Privacidade e segurança

Transmissão cifrada

A comunicação com o Evylla corre por HTTPS/TLS.

As palavras-passe IMAP de aplicação e da caixa e os tokens OAuth são guardados cifrados com AES-256-GCM. A palavra-passe da tua conta Evylla fica apenas como um hash irreversível.

Acesso pelo menor privilégio

O Evylla só deve aceder aos dados necessários para a função.

Os direitos de acesso internos seguem o princípio do menor privilégio.

Proteção dos dados guardados

Dados pessoais e outros dados a proteger são protegidos por medidas técnicas e organizativas. Consoante o tipo de dados, isto inclui em particular:

• TLS encryption for every connection to the application
• AES-256-GCM for stored credentials of connected accounts
• Password hashing according to the current state of the art
• CSRF protection, session hardening and server-side permission checks on every request
• Separate roles and permissions for regular accounts and administration
• Regular backups with limited retention
• Logging of security-relevant events with short retention

As medidas concretas dependem da natureza, do âmbito e do risco do tratamento.

O Evylla é desenvolvido para ter a proteção de dados em conta já na conceção de uma função.

Isto significa, por exemplo:

Privacy by design
New features are designed from the outset to work with as little personal data as possible.

Privacy by default
The data-minimising setting is the default. Additional processing only happens when you actively trigger it.

Purpose limitation
Data collected for your purchase history is not reused for other purposes.

Deletability
Every kind of data that is created must also be removable – individually or completely.

Transparency
You should not have to guess what happens. That is why this page exists.

This follows the principle of “data protection by design and by default” in Art. 25 GDPR.

Depende das funções que usas.

Conta de utilizador

Para a tua conta Evylla podem ser tratados, por exemplo, estes dados:

• First and last name
• Username and email address
• Country and – if provided – phone number
• Password hash as well as session and security attributes
• Plan, payment status and billing identifiers
• Timestamps such as registration, last sign-in or verification

Ligações de e-mail

Se ligares uma conta de e-mail, o Evylla pode tratar as mensagens que autorizaste para reconhecer informação de compras.

Isto pode incluir, por exemplo:

• IMAP server, port and username of the connection
• Encrypted app password used for retrieval
• Sender, subject, date and identifiers of the recognised emails
• Recognised order data: merchant, order number, items, amounts, currency, status
• Time and result of the last synchronisation

O Evylla procura tratar só a informação necessária à função, e não mais.

Serviços de pagamento e financeiros

Se mais tarde ligares um serviço de pagamento ou financeiro, podem ser tratadas, consoante o fornecedor e as permissões que deres, por exemplo estas informações:

• Customer and subscription identifiers of the payment provider
• Status of payment and term
• References to invoices and receipts

O âmbito concreto depende do fornecedor e da ligação.

🤖 IA e tratamento automático

O Evylla pode usar procedimentos automatizados e, se for caso disso, com IA para reconhecer e estruturar informação nos teus dados.

Por exemplo, uma confirmação de compra pode ser reconhecida automaticamente:

« Encomenda no comerciante X – 14.09.2026 – 79,99 € – produto Y »

O tratamento automático serve para preparar a informação das funções Evylla que pedes.

Uma análise automática não significa que seja tomada uma decisão automatizada juridicamente relevante sobre ti.

Se o Evylla introduzir funções com decisões automatizadas ou definição de perfis nos termos do art. 22.º do RGPD, a informação necessária será dada à parte.

🧠 Os teus dados não servem outros fins

Os dados que forneces são, em princípio, tratados para as finalidades com que usas o Evylla.

Os teus dados de compras e de conta não devem ser usados para quaisquer outros fins.

Uma utilização para fins adicionais, por exemplo certas análises, marketing ou treino, só ocorre se existir base jurídica e estiverem cumpridos os requisitos de proteção de dados.

🚫 Sem venda dos teus dados pessoais

O Evylla não vende dados pessoais dos utilizadores.

Uma transmissão pode ser necessária se prestadores operarem o Evylla ou se existir uma obrigação legal.

Esses prestadores só recebem o acesso necessário à sua tarefa.

O Evylla pode suportar vários serviços externos.

Isto pode incluir, por exemplo:

• Email accounts via IMAP (active)
• Sign-in via OAuth without an app password (in preparation)
• PayPal receipts (in preparation)
• Bank and card transactions (in preparation)

Ao ligares um serviço, vês as permissões necessárias para essa ligação.

Desligar para novos acessos; as compras guardadas ficam. Remover a conta de e-mail apaga a ligação, as mensagens e as compras associadas.

Também podes apagar só os dados importados de uma ligação; a ligação mantém-se.

🗑️ Apagar os teus dados

Na conta, em Privacidade e segurança, escolhes com precisão o que é apagado.

Ao apagar, deveres legais de conservação ou cópias de segurança necessárias podem fazer com que alguns dados não desapareçam logo de todos os sistemas.

Esses dados são apagados ou anonimizados no fim dos prazos de conservação ou de cópia, salvo outra base legal que exija a conservação.

Prazos de eliminação concretos:

• Account data: until the account is deleted
• Order and mail data: until you delete it or remove the account
• Server logs: as a rule up to 14 days
• Administrative SQL backups: a maximum of 20 versions, older ones are pruned automatically – with regular backups typically up to about 90 days
• Invoices and payment records: as long as statutory retention obligations apply

📦 Exportação de dados

Tens, em princípio, o direito de receber os teus dados pessoais num formato estruturado, de uso corrente e legível por máquina, quando as condições de portabilidade estão cumpridas.

O Evylla pode disponibilizar uma função de exportação para isso.

O direito à portabilidade está no art. 20.º do RGPD.

Consoante as condições legais, tens em particular estes direitos:

Acesso

Podes pedir que dados pessoais tratamos sobre ti.

Retificação

Podes pedir a retificação de dados pessoais inexatos.

Apagamento

Podes, quando as condições legais se verificam, pedir o apagamento dos teus dados pessoais.

Limitação do tratamento

Podes, em certas condições, pedir que o tratamento dos teus dados seja limitado.

Oposição

Podes, quando as condições legais se verificam, opor-te a um tratamento.

Portabilidade

Podes, quando as condições legais se verificam, receber os dados pessoais que forneceste num formato estruturado, de uso corrente e legível por máquina.

Retirada do consentimento

Se um tratamento se basear no teu consentimento, podes retirá-lo a qualquer momento para o futuro. A licitude do tratamento já feito não é afetada.

⚖️ Com que base o Evylla trata dados

A base jurídica concreta depende da operação de tratamento.

Consoante a função, podem ser relevantes em particular estas bases:

Art. 6.º, n.º 1, al. a), do RGPD
Consentimento.

Art. 6.º, n.º 1, al. b), do RGPD
Tratamento necessário à execução de um contrato ou a diligências pré-contratuais.

Art. 6.º, n.º 1, al. c), do RGPD
Tratamento necessário ao cumprimento de uma obrigação legal.

Art. 6.º, n.º 1, al. f), do RGPD
Tratamento com base em interesses legítimos, quando as condições legais estão cumpridas.

Qual a base de cada operação está explicada na política de privacidade completa.

🏢 Responsável

O responsável pelo tratamento de dados pessoais é:

URBAN
Friedensplatz 13
SAN-39164 Seehausen Börde
Deutschland

Representado por: Udo Urban

E-mail

…

🛡️ Encarregado de proteção de dados

Não está nomeado um encarregado de proteção de dados, porque as condições legais não se verificam.

🔧 Subcontratantes e prestadores técnicos

Para operar o Evylla podem ser usados prestadores técnicos.

Isto pode incluir em particular:

• Hosting and infrastructure providers for servers, database and backups
• Stripe as payment service provider for passes and subscriptions
• Mail delivery service for system emails such as confirmations and password links

Quando estes prestadores tratam dados pessoais por nossa conta, fazem-no com base nos acordos de proteção de dados necessários.

Um resumo atual dos prestadores e dos tratamentos está na política de privacidade completa.

🌍 Onde os teus dados são tratados

O tratamento pode ocorrer na União Europeia ou no Espaço Económico Europeu.

Se prestadores tratarem dados fora da UE ou do EEE, a transferência só ocorre no respeito dos requisitos de proteção de dados.

Locais atuais de armazenamento e tratamento:
A aplicação, a base de dados e as cópias de segurança funcionam na Alemanha ou na União Europeia.

Transferências para países terceiros:
A Stripe (EUA) pode tratar dados de pagamento fora da UE e apoia-se em garantias adequadas, em especial cláusulas contratuais-tipo. Detalhes: https://stripe.com/privacy

💳 Dados de pagamento

Os pagamentos de tarifas pagas do Evylla podem ser tratados por prestadores de pagamento externos.

O tratamento dos dados de pagamento segue então as condições e as regras de privacidade desse prestador.

O Evylla não guarda números de cartão completos, salvo se a função o exigir e o pagamento técnico passar por um prestador especializado.

Prestadores de pagamento utilizados:
Stripe Payments Europe, Ltd. e sociedades do grupo; detalhes em stripe.com/privacy.

🔒 Medidas técnicas e organizativas

O Evylla toma medidas técnicas e organizativas adequadas para proteger dados pessoais contra perda, destruição, alteração e acesso não autorizado.

Isto pode incluir em particular:

• Encryption in transit (TLS) and for sensitive stored values (AES-256-GCM)
• Role and permission model with server-side checks on every access
• Protection against CSRF, brute-force attempts and session hijacking
• Separation of development and production environments
• Regular backups with a limited number of versions
• Updates of the components and dependencies in use
• Logging of security-relevant events with short retention

As medidas são revistas e desenvolvidas segundo o estado da técnica e o risco.

O art. 32.º do RGPD exige medidas técnicas e organizativas adequadas tendo em conta, entre outros, o estado da técnica, os custos, a natureza e o âmbito do tratamento e o risco para os direitos e liberdades das pessoas.

🚨 Incidentes de segurança

Apesar de medidas de segurança alargadas, nenhum serviço na internet garante um sistema sem qualquer risco.

Em caso de violação de dados pessoais, o Evylla avalia o incidente sem demora e toma as medidas necessárias.

Quando a lei o exige, as autoridades de controlo e as pessoas afetadas são informadas segundo as regras aplicáveis.