Política de privacidade

Última actualização: 18 de setembro de 2026

1. Responsável pelo tratamento

O responsável pelo tratamento dos dados pessoais é a GRANDEMARCA, Sociedade Unipessoal Lda., adiante designada por "Recebe.pt". O Recebe.pt não está legalmente obrigado a designar Encarregado da Proteção de Dados, pelo que não dispõe de DPO. O ponto de contacto para questões de proteção de dados é privacy@recebe.pt.

2. Quadro legal aplicável

O tratamento rege-se pelo Regulamento (UE) 2016/679 (RGPD), por aplicação directa, e supletivamente pela Lei n.º 58/2019, de 8 de Agosto. A Comissão Nacional de Proteção de Dados (CNPD) desaplicou parte das disposições da Lei n.º 58/2019 (Deliberação 2019/494), pelo que invocamos o RGPD em primeira linha.

3. Dados que tratamos

Tratamos os seguintes dados pessoais: nome, email, palavra-passe (encriptada com bcrypt), e, se o utilizador optar por fornecê-los para preparar uma injunção, número de identificação fiscal (NIF), IBAN, número de telemóvel, morada, e dados sobre dívidas, devedores e documentos comprovativos. Os campos sensíveis (NIF, IBAN, telemóvel) são adicionalmente encriptados ao nível da aplicação com AES-256-GCM.

4. Finalidades e bases jurídicas

Cada operação de tratamento tem uma base legal específica, identificada na seguinte tabela:

  • Conta de utilizador e processamento de pagamentos. Execução do contrato celebrado com o utilizador: artigo 6.º, n.º 1, alínea b) do RGPD.
  • Dados sobre o devedor inseridos pelo utilizador. Interesse legítimo do credor na cobrança coerciva da sua dívida: artigo 6.º, n.º 1, alínea f) do RGPD, ponderado segundo os três passos do parecer WP217 do GT 29 (legitimidade do interesse, necessidade do tratamento e ponderação face aos interesses e direitos do devedor). O utilizador é informado de que actua como responsável do tratamento perante o devedor; o Recebe.pt actua como subcontratante para esse efeito.
  • Conservação pós-encerramento do caso. Cumprimento de obrigações legais (prazos de prescrição civil e fiscal): artigo 6.º, n.º 1, alínea c) do RGPD, com fundamento na excepção do artigo 17.º, n.º 3, alínea e) do RGPD (declaração, exercício ou defesa de direitos em processo judicial).
  • Comunicações de marketing por email. Consentimento prévio e informado: artigo 6.º, n.º 1, alínea a) do RGPD, conjugado com o artigo 13.º-A da Lei n.º 41/2004, de 18 de Agosto. O consentimento pode ser retirado a qualquer momento.
  • Verificação de um cliente pelo NIF. A consulta de um NIF às listas públicas do portal Citius (publicidade de insolvências e Lista Pública de Execuções) assenta no interesse legítimo de quem consulta em avaliar um negócio ou um crédito: artigo 6.º, n.º 1, alínea f) do RGPD. O NIF consultado e o resultado não são guardados em base de dados; ficam em memória no servidor até 24 horas, para evitar consultas repetidas ao portal, e são descartados a seguir. Para que confirme que escreveu o NIF certo, mostramos o nome da entidade: o que o Citius publica, quando há registos, ou, para empresas, o que devolve o VIES, o sistema público de validação de números de IVA da Comissão Europeia, ao qual enviamos apenas o NIF. O nome do VIES fica também em memória até 24 horas. Para NIF de pessoas singulares não procuramos o nome.
  • Pedidos de aviso sobre um NIF. O email de quem faz o pedido é tratado com base no seu consentimento prévio e informado (artigo 6.º, n.º 1, alínea a) do RGPD); o NIF indicado, que pode ser de um terceiro, com base no interesse legítimo de quem pede o aviso em avaliar um negócio ou um crédito (artigo 6.º, n.º 1, alínea f) do RGPD). Guardamos os dois, com o NIF encriptado, apenas para avisar quem fez o pedido quando a vigilância abrir ou, depois de aberta, para vigiar o NIF durante o período gratuito de 30 dias, enviar os avisos que surgirem e, no fim, uma proposta para continuar. Quando o NIF é de uma pessoa singular, pedimos a quem faz o pedido que confirme que o faz para avaliar um negócio ou um crédito seu. O pedido só fica activo depois de confirmado pela ligação que enviamos para o email indicado; um pedido não confirmado é apagado ao fim de 7 dias, e um pedido confirmado é apagado 12 meses depois da confirmação, ou antes, se o titular pedir a remoção ou retirar o consentimento. A vigilância pode ser parada a qualquer momento pela ligação incluída em cada email.
  • Vigilância Citius de NIF escolhidos pelo cliente. Os NIF que o cliente escolhe vigiar, que podem ser de terceiros, são tratados com base no interesse legítimo do cliente em avaliar um negócio ou acompanhar um crédito seu (artigo 6.º, n.º 1, alínea f) do RGPD), com a mesma confirmação de finalidade quando o NIF é de uma pessoa singular. Consultamos apenas as publicações de insolvência e os registos da Lista Pública de Execuções que o portal Citius torna públicos para cada NIF e guardamos o NIF encriptado, o nome que o cliente lhe der e as publicações e os registos encontrados, sem o nome que a lista publica. O NIF do devedor de um caso de injunção é vigiado, sem custo, enquanto o caso estiver aberto. Quando uma subscrição termina, por cancelamento ou por falta de renovação, os NIF vigiados e as publicações guardadas são apagados 30 dias depois do fim do período pago; um NIF retirado pelo cliente é apagado de imediato. Os registos de pagamento e as faturas-recibo conservam-se pelo prazo que a lei fiscal impõe.
  • Cookies analíticas. Consentimento expresso, artigo 5.º, n.º 3, da Lei n.º 41/2004, na sua redacção actual.

5. Subcontratantes

Os seguintes subcontratantes acedem aos dados na medida do estritamente necessário para a prestação do serviço. As transferências para fora do Espaço Económico Europeu são cobertas pelas Cláusulas Contratuais Tipo aprovadas pela Decisão de Execução (UE) 2021/914 da Comissão Europeia, de 4 de Junho de 2021.

  • HostArmada. Alemanha (União Europeia). Alojamento do servidor onde corre a aplicação e onde reside a base de dados. Sem transferência internacional.
  • Cloudflare, Inc. Armazenamento de ficheiros carregados pelo utilizador (R2), com os dados fixados na região da União Europeia. A empresa é norte-americana; os ficheiros não saem do EEE.
  • Anthropic, PBC. Estados Unidos. Análise documental por inteligência artificial (Claude). Transferência ao abrigo das Cláusulas Contratuais Tipo (Decisão 2021/914/UE).
  • Stripe Payments Europe, Ltd. Irlanda. Processamento de pagamentos. Sem transferência internacional pelo Recebe.pt; eventuais fluxos transatlânticos são regulados pelo próprio Stripe.
  • Resend Inc. Estados Unidos. Envio de email transaccional. Transferência ao abrigo das Cláusulas Contratuais Tipo (Decisão 2021/914/UE).
  • Functional Software, Inc. (Sentry). Estados Unidos. Monitorização de erros aplicacionais. Transferência ao abrigo das Cláusulas Contratuais Tipo (Decisão 2021/914/UE).

Não vendemos dados a terceiros. Não tratamos dados de categorias especiais (artigo 9.º RGPD) nem realizamos perfis automatizados com efeitos jurídicos sem revisão humana.

6. Prazo de conservação

Conservamos os dados associados a casos durante 6 anos após o fecho, por imperativo de prazo legal de prescrição civil. Findo este período, os dados são anonimizados ou eliminados. O utilizador pode solicitar a eliminação antecipada nos termos do ponto 7, sem prejuízo do disposto no artigo 17.º, n.º 3, alínea e) do RGPD.

Os pedidos de aviso sobre um NIF são apagados automaticamente: 7 dias depois do pedido, se o email não for confirmado, ou 12 meses depois da confirmação. Os NIF de uma vigilância Citius subscrita são apagados 30 dias depois do fim do período pago, ou de imediato, se o cliente os retirar.

7. Direitos do utilizador

O utilizador tem direito de acesso, rectificação, apagamento, limitação, oposição e portabilidade dos seus dados, bem como de retirar o consentimento a qualquer momento. Pode exercer estes direitos em privacy@recebe.pt. Tem ainda o direito de apresentar reclamação à Comissão Nacional de Protecção de Dados (www.cnpd.pt).

8. Decisões automatizadas

A análise de elegibilidade é parcialmente automatizada, mas não produz efeitos jurídicos no utilizador sem revisão humana. O resultado é apresentado a título informativo; a decisão de avançar para a injunção cabe sempre ao utilizador.