Legal
Subcontratantes
Fornecedores que tratam dados pessoais por conta da Vasco.chat para prestar o VASCO, com a finalidade, os dados envolvidos e a localização de cada um.
Versão 1.0 · Última atualização: 28 de outubro de 2026
1. Infraestrutura e alojamento
| Fornecedor | Finalidade | Dados | Localização e transferências |
|---|---|---|---|
| Lovable (Lovable Cloud) | Alojamento e execução da aplicação; base de dados, autenticação e armazenamento geridos (Supabase) | Todos os dados de conta, workspace e serviço | UE (Irlanda, AWS eu-west-1): base de dados, autenticação e ficheiros. Transferências para fora do EEE: Lovable (EUA) e Supabase (EUA e Singapura) [A CONFIRMAR: entidade Lovable contratante e se o Acordo de Tratamento de Dados da Lovable (cláusulas contratuais-tipo) cobre o workspace Lovable da Vasco.chat, em plano Pro — na conta/faturação Lovable ou via dpo@lovable.dev] |
| Cloudflare (através da Lovable) | Execução da aplicação (Cloudflare Workers) e entrega das páginas e pedidos na rede global da Cloudflare | Pedidos e respostas (incluindo endereço IP e metadados técnicos), tratados em trânsito e durante a execução | Rede global da Cloudflare, sem região fixa (por defeito, cada pedido é tratado num centro de dados próximo de quem o faz) — Cloudflare, Inc. (EUA): Quadro de Privacidade de Dados UE-EUA, com cláusulas contratuais-tipo como alternativa |
2. Inteligência artificial
Nas respostas e na leitura de imagens, o texto é minimizado antes do envio e só segue para finalidades autorizadas no registo de fornecedores; a pesquisa no conhecimento envia o texto da pergunta ao modelo de embeddings. Os termos da API da OpenAI, dos serviços pagos da Google e da Anthropic excluem o uso dos dados enviados para treino. [A CONFIRMAR: se o contrato com a Lovable (Acordo de Tratamento de Dados ou opção de exclusão de treino na conta) exclui o uso para treino dos pedidos enviados pelo VASCO através do Lovable AI Gateway — painel Lovable / Lovable] A pesquisa web (Tavily) recebe apenas o texto da pergunta, sem metadados de conta ou farmácia [A CONFIRMAR: exclusão de treino e de retenção no contrato com a Tavily — os termos-padrão permitem uso para melhoria e treino].
| Fornecedor | Finalidade | Dados | Localização e transferências |
|---|---|---|---|
| Lovable AI Gateway | Encaminhamento dos pedidos aos modelos OpenAI e Google | Texto minimizado das perguntas e contexto; texto da pergunta para pesquisa semântica; imagens quando autorizadas | Lovable Labs Incorporated — os pedidos aos modelos correm nos servidores-padrão da Lovable, que podem ficar fora do EEE (a inferência apenas na UE só existe no plano Enterprise); transferência ao abrigo do Acordo de Tratamento de Dados da Lovable (cláusulas contratuais-tipo) [A CONFIRMAR: aceitação do Acordo de Tratamento de Dados da Lovable pelo workspace Lovable da Vasco.chat e se a Lovable guarda pedidos e respostas de IA do projeto VASCO Chat, e por quanto tempo — painel Lovable / Lovable] |
| OpenAI | Respostas do assistente; indexação do conhecimento publicado e pesquisa semântica da pergunta | Texto minimizado das perguntas e contexto; texto da pergunta para pesquisa semântica | Através do Lovable AI Gateway (subcontratante ulterior da Lovable) — pode decorrer fora do EEE, sem região UE garantida no plano atual; transferência ao abrigo do Acordo de Tratamento de Dados da Lovable (cláusulas contratuais-tipo); nos termos da API OpenAI, os dados não são usados para treino e os registos de monitorização de abusos são guardados até 30 dias [A CONFIRMAR: se a Lovable serve os modelos GPT pela API da OpenAI ou pelo Azure OpenAI, em que região e com que retenção — junto da Lovable] |
| Google (Gemini) | Leitura de imagens com consentimento; leitura de fichas de produto para enriquecimento do catálogo; transcrição de imagens para captação de conhecimento | Imagens, quando autorizadas, e texto minimizado associado | Através do Lovable AI Gateway (subcontratante ulterior da Lovable) — pode decorrer fora do EEE, sem região UE garantida no plano atual; transferência ao abrigo do Acordo de Tratamento de Dados da Lovable (cláusulas contratuais-tipo); nos serviços pagos da Google (API Gemini e Vertex AI), os pedidos não são usados para treino [A CONFIRMAR: serviço Google usado pela Lovable (API Gemini ou Vertex AI), região e prazo de retenção para monitorização de abusos — junto da Lovable] |
| Anthropic (Claude) | Alternativa de reserva para respostas do assistente (não ativa) | Texto minimizado das perguntas e contexto | Anthropic Ireland, Limited — dados guardados nos EUA e inferência em qualquer região (não há opção UE); cláusulas contratuais-tipo; treino excluído nos Termos Comerciais; retenção até 30 dias. Conta da Vasco.chat criada; ligação ainda não ativa (nenhum pedido enviado até à data) |
| Tavily | Pesquisa web controlada quando não há conhecimento validado (nunca em emergências, pediatria nem pedidos de dose) | Texto da pergunta, enviado como termo de pesquisa (não minimizado; sem metadados de conta, utilizador ou farmácia) | EUA — AlphaAI Technologies Inc. (Tavily) [A CONFIRMAR: base da transferência — DPA com cláusulas contratuais-tipo na conta/contrato Tavily (a Tavily só as prevê para subscrições Enterprise)] |
Estes fornecedores são componentes de infraestrutura: não são autores nem titulares do VASCO.
3. Pagamentos e faturação
| Fornecedor | Finalidade | Dados | Localização e transferências |
|---|---|---|---|
| Stripe | Processamento de pagamentos e gestão da subscrição | Identificação, e-mail, dados de faturação e de pagamento | Stripe Payments Europe, Limited e Stripe Technology Europe, Limited (Irlanda), conta registada em Portugal; transferência para a Stripe, LLC (EUA) — Quadro de Privacidade de Dados UE-EUA e, subsidiariamente, cláusulas contratuais-tipo |
| InvoiceXpress | Emissão e envio das faturas-recibo, comunicadas à Autoridade Tributária | Nome, NIF, morada de faturação, e-mail, identificador de cliente, plano e valores | InvoiceXpress, Lda. (Portugal, grupo Visma) — dados alojados na UE (Irlanda); possível tratamento por prestadores no Reino Unido, ao abrigo da decisão de adequação da UE |
4. Comunicações
| Fornecedor | Finalidade | Dados | Localização e transferências |
|---|---|---|---|
| Lovable (envio de e-mail) | E-mails de serviço (códigos de acesso, confirmações, convites e avisos), Plano de Toma enviado ao utente por e-mail e newsletter/campanhas a quem as subscreveu | E-mail, nome, conteúdo da mensagem (no Plano de Toma, apenas o nome da farmácia e a ligação opaca) | Lovable Labs Incorporated (EUA) — cláusulas contratuais-tipo do acordo de tratamento de dados da Lovable [A CONFIRMAR: se esse acordo cobre o workspace Lovable da Vasco.chat, em plano Pro — ver «Lovable (Lovable Cloud)»]; [A CONFIRMAR: se a entrega é feita pela Mailgun (grupo Sinch) e em que região, UE ou EUA — registos MX de notify.vasco.chat e lista de subcontratantes em trust.lovable.dev] |
| GatewayAPI (através da Lovable) | Mensagem (SMS/RCS) do Plano de Toma ao utente, quando a farmácia o envia para o telemóvel | Número de telemóvel, nome da farmácia e ligação opaca, sem conteúdo clínico | ONLINECITY.IO ApS (Dinamarca, UE), através da gateway de conectores da Lovable; [A CONFIRMAR: ligação GatewayAPI ativa em produção e domínio UE (gatewayapi.eu, alojado na Alemanha) ou global (gatewayapi.com, predefinido) — Lovable → Connectors → GatewayAPI] |
5. Monitorização e medição
| Fornecedor | Finalidade | Dados | Localização e transferências |
|---|---|---|---|
| Sentry | Registo de erros críticos e de pedidos interrompidos da aplicação | Rota (caminho, sem parâmetros) e método do pedido, identificador de correlação, classe, nome e código técnico do erro — sem a mensagem nem a stack do erro, conteúdo, cabeçalhos, cookies ou endereço IP do utilizador | Functional Software, Inc. (EUA) — Quadro de Privacidade de Dados UE-EUA e, subsidiariamente, cláusulas contratuais-tipo; dados alojados na UE (Frankfurt) |
| Google Analytics 4 | Analítica agregada, só com consentimento | Identificadores de cookie, páginas visitadas, dados do navegador e localização aproximada (o endereço IP não é guardado) | Ainda não ativo. Quando ativo: Google Ireland Limited (Irlanda); transferência para a Google LLC (EUA) ao abrigo do Quadro de Privacidade de Dados UE-EUA e cláusulas contratuais-tipo |
| Meta Pixel | Medição de campanhas, só com consentimento | Identificadores de cookie, endereço IP e dados do navegador | Ainda não ativo. Quando ativo: Meta Platforms Ireland Limited (Irlanda), corresponsável com a Vasco.chat pela recolha e transmissão dos dados (art. 26.º do RGPD); transferência para a Meta Platforms, Inc. (EUA) ao abrigo do Quadro de Privacidade de Dados UE-EUA e cláusulas contratuais-tipo |
Os alertas técnicos internos (enviados para o Slack da equipa) contêm apenas códigos técnicos — nunca texto de perguntas ou respostas nem dados pessoais.
6. Serviços escolhidos pelo utilizador e recursos de terceiros
- Google e Apple — início de sessão, apenas se o utilizador o escolher; atuam como responsáveis pelos seus próprios dados de conta.
- Google Fonts — tipos de letra da página (recebe o endereço IP do navegador).
- DuckDuckGo — ícones dos sites citados como fonte (recebe o endereço IP do navegador).
7. Alterações a esta lista
Esta lista é atualizada sempre que um fornecedor entra ou sai. Os clientes com Acordo de Tratamento de Dados são avisados previamente e podem opor-se. Questões: data@vasco.chat.