Política de privacidade

1. Responsável pelo tratamento

O responsável pelo tratamento no âmbito do funcionamento da plataforma Quizment, das contas de utilizador, da relação contratual e de faturação, do suporte e das avaliações próprias do operador é:

2. Âmbito de aplicação e funções de responsabilidade

Esta declaração aplica-se aos visitantes do site, aos utilizadores registados, aos membros de organizações, aos clientes, aos contactos de suporte e aos participantes em avaliações públicas ou por convite.

Se um utilizador ou uma organização criar uma avaliação para fins próprios, determina, em particular, o tema, as perguntas, o grupo de participantes, a avaliação dos resultados e a posterior utilização das respostas. Por isso, é geralmente o responsável por este tratamento especializado, na aceção do Art. 4 n.º 7 do RGPD. Na medida em que o Quizment trate esses dados exclusivamente de acordo com instruções documentadas e com base num contrato válido nos termos do Art. 28 do RGPD, atua como subcontratante; caso contrário, a função concreta tem de ser determinada separadamente segundo as circunstâncias efetivas. O criador tem de disponibilizar aos participantes as suas próprias informações sobre proteção de dados e o fundamento jurídico por si escolhido.

Se Andre Sieger criar uma avaliação própria e decidir sobre as finalidades e os meios, é também o responsável pelo tratamento dos dados dos participantes dessa avaliação. As questões relativas a uma avaliação de terceiros devem ser dirigidas prioritariamente ao respetivo criador; o Quizment ajuda a encaminhar e a tratar os pedidos relacionados com a proteção de dados.

3. Categorias e fontes de dados

Consoante a utilização, o Quizment trata as seguintes categorias de dados pessoais:

• Dados de ligação e registo: endereço IP, data e hora, endereço acedido, método e estado HTTP, volume de dados transmitidos, referenciador e informações sobre o navegador ou dispositivo;
• Dados da conta e do perfil: endereço de e-mail, nome de apresentação, função, idioma, foto de perfil ou avatar, estado da conta e da verificação, bem como eventos de início de sessão e de segurança;
• Dados de avaliações e organizações: títulos, descrições, perguntas, lógica das respostas, versões, imagens, partilhas, associações, funções e comentários;
• Dados de participação: endereço utilizado no convite, estado do convite e da abertura, respostas, resultado, duração da participação, data e hora da submissão e um identificador pseudónimo do participante ou do dispositivo;
• Dados contratuais e de faturação: plano, estado da subscrição, períodos de vigência, identificadores do fornecedor, do cliente e da subscrição, bem como metadados relacionados com a faturação;
• Dados de comunicação e suporte: conteúdo e estado dos pedidos, respostas, notas internas de tratamento, mensagens de erro e anexos;
• Dados de utilização da IA: entradas, conteúdos das avaliações em causa, contexto da conversa, resultados gerados, definição da pesquisa na Web e um identificador de segurança pseudónimo.

Em regra, os dados provêm da pessoa em causa. Os endereços utilizados nos convites, as funções na organização e os conteúdos partilhados das avaliações também podem provir do criador de uma avaliação, de um administrador da organização ou de outro utilizador autorizado. O respetivo criador tem de incluir atempadamente as informações exigidas pelos Arts. 13 ou 14 do RGPD no texto configurável do convite ou disponibilizá-las por outra via diretamente acessível.

4. Acesso ao site, alojamento e registos

Ao aceder ao site, o servidor trata os dados de ligação e registo para fornecer a página pedida, analisar erros, impedir ataques e garantir um funcionamento estável e seguro. O fundamento jurídico é o Art. 6 n.º 1, alínea b), do RGPD, na medida em que o acesso seja necessário para utilizar uma oferta contratual; nos restantes casos, é o Art. 6 n.º 1, alínea f), do RGPD. O interesse legítimo reside na disponibilidade, integridade, prevenção de utilizações abusivas e segurança informática.

O domínio quizment.com aponta atualmente para a infraestrutura da netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe. Na medida em que trate dados pessoais de acordo com instruções, a netcup é utilizada como subcontratante. Os registos do servidor são necessários para o funcionamento, a análise de erros e fins de segurança; em caso de incidente relevante para a segurança, os registos em causa podem ser conservados até ao esclarecimento e ao exercício ou à defesa de direitos.

Avisos de proteção de dados da netcup

5. Registo, conta e segurança

Para o registo, o início de sessão e a gestão da conta, são tratados, em particular, o endereço de e-mail, o nome de apresentação, o idioma, os dados relativos à função e ao estado, bem como uma palavra-passe guardada apenas sob a forma de um hash seguro. Para a verificação e as alterações da palavra-passe ou do e-mail, são tratados tokens de validade limitada, datas e horas de envio e informações sobre limites de frequência. A verificação de segurança no registo é efetuada integralmente na infraestrutura do Quizment; não é contactado nenhum serviço CAPTCHA externo. Para limitar utilizações abusivas, o endereço da ligação é imediatamente convertido num identificador criado com uma chave secreta; o endereço completo não é guardado para este fim. As verificações utilizadas e estes identificadores só são guardados temporariamente. Os endereços de e-mail anteriores permanecem no histórico de alterações até à eliminação da conta, para que os convites e as respostas relacionados com a conta possam ser localizados de forma fiável e anonimizados durante a eliminação. A foto de perfil e as definições do avatar são opcionais.

O tratamento é efetuado para preparar e executar o contrato de utilização, nos termos do Art. 6 n.º 1, alínea b), do RGPD. As tentativas de início de sessão falhadas são registadas de forma limitada juntamente com o identificador do utilizador e o endereço IP, e podem ser bloqueadas durante uma hora após cinco tentativas falhadas. O fundamento jurídico é o Art. 6 n.º 1, alínea f), do RGPD; o interesse legítimo consiste em proteger as contas e a plataforma contra acessos não autorizados e utilizações abusivas.

6. Avaliações, organizações e colaboração

Para criar e gerir avaliações, o Quizment trata os conteúdos introduzidos, as versões, as imagens, as definições de publicação e de convite, bem como a associação a autores e organizações. Nas funcionalidades de equipa, são tratados o nome da organização, as associações, as funções, os convites, as partilhas e os comentários. Os membros autorizados da respetiva organização podem aceder a estes dados consoante a sua função. Nos quizzes de convidado, só a data e hora da criação, com precisão ao minuto, é registada permanentemente para estatísticas internas de utilização; este conjunto de dados estatísticos não contém conteúdos dos quizzes, endereços IP, tokens de sessão nem dados de conta. As imagens carregadas nas avaliações e no suporte podem conter metadados do ficheiro original; estes devem ser removidos antes do carregamento se não se pretender a sua divulgação.

A base legal para as funcionalidades da plataforma solicitadas pelo titular da conta é o Art. 6 n.º 1, alínea b), do RGPD. Na medida em que o Quizment trate conteúdos como subcontratante de uma empresa ou de outra organização, tal pressupõe um contrato nos termos do Art. 28 do RGPD e instruções documentadas do responsável pelo tratamento.

A estatística de criação de quizzes de convidado sem conteúdo baseia-se no Art. 6 n.º 1, alínea f), do RGPD. O interesse legítimo reside na medição da utilização com minimização de dados, no planeamento da capacidade e no desenvolvimento da oferta para convidados.

O Quizment não se destina a recolher categorias especiais de dados pessoais nos termos do Art. 9 do RGPD nem segredos altamente sensíveis sem uma avaliação jurídica e organizacional prévia. Os criadores de avaliações são responsáveis por recolher apenas os dados necessários e, quando aplicável, definir uma base legal específica, medidas de proteção e prazos de eliminação.

7. Convites, participação e resultados

Nos convites pessoais, o Quizment trata o endereço de e-mail fornecido pelo criador, um token de convite aleatório, as datas e horas de envio, de erro de entrega, de abertura e de conclusão, bem como um identificador pseudónimo do participante. Nos convites identificados, o endereço de e-mail é associado à resposta; no modo sem associação da resposta ao e-mail, o convite é guardado separadamente com o seu estado de abertura e conclusão.

Nas participações públicas sem associação ao e-mail, o Quizment não guarda nenhum endereço de e-mail nem utiliza um endereço IP como identificador do participante na resposta. Independentemente disso, podem ser gerados dados de ligação nos registos do servidor. Se a participação única estiver ativada, é definido um identificador aleatório e assinado do navegador; na base de dados, só é guardado um hash específico da avaliação. Estes identificadores pseudónimos dificultam participações múltiplas no mesmo navegador, mas não permitem uma identificação fiável entre dispositivos.

Se o Quizment tratar as respostas para um criador externo de uma avaliação, este tem de comunicar a finalidade, o fundamento jurídico, os destinatários e o prazo de conservação antes da recolha dos dados, por exemplo, no texto configurável do convite ou em ligações diretas para as suas próprias informações sobre proteção de dados. Para uma avaliação completa, todas as perguntas alcançadas no fluxo escolhido têm de ser respondidas; sem estas informações, a participação não pode ser concluída.

8. Funcionalidades de IA e pesquisa opcional na Web

Quando um utilizador autorizado inicia ativamente a criação por IA ou o assistente de IA, o Quizment transmite à API da OpenAI a entrada e, na medida do necessário para a tarefa, o título, o resumo, as perguntas, a lógica e o contexto anterior da conversa relativo à avaliação em causa. É ainda transmitido um identificador de segurança pseudónimo derivado da ID interna do utilizador. O utilizador decide se a pesquisa opcional na Web fica desativada ou é utilizada de forma automática ou obrigatória; neste processo, podem ser tratados os termos de pesquisa e as fontes consultadas.

O prestador do serviço é a OpenAI Ireland Limited, 1.º andar, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, D01 YC43, Irlanda. A chamada da API está configurada com store=false. De acordo com os controlos de dados aplicáveis à API, as entradas e saídas não são utilizadas por predefinição para treinar os modelos; os registos limitados de monitorização de utilizações abusivas podem ser conservados habitualmente durante um máximo de 30 dias, salvo se uma obrigação legal ou uma exceção de segurança exigir uma conservação mais longa.

O fundamento jurídico é o Art. 6 n.º 1, alínea b), do RGPD para a funcionalidade pedida pelo utilizador e o Art. 6 n.º 1, alínea f), do RGPD para os controlos de utilizações abusivas e de segurança. O interesse legítimo reside no funcionamento seguro e rastreável das funcionalidades de IA. Os utilizadores não devem incluir nas entradas da IA dados pessoais desnecessários, categorias especiais de dados pessoais nem informações confidenciais de terceiros.

Informações da OpenAI sobre proteção de dados · Acordo de tratamento de dados da OpenAI

9. Subscrições e Stripe

Quando a faturação paga é ativada e é subscrito um plano, o Quizment encaminha o utilizador para o checkout e o portal do cliente disponibilizados pelo Stripe. São transmitidos, em particular, o endereço de e-mail, o identificador interno do utilizador, o plano escolhido, o período de faturação e, no caso do Business, o número de lugares comprados. O Stripe recolhe ainda a morada de faturação, os identificadores fiscais e os dados de pagamento necessários. Os dados completos do cartão ou da conta não são guardados nos servidores do Quizment.

Para clientes no Espaço Económico Europeu, o serviço é fornecido pela Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irlanda. A Stripe processa os dados como subcontratante para fins operacionais e como responsável próprio para fins legais definidos, em particular o processamento de pagamentos, prevenção de fraude, verificações de branqueamento de capitais e sanções.

Os fundamentos jurídicos no Quizment são o Art. 6 n.º 1, alínea b), do RGPD para o contrato e o pagamento, o Art. 6 n.º 1, alínea c), do RGPD para obrigações comerciais e fiscais e o Art. 6 n.º 1, alínea f), do RGPD para a prevenção de fraude e a defesa contra riscos de pagamento e jurídicos. O interesse legítimo reside num processamento dos pagamentos seguro e comprovável. Aplicam-se adicionalmente as informações do Stripe sobre proteção de dados.

Informações do Stripe sobre proteção de dados · Acordo de tratamento de dados do Stripe

10. E-mail, suporte e ficheiros

Em caso de contacto e de pedidos de suporte, o Quizment trata os dados de contacto, as mensagens, o estado do pedido, as respostas, as notas internas de tratamento e os anexos carregados voluntariamente para dar seguimento ao pedido. O fundamento jurídico é o Art. 6 n.º 1, alínea b), do RGPD para questões contratuais e, nos restantes casos, o Art. 6 n.º 1, alínea f), do RGPD. O interesse legítimo consiste numa comunicação eficiente, na resolução de erros e na documentação. A comunicação legalmente exigida também se baseia no Art. 6 n.º 1, alínea c), do RGPD.

Pode ser utilizado um serviço de e-mail SMTP para verificação, recuperação da conta, convites e mensagens da organização e do suporte. Este serviço recebe o endereço do destinatário, o assunto, o texto da mensagem e as informações técnicas de entrega. A categoria de destinatário corresponde ao serviço de transporte de e-mail configurado; atualmente, não está definido nenhum fornecedor SMTP externo na configuração de produção. Antes de um fornecedor ser ativado, são verificadas as respetivas condições de proteção de dados e relativas a países terceiros, e a documentação é atualizada.

11. Cookies e armazenamento no navegador

O Quizment não utiliza cookies de análise, publicidade ou redes sociais. O armazenamento de sessão, segurança, participação única e transferência para a IA só é utilizado na medida em que seja estritamente necessário para o serviço expressamente pedido (§ 25, n.º 2, ponto 2, da TDDDG). O idioma, o modo de apresentação e o intervalo de faturação só são guardados depois de uma seleção expressa e, posteriormente, apenas são lidos para manter a definição pedida. Na medida em que as informações sejam pessoais, o tratamento posterior baseia-se no Art. 6, n.º 1, alíneas b) ou f), do RGPD, conforme descrito abaixo. Se, no futuro, forem acrescentados mecanismos de armazenamento sujeitos a consentimento, só serão ativados depois de obtido o consentimento nos termos do § 25, n.º 1, da TDDDG.

Todos os cookies e conteúdos de armazenamento referidos são definidos pelo Quizment como elementos primários; não são integrados no navegador quaisquer rastreadores de terceiros.

Os navegadores podem eliminar ou bloquear cookies e conteúdos do armazenamento local. Nesse caso, o início de sessão, a seleção do idioma e do modo de apresentação, a transferência do resultado da IA ou a limitação de participações múltiplas podem ficar restringidos.

12. Destinatários e pessoas autorizadas a aceder

Só recebem dados as entidades que deles necessitam para as finalidades referidas. Estas incluem o operador e os administradores autorizados, o respetivo criador da avaliação e os membros autorizados da organização, os prestadores de serviços de alojamento e de infraestrutura informática, um eventual serviço configurado de transporte de e-mail e, apenas em caso de utilização ativa, a OpenAI e o Stripe. As autoridades, os tribunais e os consultores jurídicos ou fiscais só recebem dados quando exista uma obrigação legal ou na medida do necessário para invocar, exercer ou defender direitos.

Se um destinatário tratar dados de acordo com instruções, é necessário celebrar um contrato nos termos do Art. 28 do RGPD antes de recorrer aos seus serviços. Se um prestador de serviços tratar dados para as suas próprias finalidades legais ou de segurança, atua, no âmbito indicado, como responsável pelo tratamento independente.

13. Transferências para fora da UE e do EEE

Em caso de utilização ativa da OpenAI ou do Stripe, os dados podem ser transferidos para destinatários e subcontratantes fora da UE e do EEE. Antes da utilização produtiva de cada serviço e novamente em caso de alterações substanciais, o Quizment verifica os destinatários, as garantias e as condições de tratamento de dados aplicáveis.

No caso da OpenAI, o acordo de tratamento de dados prevê cláusulas contratuais-tipo da Comissão Europeia para as transferências destinadas a destinatários sem um nível adequado de proteção de dados; a decisão de adequação nos termos do Art. 45 do RGPD pode aplicar-se a um destinatário dos EUA certificado ao abrigo do Quadro de Privacidade de Dados UE-EUA. O Stripe regula igualmente as transferências internacionais no seu Acordo de Tratamento de Dados e no Adendo sobre Transferências de Dados, consoante o destinatário, através do Quadro de Privacidade de Dados UE-EUA ou de cláusulas contratuais-tipo. Pode ser pedida uma cópia ou mais informações sobre as garantias concretamente utilizadas aquando da ativação através de admin@quizment.com.

14. Prazo de conservação e eliminação

O Quizment só conserva os dados pessoais durante o período exigido pela respetiva finalidade, pelo contrato, pelas instruções do criador de uma avaliação responsável pelo tratamento, pelas obrigações legais de conservação ou pela salvaguarda de direitos.

• Os dados da conta, incluindo os endereços de e-mail anteriores, permanecem guardados enquanto a conta estiver ativa. Após um pedido de eliminação, aplica-se um prazo de cancelamento de sete dias; depois, os dados são removidos durante a execução da rotina de eliminação, salvo se uma obrigação ou um processo de faturação pendente o impedir.
• As avaliações pessoais da conta eliminada são eliminadas. As avaliações da organização ou da empresa podem ser transferidas para outro membro autorizado para preservar os conteúdos de trabalho partilhados. Os convites enviados para o e-mail da conta são eliminados e os e-mails das respostas correspondentes são anonimizados.
• As respostas, versões e convites das avaliações permanecem armazenados até à eliminação da avaliação em causa ou até uma instrução anterior do responsável. O simples encerramento de uma publicação ou o término de um período de participação não apaga as respostas existentes.
• Os conteúdos dos quizzes de convidado são automaticamente eliminados quando termina o prazo de três dias, salvo se o quiz tiver sido transferido antes para uma conta. A data e hora da criação, separada desses conteúdos e registada com precisão ao minuto, permanece para as estatísticas internas de utilização.
• As sessões são normalmente válidas durante um máximo de 14 dias e terminam ao encerrar a sessão ou eliminar a conta. As ligações de verificação, alteração e recuperação perdem normalmente a validade após 24 horas; os registos associados podem manter-se até serem substituídos ou confirmados ou até à eliminação da conta.
• Os registos de início de sessão, segurança e erros são mantidos separadamente da conta de utilizador e, por isso, não são necessariamente eliminados juntamente com a conta. São conservados enquanto forem necessários para impedir utilizações abusivas, esclarecer incidentes ou salvaguardar direitos; em caso de incidente, os extratos necessários podem manter-se até ao esclarecimento.
• Os dados de suporte e comunicação são conservados até à conclusão do processo e, depois, apenas durante o período exigido por questões posteriores, garantias, defesa jurídica ou obrigações legais.
• Os comentários de equipa eliminados ficam inicialmente apenas ocultos. O seu conteúdo pode manter-se, para garantir a rastreabilidade dos processos de trabalho partilhados, até à eliminação da organização ou da avaliação associada, salvo se um direito legítimo ao apagamento exigir uma remoção anterior.
• Os documentos exigidos por lei comercial e fiscal são retidos por um período de seis, oito ou dez anos, dependendo do documento. Isto aplica-se apenas aos documentos obrigatórios de arquivo, e não a todos os dados da conta ou de conteúdo em geral.
• Na medida em que sejam criadas cópias de segurança, estas são conservadas exclusivamente para fins de recuperação e segurança. Os dados já agendados para eliminação voltam a ser eliminados após uma recuperação e não são utilizados para outras finalidades. O respetivo ciclo de cópias de segurança depende da infraestrutura de produção utilizada.

15. Direitos dos titulares dos dados

Sob as condições legais existem os direitos de acesso e cópia dos dados (Art. 15 RGPD), retificação (Art. 16), apagamento (Art. 17), limitação do tratamento (Art. 18), informação aos destinatários (Art. 19) e portabilidade dos dados (Art. 20). O consentimento pode ser revogado a qualquer momento com efeito futuro; a legalidade do tratamento anterior permanece inalterada.

Direito de oposição: Na medida em que o tratamento dos dados se baseie no Art. 6 n.º 1, alínea e) ou f), do RGPD, o titular pode exercer a qualquer momento o direito de oposição por motivos relacionados com a sua situação particular. No caso do marketing direto, a oposição não requer uma fundamentação especial. Atualmente, o Quizment não efetua marketing direto com base em perfis de utilização.

Os pedidos podem ser enviados para admin@quizment.com. Só podem ser exigidas informações adicionais necessárias à confirmação da identidade quando existam dúvidas fundamentadas. Se o pedido disser respeito a respostas ou conteúdos de uma avaliação de terceiros, o criador responsável é envolvido ou o pedido é-lhe encaminhado. Em regra, os pedidos são respondidos no prazo de um mês; nos casos complexos, o prazo pode ser prorrogado nos termos do Art. 12 do RGPD.

16. Direito de reclamação

Os titulares dos dados podem apresentar uma reclamação a uma autoridade de controlo da proteção de dados, em especial no Estado-Membro da sua residência habitual, do seu local de trabalho ou da alegada infração. Para o operador sediado em Hamburgo, a autoridade geralmente competente é:

Apresentar uma reclamação ou denúncia à autoridade de supervisão de Hamburgo

17. Obrigação de fornecimento

Os dados de ligação são tecnicamente necessários para disponibilizar o site. O endereço de e-mail, o nome de apresentação e a palavra-passe são necessários para uma conta de utilizador; sem estes dados, não é possível criar nem utilizar uma conta. Os dados contratuais e de pagamento são necessários para um plano pago. A foto de perfil, o avatar e os dados que não estejam assinalados como campos obrigatórios são facultativos.

O respetivo criador define o fluxo de perguntas de cada avaliação. As perguntas apresentadas no fluxo alcançado têm de ser respondidas para que a avaliação possa ser integralmente submetida e analisada. A participação é voluntária, salvo se uma relação jurídica ou contratual específica com o criador da avaliação determinar o contrário.

O Quizment não se destina exclusivamente a crianças e não efetua atualmente uma verificação técnica da idade. Se uma avaliação se destinar especificamente a menores, o respetivo responsável pelo tratamento tem de garantir informações adequadas à idade, um fundamento jurídico válido e, se necessário, o consentimento dos titulares das responsabilidades parentais exigido pelo Art. 8 do RGPD.

18. Avaliação automatizada e definição de perfis

O Quizment pode avaliar automaticamente as respostas com base nas regras de pontuação, ramificação e resultados definidas pelo criador da avaliação. Com base nestes resultados, o operador não toma decisões exclusivamente automatizadas sobre contas de utilizador ou contratos que produzam efeitos jurídicos ou efeitos de importância semelhante. Se o criador de uma avaliação utilizar os resultados para decisões com estes efeitos, tem de verificar por si próprio os requisitos do Art. 22 do RGPD e informar os participantes sobre a lógica utilizada, a importância e as consequências previstas.

As saídas de IA são rascunhos e não são publicadas ou usadas como decisões legalmente significativas sobre pessoas de forma autónoma. O Quizment não cria perfis publicitários nem utiliza decisão exclusivamente automatizada sobre a celebração ou continuação de um contrato de utilizador.

19. Segurança e alterações

O Quizment utiliza medidas técnicas e organizacionais adequadas ao risco. Estas incluem a transmissão encriptada através de HTTPS, palavras-passe com hash, permissões limitadas de sessão e de função, proteção contra pedidos falsificados, limites de frequência e o registo de erros relevantes para a segurança. Quando a faturação Stripe está ativada, os webhooks só são processados depois de a assinatura ser verificada com êxito. Nenhum procedimento oferece segurança absoluta; por isso, as medidas são revistas e aperfeiçoadas em função do risco e do estado da técnica.

Esta declaração é atualizada quando as funcionalidades, os prestadores de serviços, as finalidades do tratamento ou os requisitos legais mudam substancialmente. Em caso de alterações significativas, os utilizadores registados são informados de forma adequada. Aplica-se a versão publicada nesta página.