Transparência
Política de Privacidade
Versão 2.0.0 · vigente a partir de 13 de outubro de 2026
1. Responsável pelo tratamento e âmbito
A SARA — Smart AI Revenue Advisor (“SARA” ou “Serviço”) é operada por Jussara Derly Rodrigues de Oliveira Grota, Empresária em Nome Individual estabelecida em Portugal, NIF 302020250, com endereço profissional na Rua Comandante Manuel Freire, 8, 2655-443 Ericeira, Portugal (“Prestadora”).
Canal de privacidade: contact@sarabars.com. Não foi designado um encarregado de proteção de dados (DPO); este endereço funciona como ponto de contacto para titulares de dados, clientes e autoridades.
Esta Política aplica-se ao site sarabars.com, à aplicação web/PWA, ao registo e onboarding, às integrações com sistemas de faturação e ponto de venda, à análise de dados, aos briefings, ao chat, ao OCR de faturas, ao suporte e às comunicações da SARA.
Como a Prestadora está estabelecida em Portugal, aplica-se o Regulamento Geral sobre a Proteção de Dados (“RGPD”) e a Lei n.º 58/2019.
2. Dois papéis: responsável e subcontratante
A SARA é um serviço para empresas (“Cliente”). Consoante os dados, a Prestadora atua em dois papéis distintos:
- Responsável pelo tratamento — para os dados da conta e do representante do Cliente (nome, e-mail, telefone), para os dados dos visitantes do site, para os consentimentos e para os registos técnicos e de segurança.
- Subcontratante — para os dados operacionais do estabelecimento (“Dados do Cliente”): vendas, stock, compras, faturas, produtos, fornecedores e receitas, vindos da Vendus, da Moloni, de ficheiros importados ou de fotografias de faturas. Estes dados são tratados por conta do Cliente, segundo as suas instruções, e podem conter dados pessoais de terceiros (fornecedores, colaboradores e, ocasionalmente, clientes finais com NIF em fatura). O Cliente é o responsável pelo tratamento desses dados e garante a respetiva base legal.
Esta Política descreve ambos os papéis. Nos pontos em que a Prestadora atua como subcontratante, esta Política cumpre a função de instruções documentadas e de descrição do tratamento nos termos do artigo 28.º do RGPD.
3. Dados pessoais tratados
| Categoria | Exemplos |
|---|---|
| Conta e representante | Nome do proprietário ou gestor, e-mail, telefone, identificador interno, credenciais protegidas, estado da conta. |
| Estabelecimento | Nome do bar, denominação social, NIF, morada, cidade, tipo de estabelecimento, software de faturação utilizado. |
| Integrações | Tokens de acesso ou chaves de API dos sistemas ligados (Vendus, Moloni), identificadores de empresa nesses sistemas, datas e estado das sincronizações. |
| Dados operacionais (Dados do Cliente) | Vendas e documentos de venda, produtos, stock e movimentos, compras, faturas de fornecedores, fornecedores (nome, NIF, contactos), receitas e fichas técnicas, contas a pagar, campanhas. |
| Faturas fotografadas | Imagens ou ficheiros de faturas enviados pelo Cliente, texto extraído por OCR, fornecedor, NIF, linhas e valores, estado da revisão. |
| Conteúdo gerado e conversas | Perguntas feitas no chat, respostas, recomendações, briefings, relatórios, textos de campanha, aprovações e rejeições registadas. |
| Consentimentos e aceites | Versão dos Termos e da Política aceite, data e hora do servidor e identificador do utilizador. |
| Dados técnicos e segurança | Endereço IP, data e hora, navegador, sistema operativo, dispositivo, registos de autenticação, erros, pedidos ao backend e eventos de segurança. |
| Suporte e comunicações | Mensagens por e-mail ou WhatsApp, pedidos de ajuda, pedidos de exercício de direitos. |
A SARA não compra bases de dados, não cria perfis para publicidade e não vende dados pessoais.
4. Finalidades e bases jurídicas
| Finalidade | Base jurídica principal |
|---|---|
| Criar e administrar a conta, autenticar, fazer o onboarding do estabelecimento. | Execução do contrato e diligências pré-contratuais (RGPD art. 6.º, n.º 1, b)). |
| Ligar e sincronizar os sistemas de faturação e ponto de venda; importar ficheiros. | Execução do contrato; para os Dados do Cliente, instruções do Cliente enquanto responsável. |
| Analisar vendas, stock, compras e contas; produzir recomendações, alertas, relatórios e briefings. | Execução do contrato; instruções do Cliente. |
| Enviar dados operacionais ao fornecedor de inteligência artificial para produzir análises, respostas e textos. | Execução do contrato; instruções do Cliente. |
| Gerar o briefing diário em vídeo com avatar. | Execução do contrato; instruções do Cliente. |
| Ler faturas por fotografia (OCR) e apresentar os resultados para revisão. | Execução do contrato; instruções do Cliente. |
| Faturar o Serviço, gerir pagamentos, cancelamentos e cobranças. | Execução do contrato e cumprimento de obrigação legal. |
| Prevenir fraude, abuso, acesso indevido e incidentes; manter registos técnicos. | Interesse legítimo em segurança e defesa; obrigação legal quando aplicável. |
| Responder ao suporte e aos pedidos de exercício de direitos. | Execução do contrato, obrigação legal e interesse legítimo em atendimento e prova. |
| Cumprir obrigações fiscais, contabilísticas e ordens válidas de autoridades. | Cumprimento de obrigação legal. |
| Melhorar o Serviço com dados agregados e anonimizados. | Interesse legítimo; os dados anonimizados deixam de ser dados pessoais. |
| Enviar comunicações comerciais opcionais. | Consentimento ou outra base permitida, sempre com possibilidade de oposição. |
Quando o tratamento se basear em interesse legítimo, a Prestadora avalia finalidade, necessidade, proporcionalidade e impacto. Quando se basear em consentimento, este pode ser retirado a qualquer momento, sem afetar a licitude do tratamento anterior.
5. Inteligência artificial
Para produzir a análise diária, as respostas do chat, os textos de campanha e a leitura de faturas, a SARA transmite à Anthropic, PBC, fornecedora comercial de modelos de inteligência artificial (“Claude”), os dados estritamente necessários a cada pedido: dados operacionais do estabelecimento (vendas, stock, compras, contas, produtos, fornecedores), o nome do estabelecimento e do seu responsável para personalização, o texto escrito pelo utilizador no chat, instruções técnicas fixas e, no OCR, a imagem ou o texto da fatura.
Não são enviadas credenciais, tokens de integração, palavras-passe nem dados de pagamento. Cada pedido é processado sem contexto de outros clientes.
Nos termos aplicáveis ao serviço comercial utilizado pela SARA, a Anthropic não utiliza, por padrão, as entradas e saídas da API comercial para treinar os seus modelos de forma generalizada, e elimina os conteúdos segundo os prazos de retenção do serviço contratado. A SARA não envia feedback à Anthropic com autorização para utilização desses conteúdos em treino. Alterações materiais destas condições serão avaliadas antes da sua aplicação ao Serviço.
A inteligência artificial não é utilizada para tomar decisões exclusivamente automatizadas com efeitos jurídicos ou impacto semelhante sobre o Cliente, os seus colaboradores, fornecedores ou clientes. Toda a ação com efeitos externos depende de aprovação humana do Cliente na aplicação.
6. Briefing em vídeo e automação
O briefing diário pode ser convertido em vídeo com um avatar e voz sintetizada pela HeyGen. Para esse efeito é enviado à HeyGen apenas o texto do briefing (que pode conter o nome do estabelecimento, do responsável e indicadores operacionais) e as instruções de geração. Não são enviadas imagens, voz ou dados biométricos do Cliente ou dos seus colaboradores; o avatar é uma representação da SARA.
A orquestração das sincronizações, da análise diária e das notificações é executada na n8n (n8n cloud), que processa temporariamente os dados necessários a cada fluxo e regista a execução para diagnóstico.
7. Partilha e subcontratantes
Os dados são partilhados apenas na medida necessária com os fornecedores identificados abaixo, que atuam como subcontratantes (ou subcontratantes ulteriores, quanto aos Dados do Cliente) sob instruções da Prestadora e com obrigações contratuais de proteção de dados.
| Fornecedor | Finalidade | Dados tratados | Localização |
|---|---|---|---|
| Supabase, Inc. | Base de dados, autenticação, armazenamento de ficheiros (faturas) e funções de backend. | Todos os dados da conta, do estabelecimento, operacionais, consentimentos, imagens de faturas e registos técnicos. | Projeto alojado na União Europeia (Irlanda, eu-west-1); suporte e suboperadores podem envolver outros países. |
| Vercel, Inc. | Alojamento do site e da aplicação, CDN, rotas de API e registos operacionais. | Endereço IP, data e hora, navegador, dispositivo, rota solicitada, identificadores técnicos e registos de erro; dados que transitam pelas rotas de API. | União Europeia, Estados Unidos e rede global de CDN. |
| Anthropic, PBC | Modelos de inteligência artificial (Claude) para análise, chat, campanhas e OCR. | Ver secção 5. | Estados Unidos e infraestrutura indicada pelo fornecedor. |
| n8n GmbH (n8n cloud) | Automação e orquestração das sincronizações, análise diária e notificações. | Dados operacionais necessários a cada fluxo, identificadores do estabelecimento, registos de execução. | União Europeia (Alemanha) e suboperadores indicados pelo fornecedor. |
| HeyGen, Inc. | Geração do briefing diário em vídeo com avatar. | Texto do briefing e instruções de geração; vídeo gerado. | Estados Unidos e infraestrutura indicada pelo fornecedor. |
| Resend, Inc. | Envio de e-mails transacionais (autenticação, segurança, notificações do Serviço). | E-mail do destinatário, conteúdo da mensagem e metadados de entrega. | União Europeia e Estados Unidos, conforme a região configurada. |
A Vendus e a Moloni não são subcontratantes da SARA: são fornecedores contratados diretamente pelo Cliente, aos quais a SARA acede por autorização do Cliente, apenas em leitura, para obter os dados operacionais.
Os dados podem ainda ser comunicados a consultores sujeitos a confidencialidade (por exemplo, contabilista), a autoridades competentes, tribunais ou sucessores em caso de reorganização, quando exista base jurídica. Quando existir um fornecedor de pagamentos, este poderá atuar como responsável independente para prevenção de fraude e obrigações financeiras; a SARA não armazena o número completo do cartão.
A SARA não partilha Dados do Cliente, conversas ou relatórios para publicidade de terceiros.
8. Transferências internacionais
Alguns fornecedores tratam dados fora do Espaço Económico Europeu, nomeadamente nos Estados Unidos. Quando houver transferência internacional, a Prestadora utiliza o mecanismo jurídico aplicável ao fluxo e ao fornecedor: decisão de adequação (incluindo o Quadro de Privacidade de Dados UE-EUA, quando o fornecedor esteja certificado), cláusulas contratuais-tipo da Comissão Europeia, garantias adicionais ou outra hipótese legal válida.
As garantias efetivamente utilizadas para cada fornecedor podem ser solicitadas pelo canal de privacidade, respeitados segredos comerciais e de segurança. A ativação de um novo fornecedor depende de avaliação prévia de privacidade, segurança e transferência internacional.
9. Conservação e eliminação
A Prestadora conserva cada categoria de dados apenas enquanto necessária à finalidade que a justifica e pelos prazos legais aplicáveis. Terminada a finalidade e esgotados os prazos, os dados são eliminados ou anonimizados.
| Tipo de dado | Prazo ou critério |
|---|---|
| Conta, representante e estabelecimento | Enquanto a conta existir. Após o termo do contrato ou pedido de eliminação, remoção dos sistemas ativos em prazo não superior a 30 dias, salvo impedimento legal. |
| Dados operacionais (Dados do Cliente) | Enquanto a conta existir, com histórico preservado para análise de tendências. Após o termo do contrato, o Cliente dispõe de 30 dias para exportar; depois, eliminação ou anonimização. |
| Imagens de faturas e resultados de OCR | Enquanto a conta existir ou até o Cliente as apagar; eliminadas com a conta. O arquivo fiscal dos originais é responsabilidade do Cliente. |
| Tokens e chaves de integração | Enquanto a integração estiver ligada; revogados ou eliminados quando o Cliente desliga a integração ou encerra a conta. |
| Conversas, briefings, relatórios e vídeos | Enquanto a conta existir ou até o Cliente os apagar. Os vídeos no fornecedor de geração seguem os prazos de retenção deste. |
| Aceites, consentimentos e pedidos de direitos | Enquanto necessários para demonstrar conformidade e durante os prazos legais de prescrição. |
| Faturação e documentos fiscais | Pelo prazo legal obrigatório; em Portugal, em regra, 10 anos. |
| Registos técnicos e de segurança | Pelo tempo necessário às finalidades de segurança e diagnóstico; parte destes registos é conservada pelos subcontratantes de infraestrutura segundo os ciclos e planos deles. |
| Dados anonimizados e agregados | Por prazo indeterminado, quando não permitam razoavelmente identificar uma pessoa ou um estabelecimento. |
Um pedido de eliminação não alcança dados cuja conservação seja obrigatória ou necessária para exercício de direitos, prevenção de fraude, segurança ou defesa em processo. Nesses casos, o uso fica restrito à finalidade de conservação.
10. Segurança
São adotadas medidas técnicas e organizacionais proporcionais ao risco, incluindo: autenticação; isolamento dos dados por estabelecimento ao nível da base de dados (políticas de segurança por linha); controlo de acesso por papéis; encriptação em trânsito; armazenamento privado das imagens de faturas; chaves de serviço fora do navegador; validação no servidor; registos técnicos; gestão de vulnerabilidades e resposta a incidentes.
As cópias de segurança da base de dados são geridas pelo Supabase segundo a configuração e o ciclo de retenção do plano contratado. Dados eliminados dos sistemas ativos deixam de integrar as cópias rotativas no decurso do respetivo ciclo. A existência de cópias de segurança não amplia as finalidades de tratamento.
Nenhum sistema é absolutamente seguro. O Cliente deve utilizar credenciais exclusivas, proteger os dispositivos, encerrar sessões em equipamentos partilhados e comunicar suspeitas de acesso indevido.
11. Cookies e armazenamento local
Na data desta versão, a SARA utiliza apenas cookies ou mecanismos de armazenamento local estritamente necessários para autenticação, segurança, preferências e instalação da aplicação (PWA). Não são utilizados cookies de publicidade ou de analytics não essenciais.
Os tokens de autenticação são removidos ou invalidados no logout. Preferências técnicas podem permanecer no navegador até expiração ou limpeza manual. Se forem introduzidas tecnologias não essenciais, serão bloqueadas até escolha válida do utilizador.
12. Direitos dos titulares
Os titulares de dados podem solicitar: confirmação e acesso; retificação; apagamento; limitação; portabilidade; oposição; retirada de consentimento; e informação sobre a lógica de tratamentos automatizados relevantes.
Os pedidos devem ser enviados a contact@sarabars.com. A Prestadora pode solicitar informações proporcionais para confirmar a identidade. Os pedidos são respondidos, em regra, no prazo de um mês, prorrogável nos termos do RGPD.
Quando o pedido respeitar a Dados do Cliente (por exemplo, um fornecedor ou colaborador do estabelecimento), a Prestadora encaminha-o ao Cliente, enquanto responsável, e presta-lhe a assistência necessária.
O titular pode apresentar reclamação à Comissão Nacional de Proteção de Dados (CNPD, cnpd.pt) ou à autoridade de controlo do Estado-Membro onde reside, trabalha ou considera ter ocorrido a infração.
13. Eliminação e exportação
O Cliente pode pedir a eliminação da conta por e-mail ou na aplicação, quando a funcionalidade estiver disponível. Antes da eliminação, assinaturas capazes de gerar cobrança são canceladas e o Cliente é informado das consequências.
Quando tecnicamente aplicável, o Cliente pode exportar os Dados do Cliente em formato estruturado. A indisponibilidade temporária da ferramenta não impede o exercício do direito por pedido escrito.
14. Incidentes de segurança
Incidentes que possam gerar risco relevante são investigados, contidos e documentados. Quando a Prestadora atue como subcontratante, notifica o Cliente sem demora injustificada após ter conhecimento de uma violação de dados pessoais que afete os Dados do Cliente. Titulares e autoridades são comunicados quando exigido, nos termos e prazos do RGPD.
15. Menores
O Serviço destina-se a profissionais e empresas e não é dirigido a menores de 18 anos. Não são recolhidos intencionalmente dados de menores.
16. Alterações desta Política
Alterações materiais serão comunicadas por meio adequado, incluindo aviso na aplicação. Se uma nova finalidade exigir consentimento, o tratamento não será iniciado antes de este ser obtido. A versão, a data de vigência e o histórico das versões anteriores serão mantidos ou disponibilizados mediante pedido.
17. Contacto
Prestadora: Jussara Derly Rodrigues de Oliveira Grota — Empresária em Nome Individual · NIF 302020250 · Rua Comandante Manuel Freire, 8, 2655-443 Ericeira, Portugal · Canal de privacidade: contact@sarabars.com.
SARA — Smart AI Revenue Advisor | Política de Privacidade | versão 2.0.0 | 13 de outubro de 2026