Política de Privacidade

Última revisão: 2026-10-14

1. Introdução

Esta Política de Privacidade explica como a TO BRIEF Ι.Κ.Ε. ("TO BRIEF", "nós", "nos") recolhe, utiliza e protege dados pessoais em relação aos websites tobrief.gr e tobrief.eu, às aplicações móveis To Brief para iOS e Android, e serviços relacionados (em conjunto, o "Serviço"). A TO BRIEF é a responsável pelo tratamento dos dados pessoais processados através do Serviço, exceto quando outro responsável for expressamente identificado abaixo.

Detalhes do responsável pelo tratamento

• Nome legal: TO BRIEF Ι.Κ.Ε. (Ιδιωτική Κεφαλαιουχική Εταιρεία)
• Sede social: Troon 26, 118 51, Atenas, Ática, Grécia
• GEMI: 188116103000
• AFM: 803045387
• Email: [email protected]
• Contacto para proteção de dados: [email protected]

Atualmente, não temos um Encarregado de Proteção de Dados (DPO) nomeado por lei; no entanto, todos os pedidos relacionados com a proteção de dados são encaminhados através do contacto dedicado acima e tratados ao abrigo de um processo documentado que cumpre as normas esperadas de uma função de DPO ao abrigo dos Artigos 37.º-39.º do RGPD, quando aplicável.

2. Que dados recolhemos

Recolhemos apenas os dados mínimos necessários para operar o Serviço e cumprir as nossas obrigações legais.

2.1 Dados da conta

Quando regista uma conta, armazenamos: o seu endereço de email, uma palavra-passe com hash seguro, o nome de exibição escolhido (opcional), a data de criação da conta, a edição através da qual se registou (GR ou EU) e o estado da subscrição. Base jurídica: execução de um contrato (Artigo 6.º, n.º 1, alínea b), do RGPD).

2.2 Dados de utilização do website e análise

Se — e apenas se — conceder consentimento opcional de medição através do nosso banner de cookies, recolhemos sinais de utilização agregados através do Google Analytics 4, sinais de análise de UX/sessão através da Contentsquare/Hotjar, sinais de conversão através do pixel do X e sinais de conversão através do pixel da Meta (Facebook/Instagram): páginas visualizadas, classe de dispositivo/browser, geografia aproximada (país/região a partir do IP, nunca o IP bruto), referenciador, duração da sessão, eventos de interação, sinais de fricção na experiência do utilizador, inscrições e conversões de subscrição. Base jurídica: consentimento (Artigo 6.º, n.º 1, alínea a), do RGPD e Artigo 5.º, n.º 3, da Diretiva ePrivacy). Com o mesmo consentimento, o nosso servidor também informa a OpenAI quando cria uma conta no nosso site ou quando aí é verificado o primeiro pagamento da sua subscrição, para podermos medir e melhorar os anúncios do To Brief no ChatGPT. A OpenAI recebe o seu endereço de email em formato hash, um identificador aleatório de cliente em formato hash, a referência do clique num anúncio no ChatGPT, se chegou através de um anúncio desse tipo, a hora e, no caso de uma subscrição, o montante e a moeda. A OpenAI não define nenhum cookie nem carrega nenhum script no seu navegador. Fundamento jurídico: consentimento (artigo 6.º, n.º 1, alínea a), do RGPD).

2.3 Dados de pagamento

Os pagamentos de subscrição são processados pela Stripe Payments Europe, Limited ("Stripe"). A introdução do cartão é gerida pela Stripe; os números de cartão e códigos CVV não são enviados para os nossos servidores de aplicação através do nosso checkout. O aviso de privacidade da Stripe encontra-se em https://stripe.com/privacy. Recebemos os registos necessários para administrar subscrições e verificar pagamentos: identificadores de cliente, subscrição, fatura e reembolso; montantes e moedas de pagamento/reembolso; datas e estado; detalhes de faturação e registos de fatura. Associamos estes registos à sua conta To Brief. Base jurídica: execução de um contrato e obrigação legal para faturação e contabilidade. A utilização publicitária opcional de um pagamento verificado segue as regras separadas na secção §2.7.

2.4 Dados de reclamações e relatórios

Quando utiliza /report ou envia uma reclamação por email, armazenamos: o seu email, o texto da reclamação, anexos que forneça, um hash com salt do seu endereço IP (não o IP bruto), o número de ticket que atribuímos e o resultado da investigação. Base jurídica: interesse legítimo (operar um serviço de notícias responsável e defender reivindicações legais) e obrigação legal (Artigo 20.º do EMFA, Artigo 16.º do DSA).

2.5 Dados de dispositivo e browser

Os nossos servidores recebem metadados de pedidos HTTP padrão — user-agent, Accept-Language, referenciador, IP truncado — que são retidos nos registos de acesso. Base jurídica: interesse legítimo (segurança, prevenção de fraude, diagnósticos).

2.6 Categorias sensíveis

Não recolhemos intencionalmente categorias especiais de dados pessoais (Artigo 9.º do RGPD), tais como dados sobre saúde, religião, opiniões políticas ou orientação sexual. Por favor, não submeta tais dados através de campos de texto livre.

2.7 Medição da aplicação móvel

Utilizamos a AppsFlyer para compreender que campanhas trazem instalações da aplicação e subscritores pagantes, e para melhorar a publicidade da To Brief na Meta (Facebook/Instagram), X e Reddit. Esta medição publicitária é opcional e baseada no consentimento. O acesso à conta, a administração da subscrição e os registos de segurança necessários para respeitar as suas escolhas permanecem funções de serviço separadas.

Apenas novos utilizadores nesta versão. A medição opcional através do AppsFlyer só começa depois de verificarmos uma nova conta e uma primeira instalação realizada após o início da implementação, e de dar a sua autorização. São excluídas as contas existentes, as atualizações, as reinstalações e as instalações de origem incerta. Verificamos os requisitos antes de pedir autorização de rastreio ou carregar o AppsFlyer. As escolhas de medição dos leitores existentes não mudam.

Quando a medição da aplicação está ativada e permitida, a AppsFlyer recebe o seu identificador de instalação, um identificador de publicidade disponível, lançamentos da aplicação e informações técnicas da aplicação/dispositivo utilizadas para atribuição, análise e prevenção de fraude. Isto pode incluir versões do sistema operativo e da aplicação, idioma, diagnósticos de lançamento e informações de rede. Os seus servidores recebem o endereço IP da ligação e podem derivar a geografia aproximada. Não solicitamos localização precisa ou acesso a GPS para esta medição. O nosso backend mantém a associação de instalação, estado da permissão e revisões, informações da aplicação/plataforma, hora de instalação nativa e uma observação de campanha limitada quando disponível.

Após um primeiro início de sessão elegível na conta, associamos a instalação a essa conta utilizando um identificador de cliente aleatório separado. Registamos o registo, uma utilização inicial qualificativa da aplicação, o início do checkout e eventos de subscrição verificados. Se pagar no nosso website utilizando a mesma conta To Brief, podemos associar esse pagamento a uma instalação elegível da aplicação. Os eventos permitidos enviados através da AppsFlyer podem incluir registo e pagamentos de subscrição, renovações ou reembolsos, com um identificador de evento, montante, moeda e hora. Cada parceiro recebe os eventos configurados para a sua integração; nem todos os eventos são enviados para todos os parceiros. Com a mesma autorização na aplicação, o nosso servidor também envia diretamente à OpenAI até três eventos, para podermos medir e melhorar os anúncios do To Brief no ChatGPT: o registo, o primeiro pagamento verificado da subscrição e uma nova instalação da aplicação. São enviados apenas para novas instalações elegíveis e apenas para eventos posteriores à sua autorização, nunca para instalações existentes, atualizações da aplicação ou reinstalações. Cada evento inclui o seu endereço de email em formato hash, um identificador aleatório de cliente em formato hash, a referência do clique num anúncio no ChatGPT, se tiver sido guardada quando criou a conta, a hora e, no caso de uma subscrição, o montante e a moeda. As renovações e os reembolsos não são enviados à OpenAI.

Não incluímos o seu email, nome, número de telefone, texto de comentários, títulos de artigos, tópicos de leitura, consultas de pesquisa, interesses políticos, detalhes de cartão ou documentos de fatura nestas cargas úteis de eventos publicitários. A partilha com parceiros pode incluir novos utilizadores elegíveis provenientes de fontes orgânicas e outras fontes de campanha, não apenas utilizadores atribuídos a esse parceiro. A única exceção são os eventos enviados à OpenAI descritos no §2.2 e nesta secção, que incluem o seu endereço de email apenas em formato hash, nunca em texto simples.

A sua escolha. No iOS, o aviso padrão de Transparência de Rastreio de Aplicações (ATT) da Apple é o único aviso de permissão de rastreio. Pode alterá-lo mais tarde nas Definições do iPhone. No Android, utilize a escolha de medição da aplicação e a sua entrada nas Definições. Pode utilizar a aplicação após recusar. Uma escolha de cookies do website não pode substituir uma recusa de rastreio da aplicação. A aplicação verifica novamente a escolha da plataforma quando regressa ao primeiro plano; o nosso backend verifica a permissão registada atual e a associação da conta antes de enviar eventos em fila. A retirada interrompe o SDK no dispositivo e atualiza o nosso backend; se o dispositivo estiver offline, essa atualização do servidor é tentada novamente quando a conectividade regressar.

O mecanismo de atribuição agregada separado da Apple pode permanecer ativo após a recusa do ATT. Reporta valores de conversão limitados sem os nossos identificadores de conta ou da AppsFlyer. A retirada interrompe a medição de publicidade pessoal futura; não é uma eliminação automática de dados já recebidos por um fornecedor. A eliminação da conta inicia o processo de apagamento aplicável, remove observações de campanha locais e corta ligações publicitárias de registos de faturação retidos. Os registos detidos pelo fornecedor são tratados através do processo de apagamento em vez de se assumir que são eliminados imediatamente. Também pode solicitar o apagamento através de [email protected]. As distinções de retenção na secção §4 aplicam-se.

3. Por que utilizamos os seus dados

Finalidade	Categorias de dados	Base jurídica
Proporcionar a experiência de leitura	Conta, dispositivo	Contrato, interesse legítimo
Faturação, prevenção de fraude, conformidade fiscal	Pagamento, conta	Contrato, obrigação legal
Medir o envolvimento e melhorar o produto	Medição	Consentimento
Análise de UX através da Contentsquare/Hotjar	Medição	Consentimento
Medição de conversão através do pixel do X	Medição	Consentimento
Medição de conversão através do pixel da Meta	Medição	Consentimento
Medição de conversões dos anúncios OpenAI (a partir do servidor)	Medição	Consentimento
Medição opcional de aquisição e subscrição da aplicação	Instalação, permissão, eventos de conta e pagamento	Consentimento
Tratamento de reclamações e correções	Reclamações, conta	Interesse legítimo, obrigação legal
Segurança, deteção de abuso, resposta a incidentes	Dispositivo, conta	Interesse legítimo
Cumprimento de pedidos legais	Todas as categorias, conforme relevante	Obrigação legal

Não utilizamos dados pessoais para decisões automatizadas que produzam efeitos jurídicos ou significativamente semelhantes sobre si (Artigo 22.º do RGPD).

4. Durante quanto tempo conservamos os seus dados

• Observações de campanha da aplicação local: expiram 89 dias após a data anterior entre o primeiro registo de instalação no backend ou a receção da observação de campanha, e são eliminadas mais cedo em caso de retirada ou eliminação da conta. Chamadas de retorno de campanha repetidas não prolongam o período.
• Ligações diretas de evento para instalação: excluídas dos relatórios de medição após 89 dias do evento e removidas por limpeza agendada. Reivindicações de conversão de browser antigas também são removidas após 89 dias. Identidades financeiras, montantes e os registos de eventos mínimos necessários para evitar registos de pagamento/conversão duplicados são separados destas ligações publicitárias.
• Registos de permissão e apagamento: os registos de instalação necessários para aplicar escolhas, evitar a reatribuição de contas e cumprir pedidos de apagamento são mantidos separadamente das observações de campanha. Um identificador de fornecedor necessário para um pedido de apagamento pendente permanece até que a conclusão seja confirmada. Um registo de supressão restrito é retido para evitar que essa identidade retirada seja reutilizada para publicidade. Estes registos não são anónimos e não são utilizados como dados de audiência de campanha. A retenção do lado do fornecedor e um pedido de apagamento individual são separados da nossa expiração de campanha local.
• Dados da conta: enquanto a conta estiver ativa e até dois (2) anos após o encerramento, para tratar de disputas pós-encerramento e estornos.
• Dados de análise: catorze (14) meses para o GA4; os cookies de medição da Contentsquare/Hotjar são retidos de acordo com a sua finalidade e geralmente até treze (13) meses para cookies de análise de UX ao nível do visitante.
• Dados de pagamento / faturação: sete (7) anos, para cumprir as obrigações de arquivo fiscal gregas (Κ.Φ.Α.Σ. / Lei 4174/2013).
• Dados de reclamações: três (3) anos a partir da resposta final, alinhados com o estatuto de cinco anos para reivindicações contratuais, mas reduzidos sempre que possível.
• Registos de acesso: noventa (90) dias.
• Cópias de segurança: cópias de segurança encriptadas são eliminadas no prazo de 35 dias.

Após estes períodos, eliminamos ou anonimizamos irreversivelmente os dados.

5. Com quem partilhamos dados

Partilhamos dados pessoais apenas com os destinatários e para as finalidades aqui listadas. Não vendemos dados pessoais a terceiros.

• Stripe (pagamentos, como responsável independente).
• Google Ireland Limited (GA4) — apenas se consentir a análise.
• Contentsquare/Hotjar — apenas se consentir a medição opcional de análise de UX.
• X — medição opcional de conversão no website e partilha permitida de eventos da aplicação através da AppsFlyer.
• Meta (Facebook/Instagram) — medição opcional de conversão no website e partilha permitida de eventos da aplicação através da AppsFlyer.
• AppsFlyer — o nosso fornecedor de serviços de atribuição e medição móvel, incluindo a ligação permitida de conta para subscrição e o tratamento de apagamento descritos na secção §2.7.
• Reddit — partilha permitida de eventos da aplicação através da AppsFlyer para medir e melhorar as campanhas da To Brief.
• OpenAI (OpenAI Ireland Limited): medição opcional de conversões dos anúncios do To Brief no ChatGPT, enviada pelo nosso servidor conforme descrito nos §2.2 e §2.7.
• Fornecedores de alojamento e infraestrutura (por exemplo, Vercel, AWS, Cloudflare) agindo estritamente como processadores ao abrigo de contratos do Artigo 28.º.
• Consultores profissionais (advogados, contabilistas, auditores) quando legalmente necessário e sob confidencialidade.
• Autoridades competentes, quando somos obrigados por um pedido legal, específico e proporcional (ordem judicial, DPA, autoridade fiscal).

Uma lista atual e auditável de subprocessadores é mantida internamente e pode ser fornecida mediante pedido.

6. Transferências internacionais de dados

Alguns dos nossos processadores estão estabelecidos nos Estados Unidos ou operam globalmente. Quando os dados pessoais são transferidos para fora do EEE, baseamo-nos em:

• Cláusulas Contratuais-Tipo da Comissão Europeia (Decisão 2021/914), ou
• uma decisão de adequação (por exemplo, o Quadro de Proteção de Dados UE-EUA, para a Stripe, Google e outros importadores certificados), ou
• o seu consentimento explícito para transferências limitadas e direcionadas.

Medidas suplementares como encriptação em trânsito (TLS 1.2+), encriptação em repouso e controlos de acesso são aplicadas além do mecanismo de transferência legal.

7. Os seus direitos ao abrigo do RGPD

Tem os seguintes direitos ao abrigo dos Artigos 15.º-22.º do RGPD:

• Acesso — confirmação de que processamos os seus dados e uma cópia dos mesmos.
• Retificação — correção de dados inexatos ou incompletos.
• Apagamento ("direito a ser esquecido") — eliminação quando existirem fundamentos.
• Limitação — limitar a forma como processamos os seus dados pendente de verificação.
• Portabilidade — uma cópia legível por máquina dos dados que forneceu ao abrigo de contrato ou consentimento.
• Oposição — ao processamento baseado em interesses legítimos, incluindo definição de perfis.
• Retirar consentimento — a qualquer momento, sem afetar o processamento realizado antes da retirada.
• Reclamar junto de uma autoridade de controlo — especialmente a Autoridade Helénica de Proteção de Dados (ver secção §12).

Para exercer qualquer direito, envie um email para [email protected] a partir do endereço registado ou forneça outro meio razoável de verificação de identidade. Respondemos no prazo de um (1) mês, prorrogável uma vez por mais dois (2) meses para pedidos complexos; explicaremos qualquer prorrogação.

8. Cookies

Utilizamos cookies e tecnologias semelhantes. As categorias, finalidades e duração de cada cookie estão descritas na Política de Cookies. Pode configurar as suas preferências e retirar o consentimento a qualquer momento através de /cookie-preferences.

9. Crianças

O Serviço não se destina a crianças com menos de quinze (15) anos, a idade de consentimento digital na Grécia ao abrigo da Lei 4624/2019, Artigo 21.º. Não recolhemos intencionalmente dados de crianças mais novas. Se acredita que uma criança se registou, por favor contacte [email protected] e eliminaremos a conta.

10. Segurança

Aplicamos medidas técnicas e organizacionais comercialmente razoáveis — incluindo TLS, palavras-passe com hash (família Argon2), ambientes isolados, princípio de privilégio mínimo de acesso, registos, cópias de segurança e procedimentos de resposta a incidentes — mas nenhum sistema é perfeitamente seguro. No caso de uma violação de dados pessoais suscetível de resultar num risco para os seus direitos, notificaremos a DPA Helénica no prazo de 72 horas, conforme exigido pelo Artigo 33.º do RGPD e, quando o risco for elevado, notificá-lo-emos também diretamente.

11. Alterações a esta política

Publicaremos uma versão revista neste URL e, para alterações materiais, daremos aviso com pelo menos trinta (30) dias de antecedência através do Serviço ou por email. A data de "Última revisão" no topo reflete sempre a atualização mais recente. Versões históricas deste documento são preservadas no registo de alterações das páginas legais.

12. Contacto e autoridade de controlo

• Pedidos de proteção de dados: [email protected]
• Endereço postal: Troon 26, 118 51, Atenas, Ática, Grécia

Tem o direito de apresentar uma reclamação junto da Autoridade Helénica de Proteção de Dados (Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα):

• Website: https://www.dpa.gr
• Postal: Kifissias 1-3, 115 23 Atenas, Grécia

Os residentes da UE fora da Grécia também podem contactar a autoridade de controlo no seu Estado-Membro de residência habitual.