Política de Privacidade — weakestlink
Última atualização: 29 de setembro de 2026
Esta política descreve como a weakestlink trata os dados pessoais relativamente às informações de que somos responsáveis pelo tratamento. Se a sua entidade patronal utilizar a weakestlink para formação em segurança, é a entidade patronal quem é responsável pelo tratamento dos dados dos colaboradores, sendo a weakestlink a subcontratante — ver Anexo A.
1. Responsável pelo tratamento
A WEAKESTLINK ApS (N.º de registo (CVR, Dinamarca) 46614011) é a responsável pelo tratamento de dados pessoais no weakestlink.io. Contacto: info@weakestlink.io.
2. Que dados tratamos, com que finalidade e com que fundamento jurídico
| Dados | Finalidade | Fundamento (RGPD art. 6.º) | Eliminação |
|---|---|---|---|
| Pessoa de contacto do cliente (nome, e-mail, cargo) | Criar e gerir a conta da organização | Contrato (art. 6.º, n.º 1, al. b)) | No termo da relação com o cliente |
| Dados de faturação | Cobrança e contabilidade | Obrigação legal (art. 6.º, n.º 1, al. c)) | 5 anos, nos termos da legislação contabilística |
| Registos de servidor (IP, data e hora) | Funcionamento e segurança | Interesse legítimo (art. 6.º, n.º 1, al. f)) | 90 dias |
| Endereço de e-mail, quando se inscreve por si mesmo para ser informado sobre um módulo futuro (AI-Klar, deepfake) | Avisá-lo quando o módulo estiver disponível | Consentimento (art. 6.º, n.º 1, alínea a)) — pode retirá-lo a qualquer momento escrevendo-nos | No máximo 12 meses após a inscrição |
| O identificador de clique da Google, quando chega através de um anúncio da Google, a hora do clique e se a conta foi criada ou começou a pagar | Medição de anúncios: verificar se um anúncio na Google resultou na criação de uma conta | Interesse legítimo (art. 6(1)(f)) — pode opor-se, ver secção 7 | 90 dias após o clique. Se uma conversão tiver sido comunicada à Google, é eliminada 90 dias após a comunicação |
| Estatísticas de visitas: visualizações de páginas e cliques em botões, com tipo de navegador, dispositivo e país. Sem cookies, e o endereço IP não é guardado | Perceber que páginas são utilizadas, para as podermos melhorar. As estatísticas são processadas no nosso próprio servidor (Umami) e não são partilhadas com terceiros | Interesse legítimo (art. 6(1)(f)) | Conservados como estatísticas agregadas, sem nome, e-mail ou endereço IP |
Não tratamos números de identificação civil nem quaisquer dados sensíveis (RGPD art. 9.º).
3. Processamento com IA
Utilizamos IA (Claude, da Anthropic) para criar conteúdos de formação e modelos de simulação — lições, questionários e e-mails de isco — internamente, antes da publicação. Nenhuns dados de clientes nem dados pessoais dos vossos colaboradores são enviados para serviços de IA, e não é executada qualquer IA sobre os vossos dados em produção.
4. Subcontratantes e subsubcontratantes
Recorremos aos seguintes subcontratantes. Para fornecedores fora da UE/EEE, a transferência assenta na decisão de adequação da Comissão Europeia (EU-U.S. Data Privacy Framework) e/ou em cláusulas contratuais-tipo (CCT):
| Fornecedor | Serviço | País | Base de transferência |
|---|---|---|---|
| Anthropic PBC | Elaboração do conteúdo de formação com IA (offline) | USA | DPF/SCC |
| Brevo (Sendinblue SAS) | Envio de e-mails transacionais e de notificação (por exemplo, confirmação de e-mail) | Frankrig | — |
| Cloudflare, Inc. | Rede, TLS e proteção contra DDoS | USA | DPF/SCC |
O alojamento é feito em infraestrutura própria na Dinamarca.
Se pagarem com cartão, os dados do cartão e os dados de pagamento são tratados pelo nosso gateway de pagamento QuickPay (QuickPay ApS, Dinamarca) e pelo adquirente Clearhaus (Clearhaus A/S, Dinamarca) enquanto responsáveis autónomos pelo tratamento nos termos da legislação sobre pagamentos — e não como nossos subcontratantes. Nunca recebemos o número completo do vosso cartão. A esse tratamento aplicam-se as próprias políticas de privacidade da QuickPay e da Clearhaus.
5. Divulgação a terceiros
Apenas partilhamos dados quando tal é necessário para prestar o serviço, quando a lei o exige ou mediante consentimento. Com uma exceção: se chegou até nós através de um anúncio Google, enviamos o identificador de clique do anúncio, a data e hora e a indicação de se a conta foi criada ou paga à Google Ireland Ltd. (Google Ads), para podermos perceber que anúncios funcionam. Não enviamos nome, e-mail nem endereço IP. A Google pode transferir estes dados para a Google LLC, nos EUA. Segundo a Google, tal ocorre ao abrigo do EU-U.S. Data Privacy Framework, no âmbito do qual a Google LLC está certificada, ou, na sua falta, com base em cláusulas contratuais-tipo (SCC). Nunca vendemos dados.
6. Conservação e eliminação
Os prazos concretos constam da tabela na secção 2. A documentação contabilística é conservada durante 5 anos a contar do final do ano fiscal, nos termos da lei da contabilidade dinamarquesa. Após esse período, os dados são eliminados ou anonimizados.
7. Os seus direitos
Tem direito de acesso, retificação, apagamento, limitação do tratamento, portabilidade dos dados e oposição (GDPR art. 15–21). Se deu o seu consentimento, pode retirá-lo a qualquer momento, com efeitos para o futuro. Escreva para info@weakestlink.io — respondemos no prazo máximo de um mês a contar do seu pedido. Se não pretender que utilizemos o identificador de clique do anúncio (secções 2 e 5), pode opor-se (art. 21) escrevendo para o mesmo endereço — nesse caso, apagamos o identificador de clique e não comunicamos nada sobre a sua conta à Google. Se for colaborador de um cliente, pode também dirigir-se à sua entidade empregadora, que é a responsável pelo tratamento (ver Anexo A).
8. Reclamações
Pode apresentar reclamação sobre o nosso tratamento de dados junto do Datatilsynet (a autoridade dinamarquesa de proteção de dados), Carl Jacobsens Vej 35, 2500 Valby, Dinamarca, www.datatilsynet.dk. Pode também apresentar reclamação junto da CNPD (Comissão Nacional de Proteção de Dados), www.cnpd.pt.
9. Cookies
Utilizamos dois cookies: um cookie de sessão, usado para o início de sessão e para segurança, e — caso escolha por si mesmo o idioma no seletor de idioma — um cookie que memoriza a sua escolha. Se chegar através de um anúncio Google, guardamos o identificador de clique do anúncio na sessão, no nosso servidor, para podermos informar a Google se o clique resultou na criação de uma conta (ver secção 5). O próprio cookie contém apenas um ID de sessão aleatório. Não utilizamos quaisquer outros cookies de rastreamento nem cookies de terceiros, e as estatísticas de visitas (Umami) não utilizam cookies.
10. Alterações
Alterações significativas a esta política serão comunicadas em weakestlink.io e/ou por e-mail.
Anexo A — repartição de responsabilidades na formação de colaboradores
Quando uma empresa (a sua entidade patronal) utiliza a weakestlink para formação em segurança e simulações de phishing, a empresa é responsável pelo tratamento dos dados dos colaboradores, e a weakestlink atua como subcontratante. O tratamento é feito de acordo com instruções definidas num contrato de subcontratação, celebrado no momento da criação da conta. Esta política aplica-se, portanto, apenas aos dados de que somos nós próprios responsáveis (dados de contacto e faturação do cliente, bem como operação do serviço).
As simulações de phishing só são executadas com base jurídica documentada (consentimento da organização e uma avaliação de interesse legítimo aprovada). Os relatórios são agregados e só mostram valores para grupos de pelo menos cinco pessoas. Os resultados de cada colaborador (pontuação de risco, progresso nos cursos e eventos de simulação) só podem ser vistos pelo administrador da organização — e pelas chefias, se a organização o ativar. O objetivo é formação adicional direcionada, nunca exposição ou sanções. Os resultados são conservados durante a relação com o cliente e eliminados no seu termo, nos termos do acordo de subcontratação. Nunca guardamos o que um colaborador introduz numa simulação, apenas o facto de ter ocorrido um evento.