Política de Privacidade

1. Responsável pelo Tratamento

O responsável pelo tratamento dos dados pessoais recolhidos através do Sharpyield é:

• Responsável: Sharpyield, Unipessoal Lda ("Sharpyield", "nós")
• Sede: Rua Major João Gomes, Lote 37, 1.º e 2.º, 2640-491 Mafra, Portugal
• NIPC: 519641868
• Serviço: Sharpyield (sharpyield.com)
• Email de contacto para privacidade: privacy@sharpyield.com

A Sharpyield não é obrigada a designar um Encarregado de Proteção de Dados (DPO) nos termos do artigo 37.º do RGPD. Para questões de privacidade, contacta-nos através do email acima indicado.

2. Âmbito

Esta Política de Privacidade aplica-se a todos os dados pessoais tratados pela Sharpyield no contexto da plataforma Sharpyield, incluindo o website, a aplicação web e quaisquer serviços conexos.

3. Dados Pessoais Recolhidos

3.1. Dados que forneces diretamente

3.2. Dados recolhidos automaticamente

3.3. Dados derivados

4. Natureza Sensível dos Dados Financeiros

4.1. Os teus dados financeiros (transações, posições, carteira) são considerados dados pessoais de natureza financeira. Embora não sejam "categorias especiais de dados" nos termos do artigo 9.º do RGPD, requerem um nível elevado de proteção dada a sua natureza sensível.

4.2. A Sharpyield aplica medidas de segurança reforçadas ao tratamento destes dados, incluindo encriptação em trânsito (TLS) e em repouso, controlo de acessos estrito e minimização de dados.

5. Bases Legais para o Tratamento

6. Partilha de Dados com Terceiros (Subprocessadores)

A Sharpyield partilha dados pessoais com os seguintes subprocessadores, exclusivamente para as finalidades indicadas:

6.1. Transferências internacionais

Quando dados pessoais são transferidos para fora do Espaço Económico Europeu (EEE), a Sharpyield assegura que existem garantias adequadas, nomeadamente:

• Cláusulas Contratuais-Tipo aprovadas pela Comissão Europeia (SCCs);
• Decisões de adequação, quando aplicáveis;
• Avaliações de impacto de transferência (TIAs) quando exigidas.

6.2. Dados enviados ao assistente de IA (Anthropic)

Quando utilizas o assistente de IA (Sharpy), a Sharpyield envia à Anthropic o contexto necessário para gerar a resposta à tua pergunta.

O que a IA vê: os dados estruturados da tua carteira, ou seja tickers, ISINs, quantidades, datas, valores e métricas calculadas (P&L, exposição, dividendos, estimativas fiscais), mais a pergunta que escreveste.

O que a IA nunca vê: o teu nome, o teu email, a tua palavra-passe, os documentos (PDF) que carregaste, ou qualquer identificador que te associe diretamente aos dados. A IA vê a carteira; não vê quem és.

Como a Anthropic trata estes dados:

• Processados em contexto efémero para gerar a resposta;
• A Anthropic não usa o conteúdo da API comercial para treinar os seus modelos;
• Limitados ao contexto estritamente necessário;
• Logs de API retidos pela Anthropic por 7 dias (versão atual da política, desde 14-Set-2025).

Guardar as conversas é opcional. Por defeito não guardamos o conteúdo das tuas conversas com a IA. Fica apenas o mínimo necessário para segurança e para controlar a utilização. Se autorizares (na primeira vez que abres o chat, ou nas Definições), guardamos o conteúdo das conversas, sem dados que te identifiquem, para melhorar as respostas. Podes retirar essa autorização a qualquer momento.

Desligar a IA. Podes desligar completamente o assistente de IA nas Definições. Com a IA desligada, nenhum dado teu é enviado à Anthropic.

6.3. O duplo papel do Stripe

Funcionalidade futura, ainda não ativa. Não existem pagamentos no Sharpyield nesta fase, pelo que nenhum dado é enviado ao Stripe para processamento de pagamentos. A descrição abaixo aplica-se quando os pagamentos forem ativados.

O Stripe atua simultaneamente como (a) subcontratante da Sharpyield no processamento de pagamentos por instrução desta e (b) responsável pelo tratamento independente quando aplica algoritmos de deteção de fraude (Stripe Radar) e cumpre obrigações regulatórias e fiscais próprias. Para o segundo papel, és considerado titular de dados diretamente pelo Stripe quando efetuas um pagamento, aplicando-se a Política de Privacidade do Stripe.

6.4. Histórico de incidentes em subprocessadores

Em cumprimento do princípio de transparência (RGPD Art. 5.º(1)(a)) e Art. 33.º:

• Vercel, Inc., abril de 2026: incidente de cadeia de fornecimento (Context.ai) que expôs credenciais limitadas de clientes Vercel. Detalhes públicos: https://vercel.com/kb/bulletin/vercel-april-2026-security-incident. A Sharpyield avaliou o impacto na sua infraestrutura e aplicou as mitigações recomendadas (rotação de credenciais, revisão de variáveis de ambiente). Caso tenhas sido afetado individualmente, serás notificado nos termos do Art. 34.º.

6.5. Ligar o teu próprio assistente de IA (Claude, ChatGPT)

O Sharpyield permite-te ligar o teu próprio assistente de IA (por exemplo, o teu Claude ou o teu ChatGPT) à tua carteira, para o poderes consultar a partir dele. Nesse caso:

• A ligação é apenas de leitura: o teu assistente lê a carteira, nunca a altera nem dá ordens;
• Partilhamos com o teu assistente os mesmos dados estruturados sem informação que te identifique (nunca o teu nome, email ou documentos);
• A partir do momento em que os dados chegam ao teu assistente, o tratamento passa a reger-se pela política de privacidade do fornecedor que escolheste (Anthropic, no caso do Claude; OpenAI, no caso do ChatGPT);
• Podes cortar a ligação a qualquer momento, nas Definições ou desligando-a no teu assistente.

6.6. Os nossos anúncios (Google e Meta)

Não mostramos anúncios no Sharpyield. O Sharpyield anuncia noutros sítios: na Google e na Meta (Facebook e Instagram). Só com a tua autorização (a escolha «Os nossos anúncios» na janela de cookies, que podes mudar nas Definições):

• Nas páginas públicas (a página inicial, a página de preços e os guias) correm o pixel da Meta e a etiqueta da Google. Ficam a saber que visitaste essas páginas e se vieste de um anúncio. Nunca correm dentro da tua conta.
• Quando crias conta e quando fazes o primeiro pagamento, o nosso servidor diz à plataforma do anúncio que te trouxe que isso aconteceu. Envia sempre o momento, o valor do pagamento sem IVA e um código irreversível desse acontecimento. À Google junta só a marca do clique (gclid). À Meta junta a marca do clique (fbclid, mais os cookies _fbp e _fbc), o browser com que criaste a conta, um código irreversível do teu identificador interno e o teu email cifrado (um código irreversível calculado a partir dele, que a Meta só consegue comparar com os emails que já conhece).
• Nunca enviamos a tua carteira, as transações, os extratos, o plano escolhido nem nada do que vês dentro da conta.

Quem é responsável. A Google Ireland Limited e a Meta Platforms Ireland Limited não são subprocessadores: decidem o que fazem com estes dados para os seus serviços de publicidade. Na recolha pelo pixel e no envio à Meta, a Sharpyield e a Meta são responsáveis conjuntas (Art. 26.º do RGPD), nos termos dos Termos das Ferramentas de Negócio da Meta. A Sharpyield responde pela tua autorização e por esta informação. A Meta responde pelo que faz com os dados depois de os receber, como responsável independente (Política de Privacidade da Meta). A Google é responsável independente nos Termos de Proteção de Dados de Responsável para Responsável da Google (Política de Privacidade da Google). Podes exercer os teus direitos junto da Sharpyield, que os encaminha, ou diretamente junto delas.

Transferências. A Google e a Meta podem tratar estes dados fora do Espaço Económico Europeu, com as garantias delas: o Quadro de Privacidade de Dados UE-EUA (as duas estão certificadas) e as Cláusulas Contratuais-Tipo.

Retirar a autorização apaga os cookies _fbp, _fbc e _gcl_* do nosso domínio e para os envios que ainda faltam. O que a Google e a Meta já receberam segue as políticas delas.

7. Retenção de Dados

8. Os Teus Direitos enquanto Titular dos Dados

Nos termos do RGPD, tens os seguintes direitos:

O que acontece quando apagas a conta: todos os teus dados próprios (conta, transações, carteira, PDFs, imagens juntas ao feedback, extratos de corretoras que ainda não lemos) são eliminados de forma imediata e definitiva na confirmação do pedido, incluindo o registo dos separadores visitados, que vive nos nossos sistemas e desaparece com a conta. A telemetria pseudonimizada que vive em terceiros, ou seja a analítica de produto (PostHog, só se deste consentimento) e os registos de erro (Sentry), está associada a um identificador interno em vez do teu nome ou email e expira automaticamente pelos prazos indicados na secção 7; podes pedir a sua eliminação antecipada através do email abaixo.

O que acontece se retirares o consentimento dos cookies de análise: deixamos de registar e apagamos o registo dos separadores que já tínhamos. A prova da tua decisão (que aceitaste ou que recusaste e quando) é conservada à parte, porque o RGPD exige que a consigamos demonstrar (Art. 7.º(1)); essa prova não contém qualquer registo de utilização.

Como exercer os teus direitos

Envia email para privacy@sharpyield.com com:

• Identificação (nome e email associado à conta);
• Direito que pretendes exercer;
• Descrição do pedido.

Respondemos no prazo máximo de 30 dias. Em casos complexos, o prazo pode ser prorrogado por mais 60 dias, com notificação prévia.

Reclamação à autoridade de controlo

Se considerares que os teus dados não estão a ser tratados de forma adequada, podes apresentar reclamação à:

Comissão Nacional de Proteção de Dados (CNPD)

• Website: https://www.cnpd.pt
• Email: geral@cnpd.pt
• Morada: Av. D. Carlos I, 134 - 1.º, 1200-651 Lisboa, Portugal

9. Segurança dos Dados

A Sharpyield implementa medidas técnicas e organizativas adequadas para proteger os dados pessoais, incluindo:

• Encriptação em trânsito: TLS 1.2+ em todas as comunicações;
• Encriptação em repouso: encriptação AES-256 na base de dados (Supabase);
• Autenticação: hashing seguro de palavras-passe (bcrypt);
• Controlo de acesso: acesso aos dados de produção restrito e monitorizado;
• Backups: backups encriptados com retenção limitada;
• Imagens do feedback: antes de sair do teu dispositivo, cada imagem é recodificada e perde os metadados (a localização incluída). Fica num armazenamento privado e só nós a abrimos, por um endereço que expira em minutos;
• Extratos de corretoras que ainda não lemos: o tipo de cada ficheiro é verificado pelo conteúdo (PDF, CSV ou Excel sem macros, até 20 MB). Fica num armazenamento privado e separado do da carteira. Só nós o abrimos, por um endereço que expira em minutos;
• Monitorização: alertas automáticos para acessos anómalos ou tentativas de intrusão;
• Minimização: recolha apenas dos dados estritamente necessários para cada finalidade.

10. Menores

O Serviço não se destina a pessoas com idade inferior a 18 anos. A Sharpyield não recolhe intencionalmente dados pessoais de menores. Se tomarmos conhecimento de que foram recolhidos dados de um menor, procederemos à sua eliminação imediata.

11. Decisões Automatizadas e Profiling

11.1. A plataforma utiliza processamento automatizado para gerar análises da carteira e estimativas fiscais. Estas análises são informativas e não produzem efeitos jurídicos ou igualmente significativos sobre ti.

11.2. Não és sujeito a decisões baseadas unicamente em tratamento automatizado que produzam efeitos jurídicos (Art. 22.º do RGPD).

12. Alterações a esta Política

12.1. A Sharpyield pode atualizar esta Política de Privacidade periodicamente.

12.2. Alterações substanciais serão comunicadas por email e/ou aviso na plataforma com antecedência mínima de 30 dias.

12.3. A versão atual está sempre disponível em https://sharpyield.com/privacy.

13. Contactos

• Email de privacidade: privacy@sharpyield.com
• Email geral: support@sharpyield.com
• Morada: Sharpyield, Unipessoal Lda, Rua Major João Gomes, Lote 37, 1.º e 2.º, 2640-491 Mafra, Portugal
• Website: https://sharpyield.com