Dados pessoais, exposto claramente.
TwentyThird processa informações sensíveis sobre a sua vida interior. Esta política descreve o que é processado, por quem, onde, por quanto tempo e como interromper. Nada é vendido. Nada é usado para publicidade.
Quem é o responsável
A WelloWork AB (org. nr. 559472‑9997), Uppsala, Suécia, é a controladora de todos os dados pessoais processados através do TwentyThird: neste website, na sua conta e por email.
Alguns membros recebem o TwentyThird como um benefício do seu empregador. O empregador paga pelo acesso e nada mais. Os empregadores nunca recebem os seus dados, as suas respostas, o seu uso, ou quaisquer análises sobre si ou sobre a sua equipa como um grupo.
Contacto para proteção de dados: privacy@day-23.com. Respondemos em 30 dias.
O que processamos e porquê
Conta. Endereço de e-mail, nome, ano de nascimento, género, idioma e como inicia sessão. Usado para gerir a sua conta. Base legal: contrato (Art. 6(1)(b) RGPD).
Informações de saúde. As suas respostas de intake sobre humor, família, relacionamentos, trabalho, sono, sonhos e bem-estar; os seus Catchups semanais; as suas conversas na Consulting Room; e as readings e relatórios produzidos a partir delas. Estes são dados de categoria especial (Art. 9). Base legal: o seu consentimento explícito (Art. 9(2)(a) e Art. 6(1)(a)), dado separadamente no registo e revogável a qualquer momento em Definições → Consentimento.
Processamento por IA. Para escrever readings, resumos de Catchup, respostas de sessão e relatórios, a parte da informação que cada tarefa necessita é enviada para um modelo de IA. Base legal: o seu consentimento separado para o processamento por IA e para a transferência fora do EEE.
O seu círculo. Se convidar alguém, fornece-nos o primeiro nome e endereço de e-mail para que possamos enviar o convite. Se responderem, as suas respostas informam as suas readings. Veja “Pessoas que convida” abaixo.
Pagamento. Estado e histórico da subscrição. Os detalhes do cartão são tratados pela Stripe e nunca nos chegam. Base legal: contrato.
Dados técnicos. Endereço IP, navegador, dispositivo e carimbos de data/hora, para manter o serviço seguro e limitar abusos. Onde armazenamos um endereço IP, armazenamos um hash com "salt", não o endereço. Base legal: interesse legítimo (Art. 6(1)(f)).
Análise. O Google Analytics é executado apenas nas páginas de marketing públicas, e apenas depois de o aceitar. Nunca dentro da sua conta. Base legal: consentimento.
Não perguntamos sobre raça, etnia, opinião política ou religião. Se algo que escreve o revelar, é processado apenas como parte da sua própria reading.
Decisões automatizadas e segurança
Cada texto livre que escreve é verificado por um modelo de IA para identificar sinais de que pode estar em risco de dano. Quando o risco é avaliado como alto, o analista não responde; em vez disso, são apresentados recursos de crise para o seu país e uma sinalização de segurança é registada na sua conta, onde pode vê-la.
As leituras, resumos e relatórios são interpretações geradas por IA. Não são diagnósticos, e nenhuma decisão com efeito legal ou significativamente semelhante é tomada a partir deles.
Pode pedir a uma pessoa da WelloWork para rever qualquer classificação de segurança ou leitura privacy@day-23.com. Informamos o resultado.
Quem o processa e onde
Estas empresas processam dados sob nossas instruções, de acordo com contratos de processamento de dados. Quando os dados saem do EEE, a base de transferência é indicada.
| Processador | Finalidade | Onde | Base de transferência |
|---|---|---|---|
| Supabase | Base de dados, login, armazenamento de ficheiros | Irlanda (UE) | Alojamento na UE; Cláusulas Contratuais Padrão para acesso de suporte |
| Vercel | Alojamento e servidores | Estocolmo (UE); rede mundial para ficheiros estáticos | Cláusulas Contratuais Padrão |
| OpenRouter | Gateway que passa cada pedido de IA para o modelo | Estados Unidos | Cláusulas Contratuais Padrão |
| Google Cloud (Vertex AI), via OpenRouter | Modelos de IA (Gemini). Os prompts não são armazenados nem usados para treino | Centros de dados da Google, não limitados à UE | Estrutura de Privacidade de Dados UE-EUA; Cláusulas Contratuais Padrão |
| Stripe | Pagamentos e subscrições | Irlanda (UE) e Estados Unidos | Estrutura de Privacidade de Dados UE-EUA; Cláusulas Contratuais Padrão |
| Resend | E-mail que lhe enviamos e convites | Estados Unidos | Estrutura de Privacidade de Dados UE-EUA; Cláusulas Contratuais Padrão |
| Google Analytics | Visitas a páginas públicas, apenas com o seu consentimento | Centros de dados da Google, incluindo os Estados Unidos | Estrutura de Privacidade de Dados UE-EUA; Cláusulas Contratuais Padrão |
Os fornecedores de IA são usados apenas se não armazenarem prompts nem os usarem para treino. Não vendemos nem licenciamos os seus dados e não os usamos para publicidade.
Pessoas que convida
Quando um membro o convida, ele nos fornece o seu primeiro nome e endereço de e-mail. Usamo-los apenas para enviar o convite e para mostrar ao membro se respondeu.
Se responder às perguntas de relacionamento, as suas respostas e um parágrafo escrito por IA com base nelas informarão as leituras, sessões e relatórios desse membro. O membro nunca vê as suas respostas ou o parágrafo. Consente com isto antes de as perguntas começarem.
As suas respostas são eliminadas 30 dias após o término da conexão, ou imediatamente quando utiliza o link de eliminação no seu e-mail de convite. Convites recusados ou expirados são eliminados 30 dias após a sua expiração. Tem os mesmos direitos que os membros; escreva para o endereço abaixo.
Quem vê isto
Dentro da WelloWork AB: Um pequeno número de funcionários que mantêm o serviço, com acesso limitado por função. Analisamos o seu conteúdo apenas para responder a um pedido seu, rever um alerta de segurança que nos peça para rever, ou corrigir uma falha.
Não o seu empregador. Nenhum empregador, clínica ou outra organização tem acesso aos dados dos membros ou a análises sobre os membros.
O seu psicólogo, se tiver um: Para além do seu pedido de supervisão, escolhe item a item o que o seu psicólogo vê, e pode alterar cada escolha a qualquer momento.
Obrigação legal: Divulgamos dados às autoridades competentes apenas quando exigido por lei, e apenas na medida exigida.
Retenção
Por quanto tempo cada tipo de dado é mantido. Um processo diário automático aplica estes períodos.
| Dados | Mantido por |
|---|---|
| Conta, respostas do intake (todas as versões), leituras, Catchups, conversas de sessão, relatórios, registos de consentimento | Enquanto a sua conta existir |
| Tudo o que foi mencionado acima, após eliminar a sua conta | Apagado 30 dias após o pedido, exceto os registos contabilísticos abaixo. O início de sessão antes desse período cancela-o |
| Sinalizadores de segurança | Gravidade e categoria com a sua conta; o texto citado é removido após 90 dias |
| Registo de processamento da IA (tarefa, modelo, tempo — nunca conteúdo) | 90 dias |
| Registos de e-mails enviados para si | 30 dias após o envio |
| Respostas de pessoas que convidou | Enquanto a conexão estiver ativa; 30 dias após o término, ou imediatamente quando solicitado |
| Convites recusados ou expirados | 30 dias após a expiração |
| Mensagens enviadas através do formulário de contacto | 24 meses |
| Contadores de prevenção de abuso (hash) | 1–2 dias |
| Supervisão com um psicólogo: o seu pedido, a supervisão, os seus planos de cuidado e o seu consentimento para partilhar | Enquanto a sua conta e a conta do seu psicólogo existirem. O seu psicólogo vê-os apenas enquanto a supervisão decorre e o seu consentimento se mantiver. |
| Pedidos de supervisão que foram recusados, retirados ou expirados | 12 meses após a decisão |
| Handoffs para o seu psicólogo | 24 meses após o encerramento ou o fim da supervisão; imediatamente se a supervisão for eliminada |
| Notificações na aplicação | 12 meses |
| Consultas pagas e pagamentos a psicólogos (valor, data, referência de pagamento) | 7 anos após o fim do ano de pagamento, conforme exigido pela Lei Contabilística Sueca. O seu nome, notas e links são removidos quando a sua conta é apagada |
| Cópias de segurança da base de dados | Cópias de segurança rotativas em ciclo curto; os dados eliminados saem à medida que expiram |
| Registos de pagamento na Stripe | Conforme exigido pela lei financeira |
Os processadores mantêm registos operacionais sob os seus próprios termos, listados acima.
Seus direitos
Você pode acessar e exportar seus dados (Configurações → Dados), corrigi-los (Configurações e seu intake), excluir sua conta (Configurações → Zona de perigo), retirar o consentimento (Configurações → Consentimento), restringir ou se opor ao processamento e receber seus dados em um formato portátil. A retirada do consentimento interrompe o processamento futuro; não desfaz o que foi feito antes.
Para qualquer outra questão, ou se não conseguir iniciar sessão, contacte-nos em privacy@day-23.com. Respondemos em 30 dias. Você também pode apresentar uma reclamação à Integritetsskyddsmyndigheten (IMY), a autoridade de proteção de dados da Suécia.
Segurança
Os dados são encriptados em trânsito e em repouso. Cada tabela é protegida por segurança ao nível da linha, para que uma conta possa ler apenas os seus próprios registos, e o que o serviço escreve não pode ser alterado a partir de um navegador. Os dados do cartão nunca chegam aos nossos servidores.
Idade
TwentyThird é para adultos. Deve ter 18 anos ou mais para criar uma conta. Se soubermos que alguém com menos de 18 anos tem uma conta, iremos eliminá-la.
Alterações
Quando esta política for materialmente alterada, informaremos no produto antes que a alteração seja aplicada e solicitaremos novamente o seu consentimento, quando necessário. A data da versão encontra-se abaixo.
Em vigor a partir de: 18 October 2026 · Lei aplicável: Lei sueca e o RGPD