Última atualização: 11 de outubro de 2026.

1. Quem trata os seus dados

O Provanis2 é um projeto da GhostLabs, estabelecida em Portugal. Para qualquer questão sobre proteção de dados, incluindo o exercício dos direitos descritos no ponto 9, escreva para ola@provanis2.eu.

Quando visita este sítio ou usa a avaliação gratuita, somos nós o responsável pelo tratamento. Quando a sua entidade é cliente do Provanis2, o responsável pelo tratamento é a sua entidade e nós somos subcontratante — essa distinção está detalhada em Subcontratação RGPD.

2. Visitar este sítio

Este sítio não usa cookies, não tem analítica, não tem píxeis de seguimento e não partilha nada com redes publicitárias. Não lhe pedimos o email para lhe mostrar seja o que for.

O servidor de entrada que encaminha os pedidos para estas páginas mantém um registo de acesso técnico com o endereço IP, a data e hora, o endereço pedido, o código de resposta e o identificador do navegador. Serve para operar e proteger o serviço — diagnosticar erros e detetar abuso — com fundamento no interesse legítimo (artigo 6.º, n.º 1, alínea f) do RGPD).

3. Tipos de letra externos

As páginas públicas carregam os tipos de letra a partir do serviço Google Fonts (fonts.googleapis.com e fonts.gstatic.com). Ao fazê-lo, o seu navegador estabelece uma ligação a servidores da Google e o seu endereço IP é comunicado a essa entidade. Não lhe enviamos nenhum outro dado e não usamos o serviço para o identificar ou seguir.

Esta ligação existe apenas nas páginas públicas. A avaliação gratuita e a aplicação Provanis2 não carregam nada de terceiros.

4. A avaliação QNRCS gratuita

A avaliação em /qnrcs/avaliacao corre inteiramente no seu navegador e foi construída para não conseguir comunicar com ninguém: a política de segurança de conteúdo da página proíbe qualquer ligação de rede (connect-src 'none'), incluindo connosco.

• As suas respostas ficam em memória e desaparecem quando recarrega a página.
• Não são gravadas em cookies, em armazenamento local nem em nenhuma base de dados.
• Não lhe pedimos email, nome nem identificação da entidade para lhe mostrar o resultado.
• O resumo é a impressão do seu próprio navegador. Não recebemos cópia.

Continuam a aplicar-se os registos técnicos do servidor de entrada descritos no ponto 2, que registam o pedido da página mas não o seu conteúdo nem as suas respostas.

5. A aplicação Provanis2

O acesso à aplicação, em app.provanis2.eu, pressupõe uma conta criada pela sua entidade. Nessa área tratamos:

• Dados de conta: endereço de correio eletrónico, nome, papel atribuído e estado da conta.
• Dados de sessão: um cookie de sessão estritamente necessário, inacessível a scripts, restrito a este sítio e transmitido apenas sob TLS. A sessão caduca ao fim de oito horas.
• Registo de auditoria: quem praticou que ato e quando. É a própria razão de ser do produto: torna a atestação defensável perante o supervisor. Este registo é acrescentável e à prova de adulteração — a aplicação não edita nem apaga entradas, e uma alteração feita por fora quebraria a cadeia de hashes e ficaria à vista.

Não fazemos definição de perfis nem decisões automatizadas com efeitos jurídicos sobre pessoas. Nenhum modelo de inteligência artificial recebe dados de clientes: a política de modelo de cada entidade é none salvo decisão expressa, registada e fundamentada dessa entidade.

6. O que nunca recebemos

A arquitetura do Provanis2 tem dois planos. Os coletores correm dentro da infraestrutura da entidade cliente e os artefactos originais não a deixam.

• Fica na entidade: os artefactos em bruto — registos, alertas, ficheiros de configuração, resultados de análises de vulnerabilidades — e os documentos originais.
• Chega até nós: achados normalizados, mapeamentos de controlo e impressões digitais criptográficas — não o conteúdo que lhes deu origem; o inventário de ativos tal como os coletores o reportam, com o responsável, os endereços IP e os números de série pseudonimizados à entrada; e a lista de ativos publicamente acessíveis do artigo 32.º do Regulamento n.º 756/2026, que uma pessoa preenche no painel, com endereços IP e FQDN em claro. Essa lista é informação classificada de grau reservado: fica na base de dados do plano de controlo, em servidores na União Europeia, o acesso a ela é limitado por papel no painel, e cada exportação fica registada na cadeia de auditoria.

Isto é uma decisão de conceção, não uma promessa contratual: concentrar os artefactos em bruto e as vulnerabilidades de centenas de entidades numa base de dados única criaria um alvo de dimensão nacional.

7. Onde ficam e durante quanto tempo

Os dados são alojados em infraestrutura situada na União Europeia, em instância dedicada. As cópias de segurança são cifradas.

• Registos de acesso do servidor de entrada: conservados durante 14 dias (rotação diária, com compressão) pelo operador do servidor de entrada e depois eliminados.
• Dados de conta: enquanto a conta existir.
• Registo de auditoria e prova: pelo prazo de conservação acordado com a entidade cliente, que decorre das suas obrigações legais de conservação de prova ao abrigo do RJC. Por ser encadeado, uma entrada não é suprimida individualmente.
• Conversas com o assistente: não são conservadas por nós (ponto 8).

8. O assistente

A página inicial tem um assistente que responde, em português, a perguntas sobre o RJC, o QNRCS e o Provanis2. As respostas são geradas por um modelo de linguagem a partir da informação pública deste sítio.

• O que é enviado: a pergunta que escreve e as seis últimas mensagens da conversa, as suas e as do assistente. O seu navegador guarda essas mensagens no armazenamento de sessão do separador e reenvia-as com cada pergunta; apagam-se quando fecha o separador. Não é enviado nenhum identificador seu: o assistente não usa conta, cookie nem formulário.
• A quem: à Google LLC, através da API Gemini, que trata o pedido para produzir a resposta. Esse tratamento ocorre fora da União Europeia, nos termos da Google para essa API. Ao abrigo desses termos, a Google conserva as perguntas durante um período limitado, para deteção de abusos.
• Base jurídica: o interesse legítimo em responder a quem consulta este sítio (a confirmar pelo advogado).
• O que conservamos: nada da conversa. O registo de chamadas ao modelo guarda apenas contagens (número de tokens, duração e custo estimado) e impressões digitais criptográficas do pedido e da resposta, nunca o texto. O registo de acesso do servidor de entrada (ponto 2) regista o endereço pedido, não o conteúdo da pergunta.
• O que lhe pedimos: não escreva dados pessoais, seus ou de terceiros, nem informação confidencial da sua entidade.
• Os limites das respostas: as respostas vêm de um modelo, podem conter erros e não substituem aconselhamento jurídico. O assistente está instruído para não dizer se uma entidade está abrangida pelo regime nem qual é o seu nível: isso cabe ao CNCS.

9. Os seus direitos

Assistem-lhe os direitos de acesso, retificação, apagamento, limitação do tratamento, portabilidade e oposição, nos termos dos artigos 15.º a 22.º do RGPD. Exerça-os em ola@provanis2.eu.

Se for titular de uma conta criada pela sua entidade, dirija o pedido em primeiro lugar a essa entidade, que é o responsável pelo tratamento; encaminharemos e prestaremos o apoio necessário.

Tem ainda o direito de apresentar reclamação à Comissão Nacional de Proteção de Dados (CNPD), a autoridade de controlo em Portugal.

10. Alterações

Alterações a esta política são publicadas nesta página com a data de atualização acima. Alterações materiais que afetem entidades clientes são comunicadas pelos canais previstos no contrato.