Como são tratados os dados na plataforma.

1. Quem trata os dados

O serviço SRIS é disponibilizado por Fernando Saldanha Solheiro, Unipessoal, Lda., NIPC 517723816, Rua Vale da Moira, n.º 60, Vendas de Podentes, 3230-536 Podentes — Penela, Portugal. Contacto: [email protected].

A entidade que conduz uma missão determina as finalidades, os dados necessários e as pessoas autorizadas. Num piloto em que o SRIS trate dados pessoais por sua conta, os papéis, instruções e responsabilidades têm de constar do acordo aplicável. A entidade mantém a responsabilidade pela base de licitude e pela informação aos titulares.

Na gestão da relação de serviço, contas e segurança, o fornecedor do SRIS trata os dados necessários para disponibilizar o acesso, gerir pedidos e proteger o serviço. O enquadramento assenta na relação contratual ou pré-contratual aplicável, nos interesses legítimos de administração e segurança e nas obrigações legais pertinentes. Estas bases não substituem a base legal das missões municipais.

2. Dados e finalidades

• Contas: nome, email, organização, permissões, credenciais protegidas e elementos de sessão, para autenticação e controlo de acesso.
• Missões: descrições, documentos, excertos, fontes, pressupostos, alternativas, decisões, responsáveis, ações, resultados e aprendizagem introduzidos pelos utilizadores.
• Continuidade: condições, dependências, revisões e histórico de alterações, para reconstruir o fundamento e identificar o trabalho que precisa de nova conferência.
• Assistência: pedidos, contexto selecionado ou recuperado, respostas e registos de utilização e limites da IA.
• Funcionamento: registos de acesso, auditoria e erros necessários à operação e segurança; contagens internas de navegação não equivalem a perfis individuais de utilizadores.

Nos ensaios iniciais, use dados fictícios. A introdução de dados pessoais reais numa missão exige enquadramento prévio do piloto. Dados de saúde, situações sociais individualizadas, dados de menores ou outras categorias sensíveis não devem ser incluídos sem avaliação específica e instruções documentadas.

3. Fornecedores e localização

• Railway: alojamento da aplicação, do site e das bases de dados. A aplicação em app.sris.io, o site e a base de dados ativa da aplicação, incluindo o respetivo volume, estão alojados na região EU West Metal — Amesterdão, Países Baixos (europe-west4-drams3a), verificada após a migração de 6 de outubro de 2026. Permanecem ambientes históricos e uma cópia técnica de recuperação na região sfo, Estados Unidos. A localização e os prazos de conservação das cópias de segurança anteriores à migração têm de ser documentados; esta migração não comprova residência exclusivamente europeia de todos os dados e prestadores. Acordo de tratamento do fornecedor.
• OpenAI API: fornecedor da assistência por IA. Quando solicitada, recebe o pedido e o contexto necessário à preparação, que pode incluir excertos de documentos e registos da missão. Não está comprovada neste projeto uma configuração de residência europeia ou de retenção zero. Acordo de tratamento e controlos de dados.
• Resend: entrega de mensagens transacionais, como convites e recuperação de acesso, quando ativada. Recebe os destinatários e o conteúdo necessário à mensagem. O fornecedor declara operações principais nos Estados Unidos. Acordo de tratamento.

Estes prestadores integram a cadeia técnica do serviço e, quando tratem dados por conta da entidade, devem ser identificados e autorizados na cadeia de subcontratação. A existência de documentos públicos dos fornecedores não comprova, por si só, a conclusão do acordo específico do piloto ou a adequação das transferências.

Antes de um piloto com dados pessoais, devem ficar documentados os destinatários, as regiões efetivas, o mecanismo aplicável às transferências para fora do EEE, a avaliação necessária e as medidas adicionais. Não é possível prometer residência no EEE apenas por utilizar um domínio europeu.

4. Assistência por IA

A IA prepara contributos sujeitos a revisão. Não toma decisões municipais nem autoriza ações em nome da entidade. O pedido e o contexto enviados devem ser limitados ao necessário; retirar nomes não garante, por si só, anonimização.

Os pedidos de geração analisados no código usam a opção de não guardar a resposta no serviço de geração (store: false). Isto não elimina registos de segurança do fornecedor. A documentação da OpenAI indica que os dados da API não são usados para treino por defeito, salvo adesão expressa, e prevê retenção de monitorização de abuso normalmente até 30 dias, com exceções aplicáveis. As configurações contratuais da conta devem ser confirmadas para cada piloto.

5. Conservação, devolução e eliminação

As missões e o seu histórico são persistentes; terminar uma sessão não apaga os conteúdos. Não foi estabelecido um prazo único de eliminação automática para todos os dados de futuros pilotos.

Antes do início, o acordo deve fixar prazos por categoria, duração do piloto, exportação, devolução ou eliminação no termo, tratamento das cópias de segurança e exceções legais. Arquivar uma missão não equivale a eliminar os dados. Os prazos dos fornecedores também devem ser considerados.

6. Acesso, segurança e direitos

A aplicação utiliza autenticação, permissões por organização, ligações HTTPS e registos de revisão. A adequação das medidas, recuperação e gestão de incidentes tem de ser avaliada para o âmbito concreto do piloto; esta página não constitui uma certificação de segurança.

Para dados de uma missão, o pedido de acesso, retificação, apagamento, limitação, oposição ou portabilidade deve ser dirigido à entidade responsável. O fornecedor SRIS presta a assistência prevista no acordo. Para questões relativas à sua conta ou à relação com o SRIS, contacte [email protected]. Pode apresentar reclamação à CNPD.

O navegador conserva elementos de sessão e preferências necessárias à utilização. Sair da conta remove os elementos de autenticação previstos pelo serviço. Os registos da missão permanecem no servidor.

7. Preparar um piloto

O tratamento de dados pessoais por conta de uma entidade exige um contrato ou outro ato jurídico aplicável nos termos do artigo 28.º do RGPD. Pode integrar o contrato principal ou um anexo próprio. Esta página informativa não o substitui.

Consultar a minuta de acordo e os elementos por preencher ↗

Enquanto o enquadramento não estiver concluído, a apresentação e o ensaio funcional devem usar dados fictícios. Uma demonstração funcional não prova prontidão contratual para dados reais.