Última atualização: April 28, 2026

Política de Privacidade

Levamos a privacidade a sério. Esta política descreve que dados recolhemos, com que base legal, durante quanto tempo os conservamos, quem os trata em nosso nome e como pode exercer os seus direitos ao abrigo do Regulamento Geral sobre a Proteção de Dados da UE (Regulamento 2016/679, o GDPR).

  1. 01Responsável pelo tratamento
  2. 02Que dados recolhemos
  3. 03Base legal para cada finalidade de tratamento
  4. 04Prazos de conservação
  5. 05Tratamento automatizado (art. 13.º, n.º 2, alínea f), e art. 22.º)
  6. 06Subcontratantes e destinatários
  7. 07Transferências internacionais
  8. 08Os seus direitos ao abrigo do GDPR
  9. 09Dados biométricos — Quiromancia
  10. 10Cookies
  11. 11Dados sobre outras pessoas
  12. 12Menores
  13. 13Segurança
  14. 14Alterações a esta política
  15. 15Contacto

01Responsável pelo tratamento

O responsável pelo tratamento dos dados pessoais tratados através de karmogram.com é CyGuru Pharm SRL, registada na Roménia (Registo Comercial registration pending, N.º de identificação fiscal RO52437696), com sede em Branesti, str. Horia 33c, jud. Ilfov. Contacto geral: hello@karmogram.com. Pedidos relativos a privacidade e proteção de dados (incluindo a caixa de correio do DPO): privacy@karmogram.com. Respondemos a todos os pedidos de exercício de direitos no prazo de trinta (30) dias, nos termos do artigo 12.º, n.º 3, do GDPR.

02Que dados recolhemos

(a) Identificação e dados de entrada da leitura: nome completo, e-mail, data de nascimento, hora e local de nascimento (opcionais), dados do parceiro ou dos membros da equipa que opte por introduzir, a sua pergunta escrita ou a descrição do sonho. (b) Dados biométricos (apenas para Quiromancia): uma fotografia da sua palma. (c) Conta/autenticação: e-mail, tokens de magic link, data e hora do último início de sessão. (d) Metadados de pagamento devolvidos pela Stripe (marca do cartão, últimos quatro dígitos, país, ID da transação — nunca vemos o número completo do cartão). (e) Dados técnicos recolhidos para segurança, prevenção de fraude e análise: endereço IP (truncado para fins de análise), user-agent, classe de dispositivo, idioma, referenciador, parâmetros UTM. (f) Comunicações que nos envia (corpo do e-mail, anexos).

04Prazos de conservação

Cookies de sessão (iron-session, assinados): 30 dias desde a última atividade. Tokens de início de sessão magic link: 15 minutos (utilização única). Dados do formulário e da leitura (o que introduziu e a leitura gerada): 3 anos a contar da entrega, sendo depois anonimizados ou eliminados, em linha com o prazo de prescrição das ações civis na lei romena. Fotografias da palma: 30 dias a contar do carregamento (encriptadas em repouso, eliminadas por uma tarefa diária de limpeza às 04:00 Europe/Bucharest). Registos de entrega de e-mail (Resend): 30 dias. Registos de transações e faturas da Stripe: 7 anos (exigido pela Lei romena 227/2015 sobre o Código Fiscal e pela Lei 82/1991 sobre a contabilidade). Eventos de análise do produto (PostHog, região UE): 12 meses. Eventos de erro (Sentry, se ativado): 90 dias. Correspondência de apoio ao cliente: até 3 anos.

05Tratamento automatizado (art. 13.º, n.º 2, alínea f), e art. 22.º)

Your reading is generated by an automated natural-language processing system (OpenAI; palm-reading uses Anthropic). The data we send to the system is the interview fields you submitted (name, birth data, your question, partner or team data if relevant) together with our editorial guidelines. Data sent to OpenAI's API is not used to train or improve any model and is retained by OpenAI for up to 30 days for abuse monitoring before deletion; palm-reading is processed by Anthropic. Generation is fully automated, but it does not produce decisions that have a legal or similarly significant effect on you (a Karmogram reading is reflective entertainment, not a legal, medical, financial, employment or insurance decision). You may at any time request human review of a delivered reading by writing to privacy@karmogram.com; we will respond within 30 days.

06Subcontratantes e destinatários

We share data only with the processors strictly needed to operate the service. Stripe Payments Europe (Ireland; processing servers in the United States) — payment processing. Transfer mechanism: EU Standard Contractual Clauses 2021/914 plus Stripe's adherence to the EU–US Data Privacy Framework. Resend (United States) — transactional and marketing email delivery. Transfer mechanism: SCC 2021/914 plus EU–US Data Privacy Framework. PostHog (European Union, eu.posthog.com) — product analytics; no international transfer. Sentry (United States, only when enabled) — error tracking. Transfer mechanism: SCC 2021/914 plus EU–US DPF. Vercel Inc. (United States, with EU edge regions) — application hosting. Transfer mechanism: SCC 2021/914 plus EU–US DPF. OpenAI, L.L.C. (United States) — automated natural-language generation of your reading, accessed through our backend; data sent via the OpenAI API is not used to train OpenAI's models and is retained by OpenAI for up to 30 days for abuse monitoring before deletion. Transfer mechanism: SCC 2021/914. Anthropic PBC (United States) — natural-language processing for palm-reading, accessed through our backend. Transfer mechanism: SCC 2021/914 plus EU–US DPF. If you give explicit consent to store your answers, your customer record, purchase and reading are held in a managed PostgreSQL database located in the European Union. We do not sell your data and we do not share it with advertising networks.

07Transferências internacionais

Where personal data leaves the European Economic Area (Stripe, Resend, Sentry, Vercel, OpenAI, Anthropic) the transfer is governed by the European Commission's Standard Contractual Clauses (Decision 2021/914) and, where applicable, by the recipient's certification under the EU–US Data Privacy Framework. You may obtain a copy of the safeguards by writing to privacy@karmogram.com.

08Os seus direitos ao abrigo do GDPR

Tem o direito de acesso (art. 15.º), de retificação (art. 16.º), de apagamento / direito a ser esquecido (art. 17.º), de limitação do tratamento (art. 18.º), de portabilidade dos dados (art. 20.º — pode pedir os seus dados num ficheiro JSON estruturado e legível por máquina) e de oposição (art. 21.º). Quando o tratamento se baseia no consentimento (art. 6.º, n.º 1, alínea a), ou art. 9.º, n.º 2, alínea a)), tem o direito de retirar esse consentimento a qualquer momento, sem afetar a licitude do tratamento anterior. Para exercer qualquer direito, use o formulário em /privacy/erase ou escreva para privacy@karmogram.com. Respondemos no prazo de 30 dias. Tem também o direito de apresentar reclamação junto da autoridade de controlo romena (ANSPDCP — Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal, dataprotection.ro) ou junto da autoridade de controlo do seu país de residência habitual.

09Dados biométricos — Quiromancia

As fotografias da palma carregadas para a leitura de Quiromancia são dados biométricos na aceção do art. 4.º, n.º 14, e do art. 9.º do GDPR. Tratamo-las exclusivamente com base no seu consentimento explícito (art. 9.º, n.º 2, alínea a)) e apenas para gerar a sua leitura de Quiromancia. Removemos os metadados EXIF e de localização da sua imagem tanto do lado do cliente (no navegador, antes do carregamento) como do lado do servidor (defesa em profundidade). Os ficheiros são encriptados em repouso com AES-256, nunca são expostos através de URL públicos, são acedidos pelo motor de leitura apenas através de URL assinados de curta duração (≤ 5 minutos) e são eliminados no prazo de 30 dias por uma tarefa diária de limpeza. Pode solicitar a eliminação imediata em /privacy/erase ou escrevendo para privacy@karmogram.com.

10Cookies

Por predefinição, colocamos apenas cookies estritamente necessários (o cookie iron-session, o token CSRF e o próprio indicador de consentimento de cookies). Os cookies de análise (PostHog) só carregam se der o seu consentimento no banner de cookies. Não utilizamos cookies de publicidade de terceiros.

11Dados sobre outras pessoas

Se submeter dados pessoais de outra pessoa (um parceiro para uma leitura de Compatibilidade, fundadores, membros de equipa para uma leitura de Compatibilidade de Equipa, ou alguém referido na sua pergunta), confirma que informou essa pessoa do tratamento e que tem uma base legal para partilhar os dados dela connosco. A pedido dessa pessoa, asseguraremos o exercício dos seus direitos ao abrigo do artigo 14.º do GDPR do mesmo modo que para os nossos utilizadores diretos.

12Menores

O Karmogram destina-se exclusivamente a adultos com 18 anos ou mais. Não tratamos conscientemente dados pessoais de menores. Se acredita que um menor submeteu dados através do serviço, comunique-o de imediato para privacy@karmogram.com e eliminaremos os dados prontamente.

13Segurança

Data in transit is protected by TLS 1.2+. The application runs on Vercel's infrastructure; where we store customer records and readings, they are held in a managed PostgreSQL database in the European Union, encrypted in transit. Secrets are managed through the hosting platform's encrypted environment and never committed to source control. Access to production data is restricted to named personnel and logged. We notify the supervisory authority and affected users within 72 hours of becoming aware of a personal-data breach, in line with GDPR Art. 33–34.

14Alterações a esta política

Quando fizermos alterações substanciais a esta política, notificamos todos os titulares de conta e clientes recentes por e-mail com, pelo menos, quinze (15) dias de antecedência relativamente à sua entrada em vigor. As alterações não substanciais são publicadas com uma data de revisão atualizada no topo desta página. A versão atual tem a data de April 28, 2026.

15Contacto

Responsável pelo tratamento: CyGuru Pharm SRL, Branesti, str. Horia 33c, jud. Ilfov. Caixa de correio geral: hello@karmogram.com. Caixa de correio de proteção de dados (DPO): privacy@karmogram.com. Autoridade de controlo romena: ANSPDCP, dataprotection.ro.

Operado por CyGuru Pharm SRL (registration pending, CUI RO52437696), Branesti, str. Horia 33c, jud. Ilfov. Contrato n.º 1/17.04.2026.