Política de Privacidade

1. Introdução

Esta Política de Privacidade explica como a StenVault (“nós”, “nosso”) recolhe, utiliza, armazena e protege os seus dados pessoais quando utiliza o nosso serviço de armazenamento na cloud encriptado ponta a ponta (“Serviço”). A StenVault é operada a partir de Portugal e está sujeita ao Regulamento Geral sobre a Proteção de Dados (UE) 2016/679 (“RGPD”) e à legislação portuguesa de proteção de dados.

Esta política aborda igualmente os direitos ao abrigo da Lei Geral de Proteção de Dados brasileira (LGPD, Lei 13.709/2018) para utilizadores localizados no Brasil.

Esta Política de Privacidade complementa os nossos Termos de Serviço.

2. Responsável pelo Tratamento

O responsável pelo tratamento dos seus dados pessoais é:

Atualmente não temos um Encarregado de Proteção de Dados (DPO) formalmente nomeado. Para todas as questões relacionadas com privacidade, contacte-nos através do endereço de email acima. Nomearemos um DPO se e quando exigido pela legislação aplicável.

3. O Que Não Podemos Aceder (Zero-Knowledge)

Devido à nossa arquitetura de encriptação zero-knowledge, os seguintes dados são encriptados no seu dispositivo antes de serem transmitidos aos nossos servidores. Não temos os meios técnicos para aceder a:

• Os seus ficheiros e respetivos conteúdos
• Os seus nomes de ficheiros e nomes de pastas
• A sua Palavra-passe de encriptação
• As suas chaves de encriptação (Chave-mestra, chaves de ficheiro, chaves de pasta)
• Partes secretas da Recuperação por Círculo de Confiança (na posse dos seus contactos de confiança, não nossa)

Toda a encriptação utiliza AES-256-GCM para o conteúdo dos ficheiros, Argon2id para a derivação de chaves e criptografia híbrida pós-quântica (X25519 + ML-KEM-768) para a troca de chaves. Em nenhuma circunstância podemos desencriptar conteúdo encriptado ponta a ponta e divulgar cópias desencriptadas, mesmo que legalmente obrigados.

4. Dados Que Recolhemos

4.1 Dados da Conta

4.2 Dados de Faturação

O processamento de pagamentos é tratado integralmente pela Stripe. Não armazenamos o número completo do seu cartão de crédito. Podemos receber e armazenar:

• ID de cliente Stripe
• ID e estado da subscrição
• ID do método de pagamento Stripe (não armazenamos dados completos do cartão)
• País de faturação (para cálculo de IVA)
• PDFs de faturas arquivados durante 10 anos num bucket dedicado da Cloudflare R2 (obrigação da lei fiscal portuguesa: art. 52.º do CIVA e DL 28/2019)

Fundamento jurídico: Execução do contrato (art. 6.º, n.º 1, al. b)) e obrigação jurídica de cumprimento fiscal (art. 6.º, n.º 1, al. c)).

4.3 Dados Técnicos

Fundamento jurídico: Interesse legítimo na segurança do serviço e prevenção de fraude (art. 6.º, n.º 1, al. f)). Somos uma microempresa fora do âmbito da conservação obrigatória da NIS2, pelo que a conservação dos nossos registos de auditoria é escolhida para minimizar dados pessoais e não para cumprir um mínimo de segurança.

4.4 Estatísticas

Atualmente não utilizamos quaisquer ferramentas de análise estatística no Serviço. Quaisquer contagens agregadas de visualizações de página derivam apenas de registos de acesso ao servidor anonimizados e não estão associadas a utilizadores individuais.

Não é necessário consentimento, uma vez que não são tratados dados pessoais.

4.5 Metadados dos Ficheiros (Encriptados)

Armazenamos blobs encriptados que contêm os seus ficheiros. Os seguintes metadados estão associados a cada ficheiro, mas os nomes de ficheiros são encriptados e ilegíveis por nós:

• Tamanho do ficheiro (necessário para a aplicação de quotas)
• Data e hora do carregamento
• Identificador da versão de encriptação
• Tipo MIME (encriptado ou genérico “application/octet-stream”)

4.6 Registos de Auditoria

Para monitorização de segurança, conservamos registos de auditoria de eventos de autenticação, acesso a ficheiros e alterações de configuração durante 180 dias, após os quais são eliminados definitivamente. Estes registos contêm:

• ID de utilizador, email, tipo de ação e data/hora
• Endereço IP e cadeia user-agent — captados apenas se tiver ativado o Histórico de Sessões em Definições → Segurança. Esta opção está desativada por predefinição (art. 25.º do RGPD, privacidade por defeito). Desativá-la também anonimiza quaisquer entradas que já tenhamos armazenado para si.

Fundamento jurídico: art. 6.º, n.º 1, al. f) — interesse legítimo na segurança do serviço.

5. Cookies

A StenVault utiliza apenas cookies essenciais necessários para o funcionamento do Serviço:

Não utilizamos cookies de publicidade, cookies de rastreio ou cookies de terceiros. Não é necessário qualquer banner de consentimento de cookies, uma vez que utilizamos apenas cookies estritamente necessários (isenção do art. 5.º, n.º 3 da Diretiva ePrivacy).

6. Subcontratantes de Dados (Terceiros)

Utilizamos os seguintes serviços de terceiros para operar a StenVault. Cada subcontratante recebe apenas os dados mínimos necessários à sua função:

Todos os subcontratantes que tratam dados pessoais fora da UE fazem-no ao abrigo de Cláusulas Contratuais-Tipo (CCT) ou mecanismos de transferência equivalentes em conformidade com o RGPD.

7. Conservação de Dados

O calendário abaixo é a referência autoritativa de conservação. Cada linha corresponde a uma tarefa de conservação ou endpoint específico no nosso código. Os detalhes são também publicados no nosso Registo das Atividades de Tratamento interno (art. 30.º do RGPD).

8. Os Seus Direitos

Ao abrigo do RGPD (e da LGPD para utilizadores brasileiros), tem os seguintes direitos relativamente aos seus dados pessoais:

Para exercer qualquer um destes direitos, contacte-nos em privacy@stenvault.com. Responderemos no prazo de 30 dias, conforme exigido pelo RGPD.

Nota sobre dados encriptados: Os seus ficheiros encriptados são tecnicamente inacessíveis para nós. O “apagamento” de ficheiros encriptados significa eliminar os blobs encriptados do nosso armazenamento. Não podemos fornecer cópias desencriptadas dos seus ficheiros, uma vez que não possuímos as chaves de desencriptação.

Se considerar que os seus direitos de proteção de dados foram violados, tem o direito de apresentar uma reclamação junto da autoridade de controlo local. Para Portugal: CNPD (Comissão Nacional de Proteção de Dados).

9. Segurança dos Dados

Implementamos as seguintes medidas técnicas e organizativas para proteger os seus dados:

• Encriptação ponta a ponta: AES-256-GCM para todo o conteúdo dos ficheiros, com chaves derivadas via Argon2id (custo de memória de 47 MiB).
• Criptografia pós-quântica: Troca de chaves híbrida X25519 + ML-KEM-768, assinaturas Ed25519 + ML-DSA-65.
• Autenticação zero-knowledge: Protocolo OPAQUE (RFC 9807) — a sua palavra-passe nunca é transmitida ao servidor.
• Encriptação de transporte: TLS 1.3 para todas as ligações.
• Encriptação da base de dados: PostgreSQL com encriptação em repouso.
• Autenticação multifator: MFA baseada em TOTP disponível para todas as contas.
• Limitação de pedidos: Limitação de pedidos por IP para autenticação e endpoints da API.
• Antifraude: Bloqueio de emails descartáveis, limites de velocidade de registo, Stripe Radar (deteção de fraude em pagamentos).

10. Notificação de Violação de Dados

Em caso de violação de dados pessoais, iremos:

• Notificar a autoridade de controlo competente (CNPD) no prazo de 72 horas após tomarmos conhecimento da violação, conforme exigido pelo artigo 33.º do RGPD.
• Notificar os utilizadores afetados sem demora injustificada se a violação for suscetível de resultar num elevado risco para os seus direitos e liberdades (artigo 34.º do RGPD).
• Documentar a violação, os seus efeitos e as ações corretivas tomadas.

Importante: Devido à nossa arquitetura zero-knowledge, mesmo em caso de violação do servidor, os conteúdos e nomes dos seus ficheiros permanecem encriptados e ilegíveis. Um atacante que obtenha acesso aos nossos servidores obteria apenas blobs encriptados que não podem ser desencriptados sem a sua Palavra-passe de encriptação.

11. Transferências Internacionais de Dados

Os seus ficheiros encriptados são armazenados na União Europeia (Cloudflare R2, região da UE). A nossa base de dados principal está alojada na UE (Railway, região da UE).

Alguns dos nossos subcontratantes (Stripe, Resend) podem tratar dados pessoais limitados nos Estados Unidos. Estas transferências são protegidas por:

• Quadro de Privacidade de Dados UE-EUA (quando aplicável)
• Cláusulas Contratuais-Tipo (CCT) aprovadas pela Comissão Europeia
• Medidas técnicas suplementares (encriptação em trânsito e em repouso)

12. Privacidade das Crianças

A StenVault não se destina a crianças com menos de 13 anos. Não recolhemos intencionalmente dados pessoais de crianças com menos de 13 anos. Utilizadores entre os 13 e os 16 anos na União Europeia devem ter consentimento parental para utilizar o Serviço.

Se descobrirmos que recolhemos dados de uma criança com menos de 13 anos sem o consentimento adequado, eliminaremos a conta e os dados associados prontamente. Se acredita que uma criança com menos de 13 anos criou uma conta, contacte-nos em privacy@stenvault.com.

13. Autoridades Policiais e Divulgação

Apenas podemos divulgar dados pessoais a autoridades policiais quando:

• Exigido por uma ordem judicial válida de um tribunal de jurisdição competente em Portugal ou na UE.
• Necessário para prevenir dano iminente a pessoas.
• Exigido pela legislação aplicável.

Em nenhuma circunstância podemos divulgar o conteúdo dos seus ficheiros encriptados. Não possuímos as suas chaves de encriptação e não podemos desencriptar os seus dados. Em resposta a uma ordem judicial válida, apenas podemos fornecer:

• Endereço de email e nome de apresentação da conta
• Data de criação da conta
• Plano de subscrição e informações de faturação
• Endereços IP (contadores de limitação de pedidos conservados durante 24 horas; registos de auditoria de autenticação conservados até 180 dias apenas quando o Histórico de Sessões está ativado — desativado por predefinição)
• Metadados de ficheiros encriptados (tamanhos, datas/horas — os nomes de ficheiros são encriptados)

Notificaremos os utilizadores afetados sobre qualquer pedido das autoridades, salvo se estivermos legalmente proibidos de o fazer (por exemplo, por uma ordem de sigilo). Publicamos um relatório de transparência quando aplicável.

14. Alterações a Esta Política

Podemos atualizar esta Política de Privacidade periodicamente. Quando efetuarmos alterações substanciais:

• Notificá-lo-emos por email pelo menos 30 dias antes de as alterações entrarem em vigor.
• Atualizaremos a data de “Última atualização” no topo desta página.
• Forneceremos um resumo claro do que foi alterado.

As versões anteriores desta política serão arquivadas e disponibilizadas mediante pedido.

15. Contacte-nos

Para quaisquer questões, preocupações ou pedidos relativos a esta Política de Privacidade ou aos seus dados pessoais, contacte-nos em:

Para reclamações, pode também contactar a autoridade portuguesa de proteção de dados: