Política de Privacidade do AssinaJá
Versão: 2.0
Em vigor desde: 10 de outubro de 2026
Esta Política explica que dados pessoais tratamos quando utiliza o sítio assinaja.pt, a plataforma AssinaJá (aplicação web, API, add-ins, extensões e aplicações) ou quando recebe um documento para assinar através dela, para que finalidades, com que fundamento, com quem os partilhamos, durante quanto tempo os conservamos e que direitos tem.
1. Quem é o responsável
RMB Sistemas de Informação, Lda. ("RMB"), NIF PT507175794, Rua das Hortas, 434, 4415-650 Vila Nova de Gaia, Portugal.
- Contacto para questões de privacidade e exercício de direitos: [email protected] (assunto "Proteção de Dados").
2. Quando somos responsáveis e quando tratamos dados por conta de um cliente
- Somos responsáveis pelo tratamento dos dados da sua conta, da faturação, da segurança e prevenção de fraude, dos dados de utilização da plataforma, das comunicações que lhe enviamos e das evidências que a lei nos obriga a conservar.
- Tratamos dados por conta do nosso cliente (somos "subcontratante") quanto ao conteúdo dos documentos e aos dados dos destinatários que uma organização carrega ou indica na plataforma. Nesse caso, a organização que lhe enviou o documento é a responsável pelo tratamento e deve informá-lo; nós seguimos as suas instruções, nos termos do Acordo de Subcontratação (Anexo I dos Termos de Utilização).
3. Que dados tratamos, para quê e com que fundamento
3.1 Utilizadores registados
| Finalidade | Dados | Fundamento (RGPD, art. 6.º, n.º 1) |
|---|---|---|
| Criar e gerir a conta, autenticação (incluindo início de sessão com Microsoft ou Google) | Nome, apelido, email, idioma, palavra-passe (cifrada), identificadores do fornecedor de autenticação | Execução do contrato — al. b) |
| Prestar o serviço: carregar, preparar, enviar, assinar e arquivar documentos | Documentos e o seu conteúdo, campos, assinaturas manuscritas guardadas, dados dos destinatários que indicar | Execução do contrato — al. b) |
| Assinatura com Chave Móvel Digital, SCAP ou certificado próprio | Nome, número de identificação civil ou fiscal constante do certificado, telemóvel, certificado público e atributos profissionais | Execução do contrato — al. b) |
| Faturação e pagamentos | Nome, email, NIF, morada, telefone da organização; histórico de compras. Os dados do cartão são tratados diretamente pela Stripe e não chegam a nós | Obrigação legal — al. c) e execução do contrato — al. b) |
| Verificação do telemóvel no Plano Gratuito e prevenção de abuso (incluindo Cloudflare Turnstile) | Número de telemóvel, código de verificação, endereço IP | Interesse legítimo em prevenir fraude e abuso — al. f) |
| Segurança, registos de auditoria e investigação de incidentes | Endereço IP, user-agent, data e hora das ações, identificadores técnicos | Interesse legítimo em proteger a plataforma — al. f) |
| Funcionamento e melhoria da plataforma com base em dados técnicos | Dados de utilização (tempos, erros, funcionalidades usadas, tipo e tamanho de ficheiro) — sem conteúdo dos documentos | Interesse legítimo — al. f) |
| Comunicações de gestão do serviço (segurança, faturação, alterações contratuais, avisos sobre a conta) | Nome, email, plano | Execução do contrato — al. b) |
| Comunicações comerciais sobre planos e serviços pagos e sugestões de utilização, com base na utilização da conta | Nome, email, plano, utilização agregada da conta | Para quem nunca comprou: consentimento — al. a). Para clientes que já compraram: interesse legítimo em promover serviços análogos — al. f). Pode recusar gratuitamente em cada mensagem |
| Medição de audiência (Google Analytics) e memorização no browser da campanha por que chegou | Identificadores de cookies, páginas visitadas, origem da visita (parâmetros de campanha) | Consentimento — al. a), dado no banner de cookies |
| Registar na conta a campanha do link com que se registou (por exemplo, "linkedin"), para medir a eficácia das nossas campanhas | Origem, meio e nome da campanha indicados no link de registo — nada é guardado no seu browser para este efeito | Interesse legítimo — al. f) |
| Funcionalidades de IA que decide usar (explicação de documentos, editor automático) | Texto do documento selecionado e a conversa | Execução do contrato — al. b), após aceitação dos termos próprios da funcionalidade |
| Pesquisa pelo conteúdo dos documentos (quando a ativa) | Texto extraído das páginas e miniaturas | Execução do contrato — al. b) |
| Programa de Melhoria (apenas se aderir) | Documentos que escolher partilhar | Consentimento — al. a), revogável a qualquer momento |
| Prova das assinaturas e defesa de direitos | Evidências de assinatura e registos de auditoria | Obrigação legal — al. c) e interesse legítimo na declaração, exercício ou defesa de direitos — al. f) |
3.2 Signatários e destinatários sem conta
Se recebeu um documento para assinar ou consultar, tratamos o seu nome, email, telemóvel (quando indicado), número de identificação (quando exigido pelo método de assinatura), o endereço IP, o user-agent, a data e hora de cada ação, o consentimento que deu ao assinar e a sua assinatura.
Estes dados foram-nos indicados pela pessoa ou organização que lhe enviou o documento, que é a responsável pelo seu tratamento. Usamo-los para lhe enviar o documento, autenticá-lo, recolher a assinatura e gerar as evidências e o relatório de conclusão que provam a assinatura. As evidências são conservadas nos termos da secção 6.
3.3 Visitantes do sítio web
Tratamos os dados técnicos necessários para lhe mostrar o sítio (endereço IP, tipo de dispositivo e browser) e, apenas com o seu consentimento, dados de medição de audiência e de campanhas. Se nos contactar, tratamos os dados que nos enviar para responder ao pedido (interesse legítimo ou diligências pré-contratuais).
3.4 Dados obrigatórios
Os dados assinalados como obrigatórios no registo, na compra ou no método de assinatura escolhido são necessários para celebrar e executar o contrato ou cumprir obrigações legais; sem eles não é possível prestar o serviço pedido. Os restantes são facultativos.
3.5 O que não fazemos
- Não vendemos dados pessoais.
- Não usamos o conteúdo dos seus documentos para publicidade nem para treinar modelos de inteligência artificial, salvo se aderir ao Programa de Melhoria.
- Não tomamos decisões exclusivamente automatizadas que produzam efeitos jurídicos sobre si. Os limites automáticos de segurança (por exemplo, número máximo de tentativas de verificação) podem bloquear temporariamente uma operação; pode sempre contactar-nos para revisão humana.
4. Com quem partilhamos dados
Partilhamos dados apenas com quem precisa deles para prestar o serviço, cumprir a lei ou defender direitos:
- Destinatários e signatários de um documento, na medida definida por quem o enviou.
- Prestadores de serviços (subcontratantes), vinculados por contrato a confidencialidade e segurança:
| Prestador | Serviço | Localização dos dados |
|---|---|---|
| Microsoft Azure | Alojamento, base de dados, armazenamento de ficheiros, filas, monitorização, gestão de chaves | União Europeia (Países Baixos e França) |
| Cloudflare | Rede de distribuição, proteção contra ataques, verificação anti-abuso (Turnstile) | Rede global; sede nos EUA |
| Agência para a Modernização Administrativa (AMA) | Chave Móvel Digital e SCAP | Portugal |
| Prestadores qualificados de carimbo temporal: Sectigo (Europe) S.L., IZENPE, BOSA e BalTstamp | Carimbos temporais qualificados (recebem apenas o resumo criptográfico do documento, nunca o documento nem dados pessoais) | União Europeia (Espanha, Bélgica e Lituânia) |
| ZeptoMail (Zoho) | Envio de emails | Centro de dados na União Europeia |
| Clickatell | Envio de SMS | União Europeia (Irlanda, infraestrutura Amazon Web Services); sede nos EUA |
| Stripe | Pagamentos | UE e EUA |
| InvoiceXpress | Emissão de faturas | União Europeia (Irlanda) |
| Medição de audiência (apenas com consentimento) e autenticação Google | EUA | |
| Microsoft | Autenticação Microsoft | UE e EUA |
| Anthropic | Funcionalidades de IA, apenas quando as utiliza (não usa os conteúdos para treinar modelos) | EUA (armazenamento); o processamento pode ocorrer noutras regiões |
- Autoridades públicas, tribunais e entidades reguladoras, quando a lei o exija ou para defesa de direitos.
- Adquirente ou sucessor da atividade, em caso de fusão ou transmissão, com as mesmas garantias.
Os registos técnicos de aplicação (logs) são também guardados em servidores próprios da RMB, com acesso restrito.
5. Transferências para fora do Espaço Económico Europeu
Alguns prestadores têm sede ou infraestrutura fora do Espaço Económico Europeu, em particular nos EUA. Nesses casos, a transferência assenta numa decisão de adequação da Comissão Europeia (incluindo o Quadro de Privacidade de Dados UE-EUA, para as empresas certificadas) ou em cláusulas contratuais-tipo aprovadas pela Comissão, com medidas complementares quando necessárias. Pode pedir-nos cópia das garantias aplicáveis.
6. Durante quanto tempo conservamos os dados
| Dados | Prazo |
|---|---|
| Dados da conta | Enquanto a conta existir. Ao eliminar a conta, o nome, apelido, email, telemóvel, número de identificação e as assinaturas guardadas são apagados ou anonimizados de imediato, salvo o indicado abaixo |
| Documentos | Enquanto estiverem na conta. Documentos eliminados ficam recuperáveis durante 15 dias; passado esse prazo são arquivados e, 30 dias depois, apagados de forma definitiva (o documento e os seus ficheiros). Mantêm-se apenas a trilha de auditoria e o relatório de conclusão, como prova da assinatura |
| Evidências de assinatura, relatórios de conclusão e registos de auditoria | Enquanto o documento existir e, depois, pelo prazo de prescrição dos direitos que possam provar |
| Dados de faturação | Pelo prazo legal de conservação dos documentos fiscais |
| Códigos de verificação por SMS ou email | Minutos a 24 horas após expirarem |
| Sessões de assinatura (IP, user-agent) | 30 dias |
| Registos técnicos e de monitorização | Até 90 dias |
| Conversas com funcionalidades de IA | Não são guardadas pelo AssinaJá: ficam apenas no seu browser, enquanto o separador estiver aberto, e desaparecem quando o fecha. O fornecedor de IA pode conservá-las temporariamente, nos termos da sua política, sem as usar para treinar modelos |
| Atribuição de campanha | No browser, 30 dias e só com consentimento; na conta, enquanto esta existir |
| Consentimentos aceites | Enquanto a conta existir e pelo prazo de prescrição aplicável, para provar a aceitação |
| Documentos partilhados no Programa de Melhoria | Até sair do Programa e no máximo 24 meses |
7. Os seus direitos
Pode, a qualquer momento e gratuitamente:
- aceder aos seus dados e obter uma cópia;
- retificar dados inexatos;
- apagar os seus dados, quando não sejam necessários para as finalidades indicadas ou para cumprir a lei;
- limitar o tratamento;
- receber os seus dados num formato estruturado (portabilidade), quando o tratamento se baseie em contrato ou consentimento;
- opor-se aos tratamentos baseados em interesse legítimo, incluindo comunicações de acompanhamento;
- retirar o consentimento (cookies de medição, Programa de Melhoria), sem afetar o tratamento já realizado.
Na plataforma, em Definições, pode descarregar os seus dados pessoais, consultar os consentimentos aceites e eliminar a conta. Para os restantes pedidos, escreva para [email protected]. Respondemos no prazo de um mês, prorrogável nos casos previstos na lei. Podemos pedir-lhe que confirme a sua identidade.
Se recebeu um documento de uma organização, os pedidos sobre esse documento devem ser dirigidos a essa organização; se nos contactar, encaminhamos o pedido.
Tem ainda o direito de apresentar reclamação à Comissão Nacional de Proteção de Dados (CNPD) — www.cnpd.pt.
8. Cookies e armazenamento no browser
| Nome | Para quê | Duração | Precisa de consentimento |
|---|---|---|---|
| Cookie de sessão da aplicação | Manter a sessão iniciada, a seu pedido | Até 150 dias | Não (essencial) |
aj_sign_session |
Sessão de assinatura de um documento | Fim da sessão | Não (essencial) |
.AspNetCore.Culture |
Lembrar o idioma | 1 ano | Não (funcional) |
| Armazenamento local e de sessão da aplicação | Autenticação, preferências de visualização, carrinho de compras | Até terminar a sessão ou limpar o browser | Não (essencial/funcional) |
assinaja-ga-consent |
Guardar a sua escolha sobre cookies | Até limpar o browser | Não |
aj_campaign (armazenamento local) |
Lembrar de que campanha veio | 30 dias | Sim |
_ga, _ga_* (Google Analytics) |
Medição de audiência | Até 2 anos | Sim |
| Cloudflare Turnstile | Distinguir pessoas de robôs | Sessão | Não (segurança) |
Pode alterar a sua escolha a qualquer momento através da ligação "Preferências de cookies" no rodapé.
9. Segurança
Aplicamos medidas técnicas e organizativas adequadas ao risco, incluindo cifragem das comunicações (em trânsito), cifragem do armazenamento (em repouso) pelo prestador de alojamento, controlo de acessos por perfil, registos de auditoria, cópias de segurança e separação de dados entre organizações. Nenhum sistema é totalmente invulnerável; em caso de violação de dados que implique risco, notificaremos a CNPD e, quando exigido, os titulares afetados.
10. Idade mínima
A plataforma destina-se a maiores de 18 anos e a pessoas com capacidade para contratar. Menores só a podem utilizar através dos seus representantes legais.
11. Alterações a esta Política
Podemos atualizar esta Política. Alterações relevantes são comunicadas por email ou na plataforma antes de produzirem efeitos. A versão em vigor está sempre disponível em assinaja.pt/privacy_policy.