Política de Privacidade

Última atualização: 4 de Maio de 2026 · Versão 1.2

Esta política explica que dados pessoais o ByeByeCookies recolhe, como funciona o nosso modelo, e os direitos que tens ao abrigo do RGPD (Regulamento (UE) 2016/679).

Em 1 frase: O ByeByeCookies é um preference broker — pré-armazena as tuas escolhas de cookies e replica-as nos sites que visitas. O consentimento que validas em cada site continua a ser dado a esse site; nós só reduzimos o atrito da repetição.

1. Quem somos

Responsável pelo tratamento (controller): ByeByeCookies (projeto em fase de teste).

Contacto de privacidade: privacy@byebyecookies.com — para exercer direitos RGPD, reportar incidentes, ou qualquer questão sobre o tratamento dos teus dados. Resposta dentro de 30 dias (Art. 12.3).

2. Como funciona — o nosso modelo

O ByeByeCookies não é um consent broker (não dá consentimento em teu nome a sites terceiros).

O ByeByeCookies é um preference broker:

Tu defines uma vez as tuas preferências de cookies em byebyecookies.com.
Quando visitas um site com o nosso plugin, ele consulta-nos e replica essas preferências como cookies first-party desse site.
O consentimento é tecnicamente registado no domínio do site visitado (cookies como cookieyes-consent, CookieConsent, cmplz_consent) — não na nossa plataforma.
Em qualquer momento podes alterar as preferências aqui (e elas propagam-se) ou diretamente em cada site (e essa alteração local prevalece).

Análogo legal: similar ao Global Privacy Control (GPC) ou ao autofill do browser — uma preferência expressa em advance que se aplica a múltiplos contextos.

3. Que dados recolhemos sobre ti

Email — para autenticação e comunicação relacionada com a tua conta.
Password — armazenada com bcrypt; nunca em texto simples.
Preferências de cookies — funcional, analítica, marketing (sim/não cada).
Log de consentimento (audit) — data, ação realizada (registo, alteração, retirada, exportação, apagamento), IP e user-agent. Exigido pelo RGPD Art. 7(1) para demonstrar consentimento. Retido 36 meses (alinhado com o prazo de prescrição civil em Portugal — necessário para defesa em caso de litígio).
Cookie de sessão (bbc_session) — estritamente necessário para te manter autenticado. Sem este cookie a aplicação não funciona, pelo que está isento de consentimento (Art. 5(3) ePrivacy).

4. Que dados vão para sites terceiros

Quando visitas um site com o plugin, é gerado um JWT (token assinado, expira em 5 minutos) que contém:

user_hash pseudónimo, calculado por site — o mesmo utilizador tem hashes diferentes em sites diferentes, impossibilitando correlação cross-site.
As tuas preferências booleanas (functional/analytics/marketing).
Versão do consentimento e timestamp de emissão.

Os sites terceiros não recebem o teu email, ID, password, IP, user-agent, ou qualquer outro identificador através do nosso sistema.

O JWT é entregue ao site via HTTP POST (não em URL), pelo que não fica em logs do servidor nem em Referer headers.

5. Que dados nós sabemos sobre a tua navegação

Quando visitas um site com o plugin, o teu browser faz um pedido ao nosso gate.php com o URL desse site. Logamos esse pedido (no nginx access log, retido 14 dias) por motivos operacionais. Não construímos perfis de navegação nem partilhamos esta informação com terceiros.

5.1. Como funciona em sites parceiros — verificação de conta

Quando visitas pela primeira vez um site com o nosso plugin, ou quando o cookie de preferências expira, verificamos se tens conta byebyecookies.com para aplicar as preferências guardadas. Esta verificação envia ao nosso servidor:

O teu endereço IP (registado pelo nginx, retido 14 dias).
O teu User-Agent do browser.
O endereço do site parceiro que estás a visitar (no parâmetro return).
O teu cookie de sessão BBC, se já tinhas iniciado sessão em byebyecookies.com.

Frequência: no máximo uma vez a cada 30 dias por site não visitado, ou na primeira visita a um site novo. Quando o cookie de preferências está válido, não há nova verificação.

Status legal: ByeByeCookies actua como controller independente (RGPD Art. 4(7)) — não somos processor dos sites parceiros. Tu deste-nos consentimento ao registar; os sites parceiros recebem apenas a tua decisão pseudonimizada.

Direito de revogação (Art. 7.3): podes retirar o consentimento a qualquer momento em /dashboard.php → "Retirar consentimento". A revogação é instantânea no nosso lado; os cookies já definidos em sites parceiros são respeitados pelo CMP até expirarem (máximo 90 dias) ou até voltares a esses sites.

6. Base legal (RGPD Art. 6)

Consentimento (Art. 6(1)(a)) — para criação de conta e gestão de preferências.
Obrigação legal (Art. 6(1)(c)) — audit log de consentimento (Art. 7(1)).
Interesse legítimo (Art. 6(1)(f)) — segurança operacional (rate limiting, logs de acesso técnico).

7. Retenção

Dado	Retenção	Base
Conta + email + preferências	Enquanto conta ativa; apagamento em 1 clique	Art. 17
Audit log (consent_log)	36 meses	Art. 7.1 + prazo de prescrição civil
Logs técnicos nginx (gate.php)	14 dias	Art. 6.1.f — interesse legítimo (segurança)
Tokens de reset de password	30 minutos	Art. 5.1.c — minimização
Rate limit	24 horas	Art. 6.1.f — segurança
Cookie `bbc_consent` no site parceiro	30 dias (renovado a cada visita; máximo 90d desde consent)	Art. 5.3 ePrivacy — necessário ao serviço
Cookie `bbc_visits` no site parceiro	30 dias	Art. 6.1.f — interesse legítimo (telemetria operacional anti-ITP)
Sync tokens (single-use)	60 segundos	Art. 5.1.c

8. Os teus direitos (RGPD Art. 15-22)

Acesso e portabilidade (Art. 15, 20) — exporta os teus dados em JSON em A minha conta.
Retificação (Art. 16) — alterar email/preferências no dashboard.
Apagamento ("ser esquecido") (Art. 17) — botão "Apagar conta" em A minha conta. Apaga conta, preferências e audit log permanentemente.
Retirada do consentimento (Art. 7(3)) — tão simples como dar; clica em "Retirar consentimento" no dashboard. Tem efeito imediato em todos os sites futuros.
Reclamação à autoridade de controlo (Art. 13.2.d, 77) — podes apresentar queixa à CNPD (Portugal, autoridade nacional) ou à autoridade do teu Estado-Membro de residência habitual, local de trabalho, ou local da alegada infração.
Não-sujeição a decisões automatizadas (Art. 22) — não fazemos decisões automatizadas com efeitos jurídicos sobre ti. Aplicar preferências de cookies não é uma "decisão" no sentido do Art. 22.

9. Segurança (RGPD Art. 32)

Passwords com bcrypt.
Sessões com cookies HttpOnly + SameSite=Lax.
JWT assinado RS256 com chave RSA 2048-bit.
user_hash per-site (privacy by design — Art. 25).
JWT entregue via POST (não em URL → não fica em logs/Referer).
Proteção CSRF, validação de redirect URLs, rate limiting.
Headers de segurança: X-Frame-Options, X-Content-Type-Options, Referrer-Policy.

10. Transferências internacionais

Os dados são armazenados em servidor na União Europeia. Não há transferências para fora do EEE.

11. Alterações

Esta política pode ser atualizada. Alterações materiais serão comunicadas por email à conta registada.