Como protegemos os teus dados

Que dados temos

• Contratos públicos do Portal BASE e do Diário da República, que já são públicos por lei.
• Das contas: o teu email, o NIF da empresa que escolhes e o que marcas na app. O resto está na política de privacidade.
• Cartões: nunca. Os pagamentos fazem-se na página da Stripe; os dados do cartão ficam só lá. Nós recebemos só o estado da subscrição.

Onde estão

A app corre na Vercel, em servidores em Frankfurt (Alemanha). A base de dados é da Neon, também em Frankfurt. Os dados das contas ficam na União Europeia.

Como os protegemos

• Ligação sempre cifrada (HTTPS). O browser é instruído a nunca usar uma ligação sem cifra para o Adjudica.
• Palavras-passe cifradas com scrypt. Não é possível recuperá-las, nem por nós. Também podes entrar com a tua conta Google, se preferires.
• Sessão num cookie protegido, que o código das páginas não consegue ler e que só viaja por HTTPS. Dura 30 dias; depois entras outra vez.
• Limite de tentativas na entrada: mais de 10 tentativas em 15 minutos a partir do mesmo sítio ficam paradas. Os emails de confirmação e de reposição também têm limite.
• Links de acesso de uso único, que expiram (1 hora para repor a palavra-passe) e que guardamos só numa versão cifrada.
• Cada conta só vê o que é seu: decisões, alertas e subscrição estão sempre presos à tua conta.
• Proteção contra conteúdo injetado: uma política de segurança de conteúdo (CSP) está ativa em modo de observação; avisa-nos de qualquer script estranho antes de passar a bloquear.
• Pagamentos e avisos verificados: cada aviso da Stripe e do Resend é confirmado por assinatura antes de mudar alguma coisa.
• Registos sem dados pessoais: os registos de erros escondem emails, links e chaves.

Cópias de segurança

A base de dados guarda um histórico das últimas 6 horas, que permite voltar a qualquer momento dentro desse prazo. Os contratos públicos podem ser sempre carregados de novo a partir das fontes oficiais.

Quem nos ajuda a tratar os dados

• Vercel: Alojamento da app e do site. Servidores em Frankfurt (Alemanha); as páginas públicas são servidas pela rede global da Vercel.
• Neon: Base de dados (contas, decisões, registos de envio). Frankfurt (Alemanha).
• Resend: Envio dos emails da app (alertas, confirmação de conta, reposição da palavra-passe) e receção dos emails do suporte. Envio pela Amazon SES na União Europeia.
• Stripe: Pagamentos das subscrições. Os dados do cartão ficam só na Stripe. União Europeia e EUA.
• Google: Entrada com conta Google, se a escolheres, e leitura automática (Gemini) das peças públicas dos concursos. À IA só vão documentos públicos, nunca dados teus. União Europeia e EUA.
• GitHub: Tarefas agendadas (carga diária dos contratos e envio dos alertas). EUA.

Quando um destes fornecedores trata dados fora da União Europeia, fá-lo com as cláusulas contratuais-tipo aprovadas pela Comissão Europeia. Para empresas, temos um acordo de tratamento de dados (RGPD, art. 28.º).

Encontraste uma falha?

Escreve para suporte@adjudica.eu com o que encontraste e como o reproduzir. Respondemos em poucos dias, corrigimos o mais depressa possível e dizemos-te quando estiver resolvido. Pedimos só que não acedas a dados de outras pessoas, que não degrades o serviço e que nos dês tempo para corrigir antes de tornares a falha pública. Também estamos em security.txt.