Política de Privacidade do SENSAÏ

Versão de 20 de setembro de 2026, aplicável a partir desta data.

Esta Política descreve os tratamentos de dados pessoais realizados pelo SENSAÏ, as finalidades prosseguidas, os prazos de conservação e os direitos de que cada pessoa dispõe. Pode evoluir com o serviço; apenas a versão em vigor, acessível permanentemente a partir do serviço, faz fé, e as versões anteriores são conservadas e podem ser comunicadas mediante pedido.

Não vale nem como registo das atividades de tratamento, nem como avaliação de impacto relativa à proteção de dados — esta última é objeto de um documento distinto.

Idioma. Esta Política é redigida nativamente nas seis línguas do SENSAÏ (francês, inglês, alemão, espanhol, português, coreano); a versão apresentada é a correspondente à língua escolhida no serviço. A versão francesa prevalece em caso de divergência entre as versões linguísticas, pelas mesmas razões indicadas no artigo «Idioma» das Condições de Utilização.

1. Responsável pelo tratamento e contacto

O responsável pelo tratamento é KENGNE NJILO Honoré Malachie, empresário em nome individual francês (entrepreneur individuel), sujeito ao regime de microempresa (micro-entreprise), SIREN 977 778 422 (SIRET 977 778 422 00013), 2 place du Muguet Nantais, 44200 Nantes, França («MKN Coaching», denominação comercial da entidade «MKN Life & Career Coaching»).

Para qualquer questão ou pedido relativo aos dados pessoais: malachie@betterlifewithmk.com.

A designação de um encarregado de proteção de dados não é obrigatória face à dimensão atual da estrutura — o tratamento não é realizado em grande escala na aceção do artigo 37.º do RGPD, atendendo ao número de pessoas em causa até à data; este ponto será reapreciado caso a audiência do serviço mude de ordem de grandeza; em todo o caso, um contacto dedicado é o endereço acima.

2. Dados em causa

Consoante as funcionalidades utilizadas, o SENSAÏ trata nomeadamente:

• dados de conta: endereço eletrónico, palavra-passe (conservada apenas sob forma de hash), nome de utilizador, país de residência (obrigatório no registo), declaração de maioridade;
• dados de perfil e preferências: faixa etária, fuso horário, língua, primeiro nome ou alcunha comunicados ao SAM, género e pronomes, estado de relacionamento declarado, preferências de notificação, e outras informações que o utilizador escolha fornecer;
• o conteúdo conversacional trocado com o SAM por escrito e, quando o SAM Live estiver ativado, por voz (fluxo áudio processado em tempo real, transcrições), incluindo os resumos e sínteses gerados automaticamente para a continuidade entre sessões, a nota de sessão dada pelo utilizador, e os indicadores derivados (pontuação de forma mental, envolvimento, temas recorrentes);
• os dados do RDP, quando o utilizador o subscreve: respostas ao questionário (perguntas de escala e respostas escritas), informações de admissão (faixa etária, país, género, orientação, estado de relacionamento), resultados e relatório, e, em caso de percurso em casal, o identificador do parceiro associado e os consentimentos trocados; em caso de ativação da colocação em contacto entre solteiros, o pseudónimo e o código de colocação em contacto escolhidos;
• dados de utilização e técnicos necessários ao funcionamento, à segurança, ao diagnóstico e à melhoria do serviço: registos de ligação, endereço IP, identificadores de sessão, medidas de desempenho das respostas geradas (tempo de resposta, volumes, indicadores de qualidade automatizados);
• informações relacionadas com a subscrição e o pagamento: identificador de sessão de pagamento, plano subscrito, estado da subscrição, histórico de faturação; o SENSAÏ nem recebe nem conserva os dados do cartão bancário, tratados diretamente pelo prestador de pagamento (§5);
• ficheiros carregados pelo utilizador (por exemplo, uma fotografia de perfil), quando esta funcionalidade está ativada.

O conteúdo conversacional, os dados do RDP e as mensagens ligadas a uma situação de angústia podem revelar informações relativas à saúde mental, à vida sexual ou à orientação sexual, à vida familiar ou relacional, a convicções ou a outros elementos sensíveis na aceção do artigo 9.º do RGPD. O SAM e o RDP estão concebidos para recolher este tipo de conteúdo no âmbito da sua função. Aplicam-se dois regimes distintos. O registo desta informação — o facto de o SAM a anotar ao longo da sessão — rege-se pela execução do contrato: é a própria função do serviço, descrita nas Condições de Utilização. A releitura pelo SAM das quatro categorias mais sensíveis (saúde mental e acompanhamento, espiritualidade e origem, identidade e vida relacional, temas a evitar) está sujeita ao consentimento explícito na aceção do artigo 9.º, n.º 2, alínea a), recolhido através de um gesto dedicado no início de uma sessão («Memória do SAM»), recusável e revogável a qualquer momento a partir de «O que o SAM sabe sobre mim». Os dados do RDP estão sujeitos ao mesmo consentimento explícito, recolhido no momento da subscrição.

2.1 O teu pseudónimo protege-te

O SENSAÏ recomenda-te que escolhas um pseudónimo e um endereço eletrónico que não leve o teu nome. Não é uma formalidade: é o que te permite contar tudo ao SAM. O teu nome não aparece então em lado nenhum connosco, e se a plataforma alguma vez fosse comprometida, seria um avatar o primeiro a ser exposto.

Mas um pseudónimo não garante o anonimato, e seria desonesto deixar-te pensar o contrário. Limita a identificação DIRETA. O conteúdo do que contas — uma profissão, uma cidade, um acontecimento, uma combinação de pormenores — pode permitir reconhecer-te indiretamente. É por essa razão que te aconselhamos a não transmitir informações que não sirvam ao teu acompanhamento.

O SAM nunca te pedirá a tua morada, o teu número de telefone nem o teu nome verdadeiro, e não os conserva. Se deres algum deles espontaneamente ao longo de uma conversa, fica no conteúdo dessa conversa — que podes eliminar —, mas nunca é extraído para o teu perfil de memória.

Um corolário, e importa: para exercer os teus direitos (§8), não te é pedido qualquer documento de identificação. A verificação faz-se através do endereço eletrónico da conta. Exigir uma identidade para exercer um direito contradiria o pseudonimato em que o serviço assenta.

2.2 O que o SAM retém de ti, e o que nunca retém

O SAM lembra-se de uma sessão para a outra. É isso que faz a diferença entre um acompanhamento real e uma sucessão de conversas sem ligação entre si. Aqui está exatamente o que guarda, e porquê.

O que retém — porque, sem isso, far-te-ia repetir a tua história de cada vez:

O que nunca retém: o teu nome verdadeiro, a tua morada, o teu número de telefone, as tuas credenciais de acesso a outros serviços, os teus dados bancários (nunca passam pelo SENSAÏ, §5).

Durante quanto tempo: enquanto a tua conta existir. Não é aplicada qualquer purga automática à memória de coaching, e nenhuma é prometida — uma memória que se apaga sozinha ao fim de N meses daria a ilusão de uma decisão onde só haveria um contador. Tu eliminas uma sessão, mensagens, ou a tua conta inteira quando quiseres (§4, §8).

O que podes fazer hoje com esta memória: recuperá-la na íntegra (exportação, §8) e eliminá-la (sessão a sessão, ou juntamente com a conta).

Sobre que base: o SENSAÏ aplica um modelo híbrido. A memória ORDINÁRIA — a tua situação, os teus objetivos, os padrões que o SAM observa, o conteúdo das tuas sessões — rege-se pela execução do contrato: não depende de nenhum gesto separado, exatamente como o resto do serviço, e nunca é bloqueante.

Quatro categorias, que entram no artigo 9.º do RGPD — a tua saúde mental e o teu acompanhamento, a tua espiritualidade e a tua origem cultural, a tua identidade e a tua vida relacional, e os temas que preferes evitar — continuam sujeitas ao consentimento explícito na aceção do artigo 9.º, n.º 2, alínea a). Este consentimento é agora recolhido através de um gesto dedicado, apresentado sob o nome «Memória do SAM», no INÍCIO DE UMA SESSÃO — na primeira sessão para uma conta nova, na sessão seguinte para uma conta já existente — e já não no registo, onde um consentimento diluído entre outras formalidades não teria sido um consentimento livre e informado no sentido próprio do termo. Sem este gesto, estas categorias não entram nem no que o SAM relê em sessão, nem na restituição da sua memória, nem no corpus de melhoria (§3). A pergunta só é colocada de novo se o âmbito mudar.

Reconsiderar esta decisão, a qualquer momento, sem eliminar a tua conta. A retirada faz-se a partir da página «O que o SAM sabe sobre mim», através do botão «Retirar esta autorização» — um gesto da mesma natureza do que deu o acordo, em conformidade com o artigo 7.º, n.º 3, do RGPD. A retirada não elimina a conta, não cancela a subscrição e não impede o SAM de continuar a acompanhar-te: apenas a personalização dispõe de menos elementos.

Duas autorizações, duas alavancas independentes. Esta rege as categorias do artigo 9.º; a do §3 rege a reutilização de extratos para melhorar o SAM. Recusar ou retirar uma nunca implica a outra: é possível autorizar a memória sensível ao mesmo tempo que se opõe a qualquer contributo para o corpus, e vice-versa.

O que permanece em aberto, aqui declarado em vez de deixado para descobrir:

• Este gesto diz respeito à RELEITURA e à REUTILIZAÇÃO destas categorias, não ao seu registo: o SAM continua a anotá-las no seu diário interno mesmo sem acordo, para que um acordo dado mais tarde torne imediatamente utilizável o que já foi dito. Um acordo dado hoje não regulariza retroativamente um tratamento anterior.
• Certos campos de texto livre — um acontecimento de vida marcante, contado por palavras próprias — não estão classificados nestas categorias e podem, por isso, escapar ao gesto, mesmo quando o seu conteúdo é da mesma natureza. Esta classificação não existe até à data.
• As sessões de voz (SAM Live) ainda não apresentam este gesto; esta funcionalidade não está aberta ao público.

2.3 O que contém a exportação dos teus dados, e o que não contém

A exportação que desencadeias a partir do teu perfil (§8) contém o que o SAM conserva sobre ti: o teu perfil de memória, as tuas sessões com as mensagens palavra por palavra, os resumos, os balanços de sessão, e o que tu próprio disseste sobre as tuas sessões (a tua nota, o teu comentário escrito).

Contém também as peças da tua relação contratual: as tuas compras do RDP (produto, montante, datas, estado, referência de pagamento), as duas declarações que deste antes de pagar — com a sua data e a versão do texto que tinhas diante dos olhos — e o registo dos eventos de faturação da tua conta. São factos que te dizem respeito, não juízos: partem por isso em regime de autosserviço. Não constam os identificadores técnicos do prestador de pagamento nem o estado interno do mecanismo que recolheu as tuas declarações: nada dizem de ti, dizem onde está a máquina, e são-te fornecidos a pedido como tudo o que é retido.

Quatro elementos estão deliberadamente ausentes: a pontuação de encaminhamento para um profissional, o bloqueio de encaminhamento, a pontuação de desvinculação, e o que cada sessão indicou sobre uma eventual situação de crise. Não são memórias: são conclusões que o sistema tirou sobre ti, com os seus limiares. Uma conclusão entrega-se melhor com um humano capaz de a explicar e de a recolocar no seu contexto, não num ficheiro descarregado sem ninguém a quem perguntar o que significa um número.

O teu direito de acesso não é reduzido por isso: estes elementos são-te fornecidos mediante simples pedido para o endereço indicado no §1, gratuitamente, no prazo legal, acompanhados da sua explicação. É o canal que é escolhido, não o conteúdo. O procedimento interno está por escrito (docs/legal/PROCEDURE_DPO.md). Esta distinção entre um canal de autosserviço e um canal acompanhado protege a pessoa contra uma eliminação irreversível feita por engano; não prejudica qualquer direito, sendo o resultado obtido idêntico pelas duas vias.

3. Finalidades e bases jurídicas

Nenhuma decisão que produza efeitos jurídicos ou afete significativamente a pessoa é tomada de forma exclusivamente automatizada: as pontuações, indicadores e relatórios são ajudas à reflexão, e a orientação em caso de angústia é apenas uma apresentação de informações.

Melhoria dos modelos — dois regimes, consoante o conteúdo da sessão.

Para as trocas comuns, a reutilização de extratos assenta no interesse legítimo do Operador em melhorar a qualidade do seu serviço. Qualquer pessoa pode opor-se com um clique a partir do seu perfil, a qualquer momento, sem que isso afete o seu acesso ao serviço.

Para as trocas que digam respeito a uma categoria especial de dados na aceção do artigo 9.º do RGPD — saúde, convicções, origem, orientação, vida afetiva — ou que comportem um sinal de angústia, o interesse legítimo não é suficiente. O artigo 9.º, n.º 2, enumera de forma limitativa as condições que autorizam o tratamento destes dados, e o interesse legítimo não figura entre elas. Estes extratos só são, por isso, incorporados no corpus se a pessoa tiver consentido expressamente, através do gesto descrito no §2.2 — o mesmo que autoriza o SAM a reler estes conteúdos de uma sessão para outra. Este consentimento fica datado, versionado, e pode ser retirado a qualquer momento.

Nada é excluído por princípio. O corpus não se constrói retirando sessões: isso privaria o SAM de aprender precisamente onde tem de ser melhor, uma vez que acompanha pessoas que atravessam dificuldades. O que não entra nele é o que uma pessoa recusou dar — e uma recusa quanto ao sensível nunca impede que as suas trocas comuns contribuam para ele.

O que é feito aos extratos admitidos. Assim que uma sessão diz respeito ao artigo 9.º ou comporta um sinal de angústia, os extratos daí retirados são registados sem referência à conta nem à sessão, passam por uma limpeza automática logo no momento do registo — nada identificativo é alguma vez conservado em claro, nem mesmo temporariamente — e são colocados em quarentena, portanto fora de qualquer utilização, até que uma segunda passagem tenha verificado mecanicamente a sua própria saída. Estas medidas visam tornar impraticável a reidentificação; somam-se ao consentimento, não o substituem.

Uma consequência que deve ser dita com franqueza: uma vez desvinculados, estes extratos já não podem ser encontrados nem eliminados mediante pedido. É o reverso exato da sua de-identificação. A retirada do consentimento impede qualquer incorporação futura; não pode retomar o que já não pode ser associado a ninguém.

4. Prazos de conservação

Eliminação da conta: coexistem dois percursos (ver também as Condições de Utilização, art. 8) — eliminação imediata e irreversível mediante confirmação explícita, ou desativação seguida de uma purga automática 30 dias depois se o pedido não tiver sido cancelado — para cancelar uma eliminação diferida antes do seu termo, basta escrever ao apoio. Em ambos os casos, é apagada a quase totalidade dos dados ligados à conta (perfil, conteúdo conversacional, resumos, pontuações, resultados RDP, exercícios, pagamentos registados no serviço); os dados de um parceiro RDP associado não são afetados, sendo o vínculo de casal rompido. Alguns dados subsistem sem ligação direta com a identidade da pessoa (identificador de utilizador dissociado): registos de auditoria, eventos de faturação e extratos de-identificados mencionados no §3.

5. Destinatários e subcontratantes

As pessoas autorizadas do Operador acedem aos dados nos limites das suas funções. Até à data, o Operador é a única pessoa habilitada; nenhum terceiro acede ao conteúdo das conversas. O acesso do Operador ao conteúdo das conversas está limitado aos seguintes casos: tratamento de um pedido do utilizador, notificação de angústia (§3), controlo de qualidade sobre uma amostra restrita de sessões, obrigação legal.

O funcionamento do serviço assenta nas seguintes categorias de prestadores:

• Alojamento da infraestrutura: Hostinger, servidor situado em França. Nenhum dado de infraestrutura é alojado fora da União Europeia.
• Base de dados: uma instância PostgreSQL operada diretamente pelo Operador, no servidor francês acima mencionado; nenhum alojador de base de dados terceiro intervém.
• Armazenamento de ficheiros (fotografias de perfil e documentos carregados): Cloudflare (R2), na qualidade de subcontratante, nos termos do seu aditamento de tratamento de dados; a Cloudflare adere ao Quadro de Proteção de Dados UE-EUA.
• Pagamento e faturação: Stripe. O SENSAÏ nem recebe nem conserva os dados do cartão bancário.
• Fornecedores de modelos de inteligência artificial para texto, aos quais o conteúdo das trocas com o SAM é transmitido para gerar as respostas e as análises associadas: Google (Google AI, modelos Gemini) e, através da plataforma de encaminhamento OpenRouter, outros fornecedores terceiros de modelos (desativados por defeito na configuração atual). O conteúdo conversacional também é transmitido a estes fornecedores para os resumos de sessão, a avaliação automatizada da qualidade e a de-identificação de extratos (§3).
• Fornecedores de voz para o SAM Live: nenhum fornecedor está ativado até à data — o SAM Live não está aberto ao público. O fornecedor escolhido, os eventuais prazos de conservação do áudio e a qualificação da voz face ao artigo 9.º serão precisados nesta Política antes de qualquer abertura.
• Envio de e-mails transacionais: Resend. Um servidor SMTP assume o relevo caso este prestador esteja indisponível.
• Infraestrutura de processamento assíncrono e de cache (filas, sessões): Redis, operado diretamente pelo Operador, no mesmo servidor francês; nenhum prestador terceiro intervém.

O inventário acima deve ser completado e validado (função exata, dados recebidos, país de tratamento, acordos de subcontratação) antes da publicação. Nenhum dado é vendido nem transmitido a terceiros para fins publicitários.

6. Transferências fora da União Europeia

O conteúdo das tuas conversas é tratado na Europa. As chamadas aos modelos de inteligência artificial passam pelo ponto de acesso multirregional europeu do Vertex AI, para o qual o fornecedor se compromete a que o tratamento tenha lugar na União Europeia. Não é uma definição que alguém pudesse esquecer-se de ativar: é o valor por defeito do serviço, inscrito no seu código e verificado por um controlo automatizado.

O fornecedor, sociedade de direito norte-americano, mantém-se suscetível de aceder aos dados a partir dos Estados Unidos, nos casos previstos no seu contrato. Esta situação rege-se pela decisão de adequação da Comissão Europeia de 10 de julho de 2023 relativa ao Quadro de Proteção de Dados UE-EUA, ao qual adere, complementada pelas cláusulas contratuais-tipo quando aplicáveis.

Nas ofertas pagas deste fornecedor — as únicas aqui utilizadas — as trocas não servem para treinar os seus próprios modelos e não são objeto de qualquer revisão humana. São conservadas brevemente, apenas para fins de deteção de utilizações proibidas e de cumprimento das suas obrigações legais.

Nenhum fornecedor de voz está ativado até à data, não estando o SAM Live aberto ao público.

7. Segurança

Medidas técnicas implementadas no serviço:

• palavras-passe cifradas em hash, nunca armazenadas nem transmitidas em claro;
• autenticação através de token assinado (JWT de chave assimétrica) transmitido através de um cookie de sessão httpOnly, restringido ao protocolo seguro em produção e à mesma origem (SameSite=Strict);
• proteção contra a falsificação de pedidos entre sítios (CSRF) nos pedidos que alteram dados;
• limitação do número de pedidos por período (por utilizador e por endereço IP), bloqueio temporário após tentativas repetidas de início de sessão;
• registo de auditoria das ações sensíveis nas contas;
• redes de segurança deterministas, independentes dos modelos de inteligência artificial, para a deteção de angústia e para impedir qualquer autoapresentação terapêutica do SAM;
• de-identificação em duas fases (mascaramento mecânico imediato, depois reescrita controlada) dos extratos conservados para a melhoria dos modelos, com colocação em quarentena de qualquer extrato cujo mascaramento não esteja verificado;
• proteção contra tentativas de injeção de instruções na memória do SAM.

Cifragem em trânsito (TLS) e em repouso, gestão dos acessos de administrador, compartimentação dos dados por conta. É depositada diariamente uma cópia cifrada da base de dados num armazenamento distinto do servidor, e a sua restauração é testada semanalmente — verdadeiramente restaurada numa base de dados descartável, não apenas verificada no papel. Os arquivos permanecem cifrados, e a chave não vive no mesmo local que eles. O Operador não garante, todavia, nem prazo de restabelecimento nem ausência total de perda, e continua a ser útil exportar o que se deseja conservar por si próprio (§8). Em caso de violação de dados, o Operador notifica a CNIL no prazo de setenta e duas horas e, quando o risco for elevado, as pessoas em causa sem demora injustificada, em conformidade com os artigos 33.º e 34.º do RGPD.

8. Direitos das pessoas

Sob reserva das condições e limites legais, qualquer pessoa pode solicitar o acesso, a retificação, o apagamento, a limitação, a portabilidade dos seus dados, opor-se a um tratamento baseado no interesse legítimo, e retirar a qualquer momento um consentimento (sem efeito sobre a licitude do tratamento anterior).

A partir do seu perfil, o utilizador pode diretamente: exportar os seus dados (processamento assíncrono, ficheiro disponível durante 30 dias; o conteúdo da exportação e os quatro elementos dela excluídos estão descritos no §2.3), eliminar uma sessão ou mensagens, eliminar a sua conta (imediatamente ou de forma diferida), gerir os seus opt-ins (e-mails de acompanhamento, partilha com um parceiro RDP), revogar o seu consentimento ao relatório de casal, e gerir a sua subscrição.

Os restantes pedidos são dirigidos a malachie@betterlifewithmk.com. O Operador responde no prazo de um mês, prorrogável em dois meses para os pedidos complexos, após verificação de que o pedido provém efetivamente da pessoa em causa — através do endereço eletrónico da conta, nunca através de um documento de identificação (§2.1). Uma pessoa pode também apresentar uma reclamação junto da CNIL: https://www.cnil.fr/.

9. Menores

O serviço é reservado a pessoas com 18 anos ou mais e não se destina a menores. O Operador não recolhe conscientemente dados de menores. Se uma conta parecer pertencer a uma pessoa com menos de 18 anos, é suspensa e depois eliminada juntamente com os seus dados. Qualquer progenitor ou tutor que pense que um menor criou uma conta pode escrever para malachie@betterlifewithmk.com. O registo recusa qualquer idade declarada inferior a 18 anos, em todos os percursos.

10. Cookies e rastreadores

O serviço apenas coloca cookies estritamente necessários ao seu funcionamento, que não requerem consentimento:

• um cookie de sessão de autenticação, assinado, httpOnly, restringido ao protocolo seguro em produção e à mesma origem;
• um cookie técnico de proteção contra ataques CSRF, com as mesmas restrições.

O serviço não utiliza nenhum cookie de medição de audiência, nenhum rastreador publicitário, nem qualquer banner de consentimento. Verificação de 06/09/2026: não foi encontrado nenhum rastreador de terceiros nem na aplicação nem nas páginas públicas de sensai.betterlifewithmk.com e rdp.betterlifewithmk.com; o único recurso externo carregado é o serviço de tipos de letra Google Fonts, que por isso recebe o endereço IP do navegador. O sítio institucional betterlifewithmk.com está alojado num construtor de sítios terceiro e continua regido pelas condições desse prestador, distintas da presente Política.

11. Evoluções desta Política

Esta Política está datada e versionada. Qualquer alteração substancial é notificada aos utilizadores com conta, por e-mail ou dentro do serviço, com uma antecedência mínima de trinta dias relativamente à sua entrada em vigor; as versões sucessivas são conservadas durante cinco anos.