Política de Privacidade

Esta política explica como a Cash Hunters(cashhunters.pt, "nós") recolhe e trata os teus dados pessoais quando usas o CashHunters OS — a webapp de otimização de cashback da comunidade Cash Hunters. Foi escrita para ser lida: sem juridiquês desnecessário, mas completa. Se algo não estiver claro, fala connosco em Contacto.

Responsável pelo tratamento: Cash Hunters (cashhunters.pt). Para qualquer questão sobre dados pessoais, usa os meios indicados em Contacto.

1. O princípio que nos guia

Não podemos vazar o que não guardamos. A app foi desenhada para minimizar dados desde a origem: processamos o que é preciso, anonimizamos o que é sensível antes de guardar, e descartamos o resto. As secções seguintes descrevem exatamente o que isso significa na prática.

2. Que dados tratamos

Se és visitante (sem conta):

• Dados do diagnóstico — os valores de despesa e cartões que indicas para estimar o cashback que deixas na mesa. São usados apenas para gerar o resultado na hora e não são associados à tua identidade nem guardados em base de dados.
• Email — se o deixares para receber o resultado e comunicações da comunidade. É enviado para o nosso CRM.
• Metadados técnicos — endereço IP e identificação do navegador (user-agent), usados para segurança, limitação de pedidos (rate limiting) e prevenção de abuso.

Se és membro (com conta): além dos anteriores,

• Dados de conta — email, nome, palavra-passe (guardada de forma cifrada pelo nosso fornecedor de autenticação), data de adesão e preferências (tema, idioma, subscrição do resumo semanal).
• Perfil de otimização — o que decidires partilhar: distrito onde moras, hábitos de compra em texto livre, cartões que já tens e fontes de cashback que queres (ou não) ver. Serve só para personalizar recomendações.
• Despesas ao nível da transação — categoria, valor, data e um comerciante generalizado, extraídos dos extratos que carregas ou registados manualmente. Ver secção 3 — é aqui que a anonimização acontece.
• Cashback reportado — os valores mensais de cashback que nos dizes ter recebido, para calcular o teu retorno real.
• Histórico de conversas — as tuas conversas com o assistente, para poderes retomá-las. Podes apagar cada sessão a qualquer momento na própria app.

3. Extratos bancários — o que acontece exatamente

Um extrato bancário é dos dados mais sensíveis que existem. Por isso tratamo-lo com regras especiais:

• Não guardamos o ficheiro. O PDF ou imagem que carregas é processado em memória, extraímos as transações, e o ficheiro é descartado. Nunca é gravado em disco nem em base de dados.
• Anonimizamos antes de guardar e antes de enviar à IA.Removemos ou generalizamos identificadores pessoais: IBANs, números de conta e cartão, moradas e nomes próprios são destruídos ou reduzidos a iniciais ("Transferência a Maria Peres" → "transferência M.P."; "Colégio Júlio Dinis" → "Colégio"). Ficam apenas categoria, valor, data e um comerciante genérico.
• Zero identificação nas tabelas financeiras. As tuas despesas ficam ligadas apenas a um identificador interno de conta — o teu nome e email vivem numa tabela separada. As tabelas financeiras, sozinhas, não identificam ninguém.
• Limitação conhecida com imagens: quando envias uma fotografia de um extrato no chat, o modelo de IA lê os píxeis da imagem antes de a anonimização textual atuar. Se preferires a proteção máxima, envia o extrato em texto ou PDF.

4. Para que usamos os dados e com que base legal (RGPD)

• Prestar o serviço a membros (conta, assistente, análise de despesas, ROI, recomendações personalizadas) — execução de contrato (art. 6.º/1 b).
• Gerar o diagnóstico de visitante — execução de diligências pré-contratuais a teu pedido (art. 6.º/1 b).
• Enviar-te comunicações da comunidade (resultado do diagnóstico, newsletter, resumo semanal de ofertas) — consentimento (art. 6.º/1 a), que podes retirar a qualquer momento (link de remoção nos emails ou na página de conta).
• Segurança e prevenção de abuso (rate limiting, validação de origem dos pedidos) — interesse legítimo (art. 6.º/1 f) em manter o serviço disponível e protegido. Fizemos um teste de equilíbrio para este tratamento.
• Melhorar o produto com dados agregados e anonimizados — interesse legítimo (art. 6.º/1 f); os dados agregados deixam de ser pessoais.

5. Inteligência artificial — transparência

O CashHunters OS usa modelos de IA generativa. Em cumprimento do Regulamento de IA da UE (AI Act) e do RGPD:

• Estás a falar com uma IA. O assistente e o diagnóstico são gerados por modelos de linguagem (fornecedores: Anthropic e, em alternativa, OpenAI), sempre processados nos nossos servidores — nunca diretamente do teu navegador.
• Enviamos o mínimo à IA. Os pedidos são construídos com dados já minimizados e anonimizados (categorias, valores, comerciante generalizado) — nunca o extrato cru em texto.
• Os teus dados não treinam os modelos. Usamos as APIs empresariais destes fornecedores, cujas condições excluem a utilização dos dados enviados para treino de modelos.
• A IA acompanha, educa e compara — não aconselha. As respostas são educativas e comparativas, baseadas em arquétipos de cartões do mercado português. Não constituem aconselhamento financeiro e podem conter erros — confirma sempre as condições junto da entidade emissora.
• Sem decisões automatizadas com efeitos legais. Nenhum tratamento nesta app produz decisões exclusivamente automatizadas que te afetem juridicamente ou de modo similarmente significativo (art. 22.º RGPD). As decisões financeiras são sempre tuas, e qualquer execução regulada cabe a entidades certificadas, com intervenção humana.

6. Com quem partilhamos

Não vendemos os teus dados. Partilhamos apenas com subcontratantes que precisamos para operar, ao abrigo de contratos de tratamento de dados (art. 28.º RGPD):

• Supabase — base de dados e autenticação.
• Vercel — alojamento da aplicação.
• Anthropic / OpenAI — geração das respostas de IA (ver secção 5).
• GoHighLevel — CRM e envio de emails à comunidade.
• Upstash — limitação de pedidos (trata apenas identificadores técnicos efémeros).

Alguns destes fornecedores tratam dados fora do Espaço Económico Europeu (EUA). Nesses casos, as transferências assentam em cláusulas contratuais-tipo da Comissão Europeia e/ou no EU-U.S. Data Privacy Framework, conforme o fornecedor.

7. Quanto tempo guardamos

• Email de visitante — até retirares o consentimento (link de remoção) ou pedires o apagamento.
• Dados de conta, perfil, despesas, cashback e conversas — enquanto a conta existir. Se pedires a eliminação da conta, apagamos estes dados; podemos manter registos mínimos quando uma obrigação legal o exija.
• Conversas individuais — podes apagá-las tu, a qualquer momento, na app.
• Metadados técnicos de segurança — de curta duração e apagados automaticamente (os contadores de rate limiting expiram em minutos; os registos de servidor seguem os prazos curtos do fornecedor de alojamento).
• Ficheiros de extratos — nunca guardados (ver secção 3).

8. Os teus direitos

Nos termos do RGPD, tens direito de acesso, retificação, apagamento, limitação do tratamento, portabilidade e oposição (incluindo aos tratamentos baseados em interesse legítimo), bem como a retirar o consentimento a qualquer momento, sem afetar o tratamento já efetuado.

• Para exercer qualquer direito, contacta-nos por um dos meios em Contacto. Respondemos no prazo máximo de um mês.
• Podes gerir o resumo semanal e apagar conversas diretamente na app.
• Se entenderes que os teus direitos não foram respeitados, podes reclamar junto da CNPD — Comissão Nacional de Proteção de Dados (cnpd.pt).

9. Cookies e armazenamento local

• Não usamos cookies de rastreio nem de publicidade.
• Cookies estritamente necessários — se tiveres conta, o fornecedor de autenticação usa cookies de sessão para te manter com sessão iniciada. Sem eles a área de membro não funciona; por isso não requerem consentimento.
• localStorage — guardamos no teu navegador a preferência de idioma e tema, e o último diagnóstico feito. Estes dados não saem do teu dispositivo.
• PWA — se instalares a app no telemóvel, o navegador guarda localmente os ficheiros necessários ao funcionamento (cache técnica).

10. Segurança

• Todas as ligações são cifradas (HTTPS).
• Toda a lógica de IA e autenticação corre nos servidores — chaves e segredos nunca chegam ao navegador.
• Cada membro só consegue aceder aos seus próprios dados (políticas de segurança ao nível da linha na base de dados — RLS).
• Minimização e anonimização na origem, como descrito na secção 3.

11. Idade mínima

O CashHunters OS destina-se a maiores de 18 anos. Não recolhemos conscientemente dados de menores; se acreditas que o fizemos, contacta-nos para os apagarmos.

12. Alterações a esta política

Se alterarmos esta política de forma relevante, atualizamos a data no topo e, no caso de mudanças significativas para membros, avisamos por email ou na app. A versão em vigor é sempre a publicada nesta página.

13. Contacto

Dúvidas sobre privacidade ou pedidos sobre os teus dados: Contacto.