Política de privacidade

O responsável pelo tratamento de dados na aceção do Regulamento Geral sobre a Proteção de Dados (RGPD) é:

Não foi designado um encarregado da proteção de dados: não atingimos os limiares do § 38 BDSG. As questões sobre proteção de dados são respondidas pela gerência no endereço indicado na secção 11.

Tratamos dados pessoais exclusivamente em conformidade com o RGPD e com a Bundesdatenschutzgesetz (BDSG). O tratamento só ocorre na medida do necessário para prestar os nossos serviços, quando existe uma base legal ou quando deste o teu consentimento.

ComLayer dirige-se exclusivamente a empresários na aceção do § 14 BGB; os detalhes da relação contratual são regulados pelas nossas Condições Gerais.

Ao visitar o nosso site, o navegador transmite automaticamente informações técnicas (entre outros, o endereço IP, a data e a hora do acesso, a página consultada e o navegador utilizado). Estes dados são gerados no nosso prestador de alojamento e servem para um funcionamento seguro e estável. A base jurídica é o nosso interesse legítimo nos termos do art. 6(1)(f) RGPD.

Neste site não utilizamos qualquer contagem de visitantes própria, medição de audiência ou rastreio publicitário. Também não incorporamos serviços de terceiros para esse efeito.

Para utilizar a plataforma ComLayer é necessária uma conta. Nesse âmbito tratamos os dados que indicas (por exemplo nome, endereço de e-mail, dados da empresa e credenciais), bem como os dados de conteúdo e de apoio que surgem durante a utilização. O tratamento serve a execução do contrato de utilização nos termos do art. 6(1)(b) RGPD.

Se utilizas ComLayer para oferecer apoio aos teus próprios clientes finais, tratamos os dados daí resultantes por tua conta, na qualidade de subcontratante, nos termos do art. 28 RGPD. Acordamos as regras correspondentes contigo no contrato de subcontratação; aí constam também as categorias de titulares dos dados, os tipos de dados tratados e as medidas técnicas.

ComLayer gera rascunhos de resposta com modelos de linguagem, com base no conhecimento que disponibilizas. Para prestar esta funcionalidade, o conteúdo do pedido e os excertos correspondentes da tua base de conhecimento são transmitidos aos prestadores de serviços indicados na secção 6. Não tratamos estes conteúdos para fins próprios; em especial, não os analisamos para treinar modelos próprios.

O mesmo se aplica aos prestadores de modelos e de embeddings utilizados: Ambos os prestadores se comprometeram contratualmente com a mesma exclusão: o prestador do modelo através das condições de tratamento de dados da Google Cloud, o prestador dos embeddings através das condições de utilização da Voyage AI.

Se a pesquisa semântica estiver configurada, os teus conteúdos de conhecimento são ainda convertidos em embeddings e guardados nessa forma na nossa base de dados. Se não estiver configurada, a pesquisa funciona apenas sobre o texto.

Para disponibilizar ComLayer recorremos aos seguintes prestadores de serviços. É a mesma lista que o DPA indica como subcontratantes ulteriores — é mantida num único local e apresentada em ambas as páginas. Com todos existem contratos nos termos do art. 28 RGPD.

Se o cliente incorporar uma marcação de compromissos própria através do Cal.com, o Cal.com é o seu prestador de serviços e não um subcontratante ulterior do subcontratante; o subcontratante limita-se a receber a notificação dos compromissos marcados.

O resumo seguinte nomeia cada entrada que ComLayer guarda ou manda guardar no teu navegador — completo e derivado do código-fonte. Não definimos qualquer cookie próprio; os cookies indicados provêm todos do nosso serviço de início de sessão. Tudo o resto não é técnica de cookies, mas armazenamento local no navegador: valores isolados no localStorage e ainda duas bases de dados no IndexedDB que a atualização em direto cria.

Ao contrário de um cookie, o armazenamento local não é enviado por si só em cada pedido. Ainda assim, duas entradas têm efeito no servidor, e isso pertence aqui: o widget de apoio envia o seu identificador de visitante em cada pedido — sem ele, um visitante que regressa não voltaria a encontrar o seu histórico —, e a base de dados de início de sessão da atualização em direto contém o token de curta duração com que o teu navegador inicia sessão na Realtime Database. Todas as restantes entradas permanecem no navegador.

Clerk acrescenta ao nome do cookie um identificador consoante a instância; no navegador pode, por isso, constar «__session_a1b2c3» onde aqui consta «__session».

Para os cookies de início de sessão e o armazenamento local na aplicação baseamo-nos no § 25 Abs. 2 Nr. 2 TDDDG: sem eles não é possível prestar o serviço que pedes. Estas entradas não podem, por isso, ser desativadas. Excluímos uma entrada disto, em vez de a afirmar juntamente com as restantes: o contador diário «firebase-heartbeat-database» serve a estatística de versões da biblioteca e não o serviço. Não é possível desligá-lo — a biblioteca cria-o sempre. Baseamo-lo por isso no nosso interesse legítimo no funcionamento da função em tempo real nos termos do art. 6(1)(f) RGPD e nomeamo-lo aqui, em vez de o apresentar como necessário. Não contém qualquer característica da tua conta, apenas a data e a indicação de versão da biblioteca. Podes alterar a qualquer momento a tua decisão sobre tudo o resto — aqui ou através da entrada com o mesmo nome no rodapé de cada página: Definições de cookies

Os conteúdos permanecem na UE. As conversas, a base de conhecimento e as contas encontram-se na região de base de dados europe-west3 (Frankfurt), os anexos e os logótipos no armazenamento de ficheiros da mesma região, a atualização em direto das conversas abertas é executada em europe-west1 e o agente de IA responde a partir da multirregião Vertex eu; os modelos auxiliares para as linhas de assunto e a análise de documentos são executados em europe-west1. A região do armazenamento de ficheiros foi verificada a 7 de agosto de 2026 nos buckets utilizados; todas as restantes constam da configuração da implementação.

Quatro serviços tratam dados fora da UE, concretamente nos Estados Unidos: Clerk para o início de sessão, as contas e as sessões, Stripe para o processamento dos pagamentos, Resend para o envio das notificações à equipa — estas contêm excertos literais de conversas — e Voyage AI para os embeddings da pesquisa semântica, que para esse efeito recebe os conteúdos de conhecimento. Estas transferências baseiam-se nas cláusulas contratuais-tipo da Comissão Europeia; que versão e que avaliação de impacto se aplica a cada prestador é fixado pelo contrato de subcontratação. A exploração da própria aplicação cabe à Vercel, um grupo norte-americano; a região de entrega desta implementação não foi medida e está aí igualmente assinalada como ponto em aberto.

Baseamos as transferências para os Estados Unidos nas cláusulas contratuais-tipo da Comissão Europeia nos termos do art. 46(2)(c) RGPD, na versão da Decisão de Execução (UE) 2021/914, de 4 de junho de 2021, módulo 2 (transferência de um responsável pelo tratamento para um subcontratante). Os prestadores utilizados disponibilizam cada um as suas próprias avaliações de impacto da transferência, nas quais nos baseamos; não efetuamos uma avaliação própria adicional no caso concreto. A região de tratamento de cada prestador de serviços consta da secção 6; onde não está documentada, está aí assinalada como ponto em aberto.

Conservamos dados pessoais apenas enquanto tal for necessário para as finalidades indicadas ou enquanto existirem obrigações legais de conservação. Depois, os dados são eliminados ou anonimizados. Para as entradas no navegador vale o resumo da secção 7; para os dados de um espaço de trabalho vale a eliminação nos termos da secção 10.

Nos termos do RGPD tens os seguintes direitos:

• Acesso aos dados tratados (art. 15 RGPD)
• Retificação de dados inexatos (art. 16 RGPD)
• Apagamento (art. 17 RGPD)
• Limitação do tratamento (art. 18 RGPD)
• Portabilidade dos dados (art. 20 RGPD)
• Oposição ao tratamento (art. 21 RGPD)

O direito à portabilidade dos dados pode ser exercido pelos próprios clientes com uma conta ComLayer: em Einstellungen → Allgemein → «Daten exportieren» os administradores geram a qualquer momento uma exportação completa e legível por máquina do seu espaço de trabalho em formato JSON. O ficheiro é criado ao clicar e transferido diretamente; abrange conversas, mensagens, visitantes, conteúdos de conhecimento, Centro de ajuda, feedback, equipa e definições desse único espaço de trabalho. Não estão incluídos resultados intermédios automáticos sem valor informativo (vetores de embeddings, índices de pesquisa); os anexos estão registados com o seu endereço, o próprio ficheiro permanece no armazenamento de anexos e é fornecido através da aplicação.

O mesmo se aplica ao direito ao apagamento: em Einstellungen → Allgemein → «Workspace löschen» os administradores podem eles próprios solicitar a eliminação do seu espaço de trabalho. Fica marcada com um período de tolerância de 30 dias e é revogável até ao último dia; depois disso, conversas, dados de visitantes, fontes de conhecimento, Centro de ajuda, página de estado e todos os ficheiros carregados são eliminados definitivamente e uma subscrição em curso termina. Os dados de faturação estão sujeitos a obrigações de conservação comerciais e fiscais (§ 147 AO, § 257 HGB); nos termos do art. 17(3)(b) RGPD não são eliminados, mas o seu tratamento é limitado durante o prazo de conservação (art. 18(1)(b) RGPD) e são retirados da operação corrente.

Ambos os caminhos estão abertos independentemente do plano contratado — são um direito legal e não uma funcionalidade. Os clientes finais cujos dados são tratados através do widget de apoio de um dos nossos clientes dirigem-se a esse cliente enquanto responsável pelo tratamento; apoiamo-lo nisso nos termos do DPA.

Tens ainda o direito de apresentar uma reclamação junto de uma autoridade de controlo da proteção de dados.

Para questões sobre proteção de dados ou sobre o exercício dos teus direitos podes contactar-nos em info@comlayer.app.