Política de privacidade

1. Introdução e âmbito global

Esta Política de privacidade aplica-se a tecrube.com, subdomínios, painéis, APIs, apps, plugins e serviços de automatização de marketing / gestão de anúncios (o «Serviço») da Hero Invest Ltd («Tecrube», «nós»).

Destina-se a utilizadores em todo o mundo, incluindo Turquia, EEE, Reino Unido, EUA, Médio Oriente e Ásia-Pacífico. Se a lei local obrigatória (KVKK, RGPD, UK GDPR, CCPA/CPRA, etc.) for mais estrita, prevalece; caso contrário aplica-se esta Política.

Ao usar o Serviço ou fornecer dados pessoais confirma que leu e compreendeu esta Política. Se discordar, não use o Serviço.

2. Responsável e contacto

Responsável: Hero Invest Ltd, 71-75 Shelton Street, Covent Garden, London, WC2H 9JQ, United Kingdom. Contacto oficial: info@tecrube.com.

Pedidos de privacidade, avisos de incidente e questões só são aceites em info@tecrube.com. Sem verificação de identidade não se concluem.

Para dados de terceiros que carregar (clientes, leads, listas), pode ser responsável e a Tecrube subcontratante, conforme o contrato e o controlo efetivo.

Representante na UE (GDPR art. 27): Hero Invest Ltd não está estabelecida na União Europeia. Se for designado um representante na UE nos termos do artigo 27.º do GDPR, o seu nome e contactos são indicados nos dados da empresa e nesta secção; até lá, os titulares dos dados na UE podem enviar qualquer pedido para info@tecrube.com. As transferências do Espaço Económico Europeu para o Reino Unido baseiam-se na decisão de adequação da Comissão Europeia relativa ao Reino Unido.

3. Definições

«Dados pessoais»: qualquer informação relativa a uma pessoa singular identificada ou identificável.

«Tratamento»: qualquer operação sobre dados pessoais, incluindo recolha, armazenamento, alteração, transferência e apagamento.

«Dados do cliente»: conteúdos e dados pessoais que carrega ou extrai para o Serviço a partir de contas ligadas.

«Dados de conta»: os seus registos de subscrição, faturação, identidade, suporte e utilização.

4. Categorias de dados que recolhemos

Identidade e contacto: nome, e-mail, telefone, empresa, cargo, país/região, idioma.

Conta e transação: funções, sessões, plano, dados de faturação/impostos, estado de pagamento; números de cartão completos são tratados pelos prestadores de pagamento, não armazenados pela Tecrube.

Serviço e integrações: nos hubs Setup, Análise, Gestão, Ads, Crescimento, Outreach e Ação — dados de campanhas, gasto, desempenho, audiências, conteúdo, conversões, inventário, formulários, tarefas, CRM, automatização e workspaces de contas de anúncios, social, analytics e mensagens ligadas.

Marca e ativos: kit de marca (logótipo, cores, tipos, tom, regras), criativos, briefs e media que carregar.

Canais de mensagens: registos de e-mail/SMS/WhatsApp/voz, gravações e transcrições de chamadas (se ativadas), conteúdo de chat/DM, listas de leads e destinatários.

Medição: píxeis, CAPI, UET, tracking no servidor, UTM, sinais de consentimento e eventos relacionados.

Suporte: formulários, e-mail, chat e conteúdo de tickets.

Técnico e segurança: IP, dispositivo/browser, SO, referrer, IDs de sessão, logs, cookies, erros, sinais de fraude/segurança.

Preferências de marketing: consentimento, recusa e registos de mensagens comerciais quando aplicável.

5. Fontes de dados

Obtemos dados de si (registo, formulários, suporte, kit de marca), automaticamente do dispositivo, de plataformas de terceiros ligadas, prestadores de pagamento, fontes públicas lícitas e listas que carregar.

A análise de concorrentes e ferramentas semelhantes baseiam-se apenas em fontes públicas lícitas ou que autorize; o acesso não autorizado ou violações de ToS são da sua responsabilidade.

Os dados de plataformas de terceiros estão sujeitos aos respetivos termos e às suas autorizações. A Tecrube não responde por transferências incompletas, inexatas ou não autorizadas dessas plataformas.

6. Finalidades do tratamento

Prestar, configurar, proteger e melhorar o Serviço; executar funções de campanha/automatização/relatórios/CRM/outreach/ação; dar suporte; faturar; prevenir abuso, spam e fraude; cumprir deveres legais; e melhorar produtos com analítica anonimizada/agregada quando possível.

As comunicações de marketing ocorrem apenas com consentimento ou quando a lei o permite; pode recusar a qualquer momento.

Não tratamos dados pessoais para garantir resultados (ROAS, vendas, leads, etc.); as métricas são informativas.

7. Bases legais (KVKK / RGPD / semelhantes)

Execução do contrato; obrigação legal; interesses legítimos (segurança, melhoria do produto, proteção da rede — sem prevalecer sobre os seus direitos); e consentimento quando exigido.

Para utilizadores do EEE/Reino Unido aplica-se o art. 6.º do RGPD / UK GDPR. Dados de categoria especial não são tratados por defeito; se necessário, exige-se consentimento explícito ou exceção legal.

Para gravação de chamadas, localização ou funções igualmente sensíveis, os deveres locais de aviso/consentimento são seus.

Se o tratamento se basear no consentimento, pode retirá-lo a qualquer momento sem afetar a licitude do tratamento anterior.

8. Tratamento automatizado, ações e IA

O Serviço pode usar automatização e IA para criativos, segmentação, otimização, agentes de chat/voz e ações automáticas aprovadas. Os resultados são apoio à decisão ou automatização que autorizou; a responsabilidade final é sua.

Pode expor dados de conta a conectores de chat/IA externos (p. ex. ferramentas tipo ChatGPT/Claude) sob a sua instrução; esse risco de transferência é seu.

Em regra não tomamos decisões unicamente automatizadas com efeitos jurídicos ou semelhantes. Se o fizermos, mantêm-se os direitos de impugnação e revisão humana.

Aos fornecedores de IA (OpenAI, L.L.C. e, quando utilizado, Anthropic PBC; EUA) é enviado apenas o conteúdo necessário à tarefa pedida: perfil da marca, contexto da campanha e, quando se pede um rascunho de resposta, o texto da mensagem em causa. O nome, o telefone e o e-mail dos seus clientes são mascarados antes do envio (ex.: «Cliente #ab12cd», «+90 5 * **12»); os dados de contacto e identidade dentro do texto da mensagem são mascarados da mesma forma. Trata-se de uma transferência internacional feita com as garantias do art. 9.º KVKK e do capítulo V do RGPD.

9. Partilha, subcontratantes e divulgações

Não vendemos dados pessoais nem os «vendemos» ou «partilhamos» para publicidade comportamental entre contextos ao abrigo do CCPA/CPRA, salvo o permitido para prestadores / divulgações necessárias.

A partilha apenas com: (a) alojamento, CDN, segurança, monitorização, pagamento, e-mail/SMS/WhatsApp/voz, analytics e autenticação; (b) plataformas de anúncios/social/medição que ligar; (c) afiliadas, se existirem; (d) autoridades quando a lei o exigir; (e) operações societárias; (f) proteção de direitos — e só o necessário.

Aplicamos termos de tratamento com os prestadores. As políticas das plataformas de terceiros também se aplicam; a Tecrube não as controla.

Os subcontratantes ulteriores indicados abaixo acedem aos dados apenas para a finalidade indicada e para nenhuma outra. Os assinalados com «apenas se o ligar» não recebem nada a menos que ligue a conta correspondente. Esta lista é atualizada sempre que é adicionado um fornecedor, e as alterações são anunciadas por aviso no produto.

OpenAI, L.L.C. — Geração de texto e conteúdo, classificação. Local de tratamento: EUA. Dados transferidos: Texto do pedido (prompt): perfil da marca, contexto da campanha e, quando é pedido um rascunho de resposta, o texto da mensagem em causa. Os nomes, números de telefone e endereços de e-mail dos clientes (incluindo os que constam da mensagem) são mascarados antes do envio.

Anthropic PBC — Geração de texto e conteúdo, explicação de decisões. Local de tratamento: EUA. Dados transferidos: Texto do pedido (prompt): perfil da marca, contexto da campanha e, quando é pedido um rascunho de resposta, o texto da mensagem em causa. Os nomes, números de telefone e endereços de e-mail dos clientes (incluindo os que constam da mensagem) são mascarados antes do envio.

Google LLC (Gemini API) — Geração e resumo de texto. Local de tratamento: EUA / UE. Dados transferidos: Texto do pedido (prompt): perfil da marca, contexto da campanha e, quando é pedido um rascunho de resposta, o texto da mensagem em causa. Os nomes, números de telefone e endereços de e-mail dos clientes (incluindo os que constam da mensagem) são mascarados antes do envio.

Groq, Inc. — Geração de texto de baixa latência. Local de tratamento: EUA. Dados transferidos: Texto do pedido (prompt): perfil da marca, contexto da campanha e, quando é pedido um rascunho de resposta, o texto da mensagem em causa. Os nomes, números de telefone e endereços de e-mail dos clientes (incluindo os que constam da mensagem) são mascarados antes do envio.

OpenRouter, Inc. — Encaminhamento de modelos (apenas se um administrador o selecionar). Local de tratamento: EUA. Dados transferidos: Texto do pedido, com nomes, números de telefone e endereços de e-mail dos clientes mascarados, reencaminhado para o modelo selecionado.

Armitage Labs OÜ (Creem) — Processamento de encomendas, cobrança de pagamentos, impostos, faturação e reembolsos na qualidade de Merchant of Record. Local de tratamento: UE. Dados transferidos: Nome, e-mail, país e código postal, número de contribuinte se indicado, dados de pagamento (os dados do cartão nunca chegam à Tecrübe). Na qualidade de Merchant of Record, a Creem trata também estes dados ao abrigo da sua própria política de privacidade. Esta transferência é necessária para o funcionamento do serviço.

Google Ireland Ltd. (Google Ads, Analytics) — Veiculação e medição de anúncios — apenas se ligar a sua conta. Local de tratamento: UE / EUA. Dados transferidos: ID da conta de anúncios, dados de campanha e de conversão, através da conta que ligar.

Meta Platforms Ireland Ltd. — Veiculação de anúncios, mensagens do Instagram/Messenger — apenas se o ligar. Local de tratamento: UE / EUA. Dados transferidos: ID da conta de anúncios, dados de campanha, conteúdo das mensagens.

WhatsApp Business Platform (Meta) — Mensagens com clientes — apenas se o ligar. Local de tratamento: UE / EUA. Dados transferidos: Número de telefone e conteúdo das mensagens.

TikTok Technology Ltd. — Veiculação de anúncios — apenas se o ligar. Local de tratamento: UE / Singapura. Dados transferidos: ID da conta de anúncios e dados de campanha.

Microsoft Ireland Operations Ltd. (Microsoft Advertising) — Veiculação e medição de anúncios — apenas se o ligar. Local de tratamento: UE / EUA. Dados transferidos: ID da conta de anúncios, dados de campanha e de conversão.

Fornecedores de início de sessão (Google, Apple, Meta, LinkedIn, X) — Início de sessão único — apenas se o utilizar. Local de tratamento: EUA / UE. Dados transferidos: Nome, e-mail e ID de utilizador do fornecedor.

DGN Teknoloji A.Ş. (centro de dados e alojamento de servidores) — Alojamento do servidor onde funcionam a aplicação, a base de dados e as cópias de segurança. Local de tratamento: Turquia. Dados transferidos: Todos os dados tratados pelo serviço; palavras-passe e chaves dos fornecedores encriptadas. Esta transferência é necessária para o funcionamento do serviço.

Serviço de correio do próprio servidor (SMTP, no mesmo alojamento) — E-mails transacionais: verificação, lembretes de pagamento e de renovação, alertas. Se for adotado um fornecedor de e-mail externo, é acrescentado a esta lista com o respetivo nome. Local de tratamento: Turquia. Dados transferidos: Endereço de e-mail e conteúdo da mensagem. Esta transferência é necessária para o funcionamento do serviço.

10. Transferências internacionais

Os dados podem ser tratados na Türkiye, no EEE, nos EUA ou noutros países com infraestrutura. Sem decisão de adequação usamos CCT do RGPD, IDTA/Addendum do Reino Unido, art. 9.º KVKK e medidas complementares se necessário.

As transferências podem ser inerentes a um SaaS global e a plataformas integradas. Ao usar o Serviço reconhece-as, sem prejuízo das regras locais obrigatórias de consentimento.

11. Conservação

Conservamos dados enquanto a conta e o contrato estiverem ativos; pelos prazos legais de faturação/impostos; e o necessário para litígios e registos de segurança.

Quando o fim cessa, os dados são apagados, destruídos, anonimizados ou arquivados legalmente. A eliminação dos backups conclui-se num ciclo técnico razoável.

Prazos de eliminação automática: registos de sessão revogados ou expirados 30 dias; registos de redefinição de palavra-passe, verificação de e-mail e autorização 7 dias; notificações enviadas 90 dias (as que contêm ligação de redefinição 7 dias); registos de chamadas do assistente (MCP) 1 ano; mensagens de contacto do site, conversas com o assistente e caixa de entrada de clientes 2 anos (de imediato se a conta for eliminada); inscrições na lista de espera 1 ano. Depois são eliminados automaticamente. Os registos de auditoria são anonimizados após 2 anos e eliminados após 5 anos.

Os pedidos de apagamento são concluídos no prazo máximo de 30 dias. As faturas são emitidas e conservadas pelo nosso Merchant of Record, a Creem, ao abrigo das suas próprias obrigações legais; Hero Invest Ltd conserva os seus registos de faturação e contabilidade durante 6 anos a contar do fim do exercício contabilístico em causa, conforme exige a legislação societária e fiscal do Reino Unido (Companies Act 2006 ss.386–388 e regras de conservação de registos da HMRC), limitados aos dados exigidos por lei. Quando uma conta é eliminada, os registos dos consentimentos dados são conservados para efeitos de prova com um hash irreversível do seu e-mail e não com o endereço propriamente dito.

12. Segurança

Aplicamos TLS, controlo de acesso, autorização, registo, cifra quando adequado, segregação de ambientes e monitorização. Nenhum sistema é 100% seguro.

Notificamos incidentes conforme a lei. Continua responsável pela segurança da conta (palavra-passe, 2FA, chaves API).

13. Os seus direitos (global)

Consoante a lei aplicável: acesso, retificação, apagamento, limitação, oposição, portabilidade, retirada do consentimento e reclamação junto de uma autoridade (p. ex. autoridade turca, APD do EEE, ICO).

Ao abrigo de leis estaduais dos EUA como CCPA/CPRA (se aplicável): saber, apagar, corrigir, recusar venda/partilha e não discriminação. Pedidos: info@tecrube.com.

Podemos verificar a identidade. Pedidos infundados, repetitivos ou excessivos podem ser recusados ou cobrados. Os prazos seguem a lei aplicável (tipicamente 30 dias / prazo legal CCPA).

Pode descarregar uma cópia legível por máquina dos seus dados em ficheiro ZIP no painel, em Definições › Segurança › «Descarregar os meus dados» (no máximo 3 vezes em 24 horas). Pode retirar ou voltar a dar a qualquer momento o consentimento para e-mails de marketing no interruptor Definições › Notificações › «E-mails de marketing»; os e-mails de conta, segurança e faturação não são afetados.

A forma de eliminar os dados recebidos das suas contas Meta (Facebook, Instagram, WhatsApp) é explicada na página Instruções para eliminação de dados.

14. Crianças

O Serviço não se destina a menores de 18 anos. Não recolhemos intencionalmente dados de crianças. Se recolhidos por erro, apagamo-los. Pais/tutores: info@tecrube.com.

15. Sites de terceiros e Do Not Track

As ligações externas regem-se pelas respetivas práticas de privacidade; a Tecrube não é responsável por elas.

Não há resposta setorial uniforme aos sinais Do Not Track; não garantimos resposta uniforme salvo exigência legal.

16. Alterações

Podemos atualizar esta Política. A versão atual é publicada com data «Atualizado». Alterações materiais podem ser notificadas por e-mail ou no produto.

O uso continuado após uma alteração constitui aceitação. Se discordar, encerre a conta e deixe de usar o Serviço.

17. Contacto

Pedidos de privacidade e dados: info@tecrube.com. É também o canal principal para avisos formais de privacidade.