Como tratamos os teus dados

Esta política descreve como o serviço transferir.pt recolhe, trata e protege os dados pessoais dos seus utilizadores, ao abrigo do Regulamento Geral de Protecção de Dados (RGPD) e da legislação portuguesa aplicável.

1. Quem é o responsável

O serviço transferir.pt é operado por Wonder Flamingo Unipessoal, Lda., NIPC 514097400, com sede na Rua Casal do Olival 10, 2745-739 Massama, Portugal.

Para questões relacionadas com dados pessoais, contactar através de privacidade@transferir.pt.

2. Que dados recolhemos

Para transferir ficheiros (anónimo)

• Endereço IP (para rate limiting e detecção de abuso)
• User-Agent do browser
• Os próprios ficheiros (encriptados em trânsito e em repouso — o servidor que recebe os bytes nunca os vê em claro)
• E-mail do destinatário, mensagem e password (se preenchidos)

Para criar conta

• Endereço de e-mail
• Data de criação e último login

Automaticamente

• Logs de acesso (endpoint, status, latência) — retidos 30 dias
• Estatísticas agregadas (sem identificação individual)

3. Como usamos os dados

Como usamos os teus dados

• Para te prestar o serviço (gerar links, enviar e-mails de notificação)
• Para prevenir abuso (rate limiting, blocking de IPs maliciosos)
• Para garantir a segurança e a integridade do serviço

Como não usamos os teus dados

• Não fazemos profiling
• Não vendemos nem partilhamos os teus dados com terceiros para marketing
• Não utilizamos cookies de tracking
• Não utilizamos analytics de terceiros que identifiquem o utilizador

4. Onde os dados são guardados

100% dos dados são armazenados na União Europeia:

• Servidores de aplicação: Hetzner, Falkenstein (Alemanha)
• Armazenamento de ficheiros: Cloudflare R2, região EU
• E-mail transaccional: Resend, região eu-west-1 (Irlanda)

Não transferimos dados para fora da UE.

5. Por quanto tempo guardamos

• Ficheiros partilhados: até ao fim da validade configurada (7 a 30 dias) + 7 dias adicionais para auditoria; depois eliminados permanentemente.
• Dados de conta: enquanto a conta estiver ativa; eliminados até 30 dias após pedido de eliminação.
• Logs de acesso: 30 dias
• Códigos OTP: 10 minutos (após validade ou utilização)
• Sessões: 30 dias após o último login; depois apagadas.

6. Os teus direitos (RGPD)

Podes:

• Acesso: pedir cópia dos teus dados pessoais
• Rectificação: corrigir dados incorrectos
• Eliminação: pedir eliminação total da conta e dos dados
• Portabilidade: receber os teus dados em formato estruturado
• Oposição: opor-te ao tratamento dos teus dados
• Reclamação: apresentar queixa à Comissão Nacional da Proteção de Dados (CNPD — cnpd.pt), se considerares que os teus direitos foram violados

Para exercer qualquer um destes direitos, podes contatar-nos através de privacidade@transferir.pt. Damos resposta em até 30 dias.

7. Segurança

• Comunicação encriptada em trânsito (HTTPS, TLS 1.3)
• Encriptação em repouso (Cloudflare R2 server-side encryption)
• Acesso a ficheiros via tokens únicos não-adivinhaveis (22 caracteres, ~131 bits de entropia)
• Passwordless login com OTP de 6 dígitos (sem passwords para perder)
• Rate limiting e protecção anti-bot (Cloudflare Turnstile)
• Logs de auditoria de acessos administrativos

8. Cookies

Usamos apenas 1 cookie essencial:

• tv2_session — cookie httpOnly que guarda o JWT de sessão após login. Não usado para tracking.

Não usamos cookies de terceiros para analytics, marketing ou rastreio.

9. Alterações

Esta política pode ser actualizada. Alterações materiais serão comunicadas via e-mail (aos utilizadores registados) ou por meio de um aviso visível na página inicial. A data da última actualização está visível no fundo desta página.

Este documento corresponde a uma beta release e encontra-se em desenvolvimento — pode ser actualizado à medida que o serviço evolui.