Política de Privacidade

Última actualização: 5 de Setembro de 2026 · Versão beta

Quem é o responsável

O KARD é operado pela Criativatek (Pedro Alves). Para qualquer assunto de privacidade, escreve para [email protected].

Dois papéis diferentes

O KARD tem dois tipos de pessoas, e tratamos os dados de cada uma de forma diferente:

• Quem cria cartões (utilizadores registados) — aqui somos responsáveis pelo tratamento.
• Quem visita um cartão ou marca uma reunião — esses dados pertencem ao dono do cartão, que é o responsável pelo tratamento; o KARD guarda-os por conta dele, como subcontratante.

Contas criadas por um revendedor. Se a tua conta KARD foi criada por um parceiro (uma agência, um gráfico, quem te vendeu o cartão), ele pode entrar na tua conta para gerir os teus KARDs — e vê, lá dentro, tudo o que tu vês, incluindo os contactos que te deixarem pelo formulário. Cada entrada fica registada com a data e a hora. O que ele não pode fazer, mesmo dentro da conta: mudar a tua palavra-passe, mudar o teu email, apagar a conta ou ligar a tua agenda Google. Podes pedir-nos a qualquer momento que o desliguemos da tua conta — a conta e os KARDs continuam a ser teus.

O que recolhemos de quem cria cartões

• Conta: nome, email e palavra-passe (guardada com hash — nunca em claro).
• Conteúdo do cartão: textos, contactos, imagens e ligações que escolhes publicar. Um cartão publicado é, por definição, público.
• Ligação ao Google Calendar (opcional, para marcações): guardamos o email da conta Google ligada e os tokens de acesso cifrados, e usamo-los apenas para verificar disponibilidade e criar eventos. Podes desligar a ligação a qualquer momento.
• Origem da conta: se chegaste por um link de campanha (utm_source, utm_medium, utm_campaign) ou por outro site, guardamos essa origem na sessão e associamo-la à conta no registo. Serve só para sabermos que campanhas trazem contas — não depende de aceitares a medição da landing.
• Relatórios de bug (quem tem conta): se reportares um problema, guardamos a descrição, um screenshot do ecrã que vês antes de enviar, o URL, o browser e as últimas mensagens da consola. O relatório vira uma issue num repositório privado no GitHub, sem o teu nome nem email. Relatórios resolvidos são apagados, com as imagens, 90 dias depois de resolvidos; os que ainda estão por tratar mantêm-se.

O que recolhemos de quem visita um cartão

• Formulário de contacto: o que o visitante escrever (nome, email e campos que o dono do cartão tiver configurado), a data e o texto exacto de consentimento que aceitou. Guardamos também um hash do endereço IP com uma chave secreta (nunca o IP em claro) para prevenção de abuso.
• Marcações (quando o cartão tem esse bloco): nome, email, telefone, mensagem, data e hora, e o mesmo hash do IP. Estes dados são enviados ao Google Calendar do dono do cartão para criar o evento — é a Google que envia o convite por email a quem marcou. Ficam guardados até o dono os apagar, tal como os contactos do formulário.
• Contagem de visitas: números agregados por dia, sem perfil individual de quem visita.

Medição e cookies

A página inicial (kard.pt) usa o Google Analytics, mas só depois de carregares em «Aceitar» num aviso — sem essa resposta, o script nunca chega a carregar. Se aceitares, a Google põe cookies (_ga, _ga_*, ~2 anos) para medir visitas. A tua escolha fica guardada no telemóvel ou computador (não num cookie); podes mudá-la a qualquer momento no link «Cookies» no rodapé da página, que reabre o aviso.

Além disso, contamos quantas visitas chegam a cada secção da página inicial — por exemplo, quantas descem até aos exemplos. Essa contagem é feita por nós, sem cookies, sem guardar o teu endereço IP e sem nada que te identifique: fica só um número por dia e por secção. Por não haver forma de te associar a esses números, não depende da tua resposta ao aviso de cookies.

Os cartões publicados e o painel de edição não têm medição nenhuma — só o cookie de sessão técnico, necessário para o serviço funcionar. Passar o IP de quem toca num cartão à Google seria um problema de RGPD em nome do dono do cartão, não nosso.

Conteúdo de outros sites (embeds)

Um cartão pode mostrar publicações do Instagram, Facebook, YouTube ou TikTok. Esses conteúdos só carregam se tocares neles — antes disso, nenhum dado teu (incluindo o endereço IP) é enviado a essas plataformas. Ao tocar, aplicam-se as políticas de privacidade do site de origem.

Denúncias de abuso

Se denunciares um perfil, guardamos o motivo, o texto que escreveres, o teu email (se o deixares — é opcional) e um hash do IP com chave secreta.

Apoio à conta

Para resolver um problema que reportes, a nossa administração pode entrar temporariamente na tua conta. Cada entrada fica registada (quem entrou, em que conta, quando) e, enquanto durar, vês uma faixa no topo do ecrã a avisar. Nunca vemos a tua palavra-passe.

Para que usamos os dados

• Prestar o serviço: mostrar cartões, entregar contactos ao dono, marcar reuniões, enviar emails de serviço.
• Segurança: prevenção de abuso, phishing e spam (é para isso que serve o hash do IP).
• Melhorar o produto: perceber que campanhas trazem contas e corrigir problemas reportados.
• Obrigações legais, quando existam.

Não vendemos dados. Não mostramos publicidade nos cartões nem no painel.

Quem trata os dados por nós

Os dados ficam alojados em servidores na União Europeia, e as cópias de segurança ficam num servidor nosso, também na União Europeia. Usamos estes subcontratantes:

• Alojamento (servidor na União Europeia).
• Cloudflare: todo o tráfego do site passa pela sua rede antes de chegar a nós (Estados Unidos, ao abrigo de cláusulas contratuais-tipo).
• Google: medição na página inicial, com o teu consentimento; e Google Calendar, para quem usa marcações (Estados Unidos, cláusulas contratuais-tipo).
• GitHub: os relatórios de bug viram issues num repositório privado, sem nome nem email de quem reportou (Estados Unidos, cláusulas contratuais-tipo).
• Fornecedor de email, para as mensagens de serviço.

Todos estão vinculados por acordos de tratamento de dados.

Por quanto tempo

• Conta e cartões: enquanto a conta existir. Apagar a conta tira os perfis do ar imediatamente. O endereço (kard.pt/o-teu-nome) fica reservado para sempre e nunca passa para outra pessoa — é o que impede que um cartão ou QR Code já impresso passe a abrir o perfil de um desconhecido. Para o apagamento definitivo dos cartões, imagens e contactos, escreve-nos: fazemo-lo no prazo legal.
• Contactos e marcações (leads): até o dono do cartão os apagar — qualquer titular pode pedir directamente ao dono, ou a nós, a remoção dos seus dados.
• Relatórios de bug: os resolvidos apagam-se, com as imagens, 90 dias depois de resolvidos.

Os teus direitos

Nos termos do RGPD, tens direito de acesso, rectificação, apagamento, limitação, portabilidade e oposição. Para os exercer, escreve para [email protected]. Tens também o direito de apresentar reclamação à CNPD (cnpd.pt) ou, se viveres noutro país da União Europeia, à autoridade de protecção de dados desse país.

Alterações

Se esta política mudar, actualizamos esta página e a data no topo. Mudanças relevantes são avisadas por email a quem tem conta.