rootwatch Política de Privacidade do rootwatch
Versão 1.9 · Última atualização: 3 de outubro de 2026
Esta política explica que dados pessoais tratamos quando usa o rootwatch ou visita rootwatch.terraroot.pt, porquê, durante quanto tempo, com quem os partilhamos e que direitos tem. Aplica-se o Regulamento (UE) 2016/679 (RGPD) e a Lei n.º 58/2019.
1. Quem é o responsável
Código Luminoso, Unipessoal Lda, NIPC 516 097 121, CAIS – Espaço Empresarial, Largo José da Cruz, n.º 3, 2260-369 Vila Nova da Barquinha, Portugal. Email para questões de privacidade: geral@terraroot.pt · Telefone: +351 249 248 178. Não designámos um encarregado de proteção de dados, porque a lei não o exige para a nossa atividade; o contacto acima responde a qualquer pedido.
2. Dois papéis: responsável e subcontratante
O rootwatch é usado por agências e profissionais que monitorizam automações dos seus próprios clientes. Por isso tratamos dados em dois papéis:
- Como responsável pelo tratamento, quanto aos dados da sua conta, da faturação, das comunicações connosco, da segurança do serviço e da visita ao site. É disto que trata esta política.
- Como subcontratante, quanto aos dados que você introduz no rootwatch por conta dos seus clientes finais (nomes de clientes, nomes de automações, emails e URLs de destino de alertas, metadados das execuções). Nesses dados, o responsável é você; tratamo-los apenas segundo as suas instruções, conforme o Acordo de Tratamento de Dados anexo aos Termos de Serviço. Se é cliente final de uma agência que usa o rootwatch e quer exercer direitos sobre esses dados, contacte a agência; ajudamo-la a responder.
3. Que dados tratamos, para quê e com que fundamento
| Dados | Finalidade | Fundamento (art. 6.º RGPD) |
|---|---|---|
| Conta: email, palavra-passe (guardada apenas como hash), nome da conta, idioma, data de criação, estado da subscrição | Criar e gerir a conta, autenticar, enviar alertas e avisos sobre o serviço (confirmações, suspensão, alterações aos Termos) | Execução do contrato (1-b) |
| Faturação: nome, email, país e morada de faturação, número de IVA se o indicar, identificadores da subscrição, histórico de pagamentos (sem dados do cartão). Recebemos estes dados da Sold through Link, LLC (Stripe), que os recolhe no checkout | Ativar e manter a subscrição, apoiar em questões de pagamento, cumprir obrigações contabilísticas e fiscais | Execução do contrato (1-b); obrigação legal (1-c), designadamente o Código do IVA (art. 52.º) e o Decreto-Lei n.º 28/2019 (art. 19.º) |
| Identificação profissional: nome da empresa ou atividade, país, NIF ou número de IVA e a declaração de que compra para a sua atividade profissional e não como consumidor, com a data. Recolhemos estes dados no registo | Identificar a parte contratante e verificar que o cliente é profissional, porque o rootwatch só é vendido a profissionais (Termos, cláusulas 1.3 e 8); cumprir obrigações contabilísticas e fiscais, se estes dados tiverem de constar de documentos contabilísticos ou fiscais. Não são enviados ao Stripe | Execução do contrato e diligências pré-contratuais a seu pedido (1-b); obrigação legal (1-c) quando constem de faturas ou registos contabilísticos, designadamente o Código do IVA (art. 52.º) e o Decreto-Lei n.º 28/2019 (art. 19.º) |
| Configuração e eventos: clientes finais, automações, prazos, destinos de alerta, eventos de ping (estado, identificadores, momento), incidentes | Prestar o serviço de monitorização | Como subcontratante, por sua instrução (ver 2); os dados da sua própria configuração, execução do contrato (1-b) |
| Registos técnicos: endereço IP, agente de utilizador, momentos de acesso, ações de administração na conta, IP de origem dos pings | Segurança, prevenção de abuso e de fraude, investigação de incidentes, isolamento entre contas | Interesse legítimo (1-f) em manter o serviço seguro; pode opor-se (ver 8) |
| Comunicações de suporte: o que nos escreve, o email de origem | Responder-lhe e melhorar o serviço; arquivar a correspondência comercial, como a lei obriga | Execução do contrato (1-b); obrigação legal (1-c) de arquivar a correspondência (Código Comercial, art. 40.º); interesse legítimo (1-f) em manter registo das interações |
| Consentimentos: versão dos Termos aceite, data, língua, texto de consentimento aceite no checkout (incluindo a declaração de compra profissional), confirmação separada das limitações do serviço, preço apresentado e identificadores da subscrição; o email guarda-se apenas pseudonimizado, sob a forma de um código HMAC calculado com uma chave própria, e nunca em claro | Poder provar, em caso de reclamação ou litígio, o que foi aceite e quando | Interesse legítimo (1-f). Este registo mantém-se mesmo que elimine a conta (art. 17.º, n.º 3, alínea e) |
Não tratamos categorias especiais de dados e pedimos-lhe que não os introduza. Não tomamos decisões automatizadas com efeitos jurídicos ou similares sobre si: a deteção de incidentes diz respeito a automações, não a pessoas.
Obrigatoriedade. O email e a palavra-passe são necessários para celebrar o contrato; sem eles não há conta. O nome da empresa ou atividade, o país, o NIF ou número de IVA e a declaração de estatuto profissional também são necessários: o rootwatch só é vendido a profissionais e, sem eles, não é possível criar conta nem subscrever. Os restantes dados são os necessários para prestar o serviço que configurar.
4. Com quem partilhamos dados
Só partilhamos dados com quem precisa deles para prestarmos o serviço, e nunca os vendemos.
Responsáveis autónomos: - Stripe Payments Europe, Limited, Sold through Link, LLC e Stripe, LLC (grupo Stripe) — comerciante registado da transação; atuam como responsáveis autónomos na cobrança, faturação, reembolsos, prevenção de fraude e impostos sobre a venda, e como nosso subcontratante nas restantes operações da nossa conta Stripe. A Stripe transfere dados para a Stripe, LLC (Estados Unidos), certificada no EU-US Data Privacy Framework. Tratam os seus dados de pagamento segundo a sua própria política de privacidade (stripe.com/privacy; link.com/privacy). - Plataformas de mensagens que escolher — Slack (Slack Technologies, LLC), Discord (Discord Inc.) e Google Chat (Google): só se configurar alertas por webhook para uma delas. O alerta segue para o espaço ou servidor que indicar, destinatário escolhido por si, e é tratado pelo fornecedor nos termos que tem com o titular desse espaço. Estes fornecedores têm sede nos Estados Unidos.
Subcontratantes (tratam dados por nossa conta, sob contrato): - Fornecedor de alojamento da API, da base de dados, das cópias de segurança e do arquivo cifrado da correspondência do suporte. - Fornecedor de envio de email transacional (alertas, verificação de conta, avisos). - Dream Fusion - IT Services, Lda (marca WebTuga), em Portugal — alojamento da caixa de correio geral@terraroot.pt, para a nossa correspondência com quem nos escreve; só as mensagens dos últimos meses (ver §6). Não trata os dados que tratamos por conta das agências: os alertas saem de um endereço que não recebe respostas e as exportações são entregues por ligação de descarga, sem passar por esta caixa. - Vercel, Inc. — alojamento do site e do painel.
A lista atualizada dos restantes, com o nome, a função, o país e a base para transferências de cada um, está em rootwatch.terraroot.pt/pt/subcontratantes. Avisamos os clientes por email 30 dias antes de qualquer alteração.
Autoridades: quando a lei o exija ou seja necessário para defender direitos em processo judicial.
5. Transferências para fora do Espaço Económico Europeu
Alguns dos fornecedores acima têm sede nos Estados Unidos. Quando os dados saem do EEE, garantimos uma base válida: a certificação do fornecedor ao abrigo do EU-US Data Privacy Framework (decisão de adequação da Comissão Europeia de 10 de julho de 2023) ou, em alternativa e como salvaguarda, as cláusulas contratuais-tipo aprovadas pela Comissão Europeia, com as medidas complementares adequadas. A base aplicável a cada fornecedor consta da lista de subcontratantes. Pode pedir-nos uma cópia das cláusulas.
6. Durante quanto tempo guardamos os dados
| Dados | Prazo |
|---|---|
| Eventos de ping em bruto | 90 dias |
| Incidentes e resumos agregados | 13 meses |
| Registos técnicos e IP de origem dos pings | 30 dias |
| Registo de ações de administração na conta | Até 12 meses, ou até a conta ser apagada |
| Dados da conta e configuração, após o fim da subscrição | 12 meses em modo de leitura, para permitir reativação e exportação; depois apagamos, com aviso por email pelo menos 30 dias antes |
| Dados da conta, se eliminar a conta | Apagados de imediato; saem das cópias de segurança no ciclo seguinte (até 30 dias) |
| Identificação profissional (nome da empresa ou atividade, país, NIF ou número de IVA, declaração) | Com os dados da conta, nos prazos acima. Quando constem de faturas ou registos contabilísticos, 10 anos, com esses registos. O texto aceite no checkout, que inclui a declaração, fica com os consentimentos (linha «Consentimentos e versões dos Termos aceites») |
| Contas cujo email nunca foi confirmado | 30 dias após o registo; depois apagamos, sem aviso |
| Contas com email confirmado sem subscrição ativa | 12 meses sem início de sessão; avisamos por email pelo menos 30 dias antes de apagar |
| Consentimentos e versões dos Termos aceites | Durante o contrato e 5 anos depois, para prova, mesmo que a conta seja eliminada (só versões, datas e identificadores da subscrição) |
| Registos de faturação e contabilidade | 10 anos, por obrigação fiscal (Código do IVA, art. 52.º; Decreto-Lei n.º 28/2019, art. 19.º) |
| Comunicações de suporte e restante correspondência com clientes | 10 anos, contados do fim do ano em que a mensagem foi enviada ou recebida, por obrigação legal (Código Comercial, art. 40.º). Na caixa de correio ficam só as mensagens recentes: uma vez por mês, as que têm mais de 90 dias passam para um arquivo cifrado no fornecedor de alojamento da API e saem da caixa, por isso nenhuma mensagem fica lá mais de cerca de quatro meses. Uma vez por ano, em janeiro, apagamos do arquivo o que já passou o prazo de 10 anos |
| Cópias de segurança | Rotação de 30 dias |
| Palavras-passe e tokens | Apenas como hash; os tokens são apagados com a automação |
7. Segurança
Comunicações cifradas (TLS); palavras-passe e tokens guardados apenas como hash; isolamento lógico entre contas, com toda a consulta filtrada pela conta autenticada; esquema de entrada restrito que rejeita campos desconhecidos; sem registo de corpos completos de pedidos; controlo de acessos e registo das operações de administração; cópias de segurança cifradas; atualizações de segurança regulares. Se ocorrer uma violação de dados pessoais que apresente risco para si, informamo-lo e à autoridade de controlo nos prazos legais.
8. Os seus direitos
Tem o direito de aceder aos seus dados, de os retificar, de pedir o seu apagamento, de pedir a limitação do tratamento, de se opor ao tratamento baseado em interesse legítimo, e de receber os dados que nos forneceu num formato estruturado e de uso corrente (portabilidade). O rootwatch não envia marketing: os únicos emails que recebe são os do funcionamento do serviço — confirmação de email, recuperação de acesso, avisos de utilização, alertas e assuntos de subscrição e faturação.
No painel pode ver e alterar o nome, o email e a palavra-passe da conta, e eliminar a conta. Para receber uma cópia dos seus dados, escreva para geral@terraroot.pt: não há botão de exportação no painel e o pedido é tratado por nós. Para tudo o resto, use o mesmo endereço. Respondemos no prazo de um mês, prorrogável por mais dois em casos complexos, avisando-o. Podemos pedir-lhe que confirme a identidade antes de responder.
Tem também o direito de apresentar reclamação a uma autoridade de controlo. Em Portugal: Comissão Nacional de Proteção de Dados (CNPD), Av. D. Carlos I, 134, 1.º, 1200-651 Lisboa · +351 213 928 400 · geral@cnpd.pt · www.cnpd.pt · formulário de queixa em www.cnpd.pt/cidadaos/participacoes/. Se reside noutro país do EEE, pode reclamar junto da autoridade do seu país.
9. Cookies e tecnologias semelhantes
O painel usa um cookie de sessão estritamente necessário para o manter autenticado; não requer consentimento e expira ao terminar a sessão ou após um período de inatividade. O site rootwatch.terraroot.pt não usa cookies de análise, publicidade ou rastreio de terceiros. Se isso mudar, pediremos o seu consentimento antes.
10. Menores
O rootwatch destina-se a maiores de 18 anos. Não recolhemos conscientemente dados de menores; se souber que um menor criou conta, avise-nos e apagamo-la.
11. Utilizadores fora da União Europeia
Reino Unido. Se reside no Reino Unido, aplica-se-lhe o UK GDPR com os mesmos direitos descritos acima; pode reclamar junto do Information Commissioner's Office (ico.org.uk). As transferências para fora do Reino Unido baseiam-se na UK Extension do Data Privacy Framework ou no UK Addendum às cláusulas contratuais-tipo. Quando designarmos um representante no Reino Unido, os seus contactos passarão a constar desta política.
Brasil. Se reside no Brasil, aplica-se-lhe a Lei Geral de Proteção de Dados (Lei n.º 13.709/2018); tem os direitos previstos no seu artigo 18.º e pode exercê-los pelo contacto do ponto 1. Pode reclamar junto da Autoridade Nacional de Proteção de Dados (gov.br/anpd).
Outros países. Tratamos os dados de todos os utilizadores com o mesmo nível de proteção, independentemente do país. Se a lei do seu país lhe der direitos adicionais, pode exercê-los pelo contacto do ponto 1.
12. Alterações a esta política
Podemos atualizar esta política para refletir alterações no serviço, nos fornecedores ou na lei. Alterações relevantes são comunicadas por email aos titulares de conta com pelo menos 30 dias de antecedência. A versão em vigor, com a data, está sempre em rootwatch.terraroot.pt/pt/privacidade; guardamos as versões anteriores e enviamo-las a pedido.
13. Contacto
Código Luminoso, Unipessoal Lda · CAIS – Espaço Empresarial, Largo José da Cruz, n.º 3, 2260-369 Vila Nova da Barquinha, Portugal · geral@terraroot.pt · +351 249 248 178.