Direitos CCPA

Akixa - Inh. Gerhard Scheffler Einzelunternehmen Kolonnenstr. 8 10827 Berlin Alemanha

E-mail: hello@atumka.com Website: https://www.atumka.com

A seguinte visão geral resume os tipos de dados tratados e as finalidades do seu tratamento.

Tipos de Dados Tratados

• Dados de identificação (p. ex., nomes)
• Dados de contacto (p. ex., endereços de e-mail)
• Dados de conteúdo (p. ex., entradas em formulários online)
• Dados de utilização (p. ex., páginas visitadas, interesse em conteúdos, horários de acesso)
• Metadados e dados de comunicação (p. ex., endereços IP, marcas temporais, números de identificação)
• Dados de nascimento (data, hora e local de nascimento para a criação de horóscopos)
• Conteúdo gerado por IA (textos de relatórios astrológicos criados com base nos seus dados de nascimento)

Categorias de Titulares dos Dados

• Clientes e potenciais clientes
• Utilizadores dos nossos serviços online

Finalidades do Tratamento

• Prestação de serviços contratuais (criação de relatórios astrológicos personalizados)
• Autenticação e gestão de contas
• Pedidos de contacto e comunicação
• Análise web e otimização dos nossos serviços
• Medidas de segurança
• Cumprimento de obrigações legais de conservação

As bases jurídicas para o tratamento dos seus dados decorrem do RGPD:

• Execução de contrato (Art. 6.º, n.º 1, al. b) do RGPD) — criação e entrega dos seus relatórios astrológicos, gestão de conta
• Interesses legítimos (Art. 6.º, n.º 1, al. f) do RGPD) — segurança e funcionamento do nosso website, prevenção de fraude
• Consentimento (Art. 6.º, n.º 1, al. a) do RGPD) — análise web, cookies não essenciais
• Obrigação legal (Art. 6.º, n.º 1, al. c) do RGPD) — conservação de dados de faturação conforme exigido pela legislação comercial e fiscal alemã

Implementamos medidas de segurança técnicas e organizacionais em conformidade com o Art. 32.º do RGPD para proteger os seus dados:

• Encriptação em trânsito: encriptação SSL/TLS para todas as transmissões de dados
• Encriptação em repouso: encriptação AES-256 para todos os dados armazenados (base de dados e armazenamento de ficheiros)
• Controlo de acesso: restrições de acesso baseadas em funções, registo estruturado de acessos
• Minimização de dados: eliminação automática de dados temporários através de mecanismos de expiração temporal (p. ex., sessões de checkout após 1 hora, dados de atividade após 90 dias)
• Eliminação de conta: período de carência de 30 dias após a eliminação da conta, seguido de remoção completa e irreversível de todos os sistemas
• Atualizações de segurança regulares: atualização contínua de todos os componentes do sistema

Para o início de sessão e gestão de conta utilizamos o AWS Cognito como nosso serviço de autenticação.

Início de Sessão sem Palavra-passe (E-mail OTP)

Cada vez que inicia sessão, é enviado um código de verificação único para o seu endereço de e-mail. Não são armazenadas nem transmitidas palavras-passe. O seu endereço de e-mail é tratado com base no Art. 6.º, n.º 1, al. b) do RGPD (execução de contrato).

Passkeys (WebAuthn)

Pode opcionalmente utilizar passkeys para iniciar sessão. Os dados biométricos (impressão digital, reconhecimento facial) permanecem exclusivamente no seu dispositivo. Apenas uma chave pública criptográfica é armazenada nos nossos servidores, a qual não permite quaisquer conclusões sobre os seus dados biométricos.

Dados Armazenados

• Endereço de e-mail (identidade de início de sessão)
• Chaves públicas das passkeys registadas
• Marcas temporais de início de sessão (registo de segurança)

Para os textos dos relatórios astrológicos, as respostas da nossa astróloga de IA, a Mira, e o resumo das suas conversas com a Mira, utilizamos modelos de linguagem de IA (Anthropic Claude) através do Amazon Bedrock, um serviço da Amazon Web Services (AWS). A AWS atua, neste contexto, como nosso subcontratante; o fornecedor do modelo, a Anthropic, não recebe quaisquer dados (ver "Local de Tratamento" abaixo).

Transparência ao abrigo do Regulamento da IA da UE

As nossas funcionalidades de IA estão sujeitas às obrigações de transparência do Regulamento (UE) 2024/1689 (Regulamento da IA, Art. 50.º). O conteúdo gerado por IA é identificado como tal, e será informado sempre que interagir com um sistema de IA e não com um ser humano.

Dados Tratados nos Relatórios

Para os relatórios, os modelos de IA recebem o primeiro nome da pessoa a quem o relatório se destina (nos relatórios para duas pessoas, os primeiros nomes de ambas), dados de cálculo astrológico das pessoas envolvidas (posições planetárias, sistemas de casas, aspetos e dados de trânsitos) e, nos relatórios de carreira, de progressões, de meia-idade, de trabalho de sombra, sobre crianças e de aniversário, a idade atual (nos relatórios sobre crianças, a idade da criança). Os relatórios de aniversário contêm, além disso, a data da revolução solar atual, que coincide com o dia de aniversário ou com um dia adjacente. A data, a hora e o local de nascimento e os endereços de e-mail não são transmitidos para os relatórios: a conversão dos dados de nascimento em posições astronómicas é realizada previamente pelo nosso próprio software de cálculo.

Chat de Texto com a Mira

Se escrever à Mira (quando disponível), o modelo de IA recebe, com cada mensagem:

• o seu primeiro nome, a sua data, hora e local de nascimento, os dados do mapa astral calculados a partir deles, bem como excertos do seu relatório mais recente;
• se falar sobre uma pessoa guardada (sinastria): o primeiro nome dessa pessoa, a relação que tem consigo, a respetiva data de nascimento e os respetivos signos solar e lunar;
• as suas mensagens recentes na conversa e um resumo de conversas anteriores que guardamos como memória da Mira. Também este resumo é criado com o Amazon Bedrock, a partir das suas conversas de texto e de voz.

O seu histórico de conversas e este resumo são armazenados como parte da sua conta na nossa base de dados (AWS, região UE eu-central-1, Frankfurt) até que elimine a sua conta; não existe qualquer eliminação automática antes disso.

Como pode mencionar no chat categorias especiais de dados pessoais (por exemplo, sobre a sua saúde, religião ou vida sexual, Art. 9.º, n.º 1, do RGPD), pedimos o seu consentimento explícito antes da sua primeira mensagem (Art. 9.º, n.º 2, al. a) do RGPD); sem ele, o chat de texto não pode ser utilizado. Não é obrigado a partilhar essas informações. Pode retirar o seu consentimento a qualquer momento, com efeitos para o futuro, em Definições → Privacidade; nesse caso, voltaremos a pedi-lo antes da sua próxima mensagem. Segundo a AWS, as suas mensagens não são utilizadas para treinar modelos.

Conversas por Voz (Mira)

Se utilizar a nossa funcionalidade de conversa por voz (quando disponível), o áudio do seu microfone é transmitido em tempo real à Google (Gemini Live API) para reconhecimento de voz e geração de respostas. No início de cada sessão, a Google recebe também as mesmas informações de perfil que no chat de texto (primeiro nome, dados de nascimento, dados do mapa astral, trânsitos atuais, excertos do relatório, resumo de conversas anteriores) como instruções para a conversa. Isto só acontece após o seu consentimento explícito (Art. 6.º, n.º 1, al. a) do RGPD), e pode terminar a sessão a qualquer momento. O áudio não é armazenado nos nossos servidores; as transcrições de texto da conversa são guardadas no seu histórico de conversas da Mira. De acordo com os respetivos termos, a Google regista as entradas e as saídas durante um período limitado (segundo a Google, 55 dias) para detetar e prevenir abusos e para as divulgações exigidas por lei, e não as utiliza para melhorar os respetivos produtos; os conteúdos assinalados podem ser revistos por colaboradores autorizados da Google. Estes dados podem ser armazenados temporariamente ou colocados em cache em qualquer país em que a Google mantenha instalações, incluindo os Estados Unidos. A transferência baseia-se no EU-U.S. Data Privacy Framework (Quadro de Privacidade de Dados UE-EUA), ao abrigo do qual a Google está certificada, e, de outro modo, nas cláusulas contratuais-tipo da Comissão Europeia (Data Processing Addendum da Google). O seu navegador liga-se diretamente à Google durante a sessão; a Google recebe assim o seu endereço IP e dados técnicos da ligação, que trata como responsável pelo tratamento autónomo, ao abrigo dos respetivos termos (Google Controller-Controller Data Protection Terms e Google Privacy Policy).

Ausência de Decisões Automatizadas

Os relatórios gerados servem exclusivamente para fins de informação e entretenimento. Não ocorre qualquer tomada de decisão automatizada na aceção do Art. 22.º do RGPD — os relatórios não têm efeito jurídico e não constituem decisões que o afetem.

Local de Tratamento

O AWS Bedrock trata os pedidos relativos aos relatórios, ao chat de texto com a Mira e aos resumos das conversas exclusivamente em centros de dados da AWS na União Europeia: invocamos o Bedrock a partir da região de Frankfurt (eu-central-1), e o Bedrock encaminha cada pedido para uma das regiões da UE Frankfurt, Estocolmo, Milão, Espanha, Irlanda ou Paris. Segundo a AWS, o fornecedor do modelo, a Anthropic, não tem acesso às suas entradas nem aos textos gerados. Para detetar abusos, a AWS pode armazenar as entradas e as saídas na região da UE em que o pedido foi tratado. Uma exceção: para a leitura gratuita, enviamos adicionalmente uma consulta de pesquisa à nossa base de conhecimento na AWS nos Estados Unidos (região us-east-1). Esta consulta contém apenas termos astrológicos gerais, sem qualquer identificador — signo solar, casa, até três aspetos do Sol e um tema fixo — e não inclui nome, dados de nascimento, endereço de e-mail nem identificador de utilizador; é aí tratada com o Amazon Titan Embeddings e o Amazon S3 Vectors. Esta transferência baseia-se no EU-U.S. Data Privacy Framework (Quadro de Privacidade de Dados UE-EUA), ao abrigo do qual a AWS está certificada, e, de outro modo, nas cláusulas contratuais-tipo adotadas pela Comissão Europeia em junho de 2021, que se aplicam ao abrigo do AWS GDPR Data Processing Addendum. Para além disso, não ocorre qualquer transferência para um país terceiro no âmbito do tratamento com o Bedrock. O tratamento é realizado com base no AWS GDPR Data Processing Addendum.

Base Jurídica

Art. 6.º, n.º 1, al. b) do RGPD (execução de contrato — o relatório e as respostas da Mira são os serviços contratualmente devidos). Para as conversas por voz, Art. 6.º, n.º 1, al. a) do RGPD (consentimento, ver acima). Para as categorias especiais de dados pessoais (Art. 9.º, n.º 1, do RGPD) que partilhe com a Mira no chat de texto ou numa conversa por voz, Art. 9.º, n.º 2, al. a) do RGPD (consentimento explícito, ver acima).

Google Analytics 4 (GA4) e Google Tag Manager (GTM)

Utilizamos o Google Analytics 4 e o Google Tag Manager fornecidos pela Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irlanda) para analisar a utilização do website.

Dados tratados: dados de utilização pseudonimizados (páginas visitadas, tempo de permanência, informações sobre o dispositivo). A anonimização de IP está ativada — o seu endereço IP completo não é armazenado.

Base jurídica: Art. 6.º, n.º 1, al. a) do RGPD (consentimento). A análise só é realizada com o seu consentimento explícito através do nosso banner de cookies.

Oposição e desativação: pode retirar o seu consentimento a qualquer momento através das definições de cookies. Adicionalmente, pode utilizar o plugin do navegador para desativar o Google Analytics em https://tools.google.com/dlpage/gaoptout.

Existe um acordo de tratamento de dados com a Google Ireland Ltd.

Meta Pixel e Conversions API (CAPI)

Utilizamos o Meta Pixel e a Meta Conversions API (CAPI), fornecidos pela Meta Platforms Ireland Limited (Merrion Road, Dublin 4, D04 X2K5, Irlanda), para medir a eficácia das nossas campanhas publicitárias e para criar públicos para anúncios.

Seguimento do lado do cliente (Meta Pixel): Quando o consentimento de marketing é concedido, o Meta Pixel é carregado. Recolhe dados de utilização pseudonimizados (visualizações de página, visualizações de produto, compras) e define os cookies _fbp (identificação do navegador, 90 dias) e _fbc (identificação de clique, 90 dias).

Seguimento do lado do servidor (Conversions API): Após uma compra, transmitimos adicionalmente os seguintes dados à Meta através de uma interface do lado do servidor: endereço de e-mail com hash (SHA-256), primeiro nome com hash (SHA-256), país com hash (SHA-256), valor e moeda da compra, além do identificador do produto. O processo de hash é realizado antes da transmissão — a Meta não recebe quaisquer dados em texto simples.

Base jurídica: Art. 6.º, n.º 1, al. a) do RGPD (consentimento). O seguimento só é realizado com o seu consentimento explícito através do nosso banner de cookies (categoria "Marketing").

Oposição e desativação: Pode retirar o seu consentimento a qualquer momento através das definições de cookies. Adicionalmente, pode limitar a utilização dos seus dados para fins publicitários nas suas definições do Facebook em "Preferências de Anúncios".

A política de privacidade da Meta está disponível em https://www.facebook.com/privacy/policy/.

Os seus dados pessoais só são transmitidos a terceiros nos casos descritos abaixo:

Processamento de Pagamentos — Dodo Payments

A Dodo Payments atua como Merchant of Record (comerciante no sentido jurídico) para o processamento de pagamentos. A Dodo Payments é um responsável pelo tratamento independente nos termos do Art. 4.º, n.º 7, do RGPD para o tratamento dos seus dados de pagamento (dados de cartão de crédito, endereço de faturação). Pode consultar a política de privacidade da Dodo Payments no respetivo website. Não armazenamos quaisquer dados de pagamento.

Alojamento — Vercel Inc.

O nosso website é alojado pela Vercel Inc., EUA. As nossas funções de servidor, que processam pedidos como o início de sessão, as compras, as encomendas de relatórios e a Mira, são executadas em Frankfurt am Main, Alemanha (região Vercel fra1). Cada pedido chega primeiro à rede global da Vercel, que fornece o conteúdo estático e as páginas em cache a partir da localização mais próxima de si; o código de encaminhamento pode também ser executado numa região da Vercel fora da UE antes de o pedido ser, se for caso disso, reencaminhado para Frankfurt. Nestas localizações são tratados dados como o seu endereço IP e os cabeçalhos do pedido. Segundo o Data Processing Addendum da Vercel, as principais instalações de tratamento da Vercel situam-se nos Estados Unidos, e a Vercel pode tratar dados em qualquer local onde a Vercel ou os seus subcontratantes ulteriores mantenham operações de tratamento de dados. As transferências para os Estados Unidos baseiam-se no EU-U.S. Data Privacy Framework (Quadro de Privacidade de Dados UE-EUA), ao abrigo do qual a Vercel está certificada, e, de outro modo, nas cláusulas contratuais-tipo adotadas pela Comissão Europeia em junho de 2021 (Vercel Data Processing Addendum, Schedule 3), que abrangem também as transferências para outros países terceiros. Existe um acordo de tratamento de dados nos termos do Art. 28.º do RGPD. Base jurídica: Art. 6.º, n.º 1, al. f) do RGPD (interesse legítimo no funcionamento fiável do website).

Infraestrutura Cloud — Amazon Web Services (AWS)

Para autenticação, armazenamento de dados e lógica aplicacional utilizamos serviços AWS (Cognito, DynamoDB, S3) na região UE eu-central-1 (Frankfurt). Existe um acordo de tratamento de dados através do AWS GDPR Data Processing Addendum. Base jurídica: Art. 6.º, n.º 1, al. b) e f) do RGPD.

E-mail e formulário de contacto — Microsoft 365

Se nos escrever por e-mail ou através do formulário de contacto, tratamos os dados da sua mensagem, em particular endereço de e-mail, nome, assunto, conteúdo e, no caso do formulário, o idioma da página, para responder ao seu pedido. O formulário transmite os seus dados, através do nosso fornecedor de alojamento Vercel, à Microsoft 365, que os entrega como e-mail na nossa caixa de correio; o website não guarda a mensagem nem escreve o seu conteúdo nos seus registos. A nossa caixa de correio é operada pela Microsoft Ireland Operations Limited (Microsoft 365, Exchange Online); existe um acordo de tratamento de dados através do Microsoft Products and Services Data Protection Addendum. Eliminamos a sua mensagem assim que deixe de ser necessária para tratar o seu pedido, salvo obrigações legais de conservação. Base jurídica: Art. 6.º, n.º 1, al. f) do RGPD (interesse legítimo em responder a pedidos); se o seu pedido disser respeito à celebração ou execução de um contrato, Art. 6.º, n.º 1, al. b) do RGPD.

Medição Publicitária — Meta Platforms Ireland Limited

Para a medição da eficácia publicitária, transmitimos dados com hash (endereço de e-mail, primeiro nome, país) à Meta Platforms Ireland Limited após compras através da Conversions API (ver Secção 7 — Meta Pixel e Conversions API). O Meta Pixel recolhe adicionalmente dados de utilização pseudonimizados no nosso website. Base jurídica: Art. 6.º, n.º 1, al. a) do RGPD (consentimento via banner de cookies).

O nosso website utiliza cookies. Trata-se de pequenos ficheiros de texto armazenados no seu dispositivo.

Cookies Essenciais

Estes cookies são estritamente necessários para o funcionamento do website (p. ex., cookies de sessão para a área de início de sessão, definições de idioma). Não podem ser desativados. Base jurídica: Art. 6.º, n.º 1, al. f) do RGPD.

Cookies Analíticos

Com o seu consentimento explícito, utilizamos cookies para analisar a utilização do website (ver Secção 7 — Análise Web). Base jurídica: Art. 6.º, n.º 1, al. a) do RGPD.

Pode eliminar cookies ou impedir o seu armazenamento nas definições do seu navegador a qualquer momento. Também pode ajustar as suas preferências de cookies através do nosso banner de cookies.

Apenas conservamos os seus dados pelo tempo necessário para a respetiva finalidade ou conforme exigido por obrigações legais de conservação:

• Faturação e registos comerciais: 10 anos (§ 257 HGB, § 147 AO — requisitos de conservação de direito comercial e fiscal)
• Dados contratuais: 3 anos após o término do contrato (§ 195 BGB — prazo de prescrição geral)
• Relatórios astrológicos e dados de nascimento: até à eliminação pelo utilizador através das definições da conta
• Dados de atividade: 90 dias (eliminação automática)
• Sessões de checkout: 1 hora (eliminação automática)
• Dados de autenticação: códigos únicos 5 minutos, dados de início de sessão durante a existência da conta
• Cookies: consoante o tipo, de 1 dia a 12 meses (ver Secção 9)

Após o termo do respetivo prazo, os seus dados são automática e irreversivelmente eliminados.

Tem os seguintes direitos relativamente aos seus dados pessoais:

• Acesso aos seus dados armazenados (Art. 15.º do RGPD)
• Retificação de dados incorretos (Art. 16.º do RGPD)
• Apagamento dos seus dados (Art. 17.º do RGPD)
• Limitação do tratamento (Art. 18.º do RGPD)
• Portabilidade dos dados (Art. 20.º do RGPD)
• Oposição ao tratamento (Art. 21.º do RGPD)
• Retirada do consentimento com efeito futuro (Art. 7.º, n.º 3, do RGPD)

Exercício dos Seus Direitos

Para uma exportação de dados (Art. 15.º e 20.º), está disponível uma função de exportação nas definições da sua conta. A eliminação da conta (Art. 17.º) também pode ser iniciada nas definições da sua conta — após um período de carência de 30 dias, todos os seus dados serão irreversivelmente eliminados de todos os sistemas. Para todos os outros pedidos, contacte-nos em hello@atumka.com. Processaremos o seu pedido no prazo de 30 dias.

Não ocorre qualquer tomada de decisão automatizada, incluindo definição de perfis, na aceção do Art. 22.º do RGPD. Os relatórios astrológicos gerados por IA são conteúdos para fins de informação e entretenimento. Não constituem decisões que produzam efeitos jurídicos sobre si ou que o afetem de forma significativamente semelhante.

Tem o direito de apresentar reclamação perante uma autoridade de controlo de proteção de dados. A autoridade competente é:

Berliner Beauftragte für Datenschutz und Informationsfreiheit Alt-Moabit 59-61 10555 Berlin E-mail: mailbox@datenschutz-berlin.de

Para questões sobre proteção de dados, contacte-nos em: E-mail: hello@atumka.com