Política de Privacidade

1. Responsável pelo tratamento

A Floworks pode atuar, consoante a atividade, como responsável pelo tratamento (controller) ou como subcontratante (processor).

A Floworks é responsável pelo tratamento quando determina as finalidades e os meios do tratamento, nomeadamente para:

• Administração de contas e autenticação • Administração da subscrição • Faturação • Suporte ao cliente • Administração e operação da plataforma • Segurança da plataforma • Prevenção de utilização indevida, fraude ou abuso • Cumprimento de obrigações legais • Comunicações essenciais relativas ao serviço

Quando uma empresa cliente utiliza a Floworks para tratar dados pessoais relativos aos seus trabalhadores, colaboradores ou outras pessoas no contexto da sua atividade, a empresa cliente é, em regra, a responsável pelo tratamento desses dados e a Floworks atua como subcontratante.

Nesta situação, a Floworks trata os dados por conta da empresa cliente, segundo as instruções documentadas e para as finalidades definidas na relação contratual aplicável, incluindo o Acordo de Processamento de Dados (DPA) vigente. A versão vigente do DPA é a 1.1.0, com data de vigência de 27 de Agosto de 2026. Versões anteriores permanecem arquivadas.

A Floworks não é responsável pelo tratamento dos dados de trabalhadores da empresa cliente pelo mero facto de os alojar ou processar tecnicamente. A Floworks não reivindica a titularidade desses dados.

A Floworks não utiliza os dados internos da empresa cliente para finalidades próprias incompatíveis com a prestação do serviço contratado.

Esta política descreve as práticas da Floworks. Não constitui uma conclusão de que a Floworks está «em conformidade com o RGPD», nem uma certificação.

Contacto de privacidade: [email protected].

[email protected] · Acordo de Processamento de Dados (DPA) 1.1.0

2. Dados pessoais tratados

A Floworks trata apenas os dados pessoais necessários às finalidades para as quais a plataforma é utilizada. A empresa cliente deve introduzir apenas os dados necessários a essas finalidades.

Consoante as funcionalidades utilizadas, estes dados podem incluir:

• Dados de identificação e contacto, tais como nome e endereço de email profissional
• Dados profissionais, tais como função, departamento, equipa e empresa
• Horários de trabalho, turnos e informação de planeamento
• Informação de assiduidade, ausências, férias e banco de horas
• Tipos e motivos de ausência, incluindo texto livre
• Informação de formação profissional, quando registada na plataforma
• Documentos e ficheiros carregados por utilizadores ou empresas clientes, incluindo anexos de ausências
• Dados necessários à gestão administrativa e contabilística
• Dados de faturação e identificação fiscal da empresa
• Dados de autenticação e de controlo de acessos
• Endereço IP, informação do dispositivo, registos de atividade e outra informação técnica necessária à segurança
• Comunicações com o suporte da Floworks
• Outra informação legitimamente introduzida na plataforma pela empresa cliente ou pelos seus utilizadores autorizados

A Floworks observa o princípio da minimização dos dados e procura tratar apenas dados adequados, pertinentes e limitados ao necessário para cada finalidade. A plataforma não impede, por si só, que um utilizador introduza informação desnecessária em campos de texto livre ou em ficheiros.

As empresas clientes não devem carregar dados pessoais desnecessários, em especial dados de categorias especiais, em campos de texto livre, documentos ou anexos.

3. Categorias especiais de dados pessoais

A Floworks é uma plataforma SaaS de gestão operacional e de pessoas. Não é um sistema de processo clínico nem um arquivo médico.

Determinada informação tratada através de funcionalidades de gestão operacional de força de trabalho pode, no entanto, constituir categorias especiais de dados pessoais nos termos do artigo 9.º do RGPD, ou dados adjacentes a essas categorias, em especial informação relativa à saúde.

Convém distinguir:

Dados profissionais ordinários, tais como nome, email profissional, função, departamento, horários, turnos, assiduidade, férias, ausências de natureza administrativa, formação e outra informação laboral administrativa.

De categorias especiais, tais como informação de saúde ou médica e outras categorias do artigo 9.º, quando aplicável.

Na configuração atual, a plataforma permite, por exemplo, registar ausências com o tipo «Consulta Médica», anexar ficheiros a ausências e carregar documentos que a empresa cliente classifique como certificados ou atestados. Estes fluxos destinam-se a gestão administrativa (por exemplo, justificação de ausência) e não a tratamento clínico. A existência destes campos não torna os dados não sensíveis, nem constitui uma base legal do artigo 9.º.

A plataforma não introduz uma função técnica dedicada «health_data» nem uma matriz de permissões específica para dados de saúde.

As empresas clientes não devem utilizar a Floworks para carregar diagnósticos, relatórios clínicos, medicação, processos clínicos ou outros pormenores médicos desnecessários à finalidade administrativa. As empresas clientes devem minimizar a introdução desnecessária de categorias especiais.

A empresa cliente, na qualidade de responsável pelo tratamento, é responsável por determinar e documentar a base legal adequada e, quando aplicável, a condição do artigo 9.º do RGPD. A Floworks não seleciona essa condição em nome da empresa cliente e não recusa, por configuração do produto, todo o dado de saúde que o cliente introduza nestes fluxos administrativos.

4. Dados de trabalhadores e colaboradores

Quando a Floworks é utilizada por uma empresa para gerir informação relativa aos seus trabalhadores ou colaboradores, esses dados são tratados por conta da empresa cliente.

A empresa cliente é responsável por determinar:

• Quais os dados pessoais introduzidos na plataforma
• As finalidades para as quais esses dados são tratados
• Quais os utilizadores que podem aceder aos dados
• Os prazos de conservação aplicáveis
• A base legal aplicável ao tratamento, incluindo, quando for o caso, a condição do artigo 9.º do RGPD

A Floworks disponibiliza mecanismos técnicos de controlo de acessos e de segregação de dados, de modo a que os utilizadores de uma empresa não possam aceder a dados pertencentes a outra empresa.

As funções técnicas atualmente implementadas na plataforma são:

• Proprietário da plataforma (owner) — função da Floworks, não uma permissão de inquilino da empresa cliente • Administrador (admin) • Gestor (gestor) • Secretariado (secretariado) • Colaborador (employee) • Academy (academy) — contas de formação ou demonstração da plataforma, distintas das contas de força de trabalho da empresa cliente

Estas são funções técnicas de produto. Não constituem uma matriz de permissões de Recursos Humanos ou de Contabilidade. A empresa cliente pode organizar internamente funções de negócio (por exemplo, RH ou contabilidade) através das funções técnicas acima; a Floworks não disponibiliza funções técnicas dedicadas «RH», «Recursos Humanos», «Contabilidade» ou «health_data».

No âmbito da empresa cliente, o acesso aos dados de trabalhadores depende das permissões configuradas (em especial administrador, gestor, secretariado e colaborador) e deve ser limitado à função atribuída. Esta política não estabelece uma matriz fixa de permissões para cada ecrã.

O proprietário da plataforma não é um administrador silencioso do inquilino. O acesso de suporte a dados de força de trabalho ou dados adjacentes ao inquilino segue o modelo de acesso justificado descrito na secção de segurança.

5. Finalidades do tratamento

Os dados pessoais podem ser tratados para as seguintes finalidades, consoante o papel da Floworks (responsável pelo tratamento ou subcontratante) e as funcionalidades utilizadas:

• Prestação e operação da plataforma Floworks
• Criação e gestão de contas de utilizador
• Autenticação e controlo de acessos
• Gestão operacional de equipas e colaboradores
• Gestão de horários, turnos e planeamento de pessoal
• Gestão de assiduidade, férias, ausências e banco de horas
• Gestão documental
• Gestão de formação profissional, quando utilizada
• Gestão administrativa de ausências e documentos com possível relevância para saúde ocupacional, quando a empresa cliente os introduza
• Gestão administrativa e contabilística
• Faturação e cumprimento de obrigações fiscais da Floworks ou da empresa cliente, consoante o caso
• Suporte técnico
• Segurança da plataforma
• Prevenção de utilização indevida, fraude ou atividade não autorizada
• Manutenção e funcionamento técnico da plataforma
• Cumprimento de obrigações legais
• Comunicações essenciais relativas ao serviço

A Floworks não vende dados pessoais pertencentes a utilizadores ou a trabalhadores das empresas clientes. Relativamente aos dados de força de trabalho tratados como subcontratante, a Floworks não invoca uma finalidade autónoma e irrestrita de «melhoria da plataforma». A Floworks não trata dados de clientes para treino de modelos de inteligência artificial próprios.

6. Bases legais

Quando a Floworks atua como responsável pelo tratamento, pode assentar, consoante a atividade, numa ou mais das bases legais previstas no artigo 6.º do RGPD, incluindo:

• Execução de um contrato, quando o tratamento for necessário para prestar os serviços contratados
• Cumprimento de uma obrigação legal
• Interesses legítimos, quando necessário à segurança, operação e proteção dos serviços e quando esses interesses não prevaleçam sobre os direitos e liberdades do titular
• Consentimento, apenas quando legalmente exigido para uma atividade de tratamento específica

Quando a Floworks atua como subcontratante de uma empresa cliente, cabe à empresa cliente, na qualidade de responsável pelo tratamento, determinar a base legal adequada — e, quando aplicável, a condição do artigo 9.º — para o tratamento dos dados dos seus trabalhadores e colaboradores. Esta política não inventa as bases legais do tratamento laboral da empresa cliente.

A Floworks não utiliza o consentimento como base legal por defeito para atividades de tratamento que são da responsabilidade da empresa cliente.

7. RGPD e proteção de dados

A Floworks trata dados pessoais de acordo com o Regulamento (UE) 2016/679 (RGPD) e demais legislação de proteção de dados aplicável. Esta política descreve as práticas da Floworks; não constitui uma certificação de conformidade nem substitui o DPA 1.6.0.

Quando atua como subcontratante, a Floworks trata dados pessoais segundo as instruções documentadas do responsável pelo tratamento, no âmbito das finalidades acordadas e em conformidade com o contrato de serviço e o DPA aplicáveis.

A Floworks aplica medidas técnicas e organizativas adequadas, destinadas a reduzir o risco de acesso não autorizado, perda, destruição, alteração ou divulgação ilícita. Nenhuma medida garante a ausência absoluta de incidentes.

As empresas clientes e os utilizadores autorizados permanecem responsáveis por assegurar que os dados pessoais que introduzem na Floworks são tratados de forma lícita e adequada, no âmbito das suas próprias responsabilidades enquanto responsáveis pelo tratamento.

Acordo de Processamento de Dados (DPA) 1.1.0

8. Infraestrutura cloud e Firebase

A Floworks recorre a infraestrutura cloud e a serviços tecnológicos de terceiros necessários à prestação e operação da plataforma.

Na configuração atual da aplicação, a Floworks utiliza serviços Google Firebase / Google Cloud para:

• Autenticação (Firebase Authentication) • Base de dados (Cloud Firestore) • Notificações push (Firebase Cloud Messaging)

Quando as funcionalidades de inteligência artificial são utilizadas, a Floworks recorre também a serviços de inteligência artificial generativa da Google (Gemini, via Genkit), descritos na secção relativa a decisões automatizadas.

A Google atua, relativamente a estes serviços, como subcontratante ulterior (subprocessor) da Floworks, no âmbito da relação de proteção de dados aplicável. A documentação contratual da Google/Firebase pode distinguir o enquadramento de diferentes serviços; esta política não afirma que todos os serviços Firebase estão sujeitos aos mesmos termos.

Na configuração atual, o conteúdo visível das notificações push (incluindo no ecrã de bloqueio) é genérico. O conteúdo detalhado permanece no Centro de Notificações autenticado. Esta descrição aplica-se à configuração atual e não afirma que notificações históricas já entregues a dispositivos foram alteradas retroativamente.

As empresas clientes e os utilizadores devem evitar colocar informação desnecessariamente sensível em campos de texto livre que possam ser apresentados no Centro de Notificações ou noutros conteúdos da plataforma.

Os Termos de Tratamento e Segurança de Dados da Firebase e a lista de subprocessadores da Firebase são publicados pela Google.

Mais informações · Termos de Tratamento de Dados da Firebase · Subprocessadores da Firebase

9. Conservação dos dados

Não existe um prazo único e uniforme para todos os dados. Esta política não promete eliminação automática, imediata ou completa de todos os dados, nem a eliminação de todas as cópias de segurança, registos ou cópias de subprocessadores.

Quando a Floworks atua como responsável pelo tratamento (por exemplo, contas, faturação, segurança da plataforma e suporte da plataforma), a conservação está ligada à finalidade correspondente e às obrigações legais aplicáveis.

Relativamente às categorias de dados:

• Os dados de força de trabalho tratados como subcontratante são conservados segundo as instruções e a configuração da empresa cliente, durante a prestação do serviço
• Os dados de contas, faturação e relação comercial tratados pela Floworks como responsável seguem as finalidades e obrigações legais correspondentes
• Os registos de segurança, de auditoria e de acesso justificado (incluindo owner_access_logs) podem ser conservados pelo tempo necessário à segurança, à prevenção de abuso e à defesa de direitos
• As notificações e as cópias de segurança podem persistir pelos prazos técnicos da infraestrutura e dos subprocessadores
• A conservação legalmente exigida prevalece sobre pedidos de eliminação incompatíveis

Os prazos concretos de cada categoria não estão especificados nesta política, salvo quando resultem de instruções da empresa cliente ou de obrigação legal aplicável. Após a cessação do serviço, a devolução ou eliminação rege-se pelo contrato e pelo DPA 1.6.0, incluindo exportação a pedido, eliminação operacional nos sistemas de produção e a possível subsistência de cópias de segurança, registos e retenções legais. Não existe, na configuração atual, um fluxo automatizado de eliminação imediata e completa de todos os armazéns de dados.

10. Direitos dos titulares dos dados

Nos termos do RGPD, e quando aplicável à situação concreta, o titular dos dados pode exercer os seguintes direitos:

• Direito de acesso
• Direito de retificação
• Direito ao apagamento (“direito a ser esquecido”)
• Direito à limitação do tratamento
• Direito à portabilidade dos dados
• Direito de oposição
• Direito de retirar o consentimento, quando o tratamento se baseie no consentimento
• Direitos relativos a decisões exclusivamente automatizadas e à definição de perfis, nos termos do artigo 22.º do RGPD, quando aplicável

Estes direitos estão sujeitos às condições, requisitos e limitações previstos na lei. Nem todos os direitos se aplicam em todas as situações.

11. Como exercer os direitos

O modo de exercício dos direitos depende de quem atua como responsável pelo tratamento.

Quando os dados são tratados pela Floworks na qualidade de responsável pelo tratamento, os pedidos podem ser enviados para [email protected].

Quando se trate de dados de trabalhadores ou colaboradores tratados pela Floworks por conta de uma empresa cliente:

• A empresa cliente é, em regra, a responsável pelo tratamento e deve ser contactada em primeiro lugar
• A Floworks presta à empresa cliente a assistência prevista no DPA 1.6.0 e no RGPD, por um processo operacional; esta política não promete um portal de autoatendimento para pedidos de titulares

A Floworks não elimina, altera nem divulga, por iniciativa própria, dados de trabalhadores da empresa cliente quando tal conflituar com as instruções do responsável pelo tratamento ou com obrigações legais.

A Floworks pode solicitar informação razoável para verificar a identidade do requerente e o âmbito do pedido.

[email protected]

12. Segurança dos dados

A Floworks aplica medidas técnicas e organizativas adequadas ao risco. Na configuração atual da plataforma, e a um nível de descrição adequado a um documento público, estas medidas incluem:

• Autenticação e controlo de acessos
• Permissões baseadas em funções (RBAC) no âmbito do inquilino da empresa cliente
• Segregação dos dados entre empresas clientes
• Comunicações protegidas (HTTPS/TLS)
• Proteção de credenciais e de cookies de sessão
• Registos de auditoria em áreas da plataforma e registos de acesso justificado do proprietário da plataforma (owner_access_logs)
• Mecanismos de cópia de segurança e de recuperação no âmbito da infraestrutura e das funcionalidades disponíveis
• Atribuição de acesso segundo a função configurada pela empresa cliente
• Entrega autenticada de novos documentos de colaboradores e anexos de ausências
• Acesso a esses ficheiros através de APIs controladas pela Floworks, no mesmo origem da aplicação, com autenticação, inquilino, RBAC e associação do ativo ao registo
• Restrição de caminhos de ficheiros de colaboradores no Firebase Storage, na configuração atual das regras

Novos documentos de colaboradores e anexos de ausências utilizam entrega autenticada na Cloudinary. O acesso no browser efetua-se através das APIs da Floworks:

• /api/files/absences/[id] • /api/files/documents/[id] • /api/files/documents/[id]/review/[index]

Os endereços assinados da Cloudinary são gerados no servidor e não são devolvidos como URL de acesso do browser.

Esta política não afirma que todos os ficheiros de colaboradores foram sempre privados, nem que todos os objetos da Cloudinary estão autenticados. Podem existir objetos públicos legados até à conclusão do inventário e da migração. Esta política não indica o número desses objetos.

Fotografias de perfil, logótipos da empresa e imagens de inventário/produto permanecem, por conceção do produto, conteúdos de entrega pública. Distinguem-se dos documentos de colaboradores e dos anexos de ausências, que constituem uma categoria protegida.

O proprietário da plataforma não acede a dados de colaboradores da empresa cliente apenas por ser proprietário. Quando o suporte da plataforma exigir acesso a dados de força de trabalho ou dados adjacentes ao inquilino, o acesso justificado (break-glass) exige, na configuração atual, autenticação do proprietário, indicação explícita da empresa quando aplicável, um motivo, o âmbito quando aplicável, e registo de auditoria. Este acesso não constitui personificação, início de sessão como o cliente, nem uma função oculta de administrador do inquilino. Funções operacionais da consola do proprietário (por exemplo, operação de contas da plataforma ou faturação) não exigem, por si só, o mesmo fluxo justificado.

As medidas são revistas em função dos riscos e da evolução da plataforma. Esta política não garante a ausência de incidentes, nem descreve certificações de segurança ou controlos que não tenham sido verificados.

13. Violações de dados pessoais

A Floworks mantém procedimentos para identificar, avaliar, conter e responder a incidentes de segurança que envolvam dados pessoais.

Quando a Floworks atua como subcontratante:

• Notificará a empresa cliente relevante sem demora indevida após ter conhecimento de uma violação de dados pessoais, quando tal for exigido pelo RGPD e pelo DPA aplicável
• Prestará a informação e a assistência razoavelmente necessárias para que o responsável pelo tratamento possa cumprir as suas obrigações legais, incluindo a eventual notificação à autoridade de controlo

A empresa cliente, enquanto responsável pelo tratamento, permanece responsável pelas suas próprias obrigações de notificação. Um prazo contratual horário específico, se existir, consta do DPA e não desta política. O DPA 1.6.0 não estabelece um SLA horário de 72 horas para a Floworks enquanto subcontratante.

14. Subcontratantes ulteriores

A Floworks pode recorrer a prestadores de serviços terceiros — subcontratantes ulteriores (subprocessadores) — na medida em que tal seja necessário para prestar e operar a plataforma.

Esta Política de Privacidade identifica os prestadores atualmente confirmados na configuração da aplicação, em alinhamento com o DPA 1.6.0. Não substitui uma lista autónoma de subprocessadores nem o DPA. As categorias de dados transmitidas a cada prestador não são idênticas.

Prestadores atualmente confirmados:

• Google — Firebase Authentication (autenticação)
• Google — Cloud Firestore (base de dados)
• Google — Firebase Cloud Messaging (notificações push)
• Google — serviços de inteligência artificial generativa (Gemini, via Genkit), quando as funcionalidades de IA da plataforma são utilizadas
• Cloudinary — armazenamento e entrega de imagens e ficheiros
• Stripe — checkout, pagamentos e gestão de subscrições (tratamento predominantemente na qualidade de responsável da Floworks quanto à faturação)

O email transacional, quando configurado, é enviado através de SMTP. O prestador concreto depende da configuração aplicável e não está especificado nesta política.

O prestador de alojamento/implementação da aplicação não está especificado nesta política.

A entidade legal, o país, o centro de dados, o mecanismo de transferência, o prazo de conservação e o estado contratual de cada prestador não são inventados nesta política. Quando não verificados, devem ser confirmados na documentação oficial do prestador e no DPA 1.6.0.

A informação às empresas clientes sobre subprocessadores rege-se pelo DPA aplicável.

Subprocessadores da Firebase · Termos de Tratamento de Dados da Firebase · Política de Privacidade da Stripe · Política de Privacidade da Cloudinary · DPA Floworks 1.1.0

15. Transferências internacionais

Alguns fornecedores tecnológicos utilizados pela Floworks podem tratar dados fora do Espaço Económico Europeu (EEE). Esta política não afirma que todos os dados estão armazenados na União Europeia, nem que os dados são tratados apenas no EEE, nem que existe preferência verificada de tratamento no EEE, nem descreve uma transferência concreta da Floworks para um país determinado.

Esta política não afirma que estão em vigor cláusulas contratuais-tipo, decisões de adequação ou medidas suplementares relativamente a um prestador concreto.

Quando ocorra uma transferência internacional sujeita ao Capítulo V do RGPD, aplica-se o mecanismo adequado previsto na lei e documentado relativamente ao subprocessador em causa. Consoante o caso e a documentação oficial do fornecedor, esse mecanismo pode incluir:

• Decisões de adequação da Comissão Europeia
• Cláusulas Contratuais-Tipo (CCT / Standard Contractual Clauses)
• Outros mecanismos de transferência legalmente reconhecidos

O mecanismo concreto, a localização e a entidade legal de cada prestador devem ser verificados na documentação oficial vigente do fornecedor e no DPA 1.6.0. Não são determinados nesta política.

16. Dados de pagamento e faturação

Os dados de faturação e de subscrição tratados pela Floworks para gerir a relação comercial distinguem-se dos dados de trabalhadores tratados por conta da empresa cliente.

Quando a Floworks determina as finalidades e os meios deste tratamento (faturação e subscrição), atua como responsável pelo tratamento.

A Floworks pode tratar, quando fornecidos ou gerados na plataforma:

• Nome da empresa
• Número de identificação fiscal
• Morada de faturação
• Informação da subscrição e do plano
• Informação de faturas
• Identificadores de cliente e de subscrição junto do prestador de pagamentos
• Estado do pagamento e da subscrição

Na configuração atual, o checkout e o processamento de cartões são efetuados pela Stripe. A Floworks não armazena os dados completos de cartões de pagamento. A Floworks envia à Stripe, no mínimo, o email do cliente ou o identificador de cliente Stripe, metadados da empresa e do plano, e solicita a recolha de morada de faturação pela Stripe. Não foi verificado que todos os dados fiscais da empresa (por exemplo, o NIF) sejam sempre transmitidos à Stripe.

A Stripe trata informação de pagamento de acordo com a sua própria política de privacidade e com os termos de proteção de dados aplicáveis.

Política de Privacidade da Stripe

17. Cookies e tecnologias semelhantes

A Floworks utiliza cookies e tecnologias semelhantes necessários ao funcionamento e à segurança do serviço, incluindo a sessão autenticada e preferências de interface.

Na análise do código da aplicação:

• São utilizados cookies estritamente necessários à autenticação, à segurança da sessão e ao funcionamento da interface
• São utilizados armazenamento local ou de sessão do browser para preferências de interface e estado da aplicação, sem finalidade publicitária identificada
• Não foram identificados cookies ou SDK de análise de audiências, publicidade, pixels de seguimento ou ferramentas de consentimento para cookies opcionais

A Política de Cookies autónoma descreve os cookies estritamente necessários e a ausência de cookies analíticos de terceiros identificados. Ver /cookies.

Política de Cookies

18. Decisões automatizadas e inteligência artificial

A Floworks disponibiliza funcionalidades assistidas por inteligência artificial, quando incluídas no plano. Estas funcionalidades podem produzir análises, sínteses, pontuações, classificações ou recomendações operacionais.

Na configuração atual, estas funcionalidades recorrem à Gemini API da Google (via Genkit). O ranking numérico de substituições é calculado por motor determinístico; a IA de staffing pode reordenar candidatos já existentes e explicar.

No fluxo de staffing, o contexto enviado ao modelo pode incluir, consoante o caso, nomes de colaboradores, identificadores, pontuações e informação de ordenação ou recomendação. Esse fluxo não envia o tipo de ausência, o motivo de ausência nem os ficheiros de ausência.

Outras funcionalidades de IA podem tratar texto livre fornecido pelo utilizador (por exemplo, perguntas de suporte ou pedidos de análise operacional).

Não foi identificada uma funcionalidade dedicada de arquivo de prompts. Os resultados podem ser apresentados na interface e, consoante o caso, persistidos como outro conteúdo da plataforma. Este ponto requer verificação contínua.

A. A Floworks não treina modelos de inteligência artificial próprios com os dados dos clientes. B. Esta política não afirma que o fornecedor de IA não utiliza dados para treino, que os dados de IA nunca saem do EEE, que o tratamento ocorre numa região determinada, nem que os dados de IA nunca são conservados. O regime Paid vs Unpaid da Gemini API e o contrato concreto da Floworks com a Google são [REQUIRES CONTRACTUAL VERIFICATION]. C. O DPA e os Termos descrevem as proteções contratuais ao Cliente; não convertem os termos públicos da Google num compromisso da Floworks. D. A Floworks não publica uma garantia de ausência de treino pelo fornecedor Google.

Os resultados de IA são assistivos e destinam-se a revisão humana. A Floworks não toma decisões autónomas de contratação, despedimento ou outras decisões laborais. A empresa cliente permanece responsável pelas decisões de emprego e pela forma como utiliza as recomendações. A existência de revisão humana não elimina automaticamente as obrigações do artigo 22.º do RGPD, quando estas sejam aplicáveis ao tratamento da empresa cliente. O fluxo recomendação → explicação → revisão humana → decisão humana → registo não elimina automaticamente o artigo 22.º nem o Regulamento da IA.

A página de Transparência de IA resume as funcionalidades assistivas sem classificar o sistema no AI Act. Ver /ai-transparency.

Transparência de IA

19. Responsabilidade da empresa cliente

As empresas clientes, na qualidade de responsáveis pelo tratamento dos dados de força de trabalho que introduzem na plataforma, são responsáveis por:

• Determinar as finalidades lícitas e as bases legais do seu tratamento
• Estabelecer e documentar as condições do artigo 9.º, quando aplicável
• Prestar aos trabalhadores a informação e as comunicações exigidas
• Configurar utilizadores e permissões de forma adequada (incluindo administrador, gestor, secretariado e colaborador)
• Decidir quem pode ver informação de ausências e documentos de colaboradores
• Decidir como utiliza recomendações de inteligência artificial em decisões de emprego
• Assegurar que o conteúdo carregado é adequado e lícito, e minimizar categorias especiais desnecessárias
• Determinar os prazos de conservação aplicáveis aos seus tratamentos
• Responder aos pedidos dos titulares
• Realizar a sua própria avaliação de impacto (DPIA), quando exigida
• Cumprir as obrigações laborais, fiscais, contabilísticas e de proteção de dados que lhes incumbem

A Floworks fornece a plataforma técnica e trata esses dados como subcontratante, segundo o contrato e o DPA 1.6.0. A Floworks não substitui as responsabilidades legais da empresa cliente, incluindo as obrigações de direito do trabalho.

20. Contacto de proteção de dados

Contacto de privacidade: [email protected]. Suporte: o endereço de suporte publicado. Contacto geral: /contact (mailto).

Não está designado um Encarregado de Proteção de Dados (DPO / EPD) neste documento. A designação só ocorrerá se e quando os requisitos legais de nomeação estiverem preenchidos e for tomada essa decisão — [DESIGNAÇÃO DE DPO — NÃO EFETUADA].

Autoridade de controlo: Comissão Nacional de Proteção de Dados (CNPD).

[email protected] · CNPD

Quadro responsável / subcontratante

A Floworks é responsável quando determina finalidades e meios (conta, faturação, segurança da plataforma, suporte à plataforma). É subcontratante quando o Cliente trata dados de força de trabalho na aplicação. Não se acrescentam tratamentos que o produto não realiza (candidaturas a emprego, RH interno Floworks, lista de marketing por email, formulário de contacto com POST, cookies analíticos de terceiros).

• Tratamento: Registo de conta | Papel Floworks: Responsável | Finalidade: Criar e administrar a conta da empresa cliente | Base legal: Execução de medidas pré-contratuais / contrato (art. 6.º, n.º 1, al. b)) | Categorias: Nome, email, dados da empresa introduzidos no registo | Titulares: Pessoa que cria a conta | Conservação: [PERÍODO DE RETENÇÃO — A CONFIRMAR] | Destinatários: Firebase Auth/Firestore
• Tratamento: Autenticação e sessão | Papel Floworks: Responsável | Finalidade: Acesso seguro ao serviço | Base legal: Contrato (b)) e interesse legítimo de segurança (f)), conforme a Política vigente | Categorias: Credenciais/identificadores Auth, cookies de sessão estritamente necessários | Titulares: Utilizadores da conta | Conservação: [PERÍODO DE RETENÇÃO — A CONFIRMAR] | Destinatários: Firebase Authentication
• Tratamento: Faturação e subscrição | Papel Floworks: Responsável (Floworks); Stripe misto quanto a métodos de pagamento | Finalidade: Cobrar o serviço | Base legal: Contrato (b)); obrigações legais fiscais (c)) | Categorias: Email ou Stripe customer id, metadados de plano, morada de faturação quando recolhida pela Stripe; sem armazenamento de PAN completo na Floworks | Titulares: Contactos de faturação | Conservação: [PERÍODO DE RETENÇÃO — A CONFIRMAR] | Destinatários: Stripe
• Tratamento: Segurança da plataforma e prevenção de abuso | Papel Floworks: Responsável | Finalidade: Proteger o serviço e outros clientes | Base legal: Interesse legítimo / obrigação legal, conforme Política vigente | Categorias: Logs técnicos, owner_access_logs, lockouts de login | Titulares: Utilizadores; owner | Conservação: [PERÍODO DE RETENÇÃO — A CONFIRMAR] (location_audit 365d implementado) | Destinatários: Infraestrutura / Google Firestore
• Tratamento: Suporte (widget, Ourico, email support@) | Papel Floworks: Responsável quanto ao ticket/plataforma; subcontratante se o Cliente colar dados de trabalhadores | Finalidade: Prestar suporte | Base legal: Contrato / interesse legítimo; instruções do Cliente se forem dados de força de trabalho | Categorias: Texto livre, displayName opcional, beta_feedback | Titulares: Utilizadores; eventualmente trabalhadores se colados no texto | Conservação: [PERÍODO DE RETENÇÃO — A CONFIRMAR] | Destinatários: Gemini quando a IA de suporte é usada; Firestore
• Tratamento: Customer Data / dados de força de trabalho | Papel Floworks: Subcontratante | Finalidade: Prestar as funcionalidades configuradas pelo Cliente | Base legal: Instruções do Cliente + DPA (o Cliente determina a base legal perante os titulares) | Categorias: Assiduidade, ausências, documentos, escalas, staffing, etc. | Titulares: Trabalhadores e utilizadores do Cliente | Conservação: Instruções do Cliente + [PRAZO DE OFFBOARDING DE PRODUÇÃO — A CONFIRMAR] | Destinatários: Firestore, Cloudinary, FCM, Gemini (staffing), SMTP se configurado
• Tratamento: IA (staffing/executive/inventory/Raven/suporte) | Papel Floworks: Subcontratante (força de trabalho); responsável (suporte de plataforma na medida em que determine meios) | Finalidade: Recomendações assistivas | Base legal: Instruções / contrato; ver DPA e declaração A/B/C/D de treino | Categorias: Conforme inventário de IA (staffing: nomes/IDs/scores; não tipo/motivo/ficheiros de ausência) | Titulares: Conforme o fluxo | Conservação: Metadados de auditoria; prompts não arquivados de forma identificada | Destinatários: Google Gemini API
• Tratamento: Visitantes do sítio / funil beta first-party | Papel Floworks: Responsável | Finalidade: Compreender o funil de marketing próprio (BetaFunnelTracker: landing_visit, etc.) | Base legal: Interesse legítimo (f)) — [A CONFIRMAR JURIDICAMENTE] / ou necessidade do sítio | Categorias: Eventos first-party descritos no código; sem SDK de audiências de terceiros identificado | Titulares: Visitantes | Conservação: [PERÍODO DE RETENÇÃO — A CONFIRMAR] | Destinatários: Aplicação Floworks (não GA/PostHog)
• Tratamento: Contacto (mailto) | Papel Floworks: Responsável | Finalidade: Responder a pedidos enviados por email | Base legal: Medidas pré-contratuais / interesse legítimo | Categorias: O que o remetente incluir no email | Titulares: Remetentes | Conservação: [PERÍODO DE RETENÇÃO — A CONFIRMAR] | Destinatários: Caixa de correio Floworks / SMTP
• Tratamento: Demos / Academy | Papel Floworks: Responsável (conta demo); dados de demo não são Customer Data de produção do Cliente | Finalidade: Demonstração | Base legal: Contrato / medidas pré-contratuais | Categorias: Dados de conta academy / pedidos academy_access_requests e demo_requests | Titulares: Utilizadores academy | Conservação: [PERÍODO DE RETENÇÃO — A CONFIRMAR] | Destinatários: Firestore
• Tratamento: Novidades in-app (changelog / «newsletter» interna) | Papel Floworks: Responsável | Finalidade: Informar utilizadores autenticados sobre versões | Base legal: Contrato / interesse legítimo de comunicar o produto | Categorias: Estado de leitura / conteúdo editorial first-party | Titulares: Utilizadores autenticados | Conservação: [PERÍODO DE RETENÇÃO — A CONFIRMAR] | Destinatários: Firestore
• Tratamento: Email opcional de novidades de produto (emailNewsOptIn) | Papel Floworks: Responsável | Finalidade: Enviar emails de releases da plataforma à categoria «platform», só se o utilizador autenticado optar | Base legal: Consentimento (opt-in; default false no código). Não é lista pública de marketing nem campanha a visitantes | Categorias: Email da conta; título/mensagem da notificação de plataforma | Titulares: Utilizadores autenticados que activem a preferência | Conservação: [PERÍODO DE RETENÇÃO — A CONFIRMAR] | Destinatários: SMTP se configurado (candidato); senão o envio é skipped (email_provider_not_configured)
• Tratamento: Cookies estritamente necessários | Papel Floworks: Responsável | Finalidade: Sessão e preferências de interface | Base legal: Necessários ao serviço (não é cookie analítico de terceiros) | Categorias: Sessão autenticada; preferências UI (p. ex. sidebar) | Titulares: Utilizadores / visitantes na medida da sessão | Conservação: Duração da sessão / conforme o cookie | Destinatários: Nenhum SDK de tracking identificado

Não aplicável neste produto (não descritos como tratamentos realizados): candidaturas a emprego (ATS); RH de trabalhadores da Floworks; contratantes como módulo; lista de marketing por email a visitantes / campanha pública; formulário de contacto com POST; cookies analíticos/publicitários de terceiros (GA, Meta Pixel, PostHog, Mixpanel, Sentry não identificados em src). O opt-in emailNewsOptIn (default false) é distinto de uma newsletter pública. Um Aviso de Privacidade de Colaboradores da Floworks, se a Floworks tiver trabalhadores, é documento laboral interno distinto — [A CONFIRMAR SE EXISTIR RELAÇÃO LABORAL].

Aviso de privacidade do sítio web

Aplica-se a visitantes de páginas públicas (landing, /privacy, /contact, /pricing, /precos). O tratamento na aplicação autenticada rege-se pela Política de Privacidade e pelo DPA.

• Responsável: Floworks — contacto [email protected]
• Dados: comunicações mailto; eventos first-party de funil se o código os emitir; cookies estritamente necessários se a visita autenticar ou guardar UI
• Não utilizamos cookies analíticos ou de publicidade de terceiros identificados
• Sem formulário de contacto com armazenamento na aplicação

21. Alterações à Política de Privacidade

A Floworks pode atualizar esta Política de Privacidade quando tal for necessário para refletir:

• Alterações à plataforma
• Alterações às atividades de tratamento
• Alterações a requisitos legais ou regulamentares
• Alterações a prestadores de serviços ou à infraestrutura

A versão 1.9.0 cita o DPA 1.6.0. Não designa DPO nem acrescenta tratamentos que o produto não realiza. Esta política rege o tratamento em que a Floworks atua como responsável e não prevalece sobre o DPA nem sobre os Termos.