Política de Privacidade

1. Responsável pelo tratamento

O responsável pelo tratamento dos seus dados pessoais é:

• Benjamin Cohen Solal, empresário em nome individual (auto-entrepreneur)
• E-mail: privacy@seniorhub.fr

2. Dados recolhidos

Recolhemos as seguintes categorias de dados:

2.1 Dados da conta

• Apelido, nome próprio, endereço de e-mail (através de registo ou do Google OAuth)
• Número de telefone (opcional — convites por SMS e ficha de perfil do membro)
• Morada postal e data de nascimento do membro (opcionais, indicadas no respetivo perfil)
• Fotografia de perfil (se fornecida através da Google)

2.2 Dados do agregado familiar

• Nome do agregado familiar, lista dos membros e respetivas funções (sénior, cuidador)
• Consultas e compromissos, tarefas, listas de verificação, lembretes do dia a dia e comentários associados
• Documentos e fotografias partilhados no agregado familiar
• Contactos de emergência e lista de contactos partilhada
• Entradas do caderno de ligação, notas de visitantes, humor do dia e tendências associadas, bem como as ligações que cria entre uma entrada do caderno e um compromisso, uma tarefa, uma lista ou um documento do agregado familiar
• Mensagens trocadas entre cuidadores no espaço de conversa do agregado familiar
• Definições dos tablets e chamadas de áudio/vídeo
• Ligações de sincronização de calendário (Google Calendar, iCloud/CalDAV, ligação ICS)
• Ligação de sincronização com o Google Drive (documentos do agregado familiar sincronizados com uma pasta do Drive escolhida pelo administrador)
• Mensagens de voz: gravação áudio captada através do microfone do dispositivo do sénior, transcrição textual automática desse áudio e análise por IA do conteúdo da transcrição (auxiliar de memória não médico). Estes três elementos (áudio, transcrição, análise) são armazenados no agregado familiar e acessíveis aos membros autorizados. Este tratamento requer o seu consentimento explícito antes de qualquer gravação.
• Memorandos ditados por um cuidador: quando um cuidador dita um memorando sobre o agregado familiar ou a pessoa apoiada (ver §2.6), a sua voz é gravada enquanto fala e depois transmitida para transcrição; o áudio propriamente dito não é conservado nos nossos servidores (ver §7 quanto à cópia temporária que permanece no dispositivo do cuidador). O texto obtido é em seguida analisado para propor uma entrada no caderno, um compromisso ou uma tarefa: nada é registado enquanto o cuidador não tiver revisto e validado a proposta (ver §9.2).

2.3 Dados técnicos

• Endereço IP, user-agent do navegador
• Identificadores de sessão e tokens de autenticação
• Registos de auditoria: as ações realizadas na aplicação (quem, quando, sobre que elemento), sem o conteúdo dos textos em causa
• Relatórios de falhas (apenas com o seu consentimento, através do Firebase Crashlytics)

2.4 Dados de subscrição

• Tipo de subscrição, datas de início e de fim (através da RevenueCat)
• Períodos oferecidos: o plano que o Senior Hub oferece ao seu agregado familiar, as respetivas datas de início e de fim, e o motivo interno da atribuição. Estas informações são registadas pelo Senior Hub e não passam pela RevenueCat: não ocorre qualquer compra.
• O Senior Hub não recolhe quaisquer dados bancários (pagamento gerido pela Apple / Google)

2.5 Perfil de apoios financeiros (módulo opcional)

Se utilizar a funcionalidade « Apoios e conselhos », o Senior Hub recolhe os seguintes dados, apenas após o seu consentimento explícito (distinto do consentimento geral de tratamento):

• Ano de nascimento da pessoa apoiada e, se aplicável, do seu cônjuge ou da sua cônjuge.
• Nível de autonomia — indicado em cada consulta dos apoios para o cálculo da elegibilidade e, em seguida, imediatamente esquecido. Esta informação nunca é registada nos nossos servidores: apenas circula durante o tempo do cálculo. Por conseguinte, o Senior Hub não é prestador de alojamento de dados de saúde (HDS).
• Escalão de rendimentos mensais do agregado familiar ou rendimento fiscal de referência.
• Situação familiar (sozinho(a), em casal, viúvo/viúva) e situação habitacional.
• Código postal e código do departamento, utilizados para propor os apoios locais disponíveis no seu departamento.
• Lista dos apoios que declara já receber (para os excluir das estimativas).

Finalidades: propor os apoios a que o seu agregado familiar é elegível, estimar os montantes suscetíveis de serem concedidos e apresentar sugestões personalizadas (p. ex.: crédito de imposto para o emprego no domicílio).Fundamento jurídico: consentimento explícito.Conservação: até à eliminação do seu perfil de apoios ou da sua conta. Pode retirar este consentimento a qualquer momentoa partir do ecrã « Apoios e conselhos », o que elimina as informações que nos forneceu sobre a situação do seu agregado familiar e as suas preferências de conselhos, e põe termo a qualquer cálculo de elegibilidade.Nenhum dado deste perfil é transmitido a terceiros: serve exclusivamente para o cálculo da elegibilidade nos nossos servidores.

Os seus processos não são eliminados com o perfil. Um processo é o acompanhamento de uma diligência que está a realizar — muitas vezes ao longo de vários meses, com o respetivo histórico e documentos comprovativos. Não assenta no consentimento para o cálculo da elegibilidade, mas sim na execução do serviço que utiliza, pelo que retirar esse consentimento não tem por efeito destruí-lo. Mantém o controlo: cada processo pode ser eliminado a partir da respetiva ficha, e o separador « Os meus processos » permite eliminar todos os seus processos de uma só vez. Esta eliminação é definitiva e abrange todo o agregado familiar.

Mantêm-se igualmente conservados, após a retirada do consentimento, os contadores que servem para aplicar os limites do seu plano de subscrição (número de fichas de apoio e de conselhos consultadas). Servem exclusivamente para esse fim.

2.6 Consentimentos

O Senior Hub conserva a prova dos seus consentimentos (tipo de consentimento, data, versão da política, endereço IP, user-agent) para demonstrar a conformidade do tratamento, relativamente aos consentimentos registados nos nossos servidores. Coexistem duas categorias de consentimentos:

• Consentimentos do cuidador: condições de utilização, política de privacidade e tratamento dos dados (obrigatórios para aceder ao serviço), bem como consentimentos opcionais (estatísticas anónimas, relatórios de falhas, notificações push). Estes consentimentos são registados nos nossos servidores, com prova.
• Consentimentos do sénior: a pessoa apoiada é convidada, logo na primeira utilização do seu dispositivo (aplicação complementar SeniorHub Simple launcher e/ou SeniorHub Assistance), a dar o seu acordo explícito e independente para cada uma das seguintes utilizações:
  • ser acompanhada através da aplicação: visualização pelos seus familiares dos seus compromissos, tarefas e caderno de ligação, e organização por estes do ecrã inicial do seu telemóvel — os contactos para quem liga com um toque, as aplicações, os atalhos para sítios de internet e a imagem de fundo (ver §2.9);
  • receber videochamadas dos seus familiares, através do SeniorHub Assistance;
  • autorizar o controlo remoto do seu telemóvel por um familiar (partilha de ecrã e envio de gestos — ver §2.8);
  • partilhar o estado técnico do seu dispositivo com o seu agregado familiar (telemetria — ver §2.8).
  Cada um destes quatro acordos é distinto dos outros três e do consentimento do cuidador: pode ser recusado ou retirado a qualquer momento, sem condições, e só condiciona o acesso às funcionalidades a que diz respeito. A retirada do controlo remoto ou da telemetria nunca afeta, por exemplo, a receção das videochamadas. O consentimento para as videochamadas é registado nos nossos servidores, com prova. Os consentimentos para o controlo remoto e para a telemetria são registados no próprio dispositivo do sénior, onde prevalecem prioritariamente; podem ser consultados e revogados a qualquer momento, incluindo numa única ação (« Parar tudo »), a partir do ecrã « Quem pode ver o meu telemóvel » do SeniorHub Assistance. Além disso, a pessoa apoiada é informada de que os cuidadores do seu agregado familiar podem ditar, a seu respeito, memorandos de voz destinados ao caderno de ligação (ver §2.2); este tratamento não faz parte destes quatro consentimentos, porque assenta na execução do contrato e não num consentimento (ver §3).

2.7 Dados de localização (lembretes no local)

Se ativar a funcionalidade opcional « Lembretes no local »(lembretes de proximidade para as tarefas a realizar num local do agregado familiar), a aplicação móvel monitoriza a sua posição em segundo plano para detetar a sua chegada perto de um local registado e lembrar-lhe as tarefas a realizar nesse local.

• Tratamento exclusivamente no dispositivo: a sua posição nunca é transmitida aos nossos servidores nem partilhada com terceiros. Serve exclusivamente, no seu telemóvel, para desencadear uma notificação local. Não é conservado qualquer histórico de posição.
• Apenas as moradas dos locais que introduz (p. ex.: domicílio de um sénior, farmácia) são registadas, convertidas em coordenadas através da API pública Base Adresse Nationale (ver subcontratantes).
• Esta funcionalidade requer o seu consentimento explícito e a autorização de localização « Sempre ». Pode desativá-la a qualquer momento a partir do ecrã « Locais do agregado » ou retirar a autorização nas definições do seu telemóvel.

2.8 Assistência remota (SeniorHub Assistance)

Quando um sénior instala a aplicação complementar SeniorHub Assistance no seu telemóvel, os seus familiares podem, em função dos acordos que ele próprio deu (ver §2.6), acompanhá-lo à distância de várias formas independentes:

• Partilha de ecrã durante uma chamada. Durante uma sessão de assistência ativa, o ecrã do sénior pode ser transmitido em direto, como numa videoconferência, ao familiar que o acompanha, para que este veja o que se passa e o possa orientar. A partilha abrange a totalidade do ecrã, e não apenas uma aplicação: o familiar vê, portanto, tudo o que nele aparece durante a sessão, incluindo as notificações que chegam e as outras aplicações que o sénior abre. Isto é necessário para que o possa orientar onde quer que ele se encontre no telemóvel — e é também por isso que o sénior tem de confirmar duas vezes antes de a partilha começar: na aplicação e, depois, numa janela do sistema Android. Esta partilha só ocorre durante a sessão em curso, com o controlo remoto ativado, e termina automaticamente no fim desta. Uma faixa apresentada permanentemente no ecrã do sénior, bem como uma notificação impossível de ocultar, informam-no em tempo real de que o seu ecrã está a ser partilhado.
• Envio de gestos. Uma vez autorizado o controlo remoto, o familiar pode, durante a sessão, executar em vez do sénior gestos simples (tocar, deslizar) para o ajudar a realizar uma ação no telemóvel. O mecanismo técnico utilizado para o efeito nunca lê automaticamente o conteúdo apresentado no ecrã — textos, mensagens, palavras-passe — seja ele qual for: está configurado para apenas executar gestos, nunca para extrair informação (parâmetro técnico Android canRetrieveWindowContentdesativado no serviço utilizado).
• Explicação por imagem, fora de qualquer chamada. Um familiar pode também enviar ao sénior uma imagem fixa para o ajudar a compreender uma ação — por exemplo, uma captura de ecrã do seu próprio telemóvel, que anota com um círculo ou uma seta antes de a enviar. Esta imagem é produzida pelo próprio familiar: em momento algum o ecrã do sénior é capturado ou observado para produzir esta explicação. É apresentada em ecrã inteiro no dispositivo do sénior, com o nome do remetente e um botão para a fechar. Os bytes da imagem transitam pela nossa base de dados — nunca pelo nosso armazenamento de ficheiros — durante uma hora no máximo, e são apagados logo na primeira abertura pelo sénior, ou mais cedo se um ou outro a eliminar. Decorrido esse prazo, desaparece automaticamente mesmo que nunca tenha sido aberta; apenas o evento (quem a enviou, a quem, quando) fica então registado, nunca o seu conteúdo. Não é aplicada a estas imagens qualquer análise, reconhecimento de texto ou inteligência artificial.
• Histórico das sessões de controlo. Cada sessão de controlo remoto (quem a pediu, quando e durante quanto tempo) é registada e pode ser consultada pelo próprio sénior, a qualquer momento, a partir do ecrã « Quem pode ver o meu telemóvel » do seu dispositivo. Este histórico nunca contém o conteúdo do ecrã nem o pormenor dos gestos efetuados — apenas estas informações de acompanhamento, para fins de segurança e de transparência para o sénior.
• Telemetria do dispositivo. Com o seu acordo distinto, o estado técnico do telemóvel do sénior — nível e carregamento da bateria, tipo de ligação de rede, versão do sistema, versão da aplicação, espaço de armazenamento livre — pode ser partilhado com o seu agregado familiar, por exemplo para detetar uma bateria fraca ou um problema de ligação. Esta telemetria nunca inclui a aplicação apresentada no ecrã nem o nome da rede Wi-Fi utilizada: estas duas informações são deliberadamente excluídas do envio técnico.
• De que telemóvel se trata. A marca e o modelo do dispositivo (por exemplo, « Samsung SM-A536B ») são transmitidos pelas aplicações instaladas no telemóvel do sénior e não dependem do acordo de telemetria acima referido: servem unicamente para reconhecer de que dispositivo se está a falar na lista de dispositivos do agregado familiar. Sem eles, um mesmo telemóvel aparece nela duas vezes — uma vez por aplicação — e a família pode julgar que uma aplicação está ausente quando está a funcionar, ou retirar da sua lista o telemóvel que realmente utiliza. É por isso que esta informação se enquadra na execução do contrato e não num acordo separado. Uma marca e um modelo são comuns a milhões de dispositivos e não permitem identificar ninguém. A versão do sistema é deliberadamente excluída: caso contrário, uma atualização do Android bastaria para fazer aparecer um mesmo telemóvel como dois dispositivos diferentes. Não é recolhido qualquer número de série, IMEI ou identificador de hardware.
• Quando ocorre este envio, e por que aplicação. É enviado pelo SeniorHub Assistance, instalado no telemóvel do sénior, e apenas por ele: a aplicação destinada aos familiares cuidadores não envia qualquer estado do dispositivo. O envio não depende da presença do sénior diante do ecrã e não para quando ele fecha a aplicação: o sistema Android desperta-a periodicamente, e o nosso servidor pode despertá-la através de uma notificação silenciosa. Não prometemos « tempo real » nem frequência fixa: o Android não garante qualquer cadência de despertar em segundo plano, e o intervalo entre duas atualizações depende sobretudo da utilização real do telemóvel pelo sénior — de alguns minutos se o utilizar com frequência, a muito mais se não o abrir. Um pedido explícito de um familiar desencadeia uma tentativa de atualização em poucos segundos, sem garantia de êxito se o telemóvel estiver desligado ou sem rede. Em todos os casos, a aplicação indica a data do último valor recebido em vez de deixar crer numa atualidade que não pode garantir. Enquanto esta partilha estiver ativa, uma notificação permanente permanece visível no telemóvel do sénior, e é-lhe enviado um lembrete todos os meses.
• O tablet de visualização do agregado familiar envia o mesmo tipo de estado técnico, pela mesma razão e sem localização nem nome de rede. Trata-se de um dispositivo partilhado do agregado familiar, instalado pela família, e não do telemóvel pessoal do sénior.

O que o tablet apresenta. O tablet de visualização é um ecrã permanentemente ligado, colocado na habitação da pessoa apoiada. Faz desfilar, em letras grandes, informações do agregado familiar: os próximos compromissos, as tarefas do dia, as mensagens escritas pela família, fotografias e a meteorologia. Estas informações são visíveis por qualquer pessoa presente na divisão, incluindo um visitante ou um profissional externo. O nome do compromisso é apresentado por predefinição, porque é o que permite à pessoa apoiada compreender o que a espera; o local e o nome da pessoa que acompanha ficam, por sua vez, ocultos por predefinição. Estas três apresentações são três definições distintas, que o agregado familiar pode ativar ou desativar a qualquer momento a partir da aplicação para cuidadores, e a informação respetiva é-lhe dada no momento em que ativa este ecrã. O agregado familiar escolhe também onde colocar o tablet e que ecrãs apresentar. O tablet funciona apenas em modo de leitura: nunca regista nem altera nada.

O sénior pode, a qualquer momento e a partir do seu próprio dispositivo, retirar cada um destes acordos independentemente dos outros, ou parar tudo com um único gesto através da ação « Parar tudo » do ecrã « Quem pode ver o meu telemóvel ».

No iPhone, nada do que precede existe. O parágrafo 2.8 descreve mecanismos próprios do Android. O iOS não oferece qualquer equivalente, e nós não o procuramos: num iPhone, o SeniorHub nunca assume o controlo do dispositivo, não partilha o ecrã de forma contínua e não recolhe qualquer medição periódica em segundo plano. O que a aplicação aí faz limita-se ao que a pessoa apoiada desencadeia por si própria ao carregar num botão.

2.9 Configuração do ecrã inicial da pessoa apoiada

A aplicação complementar SeniorHub Simple launcher substitui o ecrã inicial do telemóvel da pessoa apoiada por uma grelha de grandes mosaicos. O conteúdo desta grelha é escolhido pelos membros do seu agregado familiar: os contactos para quem liga com um único toque, as aplicações que encontra na sua gaveta de aplicações, endereços de sítios de internet (uma rádio na web, uma lista de reprodução musical, o sítio de um organismo) e a imagem de fundo. Esta configuração é um dado pessoal que lhe diz respeito: descreve aquilo que tem diante dos olhos todos os dias.

• Onde é registada. Quando o agregado familiar opta por a partilhar — para que um familiar possa preparar este ecrã à distância a partir do sítio web ou da aplicação para cuidadores —, é registada nos nossos servidores europeus, tal como os restantes dados do agregado familiar. Quando o ecrã inicial é configurado diretamente no telemóvel da pessoa apoiada, sem partilha, esta configuração permanece apenas nesse dispositivo: nunca nos é transmitida e não temos qualquer conhecimento dela.
• O que nunca fazemos. Nunca abrimos estes endereços a partir dos nossos servidores: não é enviado qualquer pedido ao sítio em causa, nem para verificar se existe, nem para obter o respetivo logótipo ou uma pré-visualização. Nunca registamos o que a pessoa apoiada consulta, nem quando, nem durante quanto tempo: não existe qualquer histórico de navegação, nem nos nossos servidores, nem na aplicação. Não lemos o conteúdo das páginas abertas e não classificamos estes endereços por tema.
• O que acontece ao abrir. Um mosaico deste tipo abre o endereço no navegador do telemóvel, o mesmo que serve para qualquer outra página. A partir desse instante, aplicam-se a política de privacidade e as condições do sítio visitado, e não as nossas: os cookies que instala, a medição de audiência que pratica e os dados que recolhe não são da nossa responsabilidade nem estão sob o nosso controlo. O SeniorHub nunca apresenta estes sítios dentro da sua aplicação, precisamente para que a barra de endereço do navegador — e o nome do sítio que apresenta — permaneçam à vista da pessoa apoiada.
• Durante quanto tempo é conservada. No telemóvel: enquanto a aplicação nele estiver instalada; desaparece com ela, ou quando os dados da aplicação são apagados a partir das definições do telemóvel. Nos nossos servidores, quando é partilhada: enquanto o agregado familiar existir e, depois, no máximo 35 dias nas nossas cópias de segurança cifradas, até que estas expirem (ver §7 e §10). Faz parte da exportação dos seus dados e é eliminada com o agregado familiar.
• Recusar um elemento deste ecrã. A pessoa apoiada pode, a qualquer momento e sem ter de se justificar, pedir que um destes elementos — um atalho para um sítio de internet, um contacto, uma aplicação, a imagem de fundo — seja retirado do seu ecrã. Este pedido é dirigido aos membros do seu agregado familiar, que dispõem do meio para lhe dar seguimento imediatamente: a retirada efetua-se a partir das definições do ecrã inicial, protegidas por um código que o agregado familiar detém, ou à distância a partir da aplicação para cuidadores ou do sítio web quando a configuração é partilhada. O telemóvel da pessoa apoiada, por sua vez, não inclui qualquer definição que ela própria possa manipular: o seu ecrã inicial é deliberadamente fixo, para que um toque involuntário não o altere e para que nele encontre todos os dias o mesmo. Esta recusa não é uma simples preferência: os membros do agregado familiar comprometem-se, nos termos das condições gerais (§5.4), a dar-lhe seguimento. Se não lhe fosse dado seguimento, a pessoa apoiada — ou qualquer pessoa que atue em seu nome — pode exercer junto de nós o seu direito de oposição, nas condições previstas no §10.

Porque não lhe é pedido que assinale qualquer caixa para este efeito. Organizar o ecrã inicial da pessoa apoiada é uma das próprias funções do serviço que o seu agregado familiar subscreveu: o tratamento assenta, portanto, na execução do contrato (art. 6.º, n.º 1, alínea b), do RGPD) e não no seu consentimento. Quando esta configuração permanece apenas no telemóvel da pessoa apoiada, o seu registo local é estritamente necessário ao serviço expressamente pedido e não exige, a esse título, nem consentimento nem faixa informativa (art. 82.º da lei francesa «Informatique et Libertés»). O que permanece nas mãos da pessoa apoiada é o seu acordo geral para ser acompanhada (§2.6), que pode ela própria retirar a qualquer momento a partir do seu telemóvel, e o direito de recusar um elemento específico deste ecrã sem renunciar ao resto — recusa que dirige aos membros do seu agregado familiar, conforme descrito acima.

3. Finalidades e fundamentos jurídicos

4. Partilha dos dados

O Senior Hub não vende os seus dados pessoais a terceiros. Os seus dados são partilhados apenas com os subcontratantes necessários ao funcionamento do serviço.

4.1 Acesso da nossa equipa ao conteúdo do seu agregado familiar

O conteúdo do seu agregado familiar — as suas notas, por exemplo — não pode ser consultado pela nossa equipa no decurso normal do serviço. As nossas ferramentas de administração apresentam apenas contadores, estados e datas.

O acesso ao conteúdo de um agregado familiar só é possível em três situações, e nunca por mera curiosidade: um pedido de apoio que nos dirija, o exercício dos seus direitos (acesso, apagamento, retificação…) ou um incidente técnico. Esse acesso fica então:

• sujeito à introdução de um motivo escrito, que é conservado;
• limitado a um único agregado familiar e a 30 minutos, após o que se fecha por si próprio;
• registado — quem consultou, quando, com que motivo e quantas vezes;
• vedado às notas que o respetivo autor assinalou como «privadas»: essas só são abertas mediante requisição judicial, ou a seu próprio pedido.

Informamo-lo de qualquer acesso desta natureza, salvo quando uma requisição judicial no-lo proíba. Fundamento jurídico: interesse legítimo (art. 6.º, n.º 1, alínea f)) para o apoio e os incidentes técnicos, obrigação jurídica (art. 6.º, n.º 1, alínea c)) quando se trate de responder ao exercício dos seus direitos.

5. Subcontratantes

6. Transferências para fora da União Europeia

Alguns subcontratantes estão situados nos Estados Unidos ou podem tratar dados fora da União Europeia (Railway, Firebase, Anthropic, Groq, RevenueCat, Resend, Expo, LiveKit, Google Calendar API, Google Drive API, e Google Cloud Storage apenas para as imagens de newsletters enviadas antes de 3 de agosto de 2026). Estas transferências são enquadradas por:

Em especial, o áudio das mensagens de voz e dos memorandos ditados por um cuidador, e a respetiva transcrição textual, são tratados nos Estados Unidos pela Groq (transcrição) e pela Anthropic (análise por IA), ao abrigo das garantias indicadas abaixo.

• O EU-U.S. Data Privacy Framework (Quadro de Privacidade de Dados UE-EUA) para os subcontratantes certificados
• Cláusulas Contratuais-Tipo (SCCs) aprovadas pela Comissão Europeia para os restantes casos

Preferimos dizer-lhe claramente onde estão os limites desta proteção. O facto de não conservarmos o áudio do memorando ditado é um compromisso que diz respeito aos nossos servidores: significa que não o escrevemos em lado nenhum e que não consta de qualquer cópia de segurança. Não significa que a gravação nunca tenha saído da União Europeia — saiu, durante o tempo necessário para ser transcrita — nem que o nosso prestador não a tenha lido: tem necessariamente de a ouvir para a escrever. O que não pode fazer, contratualmente, é conservá-la durante mais tempo do que o serviço exige, utilizá-la para outros fins, ou treinar os seus modelos com ela.

7. Prazos de conservação

8. Segurança

Aplicamos as seguintes medidas para proteger os seus dados:

• Cifragem em trânsito (HTTPS / TLS) para todas as comunicações
• Cifragem em repouso da base de dados
• Ligação SSL entre a aplicação e a base de dados
• Hashing seguro das palavras-passe (scrypt)
• Tokens de autenticação assinados (HMAC-SHA256) com expiração
• Limitação de pedidos (rate limiting) nos endpoints de autenticação
• Cabeçalhos de segurança HTTP (HSTS, X-Frame-Options, etc.)
• Registo dos acessos com endereço IP e user-agent
• Cópia de segurança diária da base de dados e cópia de segurança semanal dos ficheiros, cifradas antes de saírem dos nossos servidores e armazenadas num prestador distinto daquele que aloja a aplicação
• Teste de restauro realizado todos os meses sobre uma cópia de segurança real: uma cópia de segurança que ninguém alguma vez restaurou não é uma garantia

9. Inteligência artificial

9.1 Resumos do caderno de ligação

O Senior Hub utiliza o serviço Anthropic para gerar resumos, tendências e sugestões a partir das entradas do caderno de ligação, bem como observações sobre a repartição das funções de apoio no agregado familiar. Este tratamento só é realizado quando a funcionalidade é ativada pelo agregado familiar.

• Os dados enviados à Anthropic limitam-se às entradas do caderno de ligação (sem documentos, sem ficheiros). Para as observações sobre as funções de apoio, é transmitido apenas um instantâneo anonimizado: nomes próprios dos cuidadores (sem e-mail, sem identificador), nome e carga mental estimada de cada função, e quem está atribuído a quê. As observações geradas ficam em cache durante 24 horas e são invalidadas à menor alteração.
• A Anthropic não conserva os dados enviados para treinar os seus modelos (API usage policy).
• Os resumos gerados são armazenados na nossa base de dados e sujeitos às mesmas regras de conservação.
• Este tratamento não constitui uma decisão automatizada na aceção do artigo 22.º do RGPD: os resumos são meramente informativos e não produzem qualquer efeito jurídico.

9.2 Voz transcrita — mensagens de voz e memorandos ditados

Quando um sénior envia uma mensagem de voz, o Senior Hub efetua os dois tratamentos por IA seguintes, sob reserva do seu consentimento prévio (dado aquando da configuração da funcionalidade):

1. Transcrição pela Groq (Whisper) — o áudio é transmitido ao serviço de transcrição Groq (Estados Unidos). A transcrição textual resultante é armazenada no agregado familiar. Contratualmente, a Groq não conserva os dados áudio para além do necessário ao serviço (política de utilização da API da Groq).
2. Análise da transcrição pela Anthropic (Claude) — a transcrição textual (nunca o áudio) é transmitida à Anthropic para produzir um auxiliar de memória não médico destinado aos cuidadores. Este resumo é meramente informativo; não constitui uma análise médica, um diagnóstico nem uma decisão automatizada na aceção do artigo 22.º do RGPD. A Anthropic não conserva os dados transmitidos para treinar os seus modelos (API usage policy).

• O áudio, a transcrição e a análise são armazenados no seu agregado familiar e acessíveis aos membros autorizados, em conformidade com as regras de conservação da secção 7.
• Pode retirar o seu consentimento a qualquer momento — as futuras mensagens de voz deixarão de ser tratadas por estes serviços. As mensagens já enviadas permanecem armazenadas até ao seu pedido de apagamento (Definições > Privacidade ou privacy@seniorhub.fr).

Quando um cuidador dita um memorando (ver §2.2), o Senior Hub efetua uma transcrição pela Groq e, em seguida, uma análise pela Anthropic segundo o mesmo princípio técnico, mas com três diferenças:

• Fundamento jurídico: o memorando ditado assenta na execução do contrato (art. 6.º, n.º 1, alínea b)), e não no consentimento — sem transcrição, não haveria memorando de todo, o que tornaria um consentimento pedido nesta fase não livre na aceção do artigo 7.º, n.º 4, do RGPD (ver §3).
• Conservação do áudio: ao contrário da mensagem de voz, cujo áudio é armazenado no seu agregado familiar (ver acima), o áudio do memorando ditado não é conservado nos nossos servidores — ver §7 quanto à cópia temporária que permanece no dispositivo do cuidador durante o envio.
• O que daí resulta: a mensagem de voz é diretamente distribuída ao agregado familiar, ao passo que o memorando ditado produz apenas uma proposta (entrada no caderno, compromisso ou tarefa) que o cuidador tem de rever e validar antes de ser registada.

Além disso, um agregado familiar de demonstração (identificado explicitamente do lado do servidor) pode ser alimentado todas as semanas com dados fictícios gerados pelo Claude (compromissos, tarefas, mensagens, entradas do caderno, contactos e documentos fictícios) para permitir apresentar as funcionalidades do serviço a potenciais clientes. Não são utilizados quaisquer dados reais de utilizadores para produzir estes conteúdos; apenas o agregado familiar assinalado como de demonstração é abrangido e nenhum agregado familiar cliente é objeto deste tratamento.

9.3 Dados provenientes das API da Google (Limited Use)

Quando liga a sua conta Google (sincronização do Google Calendar ou do Google Drive), o Senior Hub recebe dados através das API do Google Workspace. A utilização destes dados é estritamente enquadrada:

• Servem unicamente para fazer funcionar as funcionalidades que ativou: apresentar e sincronizar os compromissos do agregado familiar com o seu calendário, e sincronizar os documentos do agregado familiar com a pasta do Drive que escolheu.
• Para que essa pasta e a aplicação se mantenham coerentes, o Senior Hub pode mudar o nome e mover ficheiros dentro da pasta do Drive que associou. Eliminar um documento no Senior Hub nunca destrói um ficheiro que provém do seu Drive: este sai da pasta sincronizada e é movido para uma pasta separada, partilhada com a sua conta Google, onde o encontra. Um ficheiro criado a partir do Senior Hub, por sua vez, vai para a reciclagem do seu Drive.
• Nunca são utilizados para criar, treinar ou melhorar um modelo de inteligência artificial, seja ele generalista ou especializado — nem pelo Senior Hub, nem pelos nossos prestadores. Os nossos prestadores de IA (Anthropic, Groq) não treinam os seus modelos com os dados transmitidos através das suas API.
• Não são vendidos nem transferidos a terceiros para fins publicitários, de definição de perfis, de estudos de mercado ou de avaliação de solvabilidade.
• Um compromisso importado do Google Calendar passa a ser tratado como um compromisso do agregado familiar: pode, portanto, aparecer num resumo do caderno de ligação (secção 9.1) se o agregado familiar tiver ativado essa funcionalidade. Este tratamento continua sujeito a todas as restrições acima. Os ficheiros do Google Drive nunca são transmitidos a um serviço de IA.
• Os colaboradores do Senior Hub não leem estes dados, salvo acordo explícito da sua parte, por razões de segurança, para cumprir uma obrigação jurídica, ou relativamente a dados agregados e anonimizados.

Senior Hub's use of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements. The use of raw or derived user data received from Workspace APIs will adhere to the Google User Data Policy, including the Limited Use requirements. Senior Hub does not use, transfer or sell Google Workspace API data — raw, aggregated or derived — to develop, train or improve generalized or foundational artificial intelligence or machine learning models.

10. Os seus direitos (RGPD)

Nos termos do Regulamento Geral sobre a Proteção de Dados, dispõe dos seguintes direitos:

• Acesso: obter uma cópia dos seus dados (exportação disponível em Definições > Privacidade).
• Retificação: corrigir os seus dados inexatos (alteração do perfil na aplicação).
• Apagamento: eliminar a sua conta e os dados associados (Definições > Eliminar a minha conta). A eliminação é imediata na aplicação e, quanto aos seus documentos, também o é no nosso prestador de alojamento de armazenamento: ao contrário de uma eliminação comum (ver o quadro da secção 7, linha «Documentos, fotografias e mensagens de voz eliminados»), um pedido de apagamento ao abrigo deste direito apaga imediatamente todas as cópias técnicas que esse armazenamento normalmente conserva até 90 dias, sem esperar por esse prazo. Os seus dados subsistem no máximo 35 dias nas nossas cópias de segurança cifradas, até que estas expirem: aí não estão acessíveis a ninguém em utilização corrente, servem apenas para restabelecer o serviço após um incidente e, caso uma cópia de segurança tivesse de ser restaurada, a sua eliminação seria nela novamente aplicada antes de qualquer reposição em funcionamento. Quando elimina um elemento que criou — um comentário, uma nota — o seu conteúdo é efetivamente apagado: o registo de atividade do agregado familiar guarda o rasto da ação (quem, quando, sobre que elemento), mas nunca o próprio texto.
• Portabilidade: receber os seus dados num formato estruturado e legível (exportação JSON).
• Retirada do consentimento: a qualquer momento para os tratamentos opcionais (analytics, crashlytics, notificações push) e, no caso do sénior, para o consentimento para ser acompanhado através da aplicação.
• Oposição e limitação: opor-se a determinados tratamentos ou pedir a sua limitação.

Para exercer estes direitos, utilize as funcionalidades da aplicação ou contacte-nos através de privacy@seniorhub.fr.

11. Reclamação junto da CNIL

Se considerar que o tratamento dos seus dados pessoais constitui uma violação do RGPD, tem o direito de apresentar uma reclamação junto da autoridade francesa de proteção de dados, a Commission Nationale de l'Informatique et des Libertés (CNIL):

• Sítio web: www.cnil.fr
• Morada: CNIL, 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07

12. Cookies e armazenamento local

O Senior Hub não utiliza quaisquer cookies publicitários nem de medição de audiência de terceiros. Não é necessária qualquer faixa de consentimento para a navegação no sítio de apresentação, pois este não carrega qualquer rastreador externo (os tipos de letra Inter são alojados pelo próprio sítio, e não está integrada qualquer ferramenta de analytics de terceiros).

Para manter a sua sessão iniciada, a aplicação web recorre a dois cookies estritamente necessários, e a nenhum outro: sh_refresh, que contém a sua sessão e que o código da página não pode ler (HttpOnly, Secure, SameSite=Strict, duração máxima de 90 dias, apagado ao terminar a sessão), e sh_csrf, que serve para verificar que as suas ações provêm efetivamente das nossas páginas. O sítio de apresentação, por sua vez, não instala qualquer cookie.

A aplicação web e o sítio de apresentação utilizam também um armazenamento local (localStorage) do navegador, estritamente necessário ao funcionamento do serviço, para conservar:

• Preferência de idioma (chaves lang no sítio de apresentação, seniorhub:locale na aplicação web): para voltar a apresentar a interface no idioma escolhido na sua próxima visita.
• Identidade da sessão iniciada (chave seniorhub:email_auth_session): o seu identificador técnico, o seu endereço de e-mail e o seu nome, para voltar a apresentá-lo com sessão iniciada ao recarregar a página. Não é aí conservado qualquer token de autenticação — este existe unicamente no cookie sh_refresh acima descrito.
• Agregado familiar ativo (chave seniorhub:active_household_id): para reabrir o agregado familiar certo no próximo arranque.
• Etapa de instalação alcançada (chave seniorhub:household_status): para não voltar a propor-lhe a criação de um agregado familiar depois de esta estar concluída.
• Bloqueio técnico de renovação da sessão (chave sh_auth_refresh_lock): um identificador aleatório e uma data de expiração, para evitar que vários separadores renovem a sua sessão ao mesmo tempo. Não contém qualquer informação sobre si e expira em poucos segundos.
• Nome próprio deixado na página de visitante (chave seniorhub:visitorName): apenas se tiver deixado uma mensagem a uma família depois de ler o respetivo código QR, para não ter de voltar a escrever o seu nome próprio na vez seguinte. Este nome próprio permanece no seu dispositivo; a mensagem que enviou, por sua vez, é registada no caderno de ligação do agregado familiar (ver §2.2 e §7).

Estes dados não saem do seu navegador. Pode apagá-los a qualquer momento através das definições do seu navegador ou terminando a sessão. A aplicação móvel Senior Hub não utiliza cookies HTTP; armazena localmente as mesmas informações através do mecanismo nativo seguro do seu sistema (Keychain iOS / Keystore Android para os tokens). A aplicação complementar SeniorHub Simple launcher conserva da mesma forma, apenas no telemóvel da pessoa apoiada, a configuração do seu ecrã inicial (§2.9) quando esta não é partilhada com o agregado familiar: este registo é estritamente necessário ao funcionamento pedido e não dá, por isso, lugar nem a um pedido de consentimento, nem a uma faixa informativa.

13. Alteração desta política

A presente política de privacidade pode ser atualizada. Em caso de alteração substancial, será informado através da aplicação. A data da última atualização está indicada no topo desta página.

Uma atualização de conteúdo (como esta) não implica necessariamente um novo pedido de consentimento: este só é desencadeado aquando da passagem para uma nova versão numerada (o sufixo « v » indicado no topo desta página), anunciada através da aplicação no momento da sua entrada em vigor.

Contacto

Para qualquer questão relativa à proteção dos seus dados: privacy@seniorhub.fr.

Condições Gerais de Utilização | Informações Legais