Política de Privacidade — IA Amália

Última atualização: 21 de agosto de 2026

1. Introdução e âmbito

A presente Política de Privacidade descreve como a plataforma IA Amália (adiante designada «Amália», «plataforma», «nós» ou «nosso») recolhe, trata e protege os dados pessoais dos seus utilizadores, em conformidade com o Regulamento Geral sobre a Proteção de Dados (Regulamento (UE) 2016/679 — «RGPD») e a legislação nacional aplicável, incluindo a Lei n.º 58/2019, de 8 de agosto.

A IA Amália é um assistente conversacional baseado em inteligência artificial que utiliza modelos de linguagem abertos desenvolvidos em Portugal, complementado por ferramentas de pesquisa em fontes oficiais, tradução e transcrição de áudio. A plataforma é disponibilizada através do website iaamalia.com e da Amália API ("/api/v1", incluindo "POST /api/v1/chat/completions"), uma interface programática compatível com o formato OpenAI para integração por programadores e clientes empresariais.

Esta política cobre:

1. a aplicação consumer (chat web, conta, faturação, tradução, transcrição); e
2. a Amália API — dados da conta do titular do token, metadados de utilização, telemetria associada e o processamento transitório do Conteúdo da API.

2. Quem é o responsável pelo tratamento

O responsável pelo tratamento dos dados pessoais é o proprietário e operador da plataforma IA Amália, que pode ser contactado através do endereço de correio eletrónico info@userquest.io.

Contacto para questões de privacidade: info@userquest.io

3. Que dados pessoais recolhemos e para que finalidades

3.1 Dados de conta e autenticação

A autenticação é processada através da Firebase Authentication (Google Cloud), que armazena estes dados em servidores na União Europeia ("europe-west1").

3.2 Dados de utilização e conversação (chat consumer)

Esta secção aplica-se ao chat no website. O tratamento equivalente na Amália API (sem histórico persistente) está descrito na secção 3.9.

As conversas e metadados são armazenados na Firebase Realtime Database (Google Cloud, região "europe-west1").

3.3 Dados de onboarding

O preenchimento do questionário de onboarding é facultativo. Quando concluído, o tipo de utilizador e o papel na organização podem ser sincronizados com a nossa plataforma de mailing list (SendPulse) para segmentação de comunicações por email (ver secção 3.10).

3.4 Dados de faturação (planos Pro e Enterprise)

O processamento de pagamentos é integralmente gerido pela Stripe, que atua como subcontratante. A IA Amália não armazena números de cartão de crédito — apenas o identificador de cliente Stripe e o estado da subscrição.

3.5 Dados de tradução e transcrição

Os ficheiros de áudio são enviados para o serviço Speechmatics para processamento e não são conservados pela IA Amália após a transcrição estar concluída. O texto traduzido é enviado para o modelo de IA para processamento, mas não é armazenado para além da duração do pedido.

3.6 Dados de ferramentas e pesquisa

A plataforma disponibiliza ferramentas que, quando ativadas pelo utilizador, realizam pesquisas e consultas a fontes externas. Os dados enviados para estas ferramentas dependem do conteúdo das perguntas do utilizador:

Nota importante: Os resultados destas ferramentas são inseridos no contexto da conversa e podem, por sua vez, ser enviados para os modelos de IA e armazenados no histórico da conversa. Nos planos gratuitos, esse conteúdo pode ainda ser capturado nos eventos analíticos do PostHog (ver secção 10).

3.7 Dados de feedback

3.8 Dados analíticos e de telemetria

Estes dados são recolhidos através de duas plataformas de análise:

• PostHog — alojado na UE ("eu.i.posthog.com"), configurado com perfis de pessoa apenas para utilizadores identificados ("person_profiles: identified_only")
• Vercel Analytics — análise de tráfego web. Apenas recebe metadados dos eventos (IDs de conversa, métricas de latência, contagens). A Amália API não envia eventos para a Vercel Analytics.

3.9 Dados da Amália API

A Amália API é um produto distinto do chat consumer: autenticação por tokens fixos ("amalia_live_*"), medição por quota mensal de tokens de modelo, e sem histórico de conversas persistido pelo Prestador.

Os registos de tokens, configuração, uso e logs de pedidos são armazenados na Firebase Realtime Database (região "europe-west1"), sob o nó da conta do utilizador ("users/{uid}/api/...") e, para resolução de tokens, em "operations/apiTokenHashes/{hash}".

O Conteúdo da API é enviado, durante o pedido, aos mesmos fornecedores de inferência e ferramentas descritos nas secções 3.6 e 4.1 (Scaleway, HostYourAI, TensorX, RunPod e ferramentas activadas via o parâmetro "tools"). Nos planos Pro e Enterprise, o Conteúdo da API não é enviado para a PostHog; no plano gratuito, os eventos "$ai_generation" com "source: public_api" podem incluir "$ai_input" / "$ai_output_choices" (ver secção 10).

3.10 Comunicações por email (mailing list)

Quando cria uma conta e aceita receber a newsletter, o seu endereço de correio eletrónico é adicionado à nossa lista de contactos gerida através da SendPulse. Se concluir o onboarding, o tipo de utilizador e o papel na organização são associados ao contacto como propriedades de segmentação. Pode retirar o consentimento ou solicitar a remoção da lista a qualquer momento através de info@userquest.io ou utilizando a opção de cancelamento de subscrição incluída nas comunicações recebidas.

4. Com quem partilhamos os seus dados

4.1 Subcontratantes e serviços de infraestrutura

4.2 Obrigações legais

Os dados pessoais poderão ser divulgados quando exigido por lei, decisão judicial ou autoridade administrativa competente.

5. Transferências internacionais de dados

Alguns dos subcontratantes da plataforma estão sediados fora do Espaço Económico Europeu (EEE). Quando os dados pessoais são transferidos para esses países, a IA Amália procura assegurar aconformidade com o Capítulo V do RGPD.

Os dados armazenados diretamente pela IA Amália (Firebase) residem exclusivamente em servidores na União Europeia (região "europe-west1").

6. Medidas técnicas de segurança

6.1 Autenticação e controlo de acesso

• No chat consumer e na gestão de conta, a autenticação é gerida através da Firebase Authentication com suporte para fornecedores federados (Google) e autenticação por email/password. As credenciais de password nunca são acedidas ou armazenadas pela IA Amália — são processadas exclusivamente pela Firebase Authentication.
• Na Amália API, a autenticação dos pedidos de inferência usa tokens Bearer ("amalia_live_*"). O segredo do token é mostrado uma única vez na criação; em repouso armazenamos apenas o hash SHA-256, um prefixo identificador e metadados (label, datas, estado de revogação). Os tokens podem ser revogados.
• O acesso à base de dados e aos endpoints é controlado por tokens de autenticação verificados criptograficamente em cada pedido (ID token Firebase ou token de API).

6.2 Segurança dos dados em trânsito e em repouso

• Todas as comunicações entre o frontend, o backend e os serviços externos são realizadas através de HTTPS/TLS.
• Os dados armazenados na Firebase Realtime Database são encriptados em repouso pelo Google Cloud.
• As chaves de API e segredos de serviço são armazenados em variáveis de ambiente, nunca em código-fonte.

6.3 Dados enviados para modelos de IA externos

Tanto no chat consumer como na Amália API, o histórico de mensagens do pedido — incluindo mensagens do utilizador/Cliente, respostas anteriores do assistente e resultados de ferramentas — é enviado para:

1. Scaleway: fornecedor primário de inferência do orquestrador / modelo Caravela. Utilizado para selecionar quais as ferramentas a usar e gerar os argumentos das chamadas; no modelo Caravela, o mesmo tipo de inferência também gera a resposta final. Recebe o histórico completo da conversa/pedido, o system prompt do orquestrador, e os schemas das ferramentas disponíveis. A infraestrutura de inferência do Scaleway situa-se na União Europeia.
2. HostYourAI: fallback do orquestrador / Caravela quando o Scaleway está indisponível (por exemplo, falhas de ligação, timeout, autenticação, limite de taxa ou erros 5xx). Recebe o mesmo tipo de dados que o Scaleway. A infraestrutura de inferência do HostYourAI situa-se na União Europeia.
3. TensorX: fallback do orquestrador / Caravela quando o HostYourAI está indisponível (por exemplo, falhas de ligação, timeout, autenticação, limite de taxa ou erros 5xx). Recebe o mesmo tipo de dados que o Scaleway e o HostYourAI. A infraestrutura de inferência do TensorX situa-se na União Europeia.
4. RunPod (Amália): utilizado para gerar a resposta final do modelo Amália. Recebe o histórico completo da conversa/pedido, o system prompt, e os resultados das ferramentas executadas.

Na Amália API, o Cliente controla quais ferramentas de servidor são invocadas através do parâmetro "tools" / "tool_choice" do pedido. Com "tools: []" ou "tool_choice: none", o tratamento limita-se tipicamente à inferência (Scaleway e/ou HostYourAI e/ou TensorX e/ou RunPod) e aos metadados de conta/uso.

7. Conservação de dados

7.1 Eliminação de conta

O utilizador pode solicitar a eliminação da sua conta a qualquer momento. O processo de eliminação (endpoint "DELETE /api/account") executa as seguintes operações:

1. Cancelamento de subscrições Stripe ativas ("active" ou "trialing");
2. Revogação e remoção dos tokens da Amália API e dos respetivos índices de hash;
3. Remoção dos registos de impressão digital (fingerprint) associados a trial;
4. Anonimização do feedback (remoção do "user_id" dos registos mantidos para estatísticas);
5. Eliminação de todos os dados do utilizador na Firebase Realtime Database (incluindo conversas do chat e dados de API: configuração, uso e logs de pedidos);
6. Eliminação do registo de autenticação na Firebase Authentication.

A eliminação da conta na plataforma não remove automaticamente o contacto da mailing list SendPulse; pode solicitar essa remoção através do contacto de privacidade indicado nesta política.

8. Os seus direitos ao abrigo do RGPD

Na qualidade de titular dos dados, assistem-lhe os seguintes direitos:

Para exercer qualquer um destes direitos, contacte-nos através do endereço de correio eletrónico disponível no website da plataforma. Responderemos no prazo máximo de 30 dias a contar da receção do pedido, podendo este prazo ser prorrogado por mais 60 dias em casos de particular complexidade, mediante comunicação ao titular.

Tem ainda o direito de apresentar uma reclamação à Comissão Nacional de Proteção de Dados (CNPD) ou a qualquer outra autoridade de controlo competente, se considerar que o tratamento dos seus dados viola o RGPD.

• CNPD — Comissão Nacional de Proteção de Dados
• Website: www.cnpd.pt
• Sede: Av. D. Carlos I, 134 — 1.º, 1200-651 Lisboa, Portugal

9. Cookies e tecnologias similares

A plataforma utiliza as seguintes categorias de cookies e tecnologias de armazenamento local:

Os cookies estritamente necessários para o funcionamento da plataforma (autenticação) estão isentos de consentimento prévio ao abrigo do Art. 5.º, n.º 1 da Lei n.º 41/2004 (Lei das Comunicações Eletrónicas). Os cookies analíticos requerem consentimento prévio conforme as orientações da CNPD e o RGPD.

Nota: A plataforma não apresenta atualmente uma barra de consentimento de cookies (banner), o que constitui uma não conformidade com os requisitos da legislação de privacidade eletrónica aplicável. A implementação de um mecanismo de consentimento prévio à ativação dos cookies e scripts analíticos (PostHog e Vercel Analytics) é necessária para utilizadores na UE/EEE.

10. Tratamento de dados analíticos e conteúdo das mensagens

Nota importante sobre privacidade: A IA Amália regista eventos analíticos em duas plataformas (PostHog e Vercel Analytics) com diferentes níveis de recolha de dados. O conteúdo das conversas e do Conteúdo da API (prompts e respostas) só é enviado para a PostHog no plano gratuito. Nos planos Pro e Enterprise, esse conteúdo é omitido (redigido) dos eventos analíticos — tanto no chat consumer como na Amália API.

• PostHog — chat consumer (plano gratuito): os eventos "chat_message_sent" e "chat_response_received" incluem o conteúdo integral das mensagens enviadas pelo utilizador e das respostas geradas pelo assistente. Adicionalmente, o backend regista eventos "$ai_generation" que incluem o conteúdo das mensagens de entrada ("$ai_input") e as respostas geradas ("$ai_output_choices"), associados ao UID do utilizador.

• PostHog — Amália API (plano gratuito): o backend regista eventos "$ai_generation" com a propriedade "source: public_api" (e identificadores como "api_request_id" / "api_token_id" quando aplicável). Estes eventos podem incluir o Conteúdo da API em "$ai_input" e "$ai_output_choices", associados ao UID da conta titular do token. A API não emite os eventos de produto "chat_message_sent" / "chat_response_received" do frontend.

• PostHog (planos Pro e Enterprise): os mesmos eventos de chat e "$ai_generation" (incluindo "source: public_api") continuam a ser registados com metadados (identificadores, comprimentos, latência, tokens, estado da operação, etc.), mas sem o texto das mensagens nem das respostas. Quando o conteúdo é omitido, o evento pode incluir o indicador "message_content_redacted".

• Vercel Analytics: aplica-se ao website/chat. Os eventos contêm apenas metadados — identificadores de conversa, número da pergunta, comprimento da mensagem, métricas de latência e desempenho (tempo de resposta, tempo até primeira palavra), contagens de fontes de pesquisa utilizadas, e indicadores de estado (primeira mensagem, follow-up, retry). O conteúdo das mensagens e respostas não é enviado para a Vercel Analytics, em nenhum plano. A Amália API não envia telemetria para a Vercel Analytics.

A plataforma PostHog está configurada com autocapture ativo, o que significa que todos os cliques, inputs de texto e navegação entre páginas são automaticamente capturados. Estes dados de autocapture não são espelhados para a Vercel Analytics.

Os links de partilha de conversas utilizam o parâmetro de URL "?q=" para transportar a pergunta do utilizador, que pode ficar visível em pageviews capturados pelas ferramentas de análise.

Implicações:

• A PostHog está configurada com perfis de pessoa restritos a utilizadores identificados ("person_profiles: identified_only"), o que significa que os dados de navegação anónimos não são associados a perfis de utilizador.
• No plano gratuito, o conteúdo das mensagens do chat e o Conteúdo da API — que podem incluir dados pessoais, informações sensíveis ou confidenciais — é transmitido para a plataforma PostHog (UE), ficando sujeito à respetiva política de segurança e retenção.
• Nos planos Pro e Enterprise, o conteúdo das conversas e o Conteúdo da API não são enviados para a PostHog nem para a Vercel Analytics; apenas metadados de utilização e desempenho.
• A Vercel Analytics (EUA) recebe apenas metadados dos eventos de chat, não tendo acesso ao conteúdo das conversas.
• Recomendamos vivamente que não partilhe dados pessoais sensíveis, informações financeiras, credenciais, dados de saúde ou outros dados especialmente protegidos nas conversas com o assistente nem nos pedidos à Amália API, em especial no plano gratuito.
• A plataforma não dispõe atualmente de um mecanismo de opt-out das análises (o utilizador não pode desativar a recolha de telemetria sem deixar de usar a plataforma). A omissão do conteúdo das mensagens nos planos pagos não equivale a um opt-out completo da telemetria de metadados.

Este tratamento (em especial a recolha de conteúdo de mensagens no plano gratuito) deverá ser objeto de consentimento explícito e informado do utilizador, idealmente no momento do registo ou do primeiro envio de mensagem. A informação sobre este tratamento deve ser apresentada de forma destacada, em cumprimento do princípio da transparência (Art. 5.º, n.º 1, al. a) do RGPD).

11. Tomada de decisões automatizada e definição de perfis

A IA Amália não utiliza os dados pessoais dos utilizadores para efeitos de tomada de decisões automatizadas que produzam efeitos jurídicos ou que afetem significativamente o utilizador (Art. 22.º do RGPD).

Os eventos analíticos recolhidos são utilizados para fins de análise agregada e melhoria do produto, não para a definição de perfis com consequências jurídicas para os titulares dos dados.

12. Idade mínima

A plataforma IA Amália destina-se a utilizadores com idade igual ou superior a 18 anos. Não recolhemos intencionalmente dados de menores de 18 anos sem o consentimento dos titulares das responsabilidades parentais.

13. Alterações a esta política

Reservamo-nos o direito de atualizar esta Política de Privacidade periodicamente. Quaisquer alterações serão publicadas nesta página, com a data de «Última atualização» revista. No caso de alterações substanciais, notificaremos os utilizadores através do endereço de correio eletrónico associado à sua conta ou através de um aviso visível na plataforma.

14. Base legal e licitude do tratamento

O tratamento de dados pessoais realizado pela IA Amália fundamenta-se nas seguintes bases de licitude (Art. 6.º do RGPD):

1. Execução do contrato (Art. 6.º, n.º 1, al. b)): para o tratamento necessário à prestação do serviço de assistente conversacional e da Amália API, incluindo processamento de mensagens/Conteúdo da API, gestão de conta e tokens, medição de quota e processamento de pagamentos.

2. Interesse legítimo (Art. 6.º, n.º 1, al. f)): para análises de produto agregadas, prevenção de fraude e abuso do período de teste, e garantia da segurança da plataforma. O interesse legítimo é sempre ponderado com os direitos e liberdades dos titulares, podendo o titular exercer o direito de oposição a qualquer momento.

3. Consentimento (Art. 6.º, n.º 1, al. a)): para o envio de dados analíticos que incluam conteúdo de mensagens no plano gratuito, quando aplicável, e para a instalação de cookies analíticos não essenciais.

Esta Política de Privacidade foi redigida com base na análise técnica completa do código-fonte da plataforma IA Amália (frontend, backend, chat consumer e Amália API) e reflete as práticas de tratamento de dados efetivamente implementadas. Foi concebida para satisfazer os requisitos de transparência, informação e licitude previstos no RGPD e na legislação portuguesa aplicável.