⚠️ Esta é uma tradução de referência. A versão em espanhol é legalmente vinculativa. Ver versão em espanhol →
Na RAXAR respeitamos a tua privacidade e comprometemo-nos a proteger os teus dados pessoais conforme o GDPR (UE 2016/679) e a Lei Orgânica 3/2018 (LOPDGDD). Esta política explica que dados recolhemos, para quê e como os protegemos.
1. Responsável pelo Tratamento
RAXAR (doravante "RAXAR" ou "nós") é o responsável pelo tratamento dos dados pessoais recolhidos através deste site (raxar.es) e da plataforma RAXAR Empresas.
— Denominação social: SOLUTIONS RAXAR, S.L. (marca «RAXAR»)
— NIF/CIF: B88688205
— Sede social: C/ Cardenal Parrado, 3, Esc. 2, 18013 Granada (Espanha)
— Dados registrais: Registro Mercantil de Granada, Folha GR-00065054
— Email de contacto: privacidad@raxar.es
— Site: https://raxar.es
2. Categorias de Dados que Coletamos
Coletamos as seguintes categorias de dados pessoais:
— Dados de contacto: nome, email, telefone (formulário de contacto, registo de cliente).
— Dados da empresa: nome da empresa, setor, tamanho, CIF/NIF (ao contratar serviços).
— Dados de uso da plataforma: interações, ações realizadas, preferências de configuração.
— Chat IA (Assistente RAXAR, o chat deste site): conteúdo das conversas com nosso assistente virtual. Processadas por modelos de IA de terceiros. Não enviamos informação pessoal identificável além da mensagem da conversa.
— Dados analíticos: páginas visitadas, duração de sessão, dispositivo, país. São recolhidos apenas se aceitares cookies de análise, através do Google Analytics 4 (Google LLC · G-PK7XSCP2SN) com Consent Mode e IP anonimizada. O PostHog (análise de produto, servidores na UE) está previsto para este site mas não está ativo hoje: não recolhe qualquer dado. Se for ativado, só carregará com o teu consentimento de análise.
— Dados de pagamento: processados exclusivamente via provedores de pagamento externos. RAXAR não armazena dados de cartão nem contas bancárias.
3. Finalidade e Base Legal
Tratamos seus dados para as seguintes finalidades:
— Prestação de serviços SaaS — automações e dashboards contratados (Art. 6.1.b GDPR — execução de contrato).
— Gestão de contas — autenticação, configuração e acesso à plataforma (Art. 6.1.b GDPR).
— Faturamento e comunicações de serviço — envio de faturas e notificações operacionais (Art. 6.1.b GDPR).
— Melhoria do serviço — análise agregada do uso da plataforma (Art. 6.1.f GDPR — interesse legítimo).
— Cumprimento legal — obrigações fiscais, contábeis e mercantis (Art. 6.1.c GDPR).
— Comunicações comerciais — newsletter e ofertas, só com seu consentimento prévio (Art. 6.1.a GDPR). Revogável a qualquer momento.
— Atendimento ao cliente — resolução de consultas e suporte técnico (Art. 6.1.b / 6.1.f GDPR).
— Prevenção de fraude — detecção de atividade anômala e proteção da plataforma (Art. 6.1.f GDPR).
Não tratamos seus dados para fins distintos aos indicados sem seu consentimento prévio.
4. Provedores e Transferências Internacionais
Seus dados não são vendidos nem cedidos a terceiros para fins comerciais. Compartilhamos dados com os seguintes provedores tecnológicos (encarregados do tratamento) que prestam serviços sob nossas instruções:
— Hostinger International Ltd. — Hosting VPS. Servidores na UE.
— Cloudflare — Custódia das cópias de segurança externas (armazenamento de objetos R2, com depósito restrito à União Europeia) e DNS autoritativo dos nossos domínios. As cópias são cifradas na origem —conteúdo e nomes de ficheiro— com uma chave que custodiamos em exclusivo, pelo que o fornecedor não pode aceder ao seu conteúdo.
— PostHog Inc. — Análise de produto. Servidores EU Cloud. Não está ativo hoje em raxar.es: não recebe qualquer dado da tua visita. Se for ativado, só carregará com o teu consentimento de análise e não identifica utilizadores individuais.
— Google LLC (EUA) — Google Analytics 4 em raxar.es (G-PK7XSCP2SN), só com consentimento de cookies de análise. Transferências ao abrigo do Quadro de Privacidade de Dados UE-EUA e Cláusulas Contratuais-Tipo. Também: modelos Gemini para geração automatizada de conteúdo de marketing sob o Data Processing Addendum da Google aplicável aos «Gemini API Paid Services».
— Anthropic Ireland, Limited (Irlanda), com o seu grupo —entre outras, a Anthropic PBC, nos EUA— e os subencarregados da sua lista pública — Modelos Claude: processamento de linguagem natural para o Assistente RAXAR (o chat deste site) e ferramenta de trabalho da nossa equipa com a conta empresarial do Claude (plano «Team»). A Anthropic armazena os dados nos EUA e pode tratá-los também noutros países. A saída para fora do Espaço Económico Europeu é feita pela Anthropic Ireland para o seu grupo e os seus subencarregados: o seu acordo de tratamento obriga-a a impor-lhes obrigações de proteção substancialmente equivalentes e a responder por eles, mas não especifica com que mecanismo do Capítulo V do RGPD, e não o temos por escrito da Anthropic.
— Groq (para clientes do EEE, segundo o seu acordo de serviços, Groq UK Limited, Reino Unido; pode tratar os dados nos EUA e noutros países onde a Groq ou os seus subencarregados operam) — Processamento de linguagem natural para o Assistente RAXAR (o chat deste site) e análises automatizadas. O seu acordo de tratamento de dados (em vigor desde 15 de outubro de 2025), que faz parte das suas condições de serviço, incorpora as Cláusulas Contratuais Tipo (módulos 2 e 3) na medida em que sejam legalmente necessárias; para a saída para os EUA e para os seus subencarregados compromete-se a um mecanismo legal sem especificar qual.
— Scaleway SAS (França · região de Paris) — Inferência de modelos de linguagem para nossos agentes internos (modelos 'gpt-oss-120b' e 'mistral-medium-3.5-128b'). Dados hospedados e processados integralmente na União Europeia: sem transferência internacional.
— Telegram FZ LLC (fora do Espaço Económico Europeu) — Canal de notificações operacionais internas da equipa da RAXAR. Os avisos gerados pelos formulários deste site e pelos pedidos de exercício de direitos não incluem dados identificativos: apenas o tipo de aviso, a hora e um identificador interno. Os avisos internos de faturação e de propostas comerciais podem incluir o nome e o endereço de correio eletrónico da pessoa de contacto da empresa com quem trabalhamos.
— Autoridades públicas — Quando exista obrigação legal.
As transferências para provedores fora do EEE são realizadas com as garantias indicadas em cada caso: Google, com as Cláusulas Contratuais Tipo e o Quadro de Privacidade de Dados UE-EUA; Anthropic e Groq, nos termos descritos acima. A Telegram FZ LLC está também fora do Espaço Económico Europeu: recebe unicamente os avisos operacionais internos descritos acima, com o alcance aí indicado. A inferência de modelos de linguagem dos nossos agentes internos é executada na Scaleway SAS (França), dentro do Espaço Económico Europeu e sem transferência internacional.
O que esta página não dizia até 22 de outubro de 2026. Desde pelo menos junho e até 21 de outubro de 2026 (e, num caso que estamos a verificar, em maio) tratámos dados pessoais do encargo de um cliente com serviços de inteligência artificial que não constavam desta relação, ou em condições diferentes das aqui descritas:
— Subscrições individuais do Claude (planos «Pro» e «Max» da Anthropic), com as condições da Anthropic para consumidores: a Anthropic trata o que recebe por essa via como responsável, não como nosso encarregado, nos EUA e noutros países fora do Espaço Económico Europeu, e sem acordo de tratamento de dados.
— A conta empresarial do Claude (plano «Team»), sem a autorização prévia desse cliente.
— O nosso assistente interno de operações enviou fragmentos de documentos com endereços de email desse cliente à Scaleway (França), à opencode.ai (um serviço de acesso a modelos de linguagem; estamos a verificar quem o presta e onde trata os dados) e, possivelmente, à Groq (EUA).
— De 22 a 26 de setembro de 2026, alguns avisos internos por Telegram levaram dados identificativos e o conteúdo de respostas a um questionário.
— Estamos a verificar se intervieram outros serviços: GitHub, Codex, Grok Bot, Cursor, DeepSeek (em maio, antes de prestarmos os serviços) e um classificador de email que usa a Groq.
Notificámos esse cliente de uma violação da segurança dos dados pessoais (artigo 33.º do RGPD).
5. Uso de IA e Decisões Automatizadas
RAXAR utiliza modelos de IA como parte dos seus serviços:
— Assistente RAXAR (o chat deste site): Gera respostas conversacionais a partir das mensagens. Mensagens enviadas a provedores de IA. Não armazena PII vinculada à sua identidade nos servidores desses provedores.
— Análises automatizadas: Classificação de emails, scoring de leads, geração de relatórios. Geram recomendações, mas as decisões finais são sempre revisadas por pessoas.
— Modelos locais (privacy_mode): Para clientes que requerem, dados sensíveis são processados exclusivamente em modelos IA locais na infraestrutura RAXAR (hardware próprio · sem transferência externa). Ativado por acordo contratual ou config do tenant.
Conforme GDPR Art. 22, nenhum tratamento automatizado produz efeitos jurídicos ou afeta significativamente os interessados sem intervenção humana. Tens direito a:
— Obter informação sobre a lógica aplicada em qualquer análise automatizada.
— Solicitar intervenção humana em qualquer decisão.
— Expressar seu ponto de vista e contestar a decisão.
Compliance com Regulamento (UE) 2024/1689 (AI Act): Nossos sistemas IA se classificam majoritariamente como risco limitado ou risco mínimo. Cumprimos as obrigações de transparência aplicáveis:
— Utilizadores são informados ao interagir com sistema IA (Assistente RAXAR claramente identificado).
— Conteúdo gerado por IA identificado quando poderia confundir-se com humano.
— Guardrails ativos previnem geração de conteúdo proibido.
— Avaliações regulares de vieses, robustez e precisão dos modelos.
Para exerceres esses direitos, escreve para privacidad@raxar.es.
6. Conservação de Dados
Conservamos seus dados pelos seguintes períodos:
— Dados de clientes ativos: Duração do contrato + 6 anos (obrigações fiscais e mercantis).
— Dados de utilizadores da plataforma: Duração do contrato + 3 meses.
— Consultas não convertidas: Máximo 12 meses desde último contacto.
— Comunicações comerciais: 24 meses ou até revogação do consentimento.
— Logs de acesso e analytics: 12 meses.
— Cookies: Segundo configuração de cada tipo (ver Política de Cookies).
Transcorridos esses prazos, os dados são eliminados ou anonimizados de forma irreversível.
7. Os Teus Direitos
Conforme o GDPR (Arts. 15-22), tens direito a:
— Acesso (Art. 15): saber que dados pessoais temos sobre ti.
— Retificação (Art. 16): corrigir dados inexatos ou incompletos.
— Apagamento (Art. 17): solicitar a eliminação quando os dados já não forem necessários.
— Limitação do tratamento (Art. 18): limitar uso em determinadas circunstâncias.
— Portabilidade (Art. 20): receber os teus dados em formato estruturado, de uso comum e leitura mecânica.
— Oposição (Art. 21): opor-se ao tratamento baseado em interesse legítimo.
— Não ser objeto de decisões automatizadas (Art. 22): direito a não estar sujeito a decisões baseadas unicamente em tratamento automatizado com efeitos jurídicos.
Para exerceres qualquer destes direitos, escreve para privacidad@raxar.es indicando o direito. Responderemos em prazo máximo de 30 dias (ampliável a 60 em casos complexos, com notificação motivada).
Procedimento de verificação de identidade: Para proteger os teus dados contra pedidos fraudulentos, podemos requerer: (i) confirmação do email vinculado, (ii) cópia de documento identificativo (DNI/NIE/passaporte · fragmentos desnecessários podem ser ocultados), ou (iii) verificação in-app se já autenticado. Não solicitamos documentação excessiva.
Formato de portabilidade (Art. 20): Dados entregues em formato estruturado JSON (default) ou CSV, com esquema documentado. Tamanhos grandes (>100MB) entregues via link seguro com expiração 72h.
Se considerares que os teus direitos não foram atendidos corretamente, podes apresentar reclamação à Agência Espanhola de Proteção de Dados (AEPD) em www.aepd.es ou sede: Calle Príncipe de Vergara, 108 — 28002 Madrid.
8. Segurança
Implementamos medidas técnicas e organizacionais adequadas para proteger os teus dados (GDPR art. 32):
Técnicas:
— Criptografia em trânsito TLS 1.3 (mínimo TLS 1.2) com HSTS em todos os domínios.
— As cópias de segurança externas viajam e são armazenadas cifradas na origem —conteúdo e nomes de ficheiro— com uma chave que o fornecedor de armazenamento não possui.
— Isolamento multi-tenant via Row Level Security (RLS) em PostgreSQL, com políticas de acesso verificadas em auditoria independente.
— Guardrails de IA nas chamadas dos nossos agentes internos e do nosso painel a modelos externos: filtragem de dados pessoais (email, documento de identidade, NIE, IBAN, cartão, telefone e passaporte; a deteção foi pensada para os formatos espanhóis e não reconhece todos os estrangeiros), de injeção de prompts e de segredos. Nem todos os nossos sistemas a aplicam hoje; entre outros, não a aplicam o chat público deste site (avisamos-te junto ao campo de escrita), o trabalho da nossa equipa com o Claude, o nosso assistente interno de operações, alguns fluxos automatizados, a análise dos pedidos de registo e a regeneração de rascunhos de email do painel, que substitui os dados pessoais do corpo mas não o remetente nem o assunto.
— Rotação trimestral de credenciais e tokens (imediata em caso de incidente).
— Sandboxing e allowlist estrito para execução de comandos IA.
— Security headers completos: CSP, X-Frame-Options, X-Content-Type-Options, Referrer-Policy.
Autenticação de utilizadores:
— MFA/2FA obrigatório para papéis administrativos · opcional mas recomendado para utilizadores.
— Senhas mínimo 12 caracteres, hash bcrypt fator 12.
— Expiração de sessão após 24h inatividade.
— Bloqueio de conta após 5 tentativas falhas consecutivas.
Organizacionais:
— Controle de acesso baseado em papéis (RBAC) · 4 papéis: superadmin, raxar_internal, raxar_team, cliente.
— Princípio do mínimo privilégio.
— Servidores da Hostinger na UE (datacenter com certificação ISO 27001 segundo o fornecedor).
— Backups diários automáticos (03:00 UTC) com cópia externa em dois destinos: armazenamento de objetos Cloudflare R2, com depósito restrito à União Europeia, e um suporte próprio geograficamente separado em Espanha. O ficheiro é cifrado na origem antes de sair.
— Vigilância automática contínua (Uptime Kuma · GlitchTip · vigilância própria) com alertas por Telegram. A resposta humana é em horário laboral (segunda a sexta, 9h-19h, hora de Madrid).
— Procedimento documentado de resposta a incidentes.
— Formação GDPR e segurança para equipa interna.
9. Notificação de Brechas de Segurança
Em caso de violação de segurança de dados pessoais que afete direitos e liberdades dos interessados, RAXAR se compromete a:
— Notificar a AEPD em prazo máximo de 72 horas desde conhecimento, conforme Art. 33 GDPR.
— Comunicar aos interessados afetados sem atraso indevido quando brecha suponha alto risco (Art. 34 GDPR).
— Notificar cliente (controlador) dentro de 48 horas seguintes ao conhecimento quando brecha afete dados tratados em seu nome (prazo contratual mais estrito).
Toda brecha é registada internamente no registo de incidentes de segurança, disponível para revisão por autoridades de controlo e clientes responsáveis.
10. Menores
Os serviços RAXAR são dirigidos exclusivamente a maiores de 18 anos (clientes B2B · profissionais e empresas). Não recolhemos intencionalmente dados de menores. Se detetarmos recolha de dados de menor, procederemos à eliminação imediata.
11. Cookies
Este site utiliza cookies técnicas e de análise. Para mais informação, consulte nossa Política de Cookies em raxar.es/cookies.
12. Responsável pela Proteção de Dados
RAXAR não é obrigado a designar Delegado de Proteção de Dados (DPO) conforme Art. 37 GDPR. Não obstante:
— Temos canal dedicado para questões de privacidade: privacidad@raxar.es.
— Solicitações geridas pela equipa de direção com responsabilidade direta em proteção de dados.
— Se no futuro nosso volume de tratamento requerer, designaremos DPO formal e atualizaremos esta política.
13. Alterações nesta Política
Podemos atualizar esta política para refletir mudanças legais ou nos nossos serviços. A data da última atualização aparece no início desta página. Se as alterações forem significativas, comunicaremos via email se tiver relação ativa, e/ou via aviso proeminente na plataforma durante 30 dias.