Política de Privacidade

1. Quem somos

O Modx Ecosystem ("Modx", "nós") opera a plataforma modx.app e os serviços associados. Somos o responsável pelo tratamento dos seus dados pessoais (controlador, na aceção do artigo 4.º, n.º 7, do Regulamento (UE) 2016/679 — RGPD) e o controlador na aceção do artigo 5.º, VI, da Lei n.º 13.709/2018 (LGPD).

Para qualquer questão relativa a privacidade, ou para exercer os seus direitos descritos nesta política, contacte-nos em contacto@modx.app.

2. Que dados tratamos

Conforme a sua interação com a plataforma, podemos tratar:

• Dados de identificação e contacto: nome, email, telefone, morada.
• Dados fiscais e de faturação: NIF / NIPC (PT), CPF / CNPJ (BR), VAT, dados bancários para faturação.
• Dados de autenticação: credenciais armazenadas com hash criptográfico (nunca em texto claro).
• Conteúdos: ficheiros, documentos, agendamentos, dados de clientes finais inseridos pelo subscritor no seu workspace.
• Dados técnicos: endereço IP, agente de utilizador, identificadores de dispositivo, logs de utilização e auditoria.
• Dados de pagamento: processados diretamente pelo Stripe; o Modx não armazena dados completos de cartões.

3. Para que finalidades

• Prestação, manutenção e melhoria do serviço contratado.
• Processamento de subscrições, faturação e cobrança.
• Comunicações transacionais (ativação de conta, alertas de segurança, recibos).
• Cumprimento de obrigações legais — designadamente fiscais e contabilísticas.
• Deteção e prevenção de fraude, abuso ou incidentes de segurança.
• Análise estatística agregada (sem identificação de utilizadores) para melhoria do produto.

4. Bases legais para o tratamento

Tratamos os seus dados ao abrigo das seguintes bases (RGPD art. 6.º / LGPD art. 7.º):

• Execução de contrato: RGPD art. 6.º(1)(b) / LGPD art. 7.º, V — para prestar o serviço subscrito.
• Cumprimento de obrigação legal: RGPD art. 6.º(1)(c) / LGPD art. 7.º, II — para faturação e retenção fiscal.
• Interesse legítimo: RGPD art. 6.º(1)(f) / LGPD art. 7.º, IX — para segurança, prevenção de fraude e melhoria interna do serviço, sempre ponderado contra os seus direitos.
• Consentimento: RGPD art. 6.º(1)(a) / LGPD art. 7.º, I — para comunicações de marketing e cookies não-essenciais. Pode retirá-lo a qualquer momento sem afetar a licitude do tratamento anterior.

5. Multi-tenancy: o seu workspace

O Modx é uma plataforma multi-tenant. Cada subscritor ("tenant") recebe um workspace isolado por filtros aplicacionais e cifragem ao nível da linha. Dentro do seu workspace, o subscritor é o responsável pelo tratamento dos dados dos seus próprios clientes finais; o Modx atua como subcontratante / operador, na aceção do artigo 28.º RGPD e artigo 5.º, VII, LGPD. Esta política descreve o tratamento de dados feito diretamente pelo Modx (dados do subscritor); o tratamento dentro do workspace é regido adicionalmente pela política do tenant.

6. Com quem partilhamos

Não vendemos dados pessoais. Partilhamos apenas com subcontratantes essenciais à prestação do serviço, vinculados por contrato a respeitar o RGPD e a LGPD:

• Stripe — processamento de pagamentos.
• Vercel — alojamento da camada de apresentação.
• Railway — alojamento da API e base de dados.
• Resend — entrega de emails transacionais.
• Autoridades competentes — quando legalmente exigido por ordem judicial ou requisição administrativa válida.

7. Transferências internacionais

Alguns subcontratantes (Stripe, Vercel, Railway, Resend) processam dados fora do Espaço Económico Europeu e do Brasil, designadamente nos EUA. Essas transferências são protegidas por (i) decisões de adequação da Comissão Europeia quando aplicáveis, (ii) cláusulas contratuais-tipo (SCC) aprovadas, ou (iii) outras salvaguardas previstas no artigo 46.º RGPD e artigo 33.º LGPD.

8. Conservação dos dados

• Dados de conta ativos: enquanto a subscrição estiver em vigor.
• Após cancelamento: 90 dias para exportação e recuperação, seguidos de eliminação ou anonimização irreversível.
• Dados fiscais e de faturação: 10 anos em Portugal (Decreto-Lei n.º 28/2019) e 5 anos no Brasil (artigo 1.º, parágrafo único, da Lei n.º 8.846/1994), por imperativo legal.
• Logs técnicos e de auditoria: 12 meses, salvo investigação ativa de incidente.
• Backups encriptados: rotação até 35 dias.

9. Os seus direitos

Tem o direito de, nos termos do RGPD (art. 15.º a 22.º) e da LGPD (art. 18.º):

• Aceder aos seus dados pessoais e obter cópia.
• Retificar dados inexatos ou incompletos.
• Solicitar a eliminação ("direito a ser esquecido"), salvo dever legal de conservação.
• Solicitar a portabilidade dos dados num formato estruturado e legível por máquina.
• Opor-se ao tratamento ou solicitar a sua limitação.
• Retirar consentimento previamente dado, sem efeito retroativo.
• (LGPD) Solicitar a anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade com a lei.
• (LGPD) Obter informação sobre as entidades públicas e privadas com as quais os dados foram partilhados.

Para exercer qualquer destes direitos, escreva para contacto@modx.app. Responderemos no prazo de 30 dias, prorrogável por mais 60 dias em situações de complexidade.

10. Cookies e tecnologias semelhantes

Usamos apenas cookies essenciais para autenticação, gestão de sessão e segurança. Não utilizamos cookies de tracking publicitário nem partilhamos identificadores com terceiros para fins de marketing, salvo consentimento explícito.

11. Segurança

Adotamos medidas técnicas e organizativas adequadas, incluindo:

• Cifragem de dados em trânsito (TLS 1.2+) e em repouso (AES-256).
• Controlo de acessos baseado em função (RBAC) e isolamento por tenant.
• Hashes criptográficos para palavras-passe (nunca armazenadas em texto claro).
• Registo imutável de auditoria para todas as operações sensíveis.
• Avaliações periódicas de vulnerabilidades e gestão de incidentes.

Em caso de violação de dados que represente risco elevado para os seus direitos, notificá-lo-emos sem demora injustificada (RGPD art. 34.º / LGPD art. 48.º).

12. Menores

O serviço não se destina a menores de 16 anos (UE/PT) ou de 18 anos (Brasil) sem o consentimento dos titulares das responsabilidades parentais. Não recolhemos conscientemente dados de menores; se tomar conhecimento de tal, contacte-nos para que procedamos à eliminação.

13. Encarregado de Proteção de Dados

Pode contactar o nosso Encarregado de Proteção de Dados (DPO / Encarregado, conforme RGPD art. 37.º e LGPD art. 41.º) através de contacto@modx.app, indicando "DPO" no assunto.

14. Reclamações

Sem prejuízo de outras vias, tem o direito de apresentar reclamação às autoridades de controlo competentes:

• Portugal: Comissão Nacional de Proteção de Dados (CNPD) — www.cnpd.pt.
• Brasil: Autoridade Nacional de Proteção de Dados (ANPD) — www.gov.br/anpd.

15. Alterações a esta política

Podemos atualizar esta política para refletir alterações legais, técnicas ou operacionais. Alterações substantivas serão comunicadas com pelo menos 30 dias de antecedência via email e/ou aviso visível na plataforma. A continuação da utilização após esse período constitui aceitação tácita.

16. Contacto

Modx Ecosystem
Lisboa, Portugal
Email: contacto@modx.app