Política de privacidade

Data de entrada em vigor: 19 de agosto de 2026

A Concerto Labs (a «Empresa») explora o The CEO Staff (o «Serviço», que inclui o site theceostaff.com e a aplicação de ambiente de trabalho para macOS e Windows) em cumprimento da Lei de Proteção de Informação Pessoal da Coreia («PIPA») e da restante legislação aplicável. Para tratar os dados pessoais de forma lícita e geri-los com segurança, a Empresa estabelece e publica esta política nos termos do artigo 30.º da PIPA.

O The CEO Staff é uma aplicação de ambiente de trabalho que reconhece em tempo real o que a outra parte diz durante uma videoconferência, fornece um guião de resposta que pode ser lido e elabora um relatório de síntese no final da reunião. Está atualmente disponível em macOS e Windows, podendo as funcionalidades oferecidas variar consoante o sistema operativo. Pela sua própria natureza, o Serviço trata informação que pode ser sensível — o áudio das reuniões e o conteúdo das conversas —, pelo que a Empresa define separadamente os respetivos princípios no artigo 5.º.

Em resumo

•O conteúdo das reuniões — áudio, transcrições, relatórios, base de conhecimento e afins — é guardado, em princípio, apenas no seu dispositivo.

•Constitui exceção a utilização da funcionalidade de partilha de atas: nesse caso, a síntese, a transcrição e os dados dos participantes dessa ata são armazenados nos servidores da Empresa. As gravações não são, em caso algum, carregadas para os servidores. Ao revogar a partilha, o que foi armazenado é igualmente eliminado (artigo 5.º, n.º 2).

•A Empresa não utiliza as suas conversas para treinar modelos de IA.

•A Empresa não vende dados pessoais mediante contrapartida. O site, contudo, integra um píxel da Meta para medir o desempenho publicitário; nas regiões onde é exigido consentimento prévio, funciona apenas mediante consentimento (artigo 10.º). A aplicação de ambiente de trabalho não contém qualquer tecnologia publicitária ou de rastreio.

•Informar os participantes sobre a gravação e a transcrição e obter o seu consentimento é da responsabilidade do utilizador (artigo 5.º, n.º 4).

•Nos pagamentos, a Empresa não guarda o número completo do cartão nem o código de segurança; a retratação e os reembolsos regem-se pela Política de retratação, cancelamento e reembolso de serviços pagos.

Artigo 1.º (Âmbito de aplicação)

① Esta política aplica-se a todos os seguintes domínios.

1. A visita ao site (theceostaff.com) e a inscrição prévia na beta
2. O envio e a receção de convites, bem como o registo e a autenticação
3. A utilização da aplicação de ambiente de trabalho (macOS e Windows) (sessões de reunião, base de conhecimento, ensaio, relatórios, partilha de atas, etc.)
4. A consulta do visualizador web de atas partilhadas (theceostaff.com/r/)
5. O apoio ao cliente e as comunicações

② Quando a Empresa celebre um contrato autónomo com um cliente empresarial e trate os dados pessoais dos seus colaboradores segundo as instruções deste, o cliente empresarial é o responsável pelo tratamento e a Empresa atua como subcontratante. Nesse caso prevalece a política de privacidade desse cliente.

③ Esta política não se aplica aos sites e serviços externos ligados a partir do Serviço; consulte as políticas dos respetivos operadores.

④ O Serviço pode oferecer subscrições pagas com períodos de três meses ou um ano, bem como produtos pagos adicionais. A retratação, o cancelamento e o reembolso dos serviços pagos regem-se pela Política de retratação, cancelamento e reembolso de serviços pagos.

Artigo 2.º (Definições)

Os termos utilizados nesta política têm o significado seguinte; os não definidos regem-se pela PIPA e pela legislação aplicável.

1. «Dados pessoais»: informação relativa a uma pessoa viva que permite identificá-la — nome, endereço de correio eletrónico, voz, etc. —, incluindo a que a identifica quando facilmente combinada com outra informação.
2. «Titular dos dados»: a pessoa identificável através da informação tratada; nesta política abrange os utilizadores que acedem ao Serviço, se inscrevem previamente, se registam ou o utilizam, bem como os terceiros que participam nas suas reuniões.
3. «Utilizador»: quem celebrou um contrato de utilização com a Empresa e utiliza o Serviço.
4. «Conteúdo de reunião»: o áudio tratado durante a utilização do Serviço, a respetiva transcrição, as traduções, as sínteses e relatórios, bem como a base de conhecimento, as FAQ e as entradas de memória (Memory) registadas pelo utilizador; ou seja, tudo o que o utilizador fornece ou o Serviço gera.
5. «Subcontratante»: a entidade a quem a Empresa confia um tratamento de dados pessoais.
6. «Transferência para fora do país»: a comunicação, a subcontratação ou a conservação de dados pessoais fora da República da Coreia.

Artigo 3.º (Finalidades do tratamento)

A Empresa trata dados pessoais para as finalidades seguintes e não os utiliza para outras. Caso a finalidade se altere, adota as medidas necessárias, designadamente a obtenção de consentimento autónomo nos termos do artigo 18.º da PIPA.

1. Receção das inscrições na beta e análise dos convites: verificação dos candidatos, avaliação de adequação, gestão da ordem de convite, envio dos convites por correio eletrónico
2. Registo e gestão da conta: verificação de identidade (confirmação por correio eletrónico), manutenção da sessão, segurança da conta, prevenção de registos duplicados ou fraudulentos
3. Gestão do programa de convites: emissão, entrega e caducidade dos convites, atribuição e acerto de recompensas (créditos de utilização gratuitos) para quem convida e para quem se regista
4. Prestação do Serviço: reconhecimento de voz em tempo real, geração de guiões de resposta, tradução e interpretação, sínteses e relatórios de reunião, armazenamento e pesquisa na base de conhecimento, nas FAQ e na memória, ensaio de reuniões
5. Partilha de atas: criação da ligação web de partilha da ata solicitada pelo utilizador, gestão dos direitos de acesso, envio da ligação por correio eletrónico aos participantes e tratamento da revogação da partilha
6. Gestão do consumo: atribuição, consumo e caducidade dos créditos gratuitos
7. Apoio e comunicações: resposta a pedidos, apoio ao arranque, envio das comunicações indispensáveis, como incidentes e alterações de políticas
8. Melhoria do Serviço e estatística: análises estatísticas como a utilização por funcionalidade e o diagnóstico de erros (em regra pseudonimizadas ou agregadas)
9. Prevenção de utilizações indevidas e cumprimento legal: deteção de abusos e da obtenção fraudulenta de créditos, gestão de litígios, cumprimento de obrigações legais
10. Envio de informação comercial (com consentimento autónomo): novidades, eventos e promoções
11. Medição do desempenho publicitário: medição do comportamento dos utilizadores que chegam através de um anúncio — visitas ao site, descarregamentos e afins —, análise da eficácia publicitária e constituição de públicos publicitários
12. Pagamento e reembolso dos serviços pagos: pagamento de subscrições e produtos adicionais, gestão dos pagamentos recorrentes, confirmação do pagamento, emissão de recibos, tratamento de retratações, cancelamentos e reembolsos, prevenção de pagamentos fraudulentos e gestão de litígios relacionados com pagamentos

Artigo 4.º (Categorias de dados tratados e forma de recolha)

① Inscrição prévia na beta (manifestação de interesse)

É possível inscrever-se sem os dados facultativos, ainda que a análise do convite disponha então de menos informação.

② Registo e convites

Número de telefone: guardado convertido para o formato internacional (E.164, sem hífenes), é usado unicamente para avisos indispensáveis relativos à conta e para a verificação de identidade e o contacto no âmbito do apoio ao cliente. Sem consentimento separado, não é usado para fins de marketing.

Cuidado ao enviar convites: introduzir o endereço de correio eletrónico de um terceiro para lhe enviar um convite equivale a comunicar os seus dados pessoais à Empresa. Deve obter previamente o seu consentimento. A Empresa utiliza esse endereço unicamente para enviar o convite e confirmar o respetivo resultado, destruindo-o sem demora quando o convite caduca ou não é utilizado.

③ Utilização do Serviço (conteúdo de reunião)

Em princípio, o conteúdo de reunião é guardado exclusivamente dentro do dispositivo do utilizador. Os servidores da Empresa e os fornecedores externos de IA e reconhecimento de voz intervêm apenas como via de tratamento transitória que produz um resultado e o devolve ao ecrã do utilizador.

Excecionalmente, quando o utilizador recorre à funcionalidade de partilha de atas, um instantâneo dessa ata é armazenado nos servidores da Empresa. Os pormenores constam do artigo 5.º, n.º 2.

O instantâneo partilhado não inclui as gravações. Além disso, as horas da transcrição são guardadas apenas como tempo decorrido desde o início da reunião e não como hora absoluta.

④ Informação recolhida automaticamente

⑤ Princípio da minimização

1. A Empresa não recolhe qualquer identificador único, como o número de registo de residente ou o número de passaporte.
2. A Empresa não tem por finalidade recolher dados sensíveis como opiniões políticas, saúde, vida sexual, dados genéticos ou antecedentes criminais. Uma vez que tais conteúdos podem surgir naturalmente numa reunião, a Empresa aplica a todo o conteúdo de reunião as medidas reforçadas do artigo 5.º.
3. A Empresa não cria nem conserva dados biométricos, como impressões vocais, para identificar quem fala. A distinção entre intervenientes resulta apenas do tratamento separado dos canais de áudio (o seu microfone / o som da outra parte).
4. A Empresa não mantém um registo próprio dos endereços IP dos visitantes do site; do país de acesso regista apenas o código presente no cabeçalho do pedido (por exemplo, KR).

⑥ Pagamento e reembolso dos serviços pagos

Os dados do meio de pagamento — número do cartão, validade, código de segurança e afins — são tratados diretamente pelo prestador de pagamentos. A Empresa não guarda o número completo do cartão nem o código de segurança.

⑦ Transferência da aplicação

O número de telefone é guardado convertido para o formato internacional (E.164, sem hífenes) e não é usado para fins de marketing sem consentimento separado.

Artigo 5.º (Disposições especiais sobre o conteúdo de reunião)

O conteúdo de reunião contém conversas entre o utilizador e o seu interlocutor, exigindo por isso proteção particular. A Empresa observa os princípios seguintes.

① Em princípio, o conteúdo de reunião é guardado apenas no dispositivo do utilizador (conceção «local primeiro»)

1. As gravações, transcrições, traduções, guiões de resposta, sínteses e relatórios, entradas de memória, a base de conhecimento e as FAQ, bem como a informação sobre os interlocutores, são guardados cifrados por conta na área de dados própria da aplicação, no dispositivo do utilizador. Salvo execução da partilha de atas prevista no n.º 2, esta informação não é transmitida nem arquivada nos servidores da Empresa, que não a pode deter nem consultar.
2. Os servidores da Empresa e os fornecedores externos intervêm apenas como via de tratamento transitória que gera um resultado e o devolve ao ecrã. O fluxo de áudio para o reconhecimento de voz é enviado ao fornecedor apenas durante a sessão e não é arquivado; o texto para gerar respostas e sínteses é enviado ao fornecedor de IA e o tratamento termina com a devolução do resultado (artigo 12.º). Se a ata em tempo real estiver ativa, também durante a reunião as intervenções de cada faixa são enviadas ao fornecedor de IA em intervalos regulares para gerar a síntese. O que é enviado esgota-se com a devolução do resultado e não é arquivado.
3. Tenha em conta que, residindo o conteúdo apenas no seu dispositivo, não é recuperável nos casos seguintes.
   • Se eliminar a aplicação juntamente com os respetivos dados
   • Se repuser ou substituir o dispositivo
   • Se o arquivo de credenciais do sistema operativo (porta-chaves do macOS, API de proteção de dados do Windows e equivalentes) ficar danificado ou for reposto e deixar de ser possível ler a chave de cifragem
   • Se aceder a partir de outro dispositivo (não é suportada a sincronização entre dispositivos)
   • Se iniciar sessão com outra conta (os dados são armazenados separadamente por conta)

   A chave de cifragem que abre os dados da conta está associada à área protegida do sistema operativo desse dispositivo, pelo que copiar apenas os ficheiros de dados para outro dispositivo não permite decifrá-los. Trata-se de uma conceção intencional, para que quem leve os ficheiros não possa ver o respetivo conteúdo. A Empresa não conserva cópias de segurança e, por isso, não pode auxiliar na recuperação. Guarde separadamente os relatórios e documentos importantes através da função de descarregamento do Serviço.

② Tratamento em caso de partilha de uma ata (exceção ao princípio «local primeiro»)

1. Quando o utilizador recorre à funcionalidade de partilha, o título, a síntese estruturada, o registo por faixas horárias, os nomes dos intervenientes, os endereços de correio eletrónico e nomes dos participantes e a transcrição dessa ata são armazenados como instantâneo nos servidores da Empresa, para que os participantes que não utilizam a aplicação possam consultar a ata através de uma ligação web. A mensagem enviada aos participantes contém apenas o título da ata, a ligação de consulta e a nota que o utilizador tenha introduzido; não contém a ata na íntegra.
2. As gravações não fazem parte do que é partilhado e não são, em caso algum, armazenadas nos servidores da Empresa.
3. As horas registadas na transcrição são guardadas apenas como tempo decorrido desde o início da reunião e não como hora absoluta.
4. O utilizador pode escolher o âmbito da partilha entre «qualquer pessoa com a ligação» e «apenas participantes».
5. O utilizador pode revogar a partilha a qualquer momento; com a revogação, o instantâneo armazenado no servidor é eliminado e as ligações já enviadas deixam de dar acesso.
6. Quando o utilizador introduz os endereços de correio eletrónico dos participantes para enviar a ligação, tal equivale a facultar à Empresa dados pessoais de terceiros. O utilizador deve informar previamente esses participantes da partilha da ata e obter o consentimento necessário.
7. A Empresa utiliza os endereços de correio eletrónico dos participantes que recebe apenas para enviar a ligação da ata e confirmar o respetivo resultado.
8. Se a funcionalidade de partilha não for utilizada, a ata não sai do dispositivo do utilizador.

③ Não é utilizado para treinar modelos de IA

A Empresa não utiliza o áudio, as transcrições, a base de conhecimento nem os relatórios dos utilizadores para treinar (training) ou afinar (fine-tuning) modelos de inteligência artificial. Os contratos com os fornecedores externos de IA utilizados (artigo 12.º) estabelecem igualmente que esses dados não servem para treino de modelos.

④ Responsabilidade do utilizador de informar e obter consentimento

1. O tratamento da voz do interlocutor inicia-se por decisão e ação do utilizador, executando-o a Empresa segundo as suas instruções.
2. Antes de qualquer gravação ou transcrição, é da responsabilidade do utilizador informar os participantes e obter o consentimento exigido pela lei aplicável. A lei coreana de proteção do sigilo das comunicações proíbe a gravação por quem não é parte na conversa e alguns países e estados — a Califórnia, nos Estados Unidos, por exemplo — exigem o consentimento de todos os participantes (all-party consent).
3. A Empresa não responde por litígios decorrentes do incumprimento desta obrigação e pode restringir a utilização do Serviço caso se confirme uma utilização ilícita.

⑤ Controlo de acessos

1. Como o conteúdo de reunião não partilhado é guardado apenas no dispositivo do utilizador, o pessoal da Empresa não o pode consultar. Mesmo quando a Empresa precise de o examinar para apoio técnico ou resolução de incidentes, o acesso é impossível se o utilizador não o fornecer diretamente. Os instantâneos de atas partilhadas nos termos do n.º 2 estão, contudo, armazenados nos servidores da Empresa, sendo por isso tecnicamente acessíveis. A Empresa atribui esses direitos ao menor número possível de pessoas, regista e gere o histórico de acessos e não os consulta para finalidade distinta da resposta a incidentes e do cumprimento de obrigações legais.
2. Quando um utilizador entrega diretamente parte do seu conteúdo no âmbito de um pedido ou da comunicação de um erro, a Empresa utiliza-o apenas para tratar esse pedido e destrói-o sem demora após a conclusão. Nesse caso, a data, o motivo e a identidade de quem acede são registados e conservados durante um ano.
3. Quanto à informação alojada nos servidores da Empresa, como os dados de conta, as permissões são concedidas ao número mínimo de pessoas e o histórico de acessos é registado e gerido.

⑥ Controlo da eliminação

1. O utilizador pode eliminar por si próprio e a qualquer momento, dentro do Serviço, sessões individuais (gravação, transcrição, relatório), documentos da base de conhecimento, entradas de memória e pastas.
2. Ao eliminar a aplicação juntamente com os respetivos dados, todo o conteúdo de reunião desaparece de imediato.
3. Como o conteúdo de reunião não partilhado não existe nos servidores da Empresa, não é necessário qualquer pedido de eliminação dirigido à Empresa.
4. A ata partilhada é eliminada do servidor assim que a partilha for revogada dentro do Serviço. Caso a revogação se revele difícil, pode pedir-se a eliminação ao contacto do artigo 14.º.

⑦ Informação sobre os interlocutores (terceiros)

1. Quando um utilizador regista na base de conhecimento o nome, a organização ou o perfil de um interlocutor, ou solicita uma pesquisa em fontes públicas, a Empresa atua segundo as suas instruções. Cabe ao utilizador verificar se essa recolha e utilização são lícitas.
2. A pesquisa em fontes públicas procura e sintetiza apenas informação publicada na internet; a Empresa não constrói uma base de dados de pessoas.
3. O terceiro que tenha sido interlocutor pode pedir o acesso à informação que lhe diga respeito ou a sua eliminação através do contacto do artigo 14.º. A Empresa transmitirá o pedido ao utilizador que detém essa informação e apoiará o respetivo tratamento.

Artigo 6.º (Tratamento e prazos de conservação)

① A Empresa trata e conserva os dados pessoais dentro do prazo previsto na lei ou consentido pelo titular.

② A Empresa pode, mediante aviso prévio, tornar inativa ou eliminar a conta de um utilizador que não use o Serviço há um ano ou mais.

Artigo 7.º (Procedimento e forma de destruição)

① Quando os dados pessoais deixam de ser necessários — por decurso do prazo ou cumprimento da finalidade —, a Empresa destrói-os sem demora.

② Os dados guardados em formato eletrónico são eliminados definitivamente por método que impede a sua recuperação; os documentos em papel são triturados ou incinerados.

③ Os dados que devam ser conservados ao abrigo de outra legislação são armazenados e geridos numa base de dados separada ou em local distinto.

Artigo 8.º (Comunicação a terceiros)

① A Empresa trata os dados pessoais apenas no âmbito das finalidades do artigo 3.º e só os comunica a terceiros com o consentimento do titular ou nos casos dos artigos 17.º e 18.º da PIPA, designadamente por força de disposição legal específica.

② Atualmente a Empresa não comunica dados pessoais a terceiros. Excetuam-se os casos seguintes.

1. Pedido legítimo de autoridade pública, como um órgão de investigação, segundo o procedimento legal
2. Transferência necessária por fusão ou trespasse (caso em que o facto e os direitos do utilizador são comunicados previamente)

③ A Empresa não vende dados pessoais mediante contrapartida. Todavia, a informação transmitida à Meta através do píxel publicitário do artigo 10.º pode configurar uma «venda» (sale) ou uma «partilha» (share) de dados pessoais ao abrigo de algumas leis estaduais de privacidade dos Estados Unidos. O utilizador pode recusá-la a qualquer momento em «Definições de cookies», no fim do site (artigo 18.º, n.º 2).

④ Perante um pedido de informação de um órgão de investigação, a Empresa verifica os requisitos e o procedimento legais e comunica o facto ao utilizador visado, salvo proibição legal.

Artigo 9.º (Subcontratação do tratamento)

① Para assegurar o bom funcionamento do Serviço, a Empresa confia parte dos tratamentos a fornecedores externos.

② Entre os subcontratantes indicados, a Supabase, Inc. conserva os dados numa região situada na Coreia mas, tendo sede no estrangeiro, pode ocorrer acesso a partir do exterior durante o apoio técnico ou a resolução de incidentes. A Empresa apresenta esta e as demais transferências para fora do país no artigo 12.º.

③ Os restantes subcontratantes situados fora do país constam do artigo 12.º.

④ Ao celebrar o contrato de subcontratação, a Empresa fixa por escrito, nos termos do artigo 26.º da PIPA, a proibição de tratamentos alheios à finalidade, as medidas de segurança, os limites à subcontratação ulterior, a supervisão e a responsabilidade por danos, e fiscaliza se o subcontratante trata os dados com segurança.

⑤ Qualquer alteração das atividades confiadas ou do subcontratante é publicada sem demora através desta política.

Artigo 10.º (Dispositivos de recolha automática e sua recusa)

① A Empresa utiliza os cookies e tecnologias semelhantes seguintes.

② Para os utilizadores de regiões onde é exigido consentimento prévio (UE, EEE, Reino Unido, Suíça e Brasil), os cookies distintos dos necessários são guardados apenas mediante consentimento. Os scripts de marketing nem sequer são descarregados antes do consentimento. A escolha é alterável a qualquer momento em «Definições de cookies», no fim do site.

③ Pode recusar ou eliminar os cookies através das definições do seu navegador.

④ A Empresa não utiliza ferramentas de análise web. Para medir o desempenho publicitário utiliza, apenas no site, o píxel da Meta (Meta Platforms, Inc.), a fim de apurar se quem viu um anúncio visitou o site ou chegou a descarregar, e para constituir públicos publicitários. O conteúdo de reunião, as atas e a informação de conta nunca são transmitidos ao fornecedor publicitário.

⑤ A aplicação de ambiente de trabalho não contém quaisquer cookies ou tecnologias de rastreio para fins publicitários ou analíticos. O píxel do n.º 4 existe apenas no site. Guarda no dispositivo apenas as definições escolhidas pelo utilizador — idioma de apresentação, predefinições de sessão, guiões do teleponto e afins — e essa informação não é transmitida aos servidores da Empresa.

Artigo 11.º (Decisões automatizadas e tratamento com IA)

① O Serviço analisa as conversas com inteligência artificial para gerar guiões de resposta, sínteses e relatórios. Trata-se de material de referência que apoia o utilizador; a Empresa não toma com base nisso decisões automatizadas com efeitos jurídicos ou de relevância análoga.

② Os resultados gerados podem ser inexatos, cabendo ao utilizador a verificação e a apreciação finais.

③ A Empresa não toma decisões automatizadas baseadas na definição de perfis.

Artigo 12.º (Transferências para fora do país)

① Na medida do necessário para prestar o Serviço e nos termos do artigo 28.º-8, n.º 1, ponto 3 da PIPA (subcontratação ou conservação para a celebração e execução de um contrato com o titular), a Empresa transfere dados pessoais para fora do país conforme segue.

② As gravações de sessão não são transferidas para nenhum dos fornecedores indicados.

③ O conteúdo de reunião é apenas transmitido e tratado de forma transitória para gerar um resultado, não sendo armazenado por fornecedores estrangeiros. Constituem exceção os instantâneos das atas partilhadas pelo utilizador: são armazenados na região de Seul, na República da Coreia, podendo ocorrer acesso a partir do estrangeiro no âmbito do apoio técnico do fornecedor (artigo 5.º, n.º 2).

④ Os dados de pagamento não são transferidos para fora do país. Os pagamentos são tratados por um prestador de pagamentos sediado na Coreia (artigo 9.º).

⑤ Os titulares podem opor-se à transferência internacional dos seus dados através do contacto do artigo 14.º. Contudo, estas transferências são indispensáveis a funções essenciais do Serviço (reconhecimento de voz, geração por IA, autenticação, armazenamento), pelo que a oposição pode limitar ou impedir a utilização do Serviço.

⑥ As transmissões automáticas relativas a tipos de letra web e CDN podem ser bloqueadas nas definições de bloqueio de conteúdos do navegador, o que pode afetar parcialmente a apresentação das páginas.

⑦ Na contratação de subcontratantes estrangeiros, a Empresa aplica garantias adequadas reconhecidas pela lei, como as cláusulas contratuais-tipo (CCT), e assegura contratualmente a proibição de treinar modelos e de utilizar os dados para outros fins.

Artigo 13.º (Direitos dos titulares e dos representantes legais)

① Os titulares podem exercer a qualquer momento junto da Empresa os direitos seguintes.

1. Acesso ao tratamento dos seus dados
2. Retificação em caso de erro
3. Apagamento
4. Limitação do tratamento
5. Retirada do consentimento
6. Portabilidade (descarregamento): os relatórios de reunião, as transcrições e a base de conhecimento residem no seu dispositivo e podem ser descarregados diretamente no Serviço.
7. Revogação de uma ata partilhada: pode revogá-la no ecrã de gestão de partilhas do Serviço ou solicitá-lo ao contacto do artigo 14.º.

② Estes direitos podem ser exercidos no ecrã de definições do Serviço ou por escrito ou correio eletrónico dirigido ao contacto do artigo 14.º; a Empresa atua no prazo de 10 dias a contar da receção. Contudo, como a Empresa não detém o conteúdo de reunião não partilhado, o acesso, a retificação e o apagamento têm de ser realizados pelo utilizador dentro do Serviço. O exercício por representante também é possível, mediante apresentação de procuração.

③ Pode recusar livremente o consentimento à recolha e utilização dos seus dados. A recusa quanto aos dados obrigatórios limita, porém, o registo e a utilização do Serviço. A recusa dos dados facultativos (como as comunicações comerciais) não acarreta qualquer desvantagem.

④ A Empresa verifica se quem exerce estes direitos é o titular ou um representante devidamente habilitado.

⑤ Os titulares devem exercer os seus direitos no respeito da legislação aplicável e sem lesar os dados pessoais de terceiros.

⑥ A informação cuja conservação é exigida pela lei de proteção do consumidor no comércio eletrónico, como os registos de pagamento e reembolso, pode ficar excluída de um pedido de apagamento ou limitação; nesse caso a Empresa indicará o motivo.

Artigo 14.º (Responsável pela proteção de dados e pedidos de acesso)

① A Empresa designou o responsável seguinte para dirigir o tratamento de dados pessoais e tratar reclamações e pedidos de reparação dos titulares.

• Responsável pela proteção de dados: Jemin You (COO)
• Contacto: hello@theceostaff.com
• Questões sobre pagamentos e reembolsos: hello@theceostaff.com

② Os titulares podem dirigir a esse contacto qualquer pedido, reclamação ou solicitação de reparação relativa ao tratamento, incluindo os pedidos de acesso previstos no artigo 35.º da PIPA. A Empresa responde e atua sem demora e de boa-fé.

Artigo 15.º (Menores de 14 anos)

① O Serviço não se dirige a menores de 14 anos e a Empresa não recolhe os seus dados pessoais.

② Caso se confirme a recolha de dados de um menor de 14 anos, a Empresa destrói-os sem demora.

Artigo 16.º (Medidas de segurança)

Nos termos do artigo 29.º da PIPA, a Empresa adota as medidas seguintes.

1. Medidas organizativas: elaboração e execução de um plano interno de gestão, limitação das pessoas que tratam dados pessoais ao mínimo indispensável ao funcionamento do Serviço, formação periódica dessas pessoas e gestão do histórico de atribuição, alteração e revogação de permissões
2. Medidas técnicas
   • Cifragem ponto a ponto em trânsito (TLS 1.2 ou superior)
   • Cifragem dos dados armazenados (palavras-passe com hash unidirecional; o conteúdo de reunião é cifrado com uma chave AES-256 por conta, sendo essa chave cifrada em envelope pelo arquivo de credenciais do sistema operativo)
   • Isolamento dos dados por conta e controlo de acesso ao nível da linha (Row Level Security)
   • Eliminação estrutural do risco de fuga através de uma conceção «local primeiro» que mantém o conteúdo de reunião não partilhado fora dos servidores
   • Arquitetura em que os dados do meio de pagamento são tratados diretamente pelo prestador de pagamentos e nunca guardados nos servidores da Empresa
   • Conservação dos registos de acesso e proteção contra a sua adulteração
   • Prevenção e deteção de intrusões e verificações periódicas de vulnerabilidades
3. Medidas físicas: os dados são alojados em instalações situadas na Coreia de fornecedores de nuvem com certificações de segurança física (ISO 27001 / SOC 2 e afins)
4. Resposta a incidentes: em caso de violação, notificação aos titulares e comunicação às autoridades dentro dos prazos legais

Artigo 17.º (Meios de reparação)

Para obter reparação por uma violação, os titulares podem recorrer às entidades seguintes para resolução de litígios ou aconselhamento. São entidades independentes da Empresa; contacte-as se não ficar satisfeito com o tratamento dado pela Empresa ou se necessitar de apoio mais detalhado.

1. Comité de Mediação de Litígios sobre Dados Pessoais: 1833-6972 (www.kopico.go.kr)
2. Centro de Denúncia de Violações de Privacidade (Korea Internet & Security Agency): 118 (privacy.kisa.or.kr)
3. Procuradoria Suprema: 1301 (www.spo.go.kr)
4. Agência Nacional de Polícia: 182 (ecrm.police.go.kr)

Artigo 18.º (Disposições adicionais para a UE, o EEE, o Reino Unido e outras jurisdições)

① Aos titulares situados em regiões onde se aplica o RGPD ou legislação equivalente aplica-se ainda o seguinte.

1. Responsável pelo tratamento: Concerto Labs. Contacto: Jemin You (COO) / hello@theceostaff.com.
2. Fundamentos jurídicos do tratamento
   • Registo e prestação do Serviço: execução de um contrato (artigo 6.º, n.º 1, alínea b) do RGPD)
   • Tratamento do áudio e das transcrições: consentimento (artigo 6.º, n.º 1, alínea a)) e execução de um contrato (artigo 6.º, n.º 1, alínea b))
   • Tratamento de pagamentos e reembolsos: execução de um contrato (artigo 6.º, n.º 1, alínea b)) e obrigação jurídica (artigo 6.º, n.º 1, alínea c))
   • Segurança, prevenção de abusos e melhoria: interesse legítimo da Empresa (artigo 6.º, n.º 1, alínea f))
   • Comunicações comerciais: consentimento (artigo 6.º, n.º 1, alínea a))
   • Obrigações legais: artigo 6.º, n.º 1, alínea c)
3. Direitos adicionais: além dos direitos do artigo 13.º, assistem-lhe os direitos de limitação, oposição e portabilidade, bem como o direito de apresentar reclamação junto da autoridade de controlo do seu local de residência.
4. Transferências para fora do EEE: são aplicadas garantias adequadas, como decisões de adequação e cláusulas contratuais-tipo (CCT). A República da Coreia obteve uma decisão de adequação da Comissão Europeia em dezembro de 2021.
5. Decisões automatizadas: a Empresa não toma decisões automatizadas na aceção do artigo 22.º do RGPD.

② Quanto aos titulares situados em regiões abrangidas por leis estaduais de privacidade dos Estados Unidos, como a Califórnia, a Empresa não vende dados pessoais mediante contrapartida pecuniária. Contudo, a transmissão através do píxel da Meta do artigo 10.º pode configurar, ao abrigo dessas leis, uma «venda» (sale) de dados pessoais ou uma «partilha» (share) para fins de publicidade personalizada, podendo os titulares opor-se (opt-out) em «Definições de cookies», no fim do site. A Empresa respeita igualmente, como oposição, o sinal GPC (Global Privacy Control) do navegador. Os direitos de acesso, apagamento, retificação e não discriminação são garantidos nos termos do artigo 13.º.

③ Esta política foi redigida tendo o texto coreano como versão que faz fé; havendo divergência com uma tradução, prevalece o texto coreano na medida em que tal não contrarie normas imperativas locais.

Artigo 19.º (Alterações a esta política)

① Havendo aditamentos, alterações ou supressões, a Empresa comunica-o com pelo menos 7 dias de antecedência relativamente à entrada em vigor (30 dias no caso de alterações com impacto substancial nos direitos dos titulares), através dos avisos do site ou desta página.

② Esta revisão introduziu as alterações seguintes.

1. Clarificação de que, quando o utilizador recorre à funcionalidade de partilha de atas, a síntese, a transcrição e os dados dos participantes dessa ata são armazenados nos servidores da Empresa (Síntese, artigos 3.º e 4.º, artigo 5.º n.º 2)
2. Aditamento do prazo de conservação das atas partilhadas e do modo de as eliminar mediante revogação da partilha (artigo 6.º, artigo 5.º n.º 6, artigo 13.º)
3. Aditamento da subcontratação e da transferência internacional relativas à partilha (artigos 9.º e 12.º)
4. Retificação da forma do Serviço como aplicação de ambiente de trabalho (macOS e Windows) e alinhamento dos locais de armazenamento e dos casos de impossibilidade de recuperação com o arquivo de credenciais do sistema operativo (artigos 1.º, 4.º, 5.º n.º 1, 10.º e 16.º)
5. Retificação do fornecedor de IA generativa em função da utilização efetiva e indicação da transmissão das sínteses por faixas da ata em tempo real (artigo 12.º)
6. (Alteração de 15 de agosto de 2026) Adição do número de telefone aos dados obrigatórios recolhidos no registo e atualização da entrada correspondente de transferência internacional (artigos 4.º e 12.º)
7. (Alteração de 15 de agosto de 2026) Indicação de que o número de telefone é recolhido na transferência da aplicação (artigos 4.º e 6.º)
8. (Alterado a 19 de agosto de 2026) Integração do píxel da Meta para medição do desempenho publicitário (Síntese, artigos 3.º, 4.º, 6.º, 8.º, 10.º, 12.º e 18.º). Nas regiões onde é exigido consentimento prévio o script não é descarregado antes do consentimento e, nas demais, pode ser recusado a qualquer momento em «Definições de cookies»

Como até aqui, as gravações não são, em caso algum, armazenadas nos servidores da Empresa e, se a funcionalidade de partilha não for utilizada, a ata não sai do dispositivo do utilizador.

③ As versões anteriores podem ser consultadas abaixo.

1. Em vigor de 29 de julho de 2026 a 31 de julho de 2026 (v1, apenas inscrição na beta): ver versão anterior
2. Em vigor de 1 de agosto de 2026 a 5 de agosto de 2026 (v2, antes dos planos pagos): ver versão anterior

Disposição final

Esta política entra em vigor a 11 de agosto de 2026.

Esta política alterada (adição do número de telefone aos dados recolhidos) entra em vigor a 15 de agosto de 2026.

A presente alteração (introdução do píxel publicitário) entra em vigor a 19 de agosto de 2026.