Política de Privacidade — IA Amália

Última atualização: 6 de novembro de 2026

1. Introdução e âmbito

A presente Política de Privacidade descreve como a plataforma IA Amália (adiante designada «Amália», «plataforma», «nós» ou «nosso») recolhe, trata e protege os dados pessoais dos seus utilizadores, em conformidade com o Regulamento Geral sobre a Proteção de Dados (Regulamento (UE) 2016/679 — «RGPD») e a legislação nacional aplicável, incluindo a Lei n.º 58/2019, de 8 de agosto.

A IA Amália é um assistente conversacional baseado em inteligência artificial que utiliza modelos de linguagem abertos desenvolvidos em Portugal, complementado por ferramentas de pesquisa em fontes oficiais, tradução e transcrição de áudio. A plataforma é disponibilizada através do website iaamalia.com e da Amália API ("/api/v1", incluindo "POST /api/v1/chat/completions"), uma interface programática compatível com o formato OpenAI para integração por programadores e clientes empresariais.

Esta política cobre:

1. a aplicação consumer (chat web, conta, faturação, tradução, transcrição); e
2. a Amália API — dados da conta do titular do token, metadados de utilização, telemetria associada e o processamento transitório do Conteúdo da API.

2. Quem é o responsável pelo tratamento

O responsável pelo tratamento dos dados pessoais é o proprietário e operador da plataforma IA Amália, que pode ser contactado através do endereço de correio eletrónico info@userquest.io.

Contacto para questões de privacidade: info@userquest.io

3. Que dados pessoais recolhemos e para que finalidades

3.1 Dados de conta e autenticação

A autenticação é processada pelo Ory Kratos, um serviço de identidade de código aberto que a IA Amália opera na sua própria infraestrutura na Scaleway (Scaleway SAS), na região de Paris. Os dados de autenticação (endereço de correio eletrónico, hash da palavra-passe, identificador da conta Google quando se entra com Google, UID e metadados das sessões) ficam numa base de dados PostgreSQL própria, na União Europeia, e nunca saem dela. As palavras-passe são guardadas apenas como hash (bcrypt); as contas criadas antes da mudança para este serviço mantêm o hash anterior até ao primeiro início de sessão, em que é substituído. Os restantes dados da conta (plano, ferramentas ativadas, preferências) ficam na base de dados descrita na secção 3.2.

Quando o utilizador escolhe Entrar com Google, a Google (Google LLC) recebe o pedido de início de sessão e devolve-nos o endereço de correio eletrónico, o nome e a fotografia de perfil associados à conta Google. Esse pedido é tratado pela Google nos termos da sua própria política de privacidade.

Até à mudança para o Ory Kratos, a autenticação era processada pela Firebase Authentication (Google LLC), nos Estados Unidos. Esse registo deixou de receber tráfego e é conservado como cópia de segurança até 30 dias após a mudança, sendo depois eliminado (ver secção 4.1).

3.2 Dados de utilização e conversação (chat consumer)

Esta secção aplica-se ao chat no website. O tratamento equivalente na Amália API (sem histórico persistente) está descrito na secção 3.9.

As conversas, os metadados e os restantes dados da conta são armazenados numa base de dados PostgreSQL gerida pela Scaleway (Scaleway SAS), na região de Paris ("fr-par", França). A base de dados só é acessível pela rede privada da plataforma e é cifrada em repouso.

3.2.1 Memória do assistente, projetos e documentos

Esta secção aplica-se ao chat no website com o modelo Caravela. A memória está ligada por omissão e pode ser desligada a qualquer momento no perfil; desligada, deixa de ser atualizada e usada nas respostas.

As notas são extraídas automaticamente por um modelo de linguagem, que recebe as mensagens do utilizador e o início das respostas. Não são guardados temas sensíveis (saúde, orientação sexual, vida sexual, religião ou convicções, opiniões políticas, origem étnica ou racial, filiação sindical, dados genéticos ou biométricos), dados de pagamento, palavras-passe nem números de identificação.

O que é aprendido num projeto fica nesse projeto: não é usado fora dele nem passa para a memória da conta. A memória da conta pode ser consultada, corrigida e apagada no perfil. A memória de um projeto não é mostrada na aplicação; pode ser corrigida no próprio chat do projeto («esquece isso», «isso mudou»), é apagada com o projeto e pode ser pedida pelo contacto de privacidade (secção 8). Apagar uma conversa apaga o seu índice e as notas aprendidas com ela.

De uma página adicionada por link guarda-se o texto principal tal como estava no momento em que foi adicionada (com o link e a data); não é atualizado se a página mudar. A página é lida pelos nossos servidores e, quando não é possível lê-la diretamente, pela Jina AI ou pela DataForSEO (secção 4.1).

O índice, as notas e os excertos dos documentos são armazenados na mesma base de dados PostgreSQL da Scaleway; os ficheiros dos documentos e os ficheiros produzidos pelo modo Trabalho, no Object Storage da Scaleway (bucket privado, com versionamento). Ambos na região "fr-par" (Paris, França). A representação vetorial é calculada pela TensorX e a extração das notas usa os fornecedores de inferência da secção 6.3.

3.3 Dados de onboarding

O preenchimento do questionário de onboarding é facultativo. Quando concluído, o tipo de utilizador e o papel na organização podem ser sincronizados com a nossa plataforma de mailing list (SendPulse) para segmentação de comunicações por email (ver secção 3.10).

3.4 Dados de faturação (planos Pro e Enterprise)

O processamento de pagamentos é integralmente gerido pela Stripe, que atua como subcontratante. A IA Amália não armazena números de cartão de crédito — apenas o identificador de cliente Stripe e o estado da subscrição.

3.5 Dados de tradução e transcrição

Os ficheiros de áudio são enviados para o serviço Speechmatics para processamento e não são conservados pela IA Amália após a transcrição estar concluída. O texto traduzido é enviado para o modelo de IA para processamento, mas não é armazenado para além da duração do pedido.

3.6 Dados de ferramentas e pesquisa

A plataforma disponibiliza ferramentas que, quando ativadas pelo utilizador, realizam pesquisas e consultas a fontes externas. Os dados enviados para estas ferramentas dependem do conteúdo das perguntas do utilizador:

Nota importante: Os resultados destas ferramentas são inseridos no contexto da conversa e podem, por sua vez, ser enviados para os modelos de IA e armazenados no histórico da conversa. Nos planos gratuitos, esse conteúdo pode ainda ser capturado nos eventos analíticos do PostHog (ver secção 10).

3.7 Dados de feedback

3.8 Dados analíticos e de telemetria

Estes dados são recolhidos através de duas plataformas de análise:

• PostHog — alojado na UE ("eu.i.posthog.com"), configurado com perfis de pessoa apenas para utilizadores identificados ("person_profiles: identified_only")
• Vercel Analytics — análise de tráfego web. Apenas recebe metadados dos eventos (IDs de conversa, métricas de latência, contagens). A Amália API não envia eventos para a Vercel Analytics.

3.9 Dados da Amália API

A Amália API é um produto distinto do chat consumer: autenticação por tokens fixos ("amalia_live_*"), medição por quota mensal de tokens de modelo, e sem histórico de conversas persistido pelo Prestador.

Os registos de tokens, configuração, uso e logs de pedidos são armazenados na base de dados PostgreSQL da Scaleway (região "fr-par"), associados à conta do utilizador. A resolução de um token em cada pedido faz-se pelo seu hash SHA-256.

O Conteúdo da API é enviado, durante o pedido, aos mesmos fornecedores de inferência e ferramentas descritos nas secções 3.6 e 4.1 (Scaleway, HostYourAI, TensorX, RunPod e ferramentas activadas via o parâmetro "tools"). Nos planos Pro e Enterprise, o Conteúdo da API não é enviado para a PostHog; no plano gratuito, os eventos "$ai_generation" com "source: public_api" podem incluir "$ai_input" / "$ai_output_choices" (ver secção 10).

3.10 Comunicações por email (mailing list)

Quando cria uma conta e aceita receber a newsletter, o seu endereço de correio eletrónico é adicionado à nossa lista de contactos gerida através da SendPulse. Se concluir o onboarding, o tipo de utilizador e o papel na organização são associados ao contacto como propriedades de segmentação. Pode retirar o consentimento ou solicitar a remoção da lista a qualquer momento através de info@userquest.io ou utilizando a opção de cancelamento de subscrição incluída nas comunicações recebidas.

4. Com quem partilhamos os seus dados

4.1 Subcontratantes e serviços de infraestrutura

4.2 Obrigações legais

Os dados pessoais poderão ser divulgados quando exigido por lei, decisão judicial ou autoridade administrativa competente.

5. Transferências internacionais de dados

Alguns dos subcontratantes da plataforma estão sediados fora do Espaço Económico Europeu (EEE). Quando os dados pessoais são transferidos para esses países, a IA Amália procura assegurar a conformidade com o Capítulo V do RGPD.

Os dados armazenados diretamente pela IA Amália, incluindo os de autenticação, residem na União Europeia, nos datacenters da Scaleway em Paris (França). Quando o utilizador escolhe entrar com a conta Google, a Google trata esse início de sessão nos Estados Unidos, ao abrigo dos seus Termos de Tratamento de Dados e do mecanismo do Capítulo V aplicável (Quadro de Privacidade de Dados UE-EUA e Cláusulas Contratuais-Tipo). O mesmo mecanismo cobre a cópia de segurança do registo de autenticação anterior na Firebase Authentication, até à sua eliminação.

6. Medidas técnicas de segurança

6.1 Autenticação e controlo de acesso

• No chat consumer e na gestão de conta, a autenticação é gerida pelo Ory Kratos, operado pela IA Amália na Scaleway, com suporte para o fornecedor federado Google e autenticação por email/password. As palavras-passe nunca são guardadas em claro: o Ory Kratos armazena apenas um hash (bcrypt) e a plataforma nunca acede à palavra-passe. A sessão é um cookie no domínio iaamalia.com, válido por 30 dias de inatividade.
• Na Amália API, a autenticação dos pedidos de inferência usa tokens Bearer ("amalia_live_*"). O segredo do token é mostrado uma única vez na criação; em repouso armazenamos apenas o hash SHA-256, um prefixo identificador e metadados (label, datas, estado de revogação). Os tokens podem ser revogados.
• O acesso à base de dados e aos endpoints é controlado por tokens de autenticação verificados criptograficamente em cada pedido (token de sessão assinado pelo Ory Kratos, válido por 10 minutos, ou token de API).

6.2 Segurança dos dados em trânsito e em repouso

• Todas as comunicações entre o frontend, o backend e os serviços externos são realizadas através de HTTPS/TLS.
• A base de dados e os ficheiros na Scaleway são cifrados em repouso. A base de dados só é acessível pela rede privada da plataforma, com TLS verificado, e cada pedido só acede às linhas do utilizador autenticado (segurança ao nível da linha).
• O código Python executado pelo modo Trabalho corre num ambiente isolado, sem acesso à rede nem aos segredos da plataforma.
• As chaves de API e segredos de serviço são armazenados como segredos da plataforma de alojamento, nunca em código-fonte.

6.3 Dados enviados para modelos de IA externos

Tanto no chat consumer como na Amália API, o histórico de mensagens do pedido — incluindo mensagens do utilizador/Cliente, respostas anteriores do assistente e resultados de ferramentas — é enviado para:

1. Scaleway: fornecedor primário de inferência do orquestrador / modelo Caravela. Utilizado para selecionar quais as ferramentas a usar e gerar os argumentos das chamadas; no modelo Caravela, o mesmo tipo de inferência também gera a resposta final. Recebe o histórico completo da conversa/pedido, o system prompt do orquestrador, e os schemas das ferramentas disponíveis. A infraestrutura de inferência do Scaleway situa-se na União Europeia.
2. HostYourAI: fallback do orquestrador / Caravela quando o Scaleway está indisponível (por exemplo, falhas de ligação, timeout, autenticação, limite de taxa ou erros 5xx). Recebe o mesmo tipo de dados que o Scaleway. A infraestrutura de inferência do HostYourAI situa-se na União Europeia.
3. TensorX: fallback do orquestrador / Caravela quando o HostYourAI está indisponível (por exemplo, falhas de ligação, timeout, autenticação, limite de taxa ou erros 5xx). Recebe o mesmo tipo de dados que o Scaleway e o HostYourAI. A infraestrutura de inferência do TensorX situa-se na União Europeia.
4. RunPod (Amália): utilizado para gerar a resposta final do modelo Amália. Recebe o histórico completo da conversa/pedido, o system prompt, e os resultados das ferramentas executadas.

Na Amália API, o Cliente controla quais ferramentas de servidor são invocadas através do parâmetro "tools" / "tool_choice" do pedido. Com "tools: []" ou "tool_choice: none", o tratamento limita-se tipicamente à inferência (Scaleway e/ou HostYourAI e/ou TensorX e/ou RunPod) e aos metadados de conta/uso.

7. Conservação de dados

7.1 Eliminação de conta

O utilizador pode solicitar a eliminação da sua conta a qualquer momento. O processo de eliminação (endpoint "DELETE /api/account") executa as seguintes operações:

1. Cancelamento de subscrições Stripe ativas ("active" ou "trialing");
2. Revogação e remoção dos tokens da Amália API e dos respetivos índices de hash;
3. Remoção dos registos de impressão digital (fingerprint) associados a trial;
4. Anonimização do feedback (remoção do "user_id" dos registos mantidos para estatísticas);
5. Eliminação dos documentos carregados (ficheiros e excertos);
6. Eliminação de todos os dados do utilizador na base de dados (incluindo conversas do chat, projetos e dados de API: configuração, uso e logs de pedidos);
7. Eliminação da memória do assistente (índice das conversas, memória da conta e de todos os projetos);
8. Eliminação da identidade no serviço de autenticação (Ory Kratos) e, enquanto a cópia de segurança existir, do registo na Firebase Authentication.

A eliminação da conta na plataforma não remove automaticamente o contacto da mailing list SendPulse; pode solicitar essa remoção através do contacto de privacidade indicado nesta política.

8. Os seus direitos ao abrigo do RGPD

Na qualidade de titular dos dados, assistem-lhe os seguintes direitos:

Para exercer qualquer um destes direitos, contacte-nos através do endereço de correio eletrónico disponível no website da plataforma. Responderemos no prazo máximo de 30 dias a contar da receção do pedido, podendo este prazo ser prorrogado por mais 60 dias em casos de particular complexidade, mediante comunicação ao titular.

Tem ainda o direito de apresentar uma reclamação à Comissão Nacional de Proteção de Dados (CNPD) ou a qualquer outra autoridade de controlo competente, se considerar que o tratamento dos seus dados viola o RGPD.

• CNPD — Comissão Nacional de Proteção de Dados
• Website: www.cnpd.pt
• Sede: Av. D. Carlos I, 134 — 1.º, 1200-651 Lisboa, Portugal

9. Cookies e tecnologias similares

A plataforma utiliza as seguintes categorias de cookies e tecnologias de armazenamento local:

Os cookies estritamente necessários para o funcionamento da plataforma (autenticação) estão isentos de consentimento prévio ao abrigo do Art. 5.º, n.º 1 da Lei n.º 41/2004 (Lei das Comunicações Eletrónicas). Os cookies analíticos requerem consentimento prévio conforme as orientações da CNPD e o RGPD.

Nota: A plataforma não apresenta atualmente uma barra de consentimento de cookies (banner), o que constitui uma não conformidade com os requisitos da legislação de privacidade eletrónica aplicável. A implementação de um mecanismo de consentimento prévio à ativação dos cookies e scripts analíticos (PostHog e Vercel Analytics) é necessária para utilizadores na UE/EEE.

10. Tratamento de dados analíticos e conteúdo das mensagens

Nota importante sobre privacidade: A IA Amália regista eventos analíticos em duas plataformas (PostHog e Vercel Analytics) com diferentes níveis de recolha de dados. O conteúdo das conversas e do Conteúdo da API (prompts e respostas) só é enviado para a PostHog no plano gratuito. Nos planos Pro e Enterprise, esse conteúdo é omitido (redigido) dos eventos analíticos — tanto no chat consumer como na Amália API.

• PostHog — chat consumer (plano gratuito): os eventos "chat_message_sent" e "chat_response_received" incluem o conteúdo integral das mensagens enviadas pelo utilizador e das respostas geradas pelo assistente. Adicionalmente, o backend regista eventos "$ai_generation" que incluem o conteúdo das mensagens de entrada ("$ai_input") e as respostas geradas ("$ai_output_choices"), associados ao UID do utilizador.

• PostHog — Amália API (plano gratuito): o backend regista eventos "$ai_generation" com a propriedade "source: public_api" (e identificadores como "api_request_id" / "api_token_id" quando aplicável). Estes eventos podem incluir o Conteúdo da API em "$ai_input" e "$ai_output_choices", associados ao UID da conta titular do token. A API não emite os eventos de produto "chat_message_sent" / "chat_response_received" do frontend.

• PostHog (planos Pro e Enterprise): os mesmos eventos de chat e "$ai_generation" (incluindo "source: public_api") continuam a ser registados com metadados (identificadores, comprimentos, latência, tokens, estado da operação, etc.), mas sem o texto das mensagens nem das respostas. Quando o conteúdo é omitido, o evento pode incluir o indicador "message_content_redacted".

• Vercel Analytics: aplica-se ao website/chat. Os eventos contêm apenas metadados — identificadores de conversa, número da pergunta, comprimento da mensagem, métricas de latência e desempenho (tempo de resposta, tempo até primeira palavra), contagens de fontes de pesquisa utilizadas, e indicadores de estado (primeira mensagem, follow-up, retry). O conteúdo das mensagens e respostas não é enviado para a Vercel Analytics, em nenhum plano. A Amália API não envia telemetria para a Vercel Analytics.

A plataforma PostHog está configurada com autocapture ativo, o que significa que todos os cliques, inputs de texto e navegação entre páginas são automaticamente capturados. Estes dados de autocapture não são espelhados para a Vercel Analytics.

Os links de partilha de conversas utilizam o parâmetro de URL "?q=" para transportar a pergunta do utilizador, que pode ficar visível em pageviews capturados pelas ferramentas de análise.

Implicações:

• A PostHog está configurada com perfis de pessoa restritos a utilizadores identificados ("person_profiles: identified_only"), o que significa que os dados de navegação anónimos não são associados a perfis de utilizador.
• No plano gratuito, o conteúdo das mensagens do chat e o Conteúdo da API — que podem incluir dados pessoais, informações sensíveis ou confidenciais — é transmitido para a plataforma PostHog (UE), ficando sujeito à respetiva política de segurança e retenção.
• Nos planos Pro e Enterprise, o conteúdo das conversas e o Conteúdo da API não são enviados para a PostHog nem para a Vercel Analytics; apenas metadados de utilização e desempenho.
• A Vercel Analytics (EUA) recebe apenas metadados dos eventos de chat, não tendo acesso ao conteúdo das conversas.
• Recomendamos vivamente que não partilhe dados pessoais sensíveis, informações financeiras, credenciais, dados de saúde ou outros dados especialmente protegidos nas conversas com o assistente nem nos pedidos à Amália API, em especial no plano gratuito.
• A plataforma não dispõe atualmente de um mecanismo de opt-out das análises (o utilizador não pode desativar a recolha de telemetria sem deixar de usar a plataforma). A omissão do conteúdo das mensagens nos planos pagos não equivale a um opt-out completo da telemetria de metadados.

Este tratamento (em especial a recolha de conteúdo de mensagens no plano gratuito) deverá ser objeto de consentimento explícito e informado do utilizador, idealmente no momento do registo ou do primeiro envio de mensagem. A informação sobre este tratamento deve ser apresentada de forma destacada, em cumprimento do princípio da transparência (Art. 5.º, n.º 1, al. a) do RGPD).

11. Tomada de decisões automatizada e definição de perfis

A IA Amália não utiliza os dados pessoais dos utilizadores para efeitos de tomada de decisões automatizadas que produzam efeitos jurídicos ou que afetem significativamente o utilizador (Art. 22.º do RGPD).

Os eventos analíticos recolhidos são utilizados para fins de análise agregada e melhoria do produto, não para a definição de perfis com consequências jurídicas para os titulares dos dados.

A memória do assistente (secção 3.2.1) reúne notas sobre o utilizador com o único fim de personalizar as respostas. Não produz efeitos jurídicos nem decisões que afetem o utilizador, não é partilhada com terceiros para outros fins e pode ser desligada, consultada, corrigida e apagada pelo utilizador no perfil.

12. Idade mínima

A plataforma IA Amália destina-se a utilizadores com idade igual ou superior a 18 anos. Não recolhemos intencionalmente dados de menores de 18 anos sem o consentimento dos titulares das responsabilidades parentais.

13. Alterações a esta política

Reservamo-nos o direito de atualizar esta Política de Privacidade periodicamente. Quaisquer alterações serão publicadas nesta página, com a data de «Última atualização» revista. No caso de alterações substanciais, notificaremos os utilizadores através do endereço de correio eletrónico associado à sua conta ou através de um aviso visível na plataforma.

14. Base legal e licitude do tratamento

O tratamento de dados pessoais realizado pela IA Amália fundamenta-se nas seguintes bases de licitude (Art. 6.º do RGPD):

1. Execução do contrato (Art. 6.º, n.º 1, al. b)): para o tratamento necessário à prestação do serviço de assistente conversacional e da Amália API, incluindo processamento de mensagens/Conteúdo da API, gestão de conta e tokens, medição de quota e processamento de pagamentos.

2. Interesse legítimo (Art. 6.º, n.º 1, al. f)): para análises de produto agregadas, prevenção de fraude e abuso do período de teste, e garantia da segurança da plataforma. O interesse legítimo é sempre ponderado com os direitos e liberdades dos titulares, podendo o titular exercer o direito de oposição a qualquer momento.

3. Consentimento (Art. 6.º, n.º 1, al. a)): para o envio de dados analíticos que incluam conteúdo de mensagens no plano gratuito, quando aplicável, e para a instalação de cookies analíticos não essenciais.

Esta Política de Privacidade foi redigida com base na análise técnica completa do código-fonte da plataforma IA Amália (frontend, backend, chat consumer e Amália API) e reflete as práticas de tratamento de dados efetivamente implementadas. Foi concebida para satisfazer os requisitos de transparência, informação e licitude previstos no RGPD e na legislação portuguesa aplicável.