLS 1.3 encriptada 2. Os PDF de origem são eliminados após o processamento. Exceção: para utilizadores autenticados, os PDF de extrações com várias tabelas podem ser conservados até 7 dias para controlo de qualidade. 3. O nosso mecanismo de extração de IA lê e estrutura os dados 4. Os dados estruturados (transações, colunas) são guardados na sua conta 5. Os PDF conservados são acessíveis apenas a administradores autorizados. Não podem ser descarregados pelos utilizadores nem através da API pública. Todo este processo demora normalmente alguns segundos. Para utilizadores convidados (sem conta), a extração e os seus dados são eliminados 24 horas após serem criados.

Implementamos várias camadas de segurança para proteger os seus dados: • Encriptação em trânsito: todas as comunicações entre o navegador e os nossos servidores utilizam TLS 1.3 • Segurança das palavras-passe: todas as palavras-passe são submetidas a hash com bcrypt e salt; nunca armazenamos palavras-passe em texto simples • Autenticação segura: autenticação baseada em JWT com cookies httpOnly seguros • Controlo de acesso: o acesso rigoroso baseado em funções limita o acesso às extrações ao próprio utilizador e a pessoal autorizado quando o apoio operacional, a segurança ou as obrigações legais o exigem • Segurança da infraestrutura: os nossos servidores funcionam em ambientes reforçados com atualizações de segurança automáticas • Monitorização de dependências: auditamos e atualizamos regularmente todas as dependências de software

A eliminação de ficheiros é automática e sistemática quando se aplica uma regra de conservação definida: • Os PDF de origem são eliminados após o processamento. Exceção: para utilizadores autenticados, os PDF de extrações com várias tabelas podem ser conservados até 7 dias para controlo de qualidade. • Ficheiros temporários de processamento (páginas divididas): limpos automaticamente quando o processamento termina • Extrações sem conta: totalmente eliminadas 24 horas após a criação • Extrações de utilizadores registados: eliminadas definitivamente quando o utilizador as apaga ou quando se aplica a regra de eliminação automática de 1 a 30 dias, incluindo os dados de transações associados A limpeza automatizada é executada diariamente para aplicar a definição de conservação de cada utilizador. Cada execução é registada e monitorizada.

Os utilizadores registados controlam a conservação dos seus dados: • Eliminação automática DESATIVADA (predefinição): os resultados da extração permanecem até que os elimine manualmente • Eliminação automática ATIVADA: escolha um período de 1 a 30 dias (inicialmente 14 dias ao ativar). As extrações mais antigas são eliminadas automática e definitivamente • Sessões técnicas de divisão de PDF: eliminadas automaticamente até 365 dias após a criação e ao encerrar a conta Pode configurar a política de conservação nas definições do perfil. Se reduzir o período, as extrações acima do novo limite serão eliminadas na próxima limpeza automatizada diária. Conservamos as faturas durante 7 anos, conforme a legislação fiscal francesa. Ao encerrar a conta, o acesso é desativado; consulte a secção sobre eliminação da conta para conhecer as eliminações operacionais e contacte o suporte para exercer o direito ao apagamento.

Ao abrigo do RGPD, dispõe dos seguintes direitos, cujo exercício facilitamos: • Direito de acesso (Art. 15): solicitar uma cópia de todos os dados que conservamos sobre si • Direito de retificação (Art. 16): corrigir dados pessoais inexatos • Direito ao apagamento (Art. 17): solicitar o apagamento dos seus dados pessoais; o encerramento autónomo da conta desativa o acesso e executa as eliminações operacionais descritas abaixo • Direito à limitação (Art. 18): solicitar que limitemos o tratamento dos seus dados • Direito à portabilidade (Art. 20): exportar os seus dados de extração nos formatos standard Excel, CSV e OFX a qualquer momento • Direito de oposição (Art. 21): opor-se ao tratamento dos seus dados Para exercer qualquer um destes direitos, contacte support@bankstatementlab.com. Respondemos a todos os pedidos no prazo de 30 dias, conforme exigido pelo RGPD.

Um número limitado de serviços técnicos contribui para o funcionamento do BankStatementLab. Cada serviço é selecionado e fica sujeito a obrigações contratuais de proteção de dados: • Alojamento, base de dados, pagamentos, correio eletrónico transacional e apoio ao cliente • Extração automatizada por IA, utilizada apenas para executar a conversão solicitada • Análise do site e medição de conversões publicitárias sujeitas a consentimento Cada operação limita-se à finalidade declarada. Quando o tratamento ocorre fora da União Europeia, aplicam-se garantias adequadas de transferência. A lista atual de serviços, finalidades e localizações é publicada na página Serviços técnicos.

No caso improvável de violação de dados, comprometemo-nos a: • Notificar a autoridade de supervisão relevante (CNIL em França) no prazo de 72 horas após o conhecimento da violação, conforme exigido pelo artigo 33 do RGPD • Notificar os utilizadores afetados sem demora injustificada se a violação puder resultar num risco elevado para os seus direitos e liberdades (Artigo 34) • Documentar todas as violações, os seus efeitos e as ações corretivas tomadas Mantemos procedimentos de resposta a incidentes e testamos regularmente os nossos sistemas para evitar violações. Até à data, não tivemos nenhuma violação de dados.

Quando encerra a conta no perfil: • O acesso à conta é desativado e o registo da conta é marcado como eliminado • As chaves API ativas são revogadas e os registos de pedidos à API são eliminados • As identidades bancárias OFX armazenadas e as sessões técnicas de divisão de PDF são eliminadas • Os ficheiros enviados ao suporte são anonimizados e os binários carregados são removidos O encerramento autónomo da conta não significa que todos os registos da conta ou de extrações sejam imediatamente eliminados fisicamente. Para apresentar separadamente um pedido de apagamento ao abrigo do artigo 17.º do RGPD, contacte support@bankstatementlab.com.

Para clientes empresariais que necessitem de um Acordo de Tratamento de Dados (DPA) formal, nos termos do artigo 28.º do RGPD, disponibilizamos um DPA padrão mediante pedido. O nosso DPA abrange: • Natureza e finalidade do tratamento • Tipos de dados pessoais tratados • Categorias de titulares dos dados • Obrigações contratuais aplicáveis aos serviços técnicos • Medidas de segurança dos dados • Procedimentos de notificação de violações • Eliminação de dados após a cessação do contrato Para solicitar um DPA, contacte support@bankstatementlab.com.

Para qualquer dúvida sobre as nossas práticas de proteção de dados, conformidade com o RGPD ou para exercer os seus direitos: • E-mail: support@bankstatementlab.com • Formulário de contacto: disponível na nossa página de contacto Esforçamo-nos para responder a todas as questões relacionadas com a privacidade no prazo de 30 dias. Para questões urgentes relacionadas com a segurança dos dados, pretendemos responder no prazo de 24 horas. Se acredita que os seus direitos de proteção de dados foram violados, tem também o direito de apresentar uma queixa à autoridade de supervisão local. Em França, trata-se da CNIL (Commission Nationale de l'Informatique et des Libertés).