Política de privacidade

1. Responsável pelo tratamento

O responsável pelo tratamento dos teus dados pessoais é a SifG22, titular do domínio sifg.net e dos subdomínios e serviços associados, incluindo a plataforma de exames SifG Area, gerida operacionalmente pela SifG Edu.

Se no futuro for formalmente designado um Encarregado da Proteção de Dados (DPO), o seu contacto será publicado nesta secção.

2. Âmbito e serviços abrangidos

Esta política aplica-se a todos os serviços prestados pela SifG22, em particular:

• sifg.net e subdomínios institucionais (blog, help, status).
• SifG Area (area.sifg.net): plataforma de exames online gerida pela SifG Edu. Permite a realização, gestão e correção de provas, bem como o acompanhamento do progresso do utilizador.
• SifG Edu (edu.sifg.net): serviços educativos do ecossistema.
• SifG22 para Windows, distribuída através da Microsoft Store.
• Os restantes produtos e serviços identificados com a marca SifG22.

Alguns serviços podem dispor de políticas específicas que completam ou concretizam a presente política. Em caso de discrepância, prevalecerá a política específica do serviço em causa.

3. Dados pessoais que tratamos

Detalhamos a seguir as categorias de dados que tratamos. Recolhemos apenas os dados necessários para prestar o serviço e respeitamos em todo o momento os princípios da minimização, da limitação da finalidade e da exatidão do artigo 5.º do RGPD.

3.1 Dados de conta (registo com email e palavra-passe)

• Identificadores: nome ou nome de utilizador, endereço de correio eletrónico.
• Palavra-passe: nunca é armazenada em texto simples. Guarda-se unicamente o seu hash, gerado através de algoritmos modernos resistentes a ataques de força bruta (Argon2id ou bcrypt com fator de custo elevado e salt único por utilizador).
• Dados opcionais: foto de perfil, biografia, preferências da app.

3.2 Início de sessão com fornecedores externos (Google e GitHub)

Quando escolhes aceder com Google ou GitHub através de OAuth 2.0 / OpenID Connect, recebemos do fornecedor apenas os dados estritamente necessários para criar ou associar a tua conta:

• Google: identificador único da Google, endereço de correio eletrónico, nome e foto de perfil pública (quando os autorizas).
• GitHub: identificador único do GitHub, nome de utilizador, endereço de correio eletrónico (se o tiveres tornado público ou autorizares o acesso) e avatar.

Não acedemos a contactos, repositórios privados, ficheiros, mensagens nem a qualquer outra informação da tua conta Google ou GitHub. A autenticação é feita diretamente junto do fornecedor: nunca conhecemos a tua palavra-passe da Google nem do GitHub.

3.3 Dados gerados pela utilização da SifG Area

• Exames e provas: exames em que te inscreves, datas, tempos despendidos, respostas e pontuações obtidas.
• Progresso académico: estatísticas e métricas de evolução dentro da plataforma.
• Configuração da conta: estabelecimento de ensino, disciplina, ano ou equipa, se os introduzires.

3.4 Dados técnicos e de segurança

• Endereço IP e geolocalização aproximada (a nível de país/cidade) derivada do IP.
• Informação do dispositivo e do navegador (User Agent, sistema operativo, idioma).
• Datas e horas de acesso, eventos de segurança (tentativas falhadas, alterações de palavra-passe).
• Dados armazenados em cookies e tecnologias semelhantes, conforme detalhado na Política de cookies.

3.5 Comunicações

Se nos contactares (por correio eletrónico, formulário ou centro de ajuda), tratamos o conteúdo da mensagem e os dados de identificação que forneceres para dar resposta ao teu pedido.

4. Para que usamos os teus dados

• Criar e gerir a tua conta (identificação, autenticação, associação ao Google ou GitHub, se assim o escolheres).
• Prestar o serviço: acesso à SifG Area, realização de exames, armazenamento de resultados, progresso, configurações e preferências.
• Comunicar contigo sobre incidências, atualizações essenciais, recuperação da palavra-passe ou alterações relevantes à política.
• Responder a pedidos e consultas através do centro de ajuda e do email de suporte.
• Garantir a segurança do serviço: prevenção de fraude, deteção de abusos, monitorização de incidentes e resposta a acessos não autorizados.
• Cumprir obrigações legais: contabilísticas, fiscais, de proteção de dados ou pedidos de autoridades competentes.
• Melhorar o serviço: análise estatística agregada e anonimizada da utilização, sem definição de perfis individuais.

Não utilizamos os teus dados para fins publicitários, nem os vendemos, nem os cedemos a anunciantes ou data brokers. Não realizamos definição de perfis com efeitos jurídicos nem decisões automatizadas significativas (ver secção 11).

5. Base legal do tratamento

Tratamos os teus dados com base nos seguintes fundamentos jurídicos previstos no artigo 6.º do RGPD:

• Execução de um contrato (art. 6.º, n.º 1, al. b) RGPD): a criação da conta, o acesso à SifG Area e a prestação do serviço constituem um contrato entre o utilizador e a SifG22.
• Consentimento (art. 6.º, n.º 1, al. a) RGPD): para tratamentos opcionais, como comunicações promocionais ou cookies não necessários. Podes retirá-lo a qualquer momento, sem que isso afete a licitude do tratamento anterior.
• Interesse legítimo (art. 6.º, n.º 1, al. f) RGPD): para garantir a segurança da plataforma, prevenir a fraude e manter a integridade dos exames.
• Obrigação legal (art. 6.º, n.º 1, al. c) RGPD): quando uma norma nos exija conservar ou comunicar determinados dados.

6. Prazos de conservação

Conservamos os teus dados apenas durante o tempo necessário para as finalidades descritas:

• Dados de conta e da SifG Area: enquanto a conta estiver ativa.
• Após a eliminação da conta: os teus dados são anonimizados ou apagados, exceto aqueles que devamos conservar bloqueados por obrigações legais ou para a declaração, exercício ou defesa de direitos num processo judicial, durante os prazos legalmente estabelecidos.
• Registos de segurança e de acesso: até 12 meses, salvo se forem identificados incidentes que justifiquem a sua conservação adicional.
• Comunicações de suporte: o tempo necessário para responder ao pedido e, posteriormente, até 24 meses para fins de qualidade e rastreabilidade.
• Decisão sobre cookies: até 12 meses, de acordo com as recomendações da AEPD.

Se a tua conta permanecer inativa durante um período prolongado, podemos contactar-te e, na falta de resposta, eliminá-la automaticamente para minimizar os dados.

7. Destinatários e comunicações

A SifG22 não vende, aluga nem cede os teus dados pessoais a terceiros para fins comerciais. Também não os partilhamos com anunciantes, redes publicitárias nem plataformas de marketing.

Os teus dados poderão ser comunicados a:

• Subcontratantes que prestam serviços à SifG22 (alojamento, envio de correio transacional, monitorização de segurança, autenticação com terceiros). Atuam em nome da SifG22 e ao abrigo de um contrato de subcontratação nos termos do artigo 28.º do RGPD. Ver secção 8.
• Autoridades competentes: juízes, tribunais, forças e serviços de segurança ou administrações públicas, quando exista uma obrigação legal, uma decisão judicial ou um pedido válido.
• Fornecedores de identidade federada (Google e GitHub): se decidires iniciar sessão com um deles, ocorre uma troca mínima de dados para te autenticar. Esta comunicação rege-se também pelas políticas de privacidade da Google e do GitHub.

8. Subcontratantes

A SifG22 recorre a fornecedores tecnológicos de confiança para prestar o serviço. Estes apenas tratam os teus dados por conta da SifG22, de acordo com as suas instruções, com as medidas de segurança adequadas e os compromissos de confidencialidade exigidos pelo RGPD.

Categorias habituais de subcontratantes: alojamento na nuvem, bases de dados, envio de correio transacional, autenticação, monitorização e observabilidade. A lista atualizada de fornecedores e dos países a partir dos quais prestam o serviço pode ser solicitada para support@sifg.net.

9. Transferências internacionais

Alguns fornecedores com quem trabalhamos (por exemplo, a Google ou o GitHub para o início de sessão federado) podem tratar dados em países situados fora do Espaço Económico Europeu. Quando tal acontece, garantimos um nível de proteção equivalente ao europeu através de:

• Decisões de adequação da Comissão Europeia (por exemplo, o EU-US Data Privacy Framework).
• Cláusulas contratuais-tipo aprovadas pela Comissão Europeia.
• Outras garantias adequadas previstas nos artigos 46.º e 49.º do RGPD.

10. Segurança dos dados

A SifG22 aplica medidas técnicas e organizativas adequadas para garantir a confidencialidade, integridade e disponibilidade dos dados, nos termos do artigo 32.º do RGPD, entre as quais:

• Comunicações cifradas através de HTTPS/TLS.
• Armazenamento de palavras-passe unicamente como hash (Argon2id / bcrypt) com salt aleatório por utilizador.
• Controlo de acessos por funções e princípio do privilégio mínimo.
• Registo e monitorização de eventos críticos.
• Atualizações de segurança periódicas e revisões de dependências.
• Cópias de segurança cifradas e políticas de retenção.
• Procedimentos de resposta a incidentes e de notificação à AEPD e aos utilizadores afetados, se for caso disso, num prazo máximo de 72 horas, nos termos dos artigos 33.º e 34.º do RGPD.

Apesar destas medidas, nenhum sistema é absolutamente infalível: pedimos-te que utilizes palavras-passe robustas e que não as partilhes com terceiros.

11. Decisões automatizadas

Alguns exames na SifG Area são corrigidos de forma automatizada (perguntas de escolha múltipla, respostas com chave objetiva, etc.). Esta correção automática não produz efeitos jurídicos nem te afeta significativamente na aceção do artigo 22.º do RGPD, uma vez que poderás sempre solicitar a revisão humana dos resultados junto do docente, estabelecimento ou gestor responsável pelo exame.

Não realizamos definição de perfis para fins publicitários, nem classificações que limitem o acesso a serviços ou direitos.

12. Os teus direitos

Enquanto titular dos dados, tens direito a:

• Aceder aos dados pessoais que tratamos sobre ti.
• Retificar os dados inexatos ou incompletos.
• Apagar os dados quando já não forem necessários ou quando retirares o teu consentimento.
• Limitar o tratamento em determinadas situações.
• Opor-te ao tratamento baseado no interesse legítimo.
• Transferir os teus dados para outro responsável, num formato estruturado, de uso corrente e de leitura automática.
• Retirar o consentimento a qualquer momento, sem efeito retroativo.
• Não ficar sujeito a decisões automatizadas com efeitos jurídicos.

Podes exercer estes direitos escrevendo para support@sifg.net ou a partir do centro de ajuda. Responderemos ao teu pedido no prazo máximo de um mês, prorrogável por mais dois meses em casos especialmente complexos.

Se considerares que os teus direitos não foram devidamente atendidos, podes apresentar uma reclamação junto da Agencia Española de Protección de Datos (AEPD), autoridade de controlo em Espanha.

13. Cookies e tecnologias semelhantes

A utilização de cookies nos nossos sítios e aplicações rege-se pela Política de cookies, que detalha que cookies utilizamos, com que finalidade e como os podes gerir ou revogar o consentimento a qualquer momento.

14. Menores de idade

Uma vez que a SifG Edu e a SifG Area se destinam ao âmbito educativo, parte dos alunos pode ser menor de idade. Nos termos do artigo 7 da LOPDGDD, em Espanha o tratamento de dados pessoais de um menor de 14 anos requer o consentimento dos titulares das responsabilidades parentais ou da tutela.

Os estabelecimentos de ensino que utilizem a SifG Area com alunos menores de 14 anos são responsáveis por obter esse consentimento, bem como por informar previamente sobre o tratamento. Nestes casos, a SifG22 atuará como subcontratante do estabelecimento, mediante o correspondente contrato.

Se tiveres conhecimento de que um menor de 14 anos forneceu dados sem o consentimento dos pais ou tutores, comunica-no-lo para support@sifg.net e procederemos à sua eliminação.

15. Alterações à política

A SifG22 poderá atualizar esta Política de privacidade para a adaptar a alterações normativas, jurisprudenciais ou do serviço. Quando as alterações forem substanciais, comunicá-las-emos de forma destacada (banner, correio eletrónico ou aviso na aplicação) com uma antecedência razoável. A data da última atualização aparece no início desta página.

16. Contacto e reclamações

Para qualquer questão sobre privacidade, exercício de direitos ou reclamação, podes contactar-nos através de:

• Correio eletrónico: support@sifg.net
• Centro de ajuda: help.sifg.net
• Formulário de contacto: Sobre nós

Adicionalmente, tens o direito de apresentar uma reclamação junto da Agencia Española de Protección de Datos (AEPD) se entenderes que o teu direito à proteção de dados foi violado.