Política de Privacidade

Versão 2026-10-01

1. Quem somos

A Ground Zero é uma plataforma de operações de construção explorada pela ABSOLUTLEGACY — Mediação Imobiliária, Unipessoal Lda, que é o responsável pelo tratamento dos dados pessoais descritos nesta política.

Contacto de privacidade: a caixa de correio do responsável pelo tratamento, geral@absolutlegacy.com, para qualquer questão relativa a esta política ou ao tratamento dos seus dados.

Para exercer os seus direitos, veja a secção 8.

A aplicação é desenvolvida e mantida pela Arcavora Labs Pvt. Ltd., que actua como subcontratante do responsável pelo tratamento para fins de desenvolvimento, manutenção e suporte técnico.

2. Que dados pessoais tratamos, e porquê

Não tratamos categorias especiais de dados (Art. 9.º RGPD) — não recolhemos dados de saúde, biométricos, de filiação sindical, religiosos ou análogos.

3. De onde obtemos os seus dados

Nem todos os dados nos são fornecidos diretamente por si. Quando os obtemos de outra origem, essa origem é (Art. 14.º RGPD):

• Do seu empregador ou da organização que o convidou — quando uma conta é criada por um administrador, ou quando um trabalhador é registado em obra por um encarregado.
• De um parceiro de negócio — quando é indicado como representante, signatário ou contacto de uma entidade parceira.
• Gerados pela utilização do serviço — registos de auditoria, endereços IP e datas/horas das suas ações.

4. Durante quanto tempo os conservamos

Conservamos os dados pessoais apenas durante o tempo necessário (Art. 5.º, n.º 1, al. e) RGPD). Os prazos seguem a lei portuguesa:

• Registos contabilísticos e fiscais (encomendas, receções de material, pagamentos, faturas, despesas, pagamentos e adiantamentos a trabalhadores): 10 anos, contados a partir do fim do exercício fiscal (que termina a 31 de dezembro) em que cai a data mais recente do registo (Código Comercial, art. 40.º). Findo esse prazo, o registo mantém-se sem dados pessoais — ficam apenas valores, datas, códigos e números de documento.
• Registos de processamento salarial e de presenças: 5 anos (exigência da inspeção do trabalho — ACT). O registo de um trabalhador em obra é conservado 5 anos após ter deixado de trabalhar connosco, e enquanto um registo salarial ou contabilístico ainda o identificar.
• Registos de pessoal/RH: 5 anos após o termo da relação.
• Pedidos de registo na plataforma: apagados de imediato quando são aprovados ou recusados; um pedido que ninguém decidiu é apagado ao fim de 90 dias, juntamente com a conta de acesso criada para ele.
• Prova do progresso da construção (relatórios, fotografias): 5 anos (garantia contra defeitos, Código Civil, art. 1225.º).
• Registo de visitantes da obra: a visita continua registada, mas 5 anos após a visita o nome, a empresa, o motivo e as notas do visitante são anonimizados de forma irreversível.
• Pedidos de suporte: 2 anos.
• Registos de parceiros e diligência KYC/AML: 7 anos após o termo da relação de negócio (Lei n.º 83/2017, art. 24.º). Um formulário de parceiro que não deu origem a uma parceria: 7 anos a contar da última submissão. Um formulário nunca submetido, ou um convite nunca utilizado: 1 ano após o convite ter expirado ou sido cancelado.
• Imagens de documentos de identificação, se alguma vez forem carregadas com um formulário de parceiro (os formulários atuais não as pedem): conservadas com o formulário, pelo mesmo prazo.
• Acordos de confidencialidade e contratos: seguem o prazo do parceiro a que estão ligados. Sem parceiro ligado: assinados — 7 anos após a assinatura; anulados ou nunca assinados — 1 ano.
• Os nossos representantes que assinam contratos (nome, identificação, procuração, assinatura): enquanto for conservado algum contrato que tenham assinado e, depois, 5 anos após deixarem de nos representar.
• Registo de pedidos de exercício de direitos: até o pedido ser encerrado e, depois, 3 anos, como prova de como o tratámos (art. 5.º, n.º 2 RGPD).
• Registos de auditoria de segurança: 180 dias, após o que são apagados automaticamente (ver a secção 10).

Findos estes prazos, os dados são eliminados ou anonimizados de forma irreversível; um processo automático verifica estes prazos todas as noites. Quando um mesmo registo se enquadra em vários prazos, aplica-se o mais longo.

Cópias de segurança. Dados apagados ou anonimizados podem permanecer nas cópias de segurança cifradas durante até 77 dias, até essas cópias serem substituídas, e não são usados para nenhum outro fim. Se alguma vez for necessário repor uma cópia, os apagamentos são aplicados de novo antes de o sistema voltar a ser utilizado.

5. Com quem os partilhamos (subcontratantes)

Nunca vendemos dados pessoais e não os partilhamos para fins de publicidade. São tratados apenas pelos subcontratantes abaixo, cada um ao abrigo de um contrato de tratamento de dados nos termos do artigo 28.º do RGPD:

Além destes, os dados podem ser divulgados a autoridades públicas quando a lei o exija, e aos nossos advogados e auditores quando necessário para a defesa de direitos.

6. Transferências internacionais

A aplicação, a base de dados e os ficheiros carregados estão alojados em centros de dados na União Europeia, conforme indicado na tabela acima. As cópias de segurança são cifradas no servidor antes de saírem dele.

Existe, no entanto, uma transferência que devemos declarar. A equipa de desenvolvimento da Arcavora Labs opera a partir de um país fora do Espaço Económico Europeu — India — e dispõe de acesso remoto de administração ao servidor localizado na UE, para efeitos de manutenção e resolução de problemas. Ao abrigo do RGPD, o acesso remoto a partir de um país terceiro constitui uma transferência, ainda que os dados permaneçam em servidores na UE.

Este acesso está a ser objeto de avaliação, incluindo a adoção de Cláusulas Contratuais-Tipo e de uma Avaliação de Impacto da Transferência. Declaramo-lo aqui por transparência, em vez de o omitir. Para mais informações sobre esta transferência, contacte geral@absolutlegacy.com.

Quando um subcontratante recorre, ele próprio, a fornecedores fora do EEE, aplica as garantias indicadas na tabela da secção anterior — Regras Vinculativas para Empresas ou Cláusulas Contratuais-Tipo aprovadas pela Comissão Europeia (Arts. 46.º e 47.º RGPD).

7. Decisões automatizadas e definição de perfis

Não tomamos decisões exclusivamente automatizadas que produzam efeitos jurídicos ou o afetem significativamente (Art. 22.º RGPD). Não fazemos definição de perfis. A aplicação não contém funcionalidades de inteligência artificial nem de aprendizagem automática, e nenhum dado pessoal é enviado para serviços de modelos de linguagem.

8. Os seus direitos

Ao abrigo do RGPD pode, a qualquer momento:

• Acesso e portabilidade — obter uma cópia dos seus dados. Utilizadores com sessão iniciada: utilize “Transferir os meus dados” na sua página de Privacidade. Parceiros e outros titulares sem conta: utilize o formulário de pedido (verificação por email).
• Retificação — corrigir dados inexatos, na aplicação ou por email.
• Apagamento — solicitar a eliminação dos seus dados, também através do formulário de pedido. Apagaremos tudo o que não esteja sujeito a um dever legal de conservação (por exemplo, registos fiscais ou de prevenção do branqueamento de capitais) e anonimizaremos o restante quando esse dever terminar.
• Limitação e oposição — limitar a utilização dos seus dados, ou opor-se a tratamentos fundados em interesse legítimo (Arts. 18.º e 21.º).
• Retirar o consentimento — quando o tratamento se baseia no seu consentimento, pode retirá-lo a qualquer momento, sem afetar a licitude do tratamento já efetuado (Art. 7.º, n.º 3).
• Reclamação — apresentar reclamação junto da autoridade de controlo portuguesa, a Comissão Nacional de Proteção de Dados (CNPD), Av. D. Carlos I, 134 — 1.º, 1200-651 Lisboa (cnpd.pt), sem prejuízo de recurso aos tribunais.

Como fazer um pedido

1. Use o formulário de pedido — que funciona mesmo que não tenhamos o seu email —, escreva para geral@absolutlegacy.com ou, se tiver conta, use a página Privacidade na aplicação. Em obra pode também falar com o responsável da obra, que nos encaminha o pedido no próprio dia.
2. Diga-nos quem é (o seu nome e a sua relação connosco — por exemplo, utilizador, parceiro, trabalhador em obra, visitante), o que pretende (acesso, retificação, apagamento, limitação, oposição ou portabilidade) e como o podemos contactar.
3. Confirmamos a sua identidade antes de divulgar ou apagar dados, para não os entregar a quem não tem direito a eles — por exemplo, por resposta a partir do endereço que temos registado ou através do responsável da obra.
4. Recebe confirmação de receção: de imediato, se usar o formulário ou a aplicação; nos restantes casos, no prazo de 3 dias úteis. Cada pedido fica registado no nosso registo de pedidos.
5. Respondemos no prazo de um mês (Art. 12.º, n.º 3 RGPD), prorrogável por dois meses em casos complexos, do que será informado dentro do primeiro mês. Dizemos-lhe o que fizemos e, se conservarmos algum dado, porquê e até quando. O exercício destes direitos é gratuito.

Os pedidos são tratados pelo responsável pelo tratamento através de geral@absolutlegacy.com; cada pedido é registado e o prazo de resposta é acompanhado.

9. É obrigatório fornecer estes dados?

Alguns dados são necessários para lhe dar acesso ao serviço ou para cumprirmos obrigações legais — sem eles não é possível criar uma conta, processar um pagamento ou registar um parceiro. Outros, como fotografias de obra em que apareça, resultam do funcionamento normal do serviço e pode opor-se ao seu tratamento.

10. Segurança

Os dados são cifrados em trânsito (TLS) e alojados na UE. Os identificadores mais sensíveis — NIF, alvará, IBAN e número de Segurança Social — são cifrados na base de dados. O acesso é controlado por funções e permissões, cada alteração fica registada num registo de auditoria com os valores sensíveis ocultados, e o acesso a fotografias e documentos exige autenticação.

O registo de auditoria não pode ser editado pelos utilizadores. Nenhum ecrã da aplicação permite alterar ou apagar uma entrada. As entradas são apagadas automaticamente ao fim de 180 dias. A única outra exceção: quando um administrador elimina definitivamente um projeto inteiro (com confirmação da palavra-passe), as entradas desse projeto são eliminadas com ele — e essa eliminação fica ela própria registada.

Em caso de violação de dados pessoais que implique risco para os seus direitos, notificaremos a CNPD no prazo de 72 horas e, quando o risco for elevado, informá-lo-emos diretamente (Arts. 33.º e 34.º RGPD).

11. Cookies

Utilizamos apenas cookies estritamente necessários e de preferência — sem análise de tráfego, rastreio ou publicidade. Por esse motivo não é exigido um banner de consentimento nos termos da Lei n.º 41/2004. Detalhes: Política de Cookies.

12. Lei aplicável

Este tratamento rege-se pelo Regulamento (UE) 2016/679 (RGPD) e pela legislação portuguesa que o executa e complementa, nomeadamente:

• Lei n.º 58/2019, de 8 de agosto — execução do RGPD na ordem jurídica portuguesa
• Lei n.º 41/2004, de 18 de agosto — privacidade nas comunicações eletrónicas (cookies e comunicações)
• Lei n.º 83/2017, de 18 de agosto — prevenção do branqueamento de capitais e do financiamento do terrorismo
• Código do Trabalho e regulamentação da ACT — registos de pessoal e de tempos de trabalho
• Código Comercial (art. 40.º) e Código Civil (art. 1225.º) — conservação de documentos e garantia contra defeitos da obra

13. Alterações a esta política

Esta política tem uma versão datada, indicada no topo. Quando a alteramos de forma substancial, publicamos a nova versão nesta página. Quando confirma que leu esta política — ao registar-se, ao ativar a sua conta ou ao submeter um formulário de parceiro — registamos a data e a versão que lhe foi apresentada, para demonstrar que foi informado (Art. 13.º RGPD). Essa confirmação não é um consentimento: os fundamentos de licitude são os indicados na secção 2. A versão em vigor é a 2026-10-01.