Política de Privacidade - Qwairy

1. Introdução

A Qwairy SAS, sociedade por ações simplificada de direito francês (Société par actions simplifiée), registada com o número SIREN 944 639 012 e com sede em 1 Rue de Stockholm, 75008 Paris, France ("Qwairy," "nós," "nosso"), está empenhada em proteger a sua privacidade.

A presente Política de Privacidade explica como recolhemos, utilizamos, armazenamos e protegemos os seus dados pessoais quando utiliza a nossa plataforma de Generative Engine Optimization (GEO) (o "Serviço"), incluindo os dados obtidos através de integrações de terceiros, como o Google Analytics e o Google Search Console (ver Secção 13, Dados de utilizadores Google).

Ao utilizar o nosso Serviço, aceita a recolha e a utilização de informações de acordo com a presente Política de Privacidade. Esta política cumpre o Regulamento Geral sobre a Proteção de Dados (RGPD) da UE, a lei francesa de proteção de dados (Loi Informatique et Libertés), a Google API Services User Data Policy e os Google APIs Terms of Service.

2. Responsável pelo tratamento

3. Dados que recolhemos

3.1 Informações da conta

Quando cria uma conta, recolhemos:

• Endereço de email
• Nome (se indicado)
• Fotografia de perfil (se iniciar sessão via OAuth)
• Nome da empresa e URL do site (se indicados)

3.2 Dados de utilização

Recolhemos automaticamente informações sobre a forma como interage com o nosso Serviço, incluindo:

• Páginas visitadas e funcionalidades utilizadas
• Registos de data e hora e duração das sessões
• Tipo de navegador e informações do dispositivo
• Endereço IP

3.3 Dados de marca e de conteúdo

Para prestar os nossos serviços de otimização GEO, recolhemos:

• Nomes e descrições das marcas que configura
• Palavras-chave e temas que monitoriza
• Informações sobre os concorrentes que adiciona
• Conteúdos gerados por IA e resultados de análises

3.4 Dados de integrações de terceiros

Quando opta por ligar contas de terceiros (Google Analytics, Google Search Console e integrações semelhantes), recolhemos os dados descritos na Secção 13. Estas ligações são sempre opcionais e podem ser revogadas a qualquer momento.

4. Como utilizamos os seus dados

Utilizamos os seus dados pessoais para:

• Prestar, manter e melhorar o nosso Serviço
• Processar transações e enviar as respetivas informações
• Enviar notificações administrativas e atualizações
• Responder aos seus pedidos e questões de suporte
• Analisar padrões de utilização para melhorar a experiência do utilizador
• Detetar e prevenir fraudes ou problemas de segurança

Não utilizamos os seus dados pessoais, os seus dados de utilizador Google nem os conteúdos tratados em seu nome para treinar os nossos próprios modelos de inteligência artificial ou de aprendizagem automática.

5. Fundamento jurídico do tratamento (RGPD)

Ao abrigo do RGPD, tratamos os seus dados pessoais com base nos seguintes fundamentos jurídicos:

• Execução do contrato (art. 6.º, n.º 1, alínea b), do RGPD): Tratamento necessário para prestar o Serviço que solicitou e para o faturar.
• Consentimento (art. 6.º, n.º 1, alínea a), do RGPD): Para funcionalidades opcionais, como comunicações de marketing, cookies não essenciais e integrações de terceiros (por exemplo, Google Analytics e Google Search Console).
• Interesses legítimos (art. 6.º, n.º 1, alínea f), do RGPD): Para análises, segurança, prevenção de fraudes e melhoria do serviço, desde que os seus direitos não prevaleçam.
• Obrigações legais (art. 6.º, n.º 1, alínea c), do RGPD): Quando exigido pela legislação aplicável (contabilidade, fiscalidade, respostas às autoridades).

6. Subcontratantes e partilha com terceiros

Recorremos às seguintes categorias de subcontratantes exclusivamente para operar o Serviço. Quando um subcontratante disponibiliza um acordo de tratamento de dados (DPA) que cumpre os requisitos do artigo 28.º do RGPD, baseamo-nos nesse acordo. Estamos a formalizar progressivamente DPA com todos os subcontratantes e forneceremos comprovativo de qualquer DPA específico mediante pedido razoável. As transferências para fora do Espaço Económico Europeu são tratadas na Secção 7.

• Alojamento e computação na cloud: Vercel Inc. (EUA)
• Base de dados: Neon (região UE / EUA)
• Tarefas em segundo plano e filas: Trigger.dev (UE / EUA)
• Cache e limitação de pedidos: Upstash (AWS, UE / EUA)
• Mensagens em tempo real: Pusher (Reino Unido / EUA)
• Fornecedores de IA (execução de prompts e geração): OpenAI (EUA), Anthropic (EUA), Google (EUA, via Gemini API e Google AI Studio), Perplexity (EUA), xAI (EUA), Mistral AI (França), Microsoft (EUA, via Copilot). Os prompts e as informações relacionadas com a marca que configura são transmitidos a estes fornecedores para executar as consultas de monitorização.
• Processamento de pagamentos: Stripe (EUA / Irlanda)
• Email transacional e de marketing: Resend (EUA), Loops (EUA)
• Monitorização de erros: Sentry (EUA)
• Análise de produto: Google Analytics (EUA), Mouseflow (Dinamarca)
• Apoio ao cliente: Crisp (França)

Não vendemos os seus dados pessoais a terceiros. Não utilizamos os seus dados, os seus dados de utilizador Google nem os conteúdos tratados em seu nome para treinar modelos de inteligência artificial ou de aprendizagem automática.

Uma lista atualizada de subcontratantes está disponível mediante pedido através de team@qwairy.co. Informá-lo-emos previamente de qualquer alteração prevista relativa à adição ou substituição de um subcontratante, dando-lhe a oportunidade de se opor.

7. Transferências internacionais de dados

Alguns dos nossos subcontratantes estão localizados fora do Espaço Económico Europeu (EEE). Quando transferimos dados pessoais para esses países, baseamo-nos numa das seguintes garantias, conforme exigido pelos artigos 44.º a 49.º do RGPD:

• Decisões de adequação adotadas pela Comissão Europeia (por exemplo, Reino Unido, Israel e transferências abrangidas pelo EU-U.S. Data Privacy Framework, quando o destinatário está certificado).
• Cláusulas contratuais-tipo (CCT) aprovadas pela Comissão Europeia (Decisão 2021/914), complementadas, quando necessário, por medidas técnicas e organizativas suplementares de acordo com as orientações do Comité Europeu para a Proteção de Dados (CEPD).
• O seu consentimento explícito, quando aplicável, para transferências não abrangidas pelos mecanismos acima.

Pode solicitar uma cópia das garantias de transferência aplicáveis contactando-nos através de team@qwairy.co.

8. Conservação e segurança dos dados

8.1 Conservação

Conservamos os seus dados pessoais apenas durante o tempo necessário para prestar o Serviço e cumprir as finalidades descritas nesta Política, salvo se a lei exigir ou permitir um período de conservação mais longo (por exemplo, obrigações contabilísticas, fiscais ou de defesa em processos judiciais).

Prazos de conservação habituais:

• Dados da conta e do espaço de trabalho: durante a vigência da sua subscrição e até noventa (90) dias após a eliminação da conta, para permitir a recuperação.
• Faturação e faturas: dez (10) anos, conforme exigido pela legislação comercial e fiscal francesa.
• Registos de servidor e de segurança: até doze (12) meses.
• Dados de integrações de terceiros (por exemplo, Google Analytics e Google Search Console): enquanto a integração se mantiver ligada; são eliminados quando desliga a integração.

8.2 Segurança

Aplicamos medidas técnicas e organizativas adequadas para proteger os seus dados pessoais contra acesso não autorizado, alteração, divulgação ou destruição, incluindo:

• Encriptação em trânsito (TLS 1.2 ou superior) e em repouso, sempre que suportada pela nossa infraestrutura
• Controlos de acesso baseados em funções e princípio do menor privilégio nos acessos internos
• Ambientes isolados e separação dos dados dos clientes
• Monitorização contínua, registos e alertas através do Sentry
• Revisão regular da postura de segurança dos subcontratantes

Em caso de violação de dados pessoais suscetível de representar um risco para os seus direitos e liberdades, notificaremos a CNIL no prazo de 72 horas e, quando exigido, informaremos os utilizadores afetados sem demora injustificada, nos termos dos artigos 33.º e 34.º do RGPD.

9. Os seus direitos

Ao abrigo do RGPD e da legislação de proteção de dados aplicável, tem o direito de:

• Acesso: Solicitar uma cópia dos seus dados pessoais.
• Retificação: Corrigir dados inexatos ou incompletos.
• Apagamento: Solicitar a eliminação dos seus dados pessoais.
• Limitação: Solicitar a limitação do tratamento.
• Portabilidade: Receber os seus dados num formato estruturado, de uso corrente e de leitura automática.
• Oposição: Opor-se ao tratamento baseado em interesses legítimos.
• Retirada do consentimento: Retirar o consentimento a qualquer momento, nos tratamentos baseados em consentimento, sem comprometer a licitude do tratamento anterior.
• Diretivas post mortem: Definir diretivas sobre o destino dos seus dados pessoais após a sua morte (artigo 85.º da lei francesa de proteção de dados).

Para exercer estes direitos, contacte-nos através de team@qwairy.co. Responderemos no prazo de um (1) mês, prorrogável por mais dois (2) meses no caso de pedidos complexos, nos termos do artigo 12.º, n.º 3, do RGPD.

Tem também o direito de apresentar uma reclamação junto da autoridade francesa de proteção de dados (CNIL) ou da autoridade de controlo do seu local de residência habitual.

10. Cookies e tecnologias semelhantes

Os cookies são pequenos ficheiros de texto colocados no seu dispositivo quando visita um site. Os cookies não essenciais só são definidos depois de dar o seu consentimento através do nosso banner de cookies; pode alterar as suas preferências a qualquer momento através do banner ou das definições do seu navegador.

10.1 Categorias de cookies que utilizamos

10.2 Gerir as suas preferências

Pode retirar o seu consentimento para cookies não essenciais a qualquer momento através do nosso banner de cookies ou apagando os cookies nas definições do navegador. Bloquear cookies estritamente necessários pode comprometer funcionalidades essenciais (início de sessão, pagamento, etc.).

11. Privacidade das crianças

O nosso Serviço destina-se a uso profissional e não se dirige a menores de 18 anos. Não recolhemos intencionalmente dados pessoais de crianças abaixo dessa idade sem consentimento parental verificável. Se tomarmos conhecimento de que recolhemos dados pessoais de uma criança em violação desta regra, tomaremos medidas imediatas para eliminar essas informações.

12. Alterações a esta Política de Privacidade

Podemos atualizar esta Política de Privacidade periodicamente. Informá-lo-emos de quaisquer alterações relevantes publicando a Política atualizada nesta página e atualizando a data de «Última atualização». No caso de alterações significativas, também o notificaremos por email antes de entrarem em vigor.

13. Anexo: dados de utilizadores Google (Google Analytics e Google Search Console)

Esta secção explica especificamente como o Qwairy trata os dados obtidos através das APIs da Google, nomeadamente o Google Analytics e o Google Search Console, em conformidade com a Google API Services User Data Policy, incluindo os requisitos de utilização limitada (Limited Use).

13.1 Dados acedidos

Google Analytics. Quando liga a sua conta do Google Analytics ao Qwairy, pedimos acesso só de leitura (analytics.readonly scope) aos seguintes tipos de dados:

• Propriedades do Analytics: Lista de propriedades e contas do Google Analytics 4 a que tem acesso
• Métricas de tráfego: Sessões, duração média das sessões, taxa de rejeição, páginas por sessão e novos utilizadores
• Fontes de tráfego: Dados de origem e meio das sessões, filtrados especificamente para identificar o tráfego de referência proveniente de plataformas de IA como o ChatGPT, o Claude, o Perplexity, o Gemini e outras
• Páginas de destino: URL das páginas que recebem tráfego de plataformas de IA, com as respetivas métricas de envolvimento

Google Search Console. Quando liga a sua conta do Google Search Console ao Qwairy, pedimos acesso só de leitura (webmasters.readonly scope) aos seguintes tipos de dados:

• Sites verificados: Lista de sites (domínios ou prefixos de URL) que verificou e a que pode aceder no Search Console
• Desempenho na pesquisa: Consultas de pesquisa, cliques, impressões, taxa de cliques (CTR) e posição média nas pesquisas Web, de Imagens, de Vídeos e de Notícias
• Páginas e dispositivos: URL que recebem impressões e cliques, com desagregação por país, dispositivo e aspeto na pesquisa
• Sitemaps (só leitura): Submissões de sitemaps e respetivo estado de processamento, utilizados para cruzar a indexação com a visibilidade em IA

13.2 Utilização dos dados

O Qwairy utiliza os seus dados do Google Analytics e do Google Search Console exclusivamente para:

• Apresentar as suas métricas de tráfego, indexação e desempenho na pesquisa no dashboard do Qwairy
• Identificar e acompanhar fontes de tráfego, consultas e padrões relacionados com IA
• Correlacionar o tráfego do seu site e o desempenho na pesquisa com as métricas de visibilidade em IA
• Gerar insights e recomendações para melhorar a sua estratégia GEO
• Medir o impacto da otimização para IA no tráfego do seu site e no desempenho na pesquisa orgânica

Conformidade com a utilização limitada. A utilização e a transferência, pelo Qwairy, de informações recebidas das APIs da Google cumprem a Google API Services User Data Policy, incluindo os requisitos de utilização limitada (Limited Use).

NÃO utilizamos os seus dados de utilizador Google para:

• Fins publicitários ou de marketing
• Venda ou aluguer a terceiros
• Treinar modelos de inteligência artificial ou de aprendizagem automática, sejam nossos ou de terceiros
• Qualquer finalidade não relacionada com a prestação do nosso Serviço de otimização GEO

13.3 Partilha de dados

O Qwairy trata os dados de utilizador Google através dos subcontratantes de infraestrutura necessários para operar o Serviço. Se os dados do Google Analytics ou do Google Search Console forem pedidos através da sua ligação MCP, os dados pedidos são devolvidos ao cliente ligado, dentro do acesso que lhe foi permitido. Consulte a Secção 14. Os seus dados do Google Analytics e do Google Search Console são:

• Acessíveis a si, aos membros da equipa que convidar explicitamente para o seu espaço de trabalho Qwairy e aos clientes MCP ligados, dentro do acesso que lhes foi permitido
• Nunca vendidos, alugados ou transferidos para anunciantes ou corretores de dados
• Nunca partilhados com outros clientes do Qwairy nem utilizados em análises entre clientes
• Tratados pelos nossos subcontratantes de infraestrutura (ver Secção 6) na medida do necessário para operar o Serviço

13.4 Armazenamento e proteção dos dados

Os seus dados de utilizador Google são protegidos pelas medidas técnicas e organizativas descritas na Secção 8.2, incluindo encriptação em trânsito (TLS) e controlos de acesso que restringem o acesso aos dados ao pessoal autorizado.

13.5 Conservação e eliminação dos dados

Conservação: Os dados obtidos através do Google Analytics e do Google Search Console são conservados apenas enquanto a integração correspondente se mantiver ligada à sua conta.

Eliminação: Pode eliminar os seus dados de utilizador Google a qualquer momento:

• Desligando a integração do Google Analytics e/ou do Google Search Console nas definições do seu espaço de trabalho Qwairy
• Pedindo a eliminação da conta por email para team@qwairy.co
• Revogando o acesso do Qwairy nas permissões da sua Conta Google

14. Conectores de assistentes de IA (MCP)

O Qwairy disponibiliza um servidor Model Context Protocol (MCP) que lhe permite ligar assistentes de IA compatíveis (como o Claude, da Anthropic) à sua conta Qwairy. Esta secção explica como os dados circulam quando utiliza um conector de assistente de IA.

14.1 Dados acessíveis ao assistente de IA

Quando autoriza um assistente de IA através do conector MCP, o assistente pode ler (e apenas ler) as seguintes categorias de dados dos espaços de trabalho Qwairy a que tem acesso, de acordo com os scopes da ligação e as suas permissões atuais:

• As marcas que monitoriza (nomes e domínios principais)
• Respostas de IA recolhidas pelo Qwairy para os prompts que monitoriza (texto da resposta, fornecedor de IA, identificador do modelo, datas e horas)
• Concorrentes detetados pelo Qwairy, com número de menções, posições e sentimento
• Fontes de citação de terceiros (domínios e URL) referidas pelos fornecedores de IA nas respostas
• Definições de temas e prompts, desagregações de desempenho, instantâneos de perceção e o estado técnico de preparação do seu site para a IA
• Métricas agregadas: taxa de visibilidade, sentimento, share of voice e pontuações GEO
• Métricas do Google Analytics e do Google Search Console provenientes de integrações ligadas, quando pedidas através de uma ligação MCP com as permissões correspondentes

O conector MCP funciona em modo estritamente só de leitura. Não pode criar, modificar ou eliminar dados na sua conta Qwairy, desencadear ações pagas (como gerações de IA), alterar definições de faturação nem convidar utilizadores.

14.2 Papel do fornecedor do assistente de IA

O assistente de IA que liga (por exemplo, o Claude, operado pela Anthropic, PBC) atua como intermediário técnico. Quando faz uma pergunta ao assistente, este envia pedidos MCP a partir da sua própria infraestrutura para https://mcp.qwairy.co com o seu token de acesso, e o Qwairy devolve os dados relevantes. Assim, o fornecedor do assistente de IA:

• Guarda o seu token de acesso MCP em seu nome, no próprio serviço
• Envia pedidos HTTPS autenticados da sua infraestrutura para o Qwairy
• Recebe as respostas do Qwairy e utiliza-as para compor a resposta do assistente

O Qwairy não controla a forma como o fornecedor do assistente de IA armazena, conserva ou trata posteriormente os dados depois de estes terem sido transmitidos numa resposta. Consulte a política de privacidade desse fornecedor para obter informações sobre o tratamento, a conservação, as políticas de dados de treino e os seus direitos. No caso da Anthropic, consulte https://www.anthropic.com/legal/privacy.

14.3 Autenticação e autorização

O Qwairy suporta OAuth 2.1 com PKCE (S256) e tokens de acesso pessoais para clientes MCP compatíveis. Nas ligações OAuth:

• É-lhe pedido que inicie sessão na sua conta Qwairy
• É-lhe apresentado um ecrã de consentimento com os scopes pedidos pelo assistente de IA (por exemplo: ler marcas, ler respostas de IA, ler concorrentes)
• Após a aprovação, o Qwairy emite um token de acesso associado à sua conta de utilizador e aos scopes aprovados
• Cada pedido MCP está limitado pelos scopes da credencial e pelo seu acesso atual ao espaço de trabalho e à marca pedidos. Os utilizadores com a função Viewer só dão acesso às marcas que lhes foram explicitamente atribuídas

Os tokens de acesso e de atualização são armazenados como hashes SHA-256 na nossa base de dados. O texto em claro só é conhecido por si e pelo cliente do assistente de IA.

14.4 Revogar o acesso

Pode revogar o acesso de um assistente de IA a qualquer momento:

• No Qwairy: aceda a www.qwairy.co/dashboard/team/mcp e revogue a ligação
• No cliente do assistente de IA: a maioria dos clientes (incluindo o Claude) disponibiliza nas definições uma opção como «Desligar» ou «Gerir ligações»

A revogação produz efeitos imediatamente. Qualquer pedido MCP posterior com um token revogado é rejeitado.

14.5 Documentação

A documentação técnica completa do conector MCP, incluindo a lista de ferramentas disponibilizadas, o fluxo OAuth e os clientes suportados, está publicada em docs.qwairy.co/mcp/introduction.

15. Contacte-nos