A Code Ahead Lda (que opera a VULK em vulk.dev) é a entidade responsável pelo tratamento dos dados pessoais recolhidos através do Serviço. Esta página resume como cumprimos o Regulamento Geral sobre a Proteção de Dados da UE (Regulamento (UE) 2016/679, "RGPD").
1. Quem é o responsável pelo tratamento?
Code Ahead Lda, sociedade por quotas registada em Portugal sob NIPC 519071948, com sede social em Vila do Conde. Para toda a correspondência relacionada com privacidade:
- Usa o formulário de contacto com o tópico "Privacidade / DPO"
- Correio: Code Ahead Lda, Vila do Conde, Portugal
2. Bases legais para o tratamento
Apoiamo-nos nas seguintes bases legais ao abrigo do artigo 6.º:
- Contrato (art. 6.º, n.º 1, al. b)) — para fornecer o serviço para o qual te inscreveste (conta, geração, faturação, deploy).
- Consentimento (Art. 6.º, n.º 1, al. a)) — para emails de marketing, cookies não essenciais e rastreio para fins de análise.
- Obrigação legal (Art. 6.º, n.º 1, al. c)) — para faturação fiscal (retenção de 7 anos ao abrigo da lei portuguesa) e para responder a pedidos legais.
- Interesses legítimos (Art. 6.º, n.º 1, al. f)) — prevenção de fraude, segurança do serviço e análises de produto que não identificam pessoas.
3. O que recolhemos
- Dados de conta — email, nome, hash da palavra-passe (Argon2id), identificadores OAuth.
- Dados de faturação — nome, país, método de pagamento (tokenizado pela Stripe — nunca vemos números de cartão).
- Dados de projeto — prompts, ficheiros de código gerados, deployments, créditos de uso.
- Dados técnicos — IP, agente do utilizador, impressão digital do dispositivo (limitada), marcas temporais de sessão.
4. Os teus direitos ao abrigo do RGPD
Tens os seguintes direitos, exercidos sem custos:
- Artigo 15.º — direito de acesso: descarregar uma cópia de todos os dados pessoais que detemos.
- Artigo 16.º — direito de retificação: corrigir dados imprecisos.
- Artigo 17.º — direito ao apagamento ("direito a ser esquecido"): apagar a tua conta e dados associados, sujeito a obrigações de retenção.
- Artigo 18.º — direito à limitação: pausar o tratamento enquanto um litígio está pendente.
- Artigo 20.º — direito à portabilidade: exportar os teus dados num formato legível por máquina (JSON).
- Artigo 21.º — Direito de oposição: opor-te ao marketing ou ao tratamento baseado na definição de perfis.
- Artigo 22.º — Decisões automatizadas: não te sujeitamos a decisões baseadas exclusivamente em tratamento automatizado que produzam efeitos jurídicos ou que te afetem significativamente de forma similar.
- Artigo 77.º — Apresentar queixa: junto da tua autoridade de controlo. Em Portugal: CNPD.
Respondemos aos pedidos verificados de exercício de direitos no prazo de 30 dias. Também podes aceder à maioria dos dados diretamente nas tuas definições de conta.
5. Subprocessadores
Recorremos aos seguintes subprocessadores. Cada um assinou um Acordo de Tratamento de Dados (DPA) connosco:
| Fornecedor | Finalidade | Região |
|---|---|---|
| AWS RDS | Base de dados primária (Postgres 16) | UE (Frankfurt) |
| Hetzner | Servidores da aplicação e pré-visualizações de projetos | UE (Falkenstein, Alemanha) |
| Cloudflare | CDN, proteção DDoS, Workers, armazenamento de objetos R2 | Processamento global; jurisdição R2: predefinida (sem restrição à UE) |
| Stripe | Faturação de subscrições + 3DS | EUA / UE |
| OpenRouter | Gateway de modelos de IA | EUA |
| Vertex AI (Google) | Inferência da família Gemini | Regiões da UE quando disponíveis |
| Anthropic | Inferência Claude | EUA |
| OpenAI | Inferência da família GPT-5 | EUA |
| Replicate | Geração de imagem e vídeo | EUA |
| Tencent Cloud | Geração de modelos 3D | Singapura |
| Resend | Email transacional | EUA |
| Sentry | Monitorização de erros (PII removida) | UE (armazenamento de dados) |
| Google Analytics 4 | Análise do site (Consent Mode: sem cookies sem consentimento) | EUA |
| Microsoft Clarity | Gravações de sessão e mapas de calor em vulk.dev, só depois do consentimento | EUA |
| Meta | Medição de conversões de anúncios (Pixel só depois do consentimento; Conversions API no registo e no pagamento) | EUA |
Para transferências fora da UE, apoiamo-nos em Cláusulas Contratuais-Tipo (SCC) aprovadas pela Comissão Europeia. A lista de subprocessadores é atualizada pelo menos anualmente; adições materiais são anunciadas por email.
6. Transferências internacionais
A infraestrutura principal está alojada na UE. Quando ocorrem transferências para países fora da UE (por exemplo, inferência de IA em endpoints da OpenAI/Anthropic nos EUA), estas são protegidas por cláusulas contratuais-tipo (SCC) e, quando disponíveis, por certificações ao abrigo do Quadro de Privacidade de Dados UE-EUA. A geração de modelos 3D corre na Tencent Cloud em Singapura, com as mesmas garantias.
7. Acordo de tratamento de dados (DPA)
Os clientes Business e Enterprise podem assinar um DPA que reflete o artigo 28.º, n.º 3, do RGPD. Pede-o através do formulário de contacto com o tópico "Vendas / Enterprise".
8. Notificação de violações
Em caso de violação de dados pessoais suscetível de resultar em risco para os teus direitos, notificamos a autoridade de controlo no prazo de 72 horas e os utilizadores afetados sem demora indevida (Artigos 33.º e 34.º do RGPD).
9. Crianças
A VULK não é dirigida a pessoas com menos de 16 anos. Não tratamos conscientemente dados de crianças. Se tens motivos para crer que uma criança se registou, contacta-nos imediatamente e iremos eliminar a conta.
10. Alterações
Alterações materiais a esta declaração RGPD são anunciadas por email com pelo menos 14 dias de antecedência. A versão mais recente está sempre disponível em /gdpr.