Os dados dos seus clientes, protegidos por regras de acesso estritas

O nosso compromisso de confidencialidade

• Os dados dos clientes são do gabinete. A Normavis trata-os apenas para prestar o serviço, por conta do gabinete, como subcontratante (RGPD, art. 28.º), nos termos do acordo de subcontratação. Não os usa para outros fins, não os vende nem os partilha, e não os usa para treinar modelos de inteligência artificial.
• A Normavis não consulta os registos dos gabinetes, salvo a pedido do próprio gabinete para apoio ou por obrigação legal. A consola de administração mostra apenas contagens, planos e subscrições: não dá acesso a nomes de clientes, NIF, operações, alertas ou comunicações, e esta separação é imposta pela base de dados. Os campos mais sensíveis estão, além disso, cifrados com a chave de cada gabinete.
• Dados alojados na União Europeia, num servidor da OVH SAS. A base de dados e as cópias de segurança ficam num volume cifrado (LUKS2), cuja frase-passe não fica no servidor, e as cópias são ainda cifradas com uma chave que o próprio servidor não consegue abrir.
• Conservação e apagamento. Os registos de um cliente conservam-se durante sete anos depois do fim da relação de negócio (Lei n.º 83/2017, art. 51.º). Findo esse prazo, são apagados automaticamente e as cópias na pista de auditoria são pseudonimizadas, salvo se o gabinete tiver suspendido o apagamento por outra obrigação legal de conservação (art. 51.º, n.º 4). Quando um gabinete deixa a Normavis, pode exportar tudo; findo o prazo previsto nos termos, os dados são apagados.

Como a confidencialidade é protegida na aplicação

• Isolamento entre gabinetes imposto pela base de dados. Cada tabela tem regras de acesso por gabinete aplicadas pelo próprio PostgreSQL. Os testes automáticos tentam, em cada versão, ler e alterar dados de outro gabinete por identificador direto e por SQL: a resposta é sempre «não encontrado».
• Cada registo tem um nível de sensibilidade visível (interno, confidencial, restrito ou sob sigilo legal), com a indicação de quem o pode ver e porquê.
• Papéis com acesso diferente. Titular, responsável pelo cumprimento, colaborador e só de leitura. Decisões finais, comunicações, perfil do gabinete e exportação integral ficam reservados ao titular e ao responsável pelo cumprimento.
• Dever de não divulgação (art. 54.º). As comunicações de operações suspeitas só são vistas pelo titular e pelo responsável, também na pista de auditoria. Para os restantes membros, um alerta arquivado ou comunicado aparece apenas como «encerrado», sem fundamentação, canal nem referência.
• Cifra por gabinete. As comunicações de operações suspeitas, as declarações que os clientes submetem no portal e todo o texto livre restrito (fundamentações das decisões, origem dos fundos, notas, detalhes PEP, descrições de alertas e operações) são cifrados com uma chave própria de cada gabinete (AES-256-GCM), ligada ao gabinete e ao campo. Uma cópia da base de dados, sozinha, não os revela; copiados para outro gabinete, não se decifram. A pista de auditoria guarda-os também cifrados.
• Acesso da Normavis. A equipa da Normavis só consulta os dados de um gabinete quando é necessário para o suporte, a segurança ou o cumprimento de obrigações legais, sempre em modo de leitura, pela conta de administração com segundo fator. Cada entrada e saída fica na pista de auditoria do gabinete, à vista do titular.
• Registo de quem consultou. Cada consulta, impressão ou exportação de informação restrita ou sob sigilo fica registada com autor e data do servidor. Só o titular e o responsável o leem e ninguém o pode alterar ou apagar.
• Pista de auditoria encadeada. Cada alteração fica registada com autor e data, num registo só de acrescento encadeado por hash, que se pode verificar a qualquer momento.
• Segundo fator de autenticação por aplicação de autenticação (ativada com código QR) ou por SMS. É opcional para cada pessoa, e o titular pode exigi-lo a todos os membros do gabinete; quem o tem ativo usa-o em cada sessão, com limite de tentativas e registo das falhas. As palavras-passe são guardadas com Argon2id e os segredos do segundo fator são cifrados. Há limites de tentativas de entrada por e-mail e por endereço.
• Sessões curtas. A sessão termina após 30 minutos sem atividade e, no máximo, após 12 horas. A recuperação da palavra-passe usa uma ligação de uso único que expira numa hora e termina todas as sessões.
• Portal do cliente por ligação de uso limitado. A ligação é aleatória, expira e só dá acesso ao questionário desse cliente. Na base de dados fica apenas a sua impressão digital (hash), nunca a ligação.
• Pagamentos fora da aplicação. Os dados de pagamento são tratados pelo prestador de pagamentos; a Normavis não vê nem guarda dados de cartão.
• Sem aprisionamento. O dossiê e os dados podem ser exportados a qualquer momento durante a subscrição e nos 90 dias seguintes ao seu termo.

Neste site

• Sem cookies e sem rastreadores. O site não define cookies, não usa ferramentas de análise de terceiros nem pixéis de publicidade.
• Tipos de letra servidos pelo próprio site. Não há pedidos a serviços externos quando a página abre.
• Política de segurança de conteúdos (CSP). Só é executado código do próprio site, autorizado pedido a pedido. O site não pode ser embebido noutras páginas e não pede acesso a câmara, microfone ou localização.
• Formulário com dados mínimos. O pedido de informação pede nome, profissão, e-mail, área geográfica e área de atuação. Os dados são validados no servidor e enviados por e-mail à equipa; não são guardados em base de dados. Há limitação de pedidos e um campo-armadilha contra envios automáticos.
• O verificador «Estou abrangido?» corre no navegador. As respostas não são enviadas a nenhum servidor.

Como testamos

Além dos testes automáticos de cada versão, a plataforma foi posta à prova, a 23 de outubro de 2026, por agentes de inteligência artificial que simulam profissionais de diferentes áreas. Cada agente usou a aplicação como o faria um gabinete real, com dados fictícios, e tentou encontrar erros jurídicos, falhas de confidencialidade e problemas de utilização:

• Agente de IA que simula um contabilista certificado. Gabinete de seis pessoas do primeiro dia à inspeção: papéis, avaliação de risco, manual, importação de clientes, identificação (art. 25.º), beneficiários efetivos e RCBE, PEP, sanções, operações, alertas, comunicação ao DCIAP e à UIF, formação, dossiê e exportações.
• Agente de IA que simula um advogado. Operações do art. 4.º, n.º 2, comunicação através do bastonário (art. 79.º), segredo profissional, informação obtida em consulta ou patrocínio e o que os colaboradores podem ou não ver.
• Agente de IA que simula um solicitador e um notário. Compra e venda de imóveis, cessões de quotas e constituição de sociedades, destinatários das comunicações de cada profissão, numerário (incluindo o pagador não residente) e regime disciplinar no relatório de inspeção.
• Agente de IA que simula uma mediadora imobiliária e um comerciante de bens de elevado valor. Clientes de países terceiros de risco elevado, relação sem presença física, beneficiário efetivo PEP, numerário e fracionamento (LGT, art. 63.º-E), impostos, criptoativos, triagem de sanções com nomes parecidos e revisões em atraso.
• Agente de IA que simula um auditor de segurança e um encarregado de proteção de dados. Tentativas de ler ou alterar dados de outro gabinete, de contornar papéis, de ler comunicações sem permissão, de adulterar a auditoria e o registo de consultas, de decifrar com a chave de outro gabinete, de forçar o segundo fator e de reutilizar ligações do portal; apagamento do gabinete e o que fica.
• Agente de IA que simula um utilizador sem formação técnica. Todas as páginas do site e da aplicação no navegador, também em largura de telemóvel: ligações, erros, textos pouco claros, acessibilidade e conteúdos por concluir.

Os percursos de cinco destes agentes ficaram como cenários automáticos e correm em cada versão, juntamente com os restantes testes da plataforma. O sexto percorreu no navegador todas as páginas do site e da aplicação. As falhas encontradas, incluindo duas de gravidade alta (limite de tentativas do segundo fator e visibilidade de alertas comunicados), foram corrigidas e testadas antes da publicação.

Para saber como são tratados os dados pessoais, consulte a política de privacidade e o acordo de subcontratação.