Política de privacidade

1. Dois papéis

Organizações (explicadores, centros de explicações e escolas) utilizam o ExplicaHub para gerirem o seu trabalho, por isso tratamos dados pessoais em dois papéis.

Como responsável pelo tratamento, quanto aos dados de que precisamos para fazer funcionar o ExplicaHub: contas, início de sessão e segurança, os emails que enviamos sobre a sua conta e os seus contactos connosco. Esta política abrange esses dados por inteiro.

Como subcontratante, quanto aos dados que uma organização guarda sobre os seus alunos, encarregados de educação e equipa. A organização é a responsável pelo tratamento desses dados e decide o que guarda e para quê. Tratamo-los por conta dela, nos termos do tratamento de dados dos nossos Termos de utilização (secção 14). Se for aluno, encarregado de educação ou membro da equipa de uma organização, contacte primeiro a organização sobre esses dados. Se nos escrever, encaminhamos o seu pedido para a organização.

2. Quem somos

Somos a equipa que gere o ExplicaHub.

Contacto para questões de privacidade: ola@explicahub.com.

3. O que recolhemos quando utiliza o ExplicaHub

• Conta: o seu nome, endereço de email, idioma e fuso horário; a sua palavra-passe, guardada apenas como resumo criptográfico (hash) Argon2id, que não permite lê-la; para a autenticação de dois fatores, o segredo da aplicação autenticadora (cifrado) e os seus códigos de recuperação (guardados apenas como resumos criptográficos); quando aceitou os nossos termos e qual a versão.
• Início de sessão e segurança: para cada dispositivo com sessão iniciada, uma sessão com o endereço IP, a descrição do navegador (user agent), quando começou e quando foi usada pela última vez; as ligações de utilização única que lhe enviamos por email (para confirmar o email, repor a palavra-passe ou iniciar sessão), guardadas apenas como resumos criptográficos; e os nossos registos técnicos dos pedidos feitos aos nossos servidores (endereço, hora, o que foi pedido e o resultado), sem tokens nem palavras-passe.
• Participação em organizações: as organizações a que pertence e a sua função em cada uma. Para os explicadores, o perfil que a organização mostra: nome, fotografia, apresentação, disciplinas, níveis, horário de trabalho e fornecedor de videochamadas.
• Contas ligadas, apenas se ligar alguma: o endereço de email da conta, os tokens de acesso que o fornecedor nos dá (cifrados), a lista dos seus calendários, os períodos ocupados (início, fim e título) dos calendários que escolher consultar, e os eventos e reuniões que criamos para as suas aulas.
• Os seus contactos connosco: o que nos escreve e as nossas respostas.
• Relatórios de erro: quando a app falha no seu navegador, pode enviar-nos um relatório técnico (o erro, a página e uma referência do pedido), sem endereços de email, tokens nem o que foi escrito nos formulários.

Não utilizamos ferramentas de análise nem de publicidade, e não vendemos dados pessoais.

4. O que as organizações guardam no ExplicaHub

Como subcontratante, guardamos o que cada organização decide guardar. Normalmente:

• alunos: nome, data de nascimento, contactos, morada, escola e nível, fotografia, estado, etiquetas e campos personalizados, notas privadas, documentos e os explicadores atribuídos;
• encarregados de educação: nome, parentesco, contactos, morada e os alunos a que estão ligados; famílias;
• aulas: datas, explicador, participantes, presenças, cancelamentos, registos de aulas (matéria dada, resumos, notas) e ligações de videochamada;
• pagamentos: preços, o que está em dívida, o que foi pago e como, pacotes, créditos e planos. O ExplicaHub não trata dados de cartões nem de contas bancárias;
• equipa: nomes, contactos, funções, perfis e horários de trabalho dos membros;
• o histórico de alterações (registo de auditoria): quem alterou o quê, e quando.

As informações de privacidade da própria organização explicam como os utiliza.

5. Para que utilizamos os seus dados, e com que fundamento

• Para prestar o serviço ExplicaHub: criar e proteger a sua conta, iniciar a sua sessão, mostrar-lhe as suas organizações, enviar os emails de que o serviço precisa e sincronizar as contas que ligar. Fundamento: execução do contrato consigo (RGPD, artigo 6.º, n.º 1, alínea b)).
• Para manter o serviço ExplicaHub seguro e a funcionar: as sessões e a lista dos seus dispositivos, limites a tentativas repetidas, registos técnicos, cópias de segurança, relatórios de erro e prevenção de abusos. Fundamento: o nosso interesse legítimo num serviço seguro e fiável (alínea f)).
• Para lhe responder e prestar apoio. Fundamento: execução do contrato, ou o nosso interesse legítimo.
• Para cumprir obrigações legais, por exemplo conservar registos contabilísticos ou responder às autoridades. Fundamento: obrigação jurídica (alínea c)).

Não enviamos emails de marketing. Se algum dia o quisermos fazer, pedimos primeiro o seu consentimento.

Não tomamos decisões sobre si baseadas exclusivamente em tratamento automatizado que produzam efeitos jurídicos ou que o afetem de forma igualmente significativa.

6. Cookies e armazenamento no seu navegador

O ExplicaHub utiliza apenas o que precisa para funcionar, por isso não pede consentimento para cookies:

• sid: a sua sessão, para se manter com a sessão iniciada. Não pode ser lido por scripts, só é enviado em ligações seguras e termina quando termina a sessão, ao fim de 14 dias sem utilização e, no máximo, ao fim de 90 dias;
• XSRF-TOKEN: protege o que envia contra pedidos forjados a partir de outros sítios (cross-site request forgery);
• o armazenamento do navegador, para as suas preferências e o trabalho em curso nesse dispositivo: o idioma, a última organização que abriu, a vista do calendário, se o menu lateral está recolhido, rascunhos de registos de aulas e os passos de formulários que não terminou.

Pode apagá-los no seu navegador a qualquer momento. Terá depois de iniciar sessão de novo.

7. Com quem partilhamos dados

Os nossos prestadores de serviços (subcontratantes ulteriores), que alojam e fazem funcionar o ExplicaHub por nossa conta, apenas na medida do necessário e com contratos que protegem os dados:

• chaves de cifra: Amazon Web Services (AWS Key Management Service);
• o nosso site, explicahub.com, e a contagem das suas visitas: Cloudflare (Cloudflare Pages e Cloudflare Web Analytics), na sua rede mundial (secção 14).

Google, Microsoft e Zoom, apenas quando liga uma conta, e apenas o que a ligação exige: as aulas que acrescentamos ao seu calendário (o serviço, a hora, o local ou a ligação de videochamada e, se o escolher nas definições de sincronização, os nomes dos alunos e, no caso da Google, os endereços de email das famílias como convidados), e as reuniões que criamos. Estas empresas atuam como responsáveis pelo tratamento independentes, nos termos das suas próprias políticas de privacidade.

As organizações a que pertence: o responsável e a equipa veem o seu nome, função e perfil, conforme as suas funções permitem.

Os visitantes de uma página de marcações, se publicar uma: o que a página mostra.

As autoridades, quando a lei o exige.

8. Transferências para fora do Espaço Económico Europeu

Escolhemos fornecedores que guardam os dados no Espaço Económico Europeu. Quando os dados saem dele, por exemplo quando liga uma conta Google, Microsoft ou Zoom, só os transferimos para um país abrangido por uma decisão de adequação da Comissão Europeia (como os Estados Unidos, para empresas certificadas no Quadro de Privacidade de Dados UE-EUA) ou ao abrigo das cláusulas contratuais-tipo da Comissão Europeia, com as medidas adicionais que estas exijam.

9. Durante quanto tempo guardamos os dados

• Conta: enquanto a sua conta existir. Se nos pedir que a apaguemos, fazemo-lo no prazo de 30 dias, exceto o que a lei nos obrigue a conservar.
• Sessões: terminam ao fim de 14 dias sem utilização e, no máximo, ao fim de 90 dias. As sessões terminadas são apagadas todos os dias.
• Ligações de utilização única (confirmação de email, reposição da palavra-passe, início de sessão): expiram, e as expiradas são apagadas todos os dias.
• Contas ligadas: até as desligar. Os tokens são então apagados, tal como os períodos ocupados importados dessa conta.
• Cópias de segurança: cifradas e guardadas fora dos nossos servidores. Guardamos as últimas 7 cópias diárias, e as cópias mais antigas são removidas do armazenamento no prazo de 30 dias. Os dados apagados do ExplicaHub desaparecem assim das cópias de segurança no prazo de cerca de 37 dias.
• Dados das organizações: enquanto a organização utilizar o ExplicaHub, conforme ela decidir. Quando uma organização encerra, apagamos os seus dados depois de passarem os 30 dias de que dispõe para pedir uma cópia (Termos de utilização, secção 11), e os dados desaparecem depois das cópias de segurança à medida que estas expiram.

10. Segurança

• Todas as ligações são cifradas (HTTPS).
• As palavras-passe são guardadas como resumos criptográficos Argon2id, e as sessões, as ligações de utilização única e os códigos de recuperação também apenas como resumos criptográficos.
• Os segredos das aplicações autenticadoras e os tokens das contas ligadas são cifrados, com chaves guardadas num serviço de gestão de chaves.
• Os dados de cada organização são mantidos separados pela própria base de dados (segurança ao nível da linha), além das verificações da app.
• A autenticação de dois fatores está disponível para todas as contas.
• As cópias de segurança são cifradas e guardadas num fornecedor diferente do dos nossos servidores.
• Os códigos de utilização única das ligações enviadas por email são retirados da barra de endereço e dos nossos registos.
• Só as pessoas que precisam de acesso para fazer funcionar o serviço acedem aos nossos servidores.

11. Os seus direitos

Nos termos do RGPD, tem o direito de:

• aceder aos seus dados pessoais e obter uma cópia;
• pedir a sua retificação;
• pedir o seu apagamento;
• limitar a sua utilização, ou opor-se a ela, em especial quando nos baseamos no nosso interesse legítimo;
• receber os dados que nos forneceu num formato de leitura automática e transmiti-los a outro responsável pelo tratamento;
• retirar um consentimento a qualquer momento, quando nos baseamos no consentimento.

Pode ver e corrigir a maior parte da sua conta na app, em A minha conta. Para tudo o resto, escreva para ola@explicahub.com. Respondemos no prazo de um mês e podemos pedir-lhe que confirme a sua identidade.

Quanto aos dados que uma organização guarda sobre si (secção 4), contacte essa organização: é ela que decide o pedido, e nós ajudamo-la.

Pode também apresentar reclamação à Comissão Nacional de Proteção de Dados (cnpd.pt) ou à autoridade de controlo do país da União Europeia onde vive ou trabalha.

12. Crianças

As contas da equipa destinam-se a pessoas com 18 ou mais anos. As organizações podem guardar dados de alunos que são crianças e dar-lhes acesso à app. Cabe à organização informar os pais ou encarregados de educação e, quando a lei o exija, obter o seu consentimento; em Portugal, antes de dar acesso a uma criança com menos de 13 anos. Utilizamos os dados das crianças apenas para prestar o serviço à organização, nunca para marketing nem para definição de perfis. Uma página de marcações nunca mostra dados de alunos.

13. Alterações a esta política

Quando alterarmos esta política, publicamos aqui a nova versão com a sua data e avisamos das alterações importantes por email ou na app antes de se aplicarem.

14. O nosso site

O site explicahub.com apresenta o serviço. É alojado pela Cloudflare (Cloudflare Pages), que, como qualquer servidor, recebe o endereço IP e o navegador de quem o visita para lhe poder entregar as páginas.

• O site não usa cookies, não guarda nada no seu navegador e não tem publicidade nem ferramentas de seguimento.
• Contamos as visitas com o Cloudflare Web Analytics, sem cookies: a página vista, a página de onde veio, o país, o navegador, o tipo de dispositivo e o tempo que a página levou a abrir. Não cria um perfil de ninguém nem segue uma pessoa de um site para outro.
• O site não tem formulários. Para pedir uma demonstração, o botão leva-o ao formulário do serviço, e o que lá escrever é tratado como descreve esta política.

Fazemo-lo com base no nosso interesse legítimo em manter o site disponível e seguro e em saber que páginas são lidas.

15. Contacto

Escreva-nos para ola@explicahub.com.