Legal
Política de Privacidade
Entidade Responsável: Lemu Lab
Versão: 2.4 — SaaS
Última atualização: 17 de outubro de 2026
Aplicação: Plataforma Lemu Create (`create.lemu-lab.com`)
1. Introdução
A Lemu Lab (doravante "Lemu", "nós" ou "nos") é a entidade responsável pelo tratamento dos dados pessoais recolhidos através da plataforma Lemu Create.
A presente Política de Privacidade estabelece os termos em que recolhemos, processamos, armazenamos e protegemos os seus dados pessoais, em conformidade com o Regulamento Geral sobre a Proteção de Dados (RGPD) — Regulamento (UE) 2016/679, a Lei n.º 58/2019, de 8 de agosto, a Lei Geral de Proteção de Dados (LGPD) — Lei n.º 13.709/2018 (Brasil), e demais legislação aplicável.
2. Identificação do Responsável pelo Tratamento
| Campo | Informação |
|---|---|
| Responsável pelo Tratamento | Lemu Lab |
| Contacto E-mail | hello@lemu-lab.com |
| Website | create.lemu-lab.com |
| Contacto para Proteção de Dados | hello@lemu-lab.com — não é obrigatória a designação de Encarregado de Proteção de Dados (DPO), nos termos do artigo 37.º, n.º 1, do RGPD, por não se verificar nenhum dos requisitos aí previstos (tratamento por autoridade ou organismo público, monitorização regular e sistemática de titulares em grande escala, ou tratamento em grande escala de categorias especiais de dados); questões de privacidade podem ser dirigidas ao contacto indicado |
3. Que Dados Recolhemos?
Recolhemos apenas os dados estritamente necessários para as finalidades indicadas, aplicando o princípio da minimização de dados.
3.1 Dados de Identificação e Contacto
- Nome completo
- Endereço de e-mail
- Número de telefone (opcional)
- Nome da empresa/organização (quando aplicável)
- NIF/identificação fiscal (quando aplicável, para faturação)
3.2 Dados de Conta e Subscrição
- Credenciais de autenticação (encriptadas)
- Tipo de plano subscrito
- Histórico de pagamentos e transações (ID de transação Stripe)
- Data de início e término da subscrição
- Preferências de conta (idioma, notificações)
3.3 Conteúdo do Utilizador
- Fotografias carregadas para geração de conteúdo
- Briefings e descrições de marca
- Textos e legendas criados ou editados na Plataforma
- Calendários editoriais e programações
- Dados de integração com redes sociais (tokens de API, autorizações)
3.4 Dados Gerados pela IA
- Legendas, hashtags e textos gerados pelo sistema
- Sugestões de imagem e layouts
- Registos de interação com as ferramentas de IA (prompts, escolhas)
3.5 Dados Técnicos e de Utilização
- Endereço IP (anonimizado quando aplicável)
- Tipo de navegador e versão
- Sistema operativo
- Data e hora de acesso
- Páginas visitadas e tempo de permanência
- Identificadores de dispositivo
- Dados de cookies (ver Política de Cookies)
4. Base Legal para o Tratamento
| Base Legal | Quando se Aplica |
|---|---|
| Execução de contrato (art. 6.º, n.º 1, al. b) RGPD) | Prestação de serviços SaaS; gestão da conta; faturação; entrega de conteúdos DFY. |
| Obrigação legal (art. 6.º, n.º 1, al. c) RGPD) | Cumprimento de obrigações fiscais e contabilísticas; retenção de registos. |
| Consentimento (art. 6.º, n.º 1, al. a) RGPD) | Envio de comunicações de marketing; utilização de cookies não essenciais; analytics (PostHog). |
| Interesses legítimos (art. 6.º, n.º 1, al. f) RGPD) | Melhoria da Plataforma; prevenção de fraude; segurança informática; suporte técnico. |
4.1 Fundamento Legal para Subscrições
A recolha de dados pessoais (nome, e-mail) para criação de conta e subscrição baseia-se na execução do contrato (art. 6.º, al. b) RGPD). Sem estes dados, não é possível prestar o serviço.
4.2 Fundamento Legal para Fotografias
O carregamento de fotografias na Plataforma baseia-se na execução do contrato e, quando aplicável, no consentimento para fins de processamento por IA (art. 6.º, al. a e b). O Utilizador é informado de que as fotografias serão processadas por modelos de IA.
5. Finalidades do Tratamento
| Finalidade | Descrição | Base Legal |
|---|---|---|
| Prestação de Serviços SaaS | Gestão da conta; geração de conteúdo por IA; gestão de calendário editorial. | Execução de contrato |
| Serviços DFY | Produção e entrega de publicações; relatórios mensais. | Execução de contrato |
| Faturação e Pagamentos | Processamento de pagamentos via Stripe; emissão de faturas. | Execução de contrato / Obrigação legal |
| Comunicação | Resposta a pedidos de suporte; notificações de conta; alertas de segurança. | Execução de contrato |
| Marketing Direto | Envio de newsletters, ofertas e novidades (apenas com consentimento). | Consentimento |
| Analytics e Melhoria | Análise de utilização da Plataforma para melhoria contínua (PostHog, com consentimento). | Consentimento / Interesses legítimos |
| Segurança | Proteção contra fraude, acesso não autorizado e ameaças informáticas. | Interesses legítimos |
| Cumprimento Legal | Obrigações fiscais, contabilísticas e regulamentares. | Obrigação legal |
6. PostHog — Analytics e Consentimento
6.1 O Que É o PostHog
A Lemu utiliza o PostHog como ferramenta de analytics first-party para compreender como os Utilizadores interagem com a Plataforma, com o objetivo de melhorar a experiência e o desempenho.
6.2 Dados Recolhidos pelo PostHog
- Interações com a interface (cliques, scrolls, tempo em páginas)
- Funcionalidades utilizadas e frequência de utilização
- Erros e falhas técnicos
- Identificador anónimo de sessão (não ligado a dados pessoais directamente identificáveis)
6.3 Base Legal e Consentimento
A utilização do PostHog na Plataforma (após login) baseia-se no consentimento do Utilizador. O consentimento é recolhido no primeiro acesso à Plataforma, através do aviso de cookies. Pode ser retirado a qualquer momento de duas formas: (i) apagando os dados do site no navegador, ficando o aviso de cookies a ser apresentado de novo no acesso seguinte; ou (ii) por pedido ao contacto de proteção de dados indicado no §2, respondido no prazo máximo de um mês (art. 12.º, n.º 3, do RGPD). A retirada não afeta a licitude do tratamento realizado antes dela (art. 7.º, n.º 3, do RGPD).
Nota: O PostHog não é utilizado na landing page pública. A landing page serve-se da medição agregada de tráfego do sítio do Cloudflare Web Analytics (Cloudflare, Inc.) — medição sem cookies, sem armazenamento no equipamento terminal e sem identificação de utilizadores —, que conta as visitas por página e regista a origem da visita, o tipo de dispositivo e o país, e que não faz perfilamento nem publicidade. A base legal é o interesse legítimo (art. 6.º, n.º 1, al. f), do RGPD) na medição do próprio sítio, e o Utilizador pode opor-se a qualquer momento, por e-mail para hello@lemu-lab.com (art. 21.º do RGPD).
6.4 Localização e Proteção
Os dados do PostHog são processados em infraestrutura da União Europeia. Não são realizadas transferências internacionais de dados pessoais através do PostHog.
7. Subprocessadores
A Lemu utiliza os seguintes subprocessadores:
| Subprocessador | Função | Localização | Salvaguardas |
|---|---|---|---|
| Stripe | Processamento de pagamentos | EUA | Cláusulas Contratuais Tipo (SCCs) |
| Supabase | Base de dados, autenticação, armazenamento e email transacional (Supabase Auth — magic link) | EUA (dados em UE — Frankfurt) | DPA + SCCs 2021; encriptação AES-256 |
| Cloudflare | CDN, segurança, DNS; medição agregada de tráfego do sítio (Web Analytics, sem cookies e sem identificação de utilizadores) | Global | SCCs; TLS 1.3 |
| Resend | Outreach — emails de prospeção (não usado para email transacional da plataforma) | EUA | SCCs |
| PostHog | Analytics (com consentimento) | União Europeia | N/A — dados em EU |
| OpenAI | Geração de texto por IA | EUA | SCCs; cláusula de não-utilização para treino |
| Anthropic | Geração de texto por IA (reserva) | EUA | SCCs; cláusula de não-utilização para treino |
| Mistral AI (La Plateforme) | Geração de texto por IA — provider ativo | França (UE) | DPA; dentro do EEE — sem transferência internacional |
| Zhipu AI (Z.ai) | Geração de texto por IA — LEGACY INATIVO (substituído por Mistral AI) | China | Sem SCCs; sem transferência ativa — código isolado do caminho de execução |
Nota sobre email transacional: os emails de autenticação (magic link) são enviados pelo Supabase Auth (Supabase, Inc.). A Resend é utilizada exclusivamente para outreach (prospeção), não para email transacional da plataforma.
A lista atualizada de subprocessadores está disponível em: `create.lemu-lab.com/subprocessors/`
8. Transferências Internacionais de Dados
Alguns subprocessadores (Stripe, OpenAI, Zhipu AI) estão sediados fora do Espaço Económico Europeu (EEE).
8.1 Mecanismos de Transferência
- Decisões de adequação (comissão Europeia)
- Cláusulas Contratuais Tipo (SCCs) — Standard Contractual Clauses (2021/914/EU)
- Avaliação de impacto de transferências (TIA) — a realizar e documentar antes da ativação da cobrança paga para transferências para os EUA e China (Schrems II, TJUE C-311/18)
8.2 Transferências para a China (Zhipu AI)
O processamento de dados pela Zhipu AI está sujeito a uma Avaliação de Impacto na Proteção de Dados (DPIA). As medidas de proteção incluem:
- Minimização de dados (apenas legendas/texto processado; nunca dados de conta)
- Cláusula contratual que proíbe a utilização de dados para treino de modelos
- Anonimização de identificadores antes do envio
- Revisão trimestral da conformidade
9. Prazos de Conservação dos Dados
| Categoria de Dados | Prazo de Conservação |
|---|---|
| Dados de conta e subscrição | Durante a subscrição ativa + 90 dias após cessação |
| Dados de faturação | 10 anos (obrigações fiscais) |
| Fotografias carregadas | Durante a subscrição ativa + 90 dias após cessação |
| Conteúdo gerado pela IA | Durante a subscrição ativa + 90 dias após cessação |
| Dados de contacto para marketing | Até revogação do consentimento ou 3 anos de inatividade |
| Dados de navegação (logs) | 2 anos |
| Dados de cookies | Conforme especificado na Política de Cookies |
| Registo de consentimento (cookies e comunicações) | Guardado no servidor (tabela `create_consent_records`: estado do analytics, versão do texto aceite e hora do servidor) e no dispositivo do titular (localStorage). Conservado 5 anos (ver §6.3) |
Após o termo do prazo, os dados são anonimizados ou eliminados de forma segura.
10. Segurança dos Dados
A Lemu implementa as seguintes medidas técnicas e organizacionais:
- Encriptação em trânsito: TLS 1.3
- Encriptação em repouso: AES-256
- Autenticação: Passwords seguras; autenticação multifator (quando aplicável)
- Acesso restrito: Princípio do menor privilégio
- Backups regulares: Com plano de recuperação
- Monitorização: Deteção de intrusões e alertas de segurança
- Formação: Sensibilização da equipa em matéria de segurança
11. Os Seus Direitos
Nos termos do RGPD e da LGPD, o Utilizador dispõe dos seguintes direitos:
| Direito | Descrição | Como Exercer |
|---|---|---|
| Acesso (art. 15.º RGPD) | Confirmar se os dados são tratados e aceder aos mesmos. | E-mail para hello@lemu-lab.com |
| Retificação (art. 16.º RGPD) | Corrigir dados inexatos ou incompletos. | E-mail ou Definições de Conta |
| Apagamento (art. 17.º RGPD) | Solicitar eliminação dos dados ("direito a ser esquecido"). | E-mail para hello@lemu-lab.com |
| Limitação (art. 18.º RGPD) | Solicitar limitação do tratamento. | E-mail para hello@lemu-lab.com |
| Portabilidade (art. 20.º RGPD) | Receber dados num formato estruturado e legível por máquina. | E-mail para hello@lemu-lab.com |
| Oposição (art. 21.º RGPD) | Opor-se, a qualquer momento, ao tratamento baseado em interesses legítimos — incluindo a medição agregada de tráfego da landing page — e ao tratamento para efeitos de marketing. | E-mail para hello@lemu-lab.com; link de cancelamento em cada e-mail |
| Revogação do Consentimento | Retirar consentimento a qualquer momento. | Ver §6.3 |
Prazo de resposta: Até 30 dias (prorrogáveis por mais 60 dias em casos complexos).
Custo: Gratuito, salvo pedidos manifestamente infundados ou excessivos.
12. Reclamações
O Utilizador pode apresentar reclamação junto da autoridade de controlo:
Comissão Nacional de Proteção de Dados (CNPD)
- Morada: Av. D. Carlos I, 134, 1.º, 1200-651 Lisboa, Portugal
- Telefone: (+351) 213 928 400
- E-mail: geral@cnpd.pt
- Website: www.cnpd.pt
Autoridade Nacional de Proteção de Dados (ANPD) — Brasil
- Website: www.gov.br/anpd
13. Alterações à Política de Privacidade
A Lemu reserva-se o direito de atualizar esta Política. Alterações significativas serão comunicadas por e-mail ou notificação na Plataforma, com aviso prévio de 30 dias.
14. Contacto
Para questões relacionadas com esta Política ou para exercer os seus direitos:
- E-mail: hello@lemu-lab.com
Documento elaborado em conformidade com o Regulamento (UE) 2016/679, a Lei n.º 58/2019, a Lei Geral de Proteção de Dados (LGPD) — Lei n.º 13.709/2018, e a Diretiva ePrivacy.