Última atualização: 13 de setembro de 2026

Política de Privacidade

Levamos a privacidade a sério. Esta política descreve que dados recolhemos, com que base legal, durante quanto tempo os conservamos, quem os trata em nosso nome e como pode exercer os seus direitos ao abrigo do Regulamento Geral sobre a Proteção de Dados da UE (Regulamento 2016/679, o GDPR).

  1. 01Responsável pelo tratamento
  2. 02Que dados recolhemos
  3. 03Base legal para cada finalidade de tratamento
  4. 04Prazos de conservação
  5. 05Tratamento automatizado (art. 13.º, n.º 2, alínea f), e art. 22.º)
  6. 06Subcontratantes e destinatários
  7. 07Transferências internacionais
  8. 08Os seus direitos ao abrigo do GDPR
  9. 09Dados biométricos — Quiromancia
  10. 10Cookies
  11. 11Dados sobre outras pessoas
  12. 12Menores
  13. 13Segurança
  14. 14Alterações a esta política
  15. 15Contacto

01Responsável pelo tratamento

O responsável pelo tratamento dos dados pessoais tratados através de karmogram.com é CyGuru Pharm SRL, registada na Roménia (Registo Comercial registration pending, N.º de identificação fiscal RO52437696), com sede em Branesti, str. Horia 33c, jud. Ilfov. Contacto geral: karmogram@karmogram.com. Pedidos relativos a privacidade e proteção de dados (incluindo a caixa de correio do DPO): karmogram@karmogram.com. Respondemos a todos os pedidos de exercício de direitos no prazo de trinta (30) dias, nos termos do artigo 12.º, n.º 3, do GDPR.

02Que dados recolhemos

(a) Identificação + dados da leitura: nome completo, e-mail, data de nascimento, hora e local de nascimento opcionais, dados do parceiro ou de membros da equipa que decida introduzir, a sua pergunta escrita ou a descrição do sonho. (b) Dados biométricos (só para Quiromancia): uma fotografia da sua palma. (c) Conta/autenticação: e-mail, tokens de ligação mágica, data do último início de sessão. (d) Metadados de pagamento devolvidos pela Stripe (marca do cartão, últimos quatro dígitos, país, ID da transação — nunca vemos o número completo). (e) Dados técnicos: o seu endereço IP e user-agent são tratados de forma transitória pelo nosso fornecedor de alojamento (Vercel) para entregar a página e proteger o serviço contra abusos; na primeira visita, o país derivado do seu IP serve apenas para escolher a língua do site, que pode alterar a qualquer momento no menu de línguas. A nossa análise de produto (PostHog, região UE) nunca recebe o seu IP e só funciona se a aceitar no aviso de cookies; se funcionar, regista classe do dispositivo, língua, referenciador e parâmetros UTM. (f) Comunicações que nos envia (corpo do e-mail, anexos).

04Prazos de conservação

Cookies de sessão (iron-session, assinados): 30 dias desde a última atividade. Tokens de início de sessão por ligação mágica: 15 minutos (uso único). Dados da entrevista e da leitura (as suas respostas e a leitura gerada): 3 anos desde a entrega, depois anonimizados ou eliminados, em linha com o prazo de prescrição de ações civis na lei romena. Fotografias da palma: 30 dias desde o carregamento (cifradas em repouso, eliminadas por uma tarefa diária às 04:00 Europe/Bucharest). Registos de entrega de e-mail (Resend): 30 dias. Registos de transações e faturas Stripe: 7 anos (exigidos pela Lei romena 227/2015 do Código Fiscal e pela Lei 82/1991 da contabilidade). Eventos de análise de produto (PostHog, região UE, só com o seu consentimento): 12 meses. Eventos de erro (Sentry): não ativado hoje; se o ativarmos, 90 dias, e esta política dirá isso. Correspondência de apoio: até 3 anos.

05Tratamento automatizado (art. 13.º, n.º 2, alínea f), e art. 22.º)

Your reading is generated by an automated natural-language processing system (OpenAI; palm-reading uses Anthropic). The data we send to the system is the interview fields you submitted (name, birth data, your question, partner or team data if relevant) together with our editorial guidelines. Data sent to OpenAI's API is not used to train or improve any model and is retained by OpenAI for up to 30 days for abuse monitoring before deletion; palm-reading is processed by Anthropic. Generation is fully automated, but it does not produce decisions that have a legal or similarly significant effect on you (a Karmogram reading is reflective entertainment, not a legal, medical, financial, employment or insurance decision). You may at any time request human review of a delivered reading by writing to karmogram@karmogram.com; we will respond within 30 days.

06Subcontratantes e destinatários

We share data only with the processors strictly needed to operate the service. Stripe Payments Europe (Ireland; processing servers in the United States) — payment processing. Transfer mechanism: EU Standard Contractual Clauses 2021/914 plus Stripe's adherence to the EU–US Data Privacy Framework. Resend (United States) — transactional and marketing email delivery. Transfer mechanism: SCC 2021/914 plus EU–US Data Privacy Framework. PostHog (European Union, eu.posthog.com) — product analytics; no international transfer. Sentry (United States, only when enabled) — error tracking. Transfer mechanism: SCC 2021/914 plus EU–US DPF. Vercel Inc. (United States, with EU edge regions) — application hosting. Transfer mechanism: SCC 2021/914 plus EU–US DPF. OpenAI, L.L.C. (United States) — automated natural-language generation of your reading, accessed through our backend; data sent via the OpenAI API is not used to train OpenAI's models and is retained by OpenAI for up to 30 days for abuse monitoring before deletion. Transfer mechanism: SCC 2021/914. Anthropic PBC (United States) — natural-language processing for palm-reading, accessed through our backend. Transfer mechanism: SCC 2021/914 plus EU–US DPF. If you give explicit consent to store your answers, your customer record, purchase and reading are held in a managed PostgreSQL database located in the European Union. We do not sell your data and we do not share it with advertising networks.

07Transferências internacionais

Where personal data leaves the European Economic Area (Stripe, Resend, Sentry, Vercel, OpenAI, Anthropic) the transfer is governed by the European Commission's Standard Contractual Clauses (Decision 2021/914) and, where applicable, by the recipient's certification under the EU–US Data Privacy Framework. You may obtain a copy of the safeguards by writing to karmogram@karmogram.com.

08Os seus direitos ao abrigo do GDPR

Tem o direito de acesso (art. 15.º), de retificação (art. 16.º), de apagamento / direito a ser esquecido (art. 17.º), de limitação do tratamento (art. 18.º), de portabilidade dos dados (art. 20.º — pode pedir os seus dados num ficheiro JSON estruturado e legível por máquina) e de oposição (art. 21.º). Quando o tratamento se baseia no consentimento (art. 6.º, n.º 1, alínea a), ou art. 9.º, n.º 2, alínea a)), tem o direito de retirar esse consentimento a qualquer momento, sem afetar a licitude do tratamento anterior. Para exercer qualquer direito, use o formulário em /privacy/erase ou escreva para karmogram@karmogram.com. Respondemos no prazo de 30 dias. Tem também o direito de apresentar reclamação junto da autoridade de controlo romena (ANSPDCP — Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal, dataprotection.ro) ou junto da autoridade de controlo do seu país de residência habitual.

09Dados biométricos — Quiromancia

As fotografias da palma carregadas para a leitura de Quiromancia são dados biométricos na aceção do art. 4.º, n.º 14, e do art. 9.º do GDPR. Tratamo-las exclusivamente com base no seu consentimento explícito (art. 9.º, n.º 2, alínea a)) e apenas para gerar a sua leitura de Quiromancia. Removemos os metadados EXIF e de localização da sua imagem tanto do lado do cliente (no navegador, antes do carregamento) como do lado do servidor (defesa em profundidade). Os ficheiros são encriptados em repouso com AES-256, nunca são expostos através de URL públicos, são acedidos pelo motor de leitura apenas através de URL assinados de curta duração (≤ 5 minutos) e são eliminados no prazo de 30 dias por uma tarefa diária de limpeza. Pode solicitar a eliminação imediata em /privacy/erase ou escrevendo para karmogram@karmogram.com.

10Cookies

Por defeito só definimos o que o site precisa para funcionar: o token anti-CSRF (__Host-csrf, 1 dia), a sua confirmação 18+ quando a dá (__Host-km_age, 12 meses), a sua escolha de cookies quando a faz (km_consent_v1, 180 dias) e a língua do site (NEXT_LOCALE — durante a sessão quando a escolhemos nós, 12 meses só quando escolhe você mesmo uma língua); o cookie de sessão (karmogram_session, 30 dias) só depois de um início de sessão por ligação mágica. Os cookies de análise (PostHog) só são definidos se os aceitar no aviso de cookies, e pode retirar o consentimento a qualquer momento em «Definições de cookies» no rodapé. Não usamos cookies publicitários. O registo completo — cada cookie e cada chave de armazenamento do navegador, com finalidade e duração — está na nossa Política de cookies.

11Dados sobre outras pessoas

Se submeter dados pessoais de outra pessoa (um parceiro para uma leitura de Compatibilidade, fundadores, membros de equipa para uma leitura de Compatibilidade de Equipa, ou alguém referido na sua pergunta), confirma que informou essa pessoa do tratamento e que tem uma base legal para partilhar os dados dela connosco. A pedido dessa pessoa, asseguraremos o exercício dos seus direitos ao abrigo do artigo 14.º do GDPR do mesmo modo que para os nossos utilizadores diretos.

12Menores

O Karmogram destina-se exclusivamente a adultos com 18 anos ou mais. Não tratamos conscientemente dados pessoais de menores. Se acredita que um menor submeteu dados através do serviço, comunique-o de imediato para karmogram@karmogram.com e eliminaremos os dados prontamente.

13Segurança

Data in transit is protected by TLS 1.2+. The application runs on Vercel's infrastructure; where we store customer records and readings, they are held in a managed PostgreSQL database in the European Union, encrypted in transit. Secrets are managed through the hosting platform's encrypted environment and never committed to source control. Access to production data is restricted to named personnel and logged. We notify the supervisory authority and affected users within 72 hours of becoming aware of a personal-data breach, in line with GDPR Art. 33–34.

14Alterações a esta política

Quando fizermos alterações substanciais a esta política, notificamos todos os titulares de conta e clientes recentes por e-mail com, pelo menos, quinze (15) dias de antecedência relativamente à sua entrada em vigor. As alterações não substanciais são publicadas com uma data de revisão atualizada no topo desta página. A versão atual tem a data de 13 de setembro de 2026.

15Contacto

Responsável pelo tratamento: CyGuru Pharm SRL, Branesti, str. Horia 33c, jud. Ilfov. Caixa de correio geral: karmogram@karmogram.com. Caixa de correio de proteção de dados (DPO): karmogram@karmogram.com. Autoridade de controlo romena: ANSPDCP, dataprotection.ro.

Operado por CyGuru Pharm SRL (registration pending, CUI RO52437696), Branesti, str. Horia 33c, jud. Ilfov. Contrato n.º 1/17.04.2026.