1. Responsável pelo tratamento
O responsável pelo tratamento dos dados pessoais tratados no âmbito deste website, dos contactos profissionais e da prestação de serviços jurídicos é Ederson Soares Cardoso, advogado inscrito na Ordem dos Advogados de Portugal sob a cédula profissional OA 69476L.
Para questões sobre privacidade, proteção de dados, exercício de direitos ou segurança, o contacto preferencial é geral@edersonadvogado.com.
O tratamento de informação relacionada com assuntos profissionais é ainda enquadrado pelo dever de segredo profissional previsto no Estatuto da Ordem dos Advogados, sem prejuízo das restantes obrigações legais aplicáveis.
2. Âmbito e princípios
Esta Política explica como são tratados dados pessoais relacionados com o website, pedidos de contacto, consultas e serviços jurídicos, comunicações por e-mail e WhatsApp, gestão de clientes e processos no CRM, bem como ferramentas de inteligência artificial utilizadas como apoio operacional e, quando ativada, a sincronização da agenda do CRM com o Google Calendar.
O tratamento observa os princípios de licitude, lealdade, transparência, limitação das finalidades, minimização, exatidão, limitação da conservação, integridade, confidencialidade e responsabilidade previstos no Regulamento (UE) 2016/679 (RGPD).
3. Dados pessoais que podem ser tratados
Consoante a relação com o titular, podem ser tratados:
- dados de identificação e contacto, incluindo nome, telefone, e-mail, nacionalidade e dados de identificação necessários à prestação do serviço;
- dados fornecidos em formulários, mensagens, e-mails, chamadas, videochamadas e contactos por WhatsApp;
- documentos e informações relacionados com consultas, processos administrativos, judiciais, fiscais, societários, laborais, migratórios ou outros assuntos jurídicos;
- dados profissionais, contratuais, financeiros, fiscais ou patrimoniais quando necessários ao mandato ou à consulta;
- dados técnicos de acesso ao website, como endereço IP, data/hora, navegador, dispositivo, páginas consultadas e registos de segurança, quando gerados pelo servidor de alojamento;
- identificadores e metadados das plataformas de comunicação, incluindo identificadores do WhatsApp Business, estados de mensagens e informação necessária à sincronização com o CRM;
- informações constantes de fontes públicas, autoridades, tribunais, conservatórias, serviços administrativos ou documentação apresentada pelo cliente ou por terceiros, quando juridicamente relevante.
4. Categorias especiais, dados de infrações e segredo profissional
A natureza da advocacia pode exigir o tratamento de dados especialmente protegidos pelo artigo 9.º do RGPD ou de dados relativos a condenações penais e infrações, nos limites permitidos pelos artigos 9.º e 10.º do RGPD e pelo direito nacional. Esses dados são tratados apenas quando necessários para o aconselhamento jurídico, declaração, exercício ou defesa de direitos, cumprimento de obrigações legais ou outra base legal aplicável.
O tratamento é ainda condicionado pelo segredo profissional do advogado, incluindo documentos e factos abrangidos pelo artigo 92.º do Estatuto da Ordem dos Advogados. O dever de sigilo estende-se às pessoas que colaborem com o advogado nos termos legalmente previstos.
5. Origem dos dados
Os dados podem ser recolhidos diretamente do titular, de pessoa que atue em sua representação, de contrapartes ou intervenientes num processo, de autoridades ou entidades públicas, de fontes legitimamente acessíveis e das plataformas tecnológicas utilizadas para comunicação. Quando os dados não sejam recolhidos diretamente do titular, são observadas as obrigações de informação do artigo 14.º do RGPD, salvo quando exista uma exceção legal aplicável, designadamente por dever de sigilo profissional ou quando a prestação de informação se revele impossível ou implique esforço desproporcionado nos termos legais.
6. Finalidades e fundamentos jurídicos
Os dados pessoais podem ser tratados para as seguintes finalidades, conforme o caso:
- responder a pedidos de contacto e preparar uma consulta ou contratação — diligências pré-contratuais e, quando aplicável, interesse legítimo na gestão do contacto;
- prestar serviços jurídicos, executar mandato ou contrato, gerir processos e comunicar com o cliente — execução de contrato e obrigações profissionais;
- cumprir obrigações legais, fiscais, contabilísticas, de prevenção de branqueamento de capitais ou outras obrigações aplicáveis — cumprimento de obrigação jurídica;
- declarar, exercer ou defender direitos e interesses em processos ou procedimentos — bases previstas no RGPD, incluindo artigo 9.º, n.º 2, alínea f), quando aplicável;
- garantir segurança do website, CRM, comunicações, deteção de abuso e prevenção de fraude — interesse legítimo e, quando aplicável, obrigação de segurança;
- gerir arquivo profissional, faturação, controlo interno e qualidade do serviço — execução do contrato, obrigação legal e interesse legítimo devidamente ponderado;
- utilizar funcionalidades opcionais ou tecnologias não essenciais — consentimento, quando a lei assim o exija.
7. Website, formulários e comunicações
O formulário de contacto do website é utilizado para preparar uma mensagem que o utilizador envia através do WhatsApp. O utilizador deve evitar inserir no formulário informação excessiva ou documentos sensíveis antes de ser definido o canal adequado para o caso.
Os servidores que alojam o website podem gerar registos técnicos necessários ao funcionamento, diagnóstico e segurança. Esses registos devem ser conservados apenas pelo período necessário às respetivas finalidades e de acordo com a configuração do fornecedor de alojamento.
8. WhatsApp Business, Meta e CRM
O atendimento pode utilizar o WhatsApp Business e, quando tecnicamente ativada, a WhatsApp Business Platform/Cloud API, incluindo integração em modo de coexistência com o CRM. Nesse contexto, mensagens, nome de perfil, número de telefone, hora, estado de entrega/leitura, anexos e outros elementos tecnicamente necessários podem ser recebidos e registados no CRM para continuidade do atendimento e gestão do processo.
A integração técnica utilizada para este efeito encontra-se configurada através das ferramentas disponibilizadas pela Meta e destina-se exclusivamente à ligação do WhatsApp Business aos sistemas de atendimento e CRM, ao envio e receção de comunicações e às funcionalidades auxiliares descritas nesta Política. O acesso a dados e funcionalidades da Meta/WhatsApp é limitado ao que seja necessário para essas finalidades.
Na Região Europeia, serviços do WhatsApp podem ser prestados por entidades do grupo Meta, incluindo WhatsApp Ireland Limited e Meta Platforms Ireland Limited, de acordo com os termos e políticas que lhes são aplicáveis. A utilização de integrações do WhatsApp pode envolver tratamento por essas entidades como responsáveis autónomos por determinados dados e/ou como subcontratantes para dados tratados por conta da empresa, conforme os respetivos termos.
O titular pode deixar de utilizar o WhatsApp e solicitar que o contacto continue por outro meio adequado. A eliminação de uma conversa no dispositivo do utilizador não determina, por si só, a eliminação de registos que devam ser conservados pelo escritório por fundamento legal ou profissional.
9. Inteligência artificial no atendimento e no CRM
O CRM pode recorrer a sistemas de inteligência artificial como ferramenta de apoio, incluindo serviços de API de fornecedores especializados, nomeadamente a OpenAI quando configurada. A IA pode auxiliar na triagem inicial, organização de informação, classificação do assunto, resumo, pesquisa interna, preparação de rascunhos e encaminhamento para análise humana.
A IA não substitui a avaliação profissional do advogado e não é utilizada para tomar, de forma exclusivamente automatizada, decisões jurídicas que produzam efeitos jurídicos ou afetem significativamente o titular. Sempre que exista interação direta com um sistema de IA, a informação de que se trata de IA deve ser prestada de forma clara, o mais tardar na primeira interação, nos termos aplicáveis do Regulamento (UE) 2024/1689.
Quando é usada a Plataforma API da OpenAI, os conteúdos enviados por clientes da API não são, por defeito, utilizados para treinar os modelos, salvo opção expressa em contrário pelo cliente da API. Podem existir períodos de retenção técnica e mecanismos de monitorização de abuso de acordo com a configuração e os termos vigentes do fornecedor. O escritório deve configurar a integração de modo compatível com os deveres de minimização, confidencialidade e segredo profissional.
10. Decisões automatizadas e supervisão humana
Não está prevista a adoção de decisões exclusivamente automatizadas, incluindo definição de perfis, que produzam efeitos jurídicos ou afetem significativamente uma pessoa na aceção do artigo 22.º do RGPD. A classificação automática de mensagens, sugestões de resposta ou encaminhamentos no CRM são mecanismos auxiliares sujeitos a supervisão e possibilidade de intervenção humana.
11. Destinatários e prestadores de serviços
Os dados podem ser tratados, na medida estritamente necessária, por colaboradores autorizados e por prestadores de serviços de alojamento, manutenção informática, e-mail, bases de dados, CRM, cópias de segurança, comunicação, videoconferência, Meta/WhatsApp e inteligência artificial. Sempre que atuem como subcontratantes, devem existir compromissos adequados nos termos do artigo 28.º do RGPD, incluindo confidencialidade, segurança, instruções documentadas e assistência no cumprimento das obrigações legais.
Dados também podem ser comunicados a tribunais, autoridades, conservatórias, notários, solicitadores, agentes de execução, peritos, tradutores, contabilistas, instituições financeiras, seguradoras ou outros intervenientes quando necessário à prestação do serviço, cumprimento legal ou defesa de direitos.
12. Transferências internacionais
Alguns fornecedores tecnológicos podem tratar dados fora do Espaço Económico Europeu. Quando exista uma transferência internacional sujeita ao capítulo V do RGPD, deve ser utilizada uma base legal adequada, como decisão de adequação, cláusulas contratuais-tipo da Comissão Europeia ou outra garantia prevista no RGPD, acompanhada, quando necessário, de avaliação das circunstâncias da transferência e medidas suplementares.
14. Google e motores de pesquisa
O website pode ser indexado por motores de pesquisa, incluindo o Google, de acordo com as configurações públicas do site e as regras dos respetivos serviços. A indexação de páginas publicamente acessíveis não significa que o escritório envie deliberadamente dados de clientes para motores de pesquisa.
Nesta versão do código não são carregadas ferramentas Google Analytics ou Google Ads. Se futuramente forem utilizadas tecnologias Google que enviem dados de utilizadores do EEE para medição, publicidade ou personalização, serão aplicados os mecanismos de consentimento e sinais de consentimento exigidos pela legislação aplicável e pelas políticas da Google.
15. Google Calendar e sincronização da agenda do CRM
Funcionalidade opcional. A Central da IA/CRM Jurídico pode ligar-se, através da API oficial Google Calendar, a uma conta Google autorizada para sincronizar compromissos entre o calendário selecionado e a agenda do CRM. A ligação é iniciada pelo utilizador autorizado, mediante o ecrã de consentimento OAuth da Google, e pode ser desligada no CRM.
Dados e permissão solicitada. A aplicação pede a permissão https://www.googleapis.com/auth/calendar.events, que tecnicamente permite consultar, criar, alterar e eliminar eventos nos calendários acessíveis à conta autorizada. Contudo, a sincronização da presente implementação é configurada para o calendário escolhido no CRM (por exemplo, o calendário principal, identificado por primary). Podem ser tratados títulos, descrições/notas, datas e horas, duração, eventos de dia inteiro, estado de eliminação/cancelamento, identificadores técnicos dos eventos, identificador do calendário, datas de sincronização e os elementos necessários a reconhecer alterações.
Como os dados são utilizados. Os eventos do Google Calendar selecionado podem ser copiados para a agenda do CRM; os compromissos criados ou alterados no CRM podem ser enviados para o Google Calendar. A opção separada «Incluir tarefas com prazo do CRM», quando ativada, envia para o Google os títulos e prazos das tarefas pendentes, sob a forma de eventos/lembretes. As notas dos compromissos também podem ser sincronizadas. Não se destina a transferir para a Google o conteúdo integral de dossiês, documentos ou processos jurídicos.
Visibilidade e confidencialidade. Eventos pessoais, familiares ou profissionais existentes no calendário selecionado podem tornar-se visíveis na área correspondente do CRM aos seus utilizadores com permissões de acesso. Ao escolher primary, também poderão ser importados compromissos pessoais. Antes de autorizar a ligação, o titular da conta deve ponderar essa visibilidade, evitar incluir dados especialmente sensíveis nos títulos ou notas e, se necessário, optar por um calendário profissional separado. A utilização no CRM continua sujeita aos controlos de acesso e aos deveres de confidencialidade, incluindo o segredo profissional quando aplicável.
Fundamentos e finalidades. A autorização OAuth permite tecnicamente o acesso, mas não substitui o fundamento de licitude exigido pelo RGPD. Conforme o contexto, o tratamento destina-se à organização da atividade profissional, execução de relações contratuais, gestão de compromissos ou interesse legítimo devidamente ponderado. Quando os eventos identifiquem terceiros, são igualmente observados os seus direitos e as regras relativas ao dever de informação e à confidencialidade.
Google, fornecedores e utilização limitada. As informações são transmitidas à Google na medida necessária à funcionalidade de sincronização, estando o tratamento da plataforma sujeito às condições aplicáveis aos serviços Google. Os dados obtidos através da Google Calendar API são utilizados pelo CRM apenas para disponibilizar ou melhorar as funcionalidades visíveis de agenda, marcação, atualização e lembretes e para assegurar a segurança e a integridade dessa integração. Não são vendidos, utilizados para publicidade, criação de perfis publicitários, determinação de solvabilidade ou treino de modelos de inteligência artificial de finalidade geral. Não são divulgados a terceiros para outros fins, salvo consentimento aplicável, necessidade de prestar a funcionalidade, segurança ou obrigação legal. A utilização dos dados obtidos por APIs Google respeita a Google API Services User Data Policy, incluindo os requisitos de Limited Use.
Segurança, conservação e desativação. Os tokens de acesso e renovação são guardados cifrados na base de dados privada do CRM; são igualmente conservados os registos de agenda, identificadores de ligação e dados técnicos necessários à sincronização e ao controlo de utilização da API. Ao desligar a integração no CRM, o sistema deixa de utilizar os tokens e elimina os respetivos valores armazenados para essa ligação, mas não apaga automaticamente os eventos no Google nem todos os compromissos já copiados para o CRM. Os registos existentes no CRM ficam sujeitos aos critérios de conservação desta Política, às obrigações profissionais e aos pedidos de eliminação legalmente admissíveis.
Revogação do acesso e direitos. Além de desligar a integração na página Google Calendar do CRM, o titular pode revogar o acesso da aplicação nas ligações de terceiros da Conta Google. Essa revogação impede novos acessos, mas não equivale por si só ao apagamento dos dados anteriormente importados. Para solicitar o acesso, a retificação, o apagamento ou a limitação dos dados pessoais mantidos no CRM, incluindo dados de agenda, pode contactar geral@edersonadvogado.com; os pedidos serão analisados nos termos do RGPD e das obrigações legais e profissionais aplicáveis.
Limitações técnicas. A sincronização depende da disponibilidade da Google, das comunicações e dos processos automáticos do alojamento. Podem existir atrasos, falhas temporárias e conflitos entre alterações simultâneas. Datas processuais e outras obrigações jurídicas devem continuar a ser confirmadas no respetivo sistema ou fonte oficial, sem depender exclusivamente de notificações do calendário.
16. Conservação
Os dados são conservados apenas durante o período necessário às finalidades que justificaram a sua recolha, sem prejuízo de prazos legais, fiscais, contabilísticos, processuais, prescricionais, de responsabilidade profissional, prevenção de branqueamento de capitais, arquivo ou defesa de direitos.
Os prazos podem variar consoante o tipo de processo e a relação profissional. Findo o período aplicável, os dados são eliminados, anonimizados ou sujeitos a acesso restrito quando exista fundamento legal para conservação residual.
17. Segurança e confidencialidade
São adotadas medidas técnicas e organizativas adequadas ao risco, incluindo controlo de acessos, autenticação, gestão de permissões, registos de segurança, cópias de segurança, atualizações, proteção contra acesso não autorizado e procedimentos de resposta a incidentes. Nenhum sistema é totalmente imune a risco; por isso, as medidas são revistas de acordo com a evolução tecnológica e a sensibilidade da informação.
O utilizador deve seguir as recomendações da página Segurança na Internet e confirmar os canais oficiais em caso de comunicação suspeita. Essa página disponibiliza igualmente um canal público para comunicação responsável de vulnerabilidades de segurança, sem divulgação de credenciais, chaves, tokens ou outros elementos internos dos sistemas.
18. Violações de dados pessoais
Quando ocorra uma violação de dados pessoais, será efetuada a avaliação legalmente exigida. Se a violação for suscetível de resultar em risco para os direitos e liberdades das pessoas, será notificada à autoridade de controlo competente nos termos do artigo 33.º do RGPD; quando for provável um risco elevado, os titulares afetados serão informados nos termos do artigo 34.º, salvo aplicação de exceção legal.
19. Direitos dos titulares
Nos termos do RGPD e dentro dos limites aplicáveis, o titular pode solicitar: acesso aos dados; retificação; apagamento; limitação do tratamento; portabilidade; oposição; retirada do consentimento quando este seja a base do tratamento; e informação sobre garantias utilizadas em transferências internacionais.
O exercício dos direitos pode ser limitado quando a conservação ou o tratamento seja necessário para cumprir obrigação legal, proteger segredo profissional, exercer ou defender direitos, preservar direitos de terceiros ou quando exista outra exceção legal.
Os pedidos podem ser enviados para geral@edersonadvogado.com. Poderão ser solicitados elementos estritamente necessários para confirmar a identidade do requerente.
20. Reclamação à autoridade de controlo
Sem prejuízo de outros meios de tutela, o titular pode apresentar reclamação à Comissão Nacional de Proteção de Dados (CNPD), autoridade de controlo portuguesa, através dos canais disponibilizados em www.cnpd.pt.
21. Eliminação de dados — Meta, WhatsApp e outras plataformas
Qualquer pessoa pode solicitar a eliminação dos dados tratados através da integração “Central IA Ederson”, Meta/WhatsApp ou do CRM enviando um pedido para geral@edersonadvogado.com, identificando o número de telefone ou conta usada na comunicação e informação suficiente para localizar os registos.
A eliminação será efetuada quando aplicável, sem prejuízo de dados que devam ser mantidos por obrigação legal, dever profissional, segredo, arquivo necessário ou declaração, exercício ou defesa de direitos. Quando a eliminação integral não seja legalmente possível, o acesso poderá ser restringido e os dados mantidos apenas para a finalidade que justifique a conservação.
Existe também uma página pública específica para a Meta: Instruções de Eliminação de Dados.
22. Menores
Os serviços jurídicos podem envolver dados de menores quando tal seja necessário a processos de nacionalidade, imigração, família ou outros assuntos legítimos. Nesses casos, o tratamento é realizado no contexto jurídico aplicável e com salvaguardas adequadas. O website não é concebido como serviço dirigido autonomamente a crianças para recolha de dados com fins comerciais.
23. Dados de pessoas falecidas
Quando aplicável, são respeitadas as disposições da Lei n.º 58/2019 relativas à proteção de dados pessoais de pessoas falecidas, sem prejuízo de outras regras sucessórias, processuais e profissionais.
24. Atualizações desta política
Esta Política pode ser atualizada em função de alterações legislativas, orientações das autoridades, mudanças nos serviços, fornecedores tecnológicos ou configuração do CRM. A data de atualização será indicada no topo da página. Alterações materialmente relevantes serão comunicadas por meios adequados quando exigido.
São conservados registos internos das versões anteriores desta Política durante o período necessário para demonstrar o cumprimento das obrigações legais, profissionais e das condições aplicáveis às plataformas tecnológicas utilizadas, incluindo a Meta, quando aplicável.
25. Enquadramento legal e institucional
- Regulamento (UE) 2016/679 — RGPD
- Lei n.º 58/2019, de 8 de agosto
- Lei n.º 41/2004, de 18 de agosto — privacidade nas comunicações eletrónicas
- Decreto-Lei n.º 7/2004 — serviços da sociedade da informação
- Estatuto da Ordem dos Advogados — artigo 92.º
- Regulamento (UE) 2024/1689 — Regulamento da Inteligência Artificial