Política de Privacidade

Data de entrada em vigor: 11/10/2026 · Última alteração: 11/10/2026

A SmileStory Co., Ltd. (adiante a «Empresa») atribui grande importância aos dados pessoais dos titulares que utilizam o serviço WIA Code por si operado (https://wiacode.com, adiante o «Serviço») e, nos termos do artigo 30.º da Lei de Proteção de Dados Pessoais, estabelece e divulga a presente Política de Privacidade para proteger os dados pessoais dos titulares e para tratar de forma rápida e fluida as reclamações a eles relativas.

O WIA Code foi concebido, desde o início, para tratar o mínimo de dados pessoais. A geração e a descodificação de códigos realizam-se, por defeito, apenas no dispositivo do utilizador (no navegador) e não são enviadas para os servidores da Empresa. O gerador e o leitor podem ser utilizados sem criar conta e, se o utilizador não iniciar sessão, este sítio não instala quaisquer cookies.

Artigo 1 (Finalidades do tratamento de dados pessoais)

A Empresa trata dados pessoais para as seguintes finalidades. Os dados pessoais tratados não são utilizados para fins distintos dos seguintes e, em caso de alteração da finalidade de utilização, a Empresa adotará as medidas necessárias, como a obtenção de consentimento autónomo nos termos do artigo 18.º da Lei de Proteção de Dados Pessoais.

Receção e apreciação de participações em eventos e entrega de recompensas — receção das participações nos eventos «Founding Seats» (Lugares Fundadores) do WIA Code e «Jornada de 100 milhões de pessoas», análise do conteúdo das participações, atribuição de números de participação, entrega de recompensas
Prevenção de abusos nos eventos — permitir que o responsável possa analisar os casos em que são recebidas várias participações da mesma origem
Estatísticas de utilização anónimas — contagem anónima do número de vezes que foram gerados e lidos WIA Code nas páginas do gerador e do leitor e aplicação de um limite diário por origem, para que esse número não seja inflacionado de forma fraudulenta
Identificação do membro e disponibilização da página A Minha Página (opcional) — quando o utilizador opte por iniciar sessão, apresentação da sua própria página (/mypage/) e das ligações diretas e códigos que lhe pertencem, e manutenção do estado de sessão iniciada
Prestação do serviço de ligações diretas (URL curtos) — encaminhamento dos endereços curtos do wiacode.com criados pelo utilizador para o destino, verificação da conta titular e tratamento da verificação de domínio
Processamento e gestão de pagamentos de planos pagos (subscrições) — pagamento da subscrição escolhida pelo utilizador, aplicação do plano, tratamento de cancelamentos, reembolsos e litígios de pagamento, regularização de subscrições em duplicado
Tratamento do apoio — transmissão ao intermediário de pagamentos do montante e da moeda do apoio voluntário prestado através do botão «Buy us a coffee» (apoio com um café)
Descodificação na nuvem (opcional) — quando a descodificação no dispositivo falhou e o utilizador premiu por si mesmo o botão «Descodificação na nuvem», descodificação dessa 1 imagem e devolução do resultado
Resposta a pedidos de informação — resposta aos pedidos enviados pelo utilizador à Empresa e tratamento de litígios

Artigo 2 (Categorias de dados pessoais tratados)

A Empresa trata apenas o mínimo necessário de dados pessoais, consoante as funcionalidades do Serviço. Cada categoria é tratada apenas se o utilizador efetivamente usar a respetiva funcionalidade e, se não a usar, esses dados não são de todo recolhidos.

1. Informações tratadas apenas no dispositivo e não enviadas para o servidor

Definições de idioma e de PWA: são guardadas apenas no armazenamento do navegador do utilizador (localStorage) e não são enviadas para os servidores da Empresa.
Imagem da câmara: é usada apenas para a leitura de WIA Code em tempo real, é integralmente tratada no dispositivo do utilizador e não é enviada para os servidores da Empresa. No entanto, se a descodificação no dispositivo falhar e o utilizador premir por sua iniciativa o botão opcional «Descodificação na nuvem», e só nesse caso, essa 1 imagem é enviada para o servidor da Empresa para ser descodificada, não a armazenando a Empresa.
Conteúdo dos WIA Code lidos: a Empresa não armazena no servidor o conteúdo dos códigos lidos pelo utilizador.

2. Participação em eventos (Founding Seats do WIA Code / Jornada de 100 milhões de pessoas)

As informações seguintes são registadas apenas se o utilizador submeter um formulário de participação num evento. A mera consulta da página do evento ou a geração ou leitura de códigos não implica a recolha de nenhum dos dados abaixo.

Conteúdo da participação: conta com sessão iniciada, país escolhido pelo utilizador, URL de publicação pública em rede social fornecido pelo utilizador, nome de apresentação, imagem opcionalmente anexada pelo utilizador, endereço de correio eletrónico para receção das recompensas
Sinais de abuso (tratados por hash): o endereço IP e a cadeia User-Agent do navegador no momento da submissão da participação, cada um como valor truncado após hash com acréscimo de salt. A Empresa não armazena o endereço IP nem a cadeia User-Agent originais. Estes valores de hash existem para uma única finalidade — permitir que o responsável analise os casos em que são recebidas várias participações da mesma origem; não são usados para bloquear automaticamente ninguém (os endereços de redes partilhadas e de NAT de operadoras podem coincidir legitimamente) e não são associados a nenhuma atividade fora do formulário de participação.

3. Contador de utilização anónimo

As páginas do gerador e do leitor contam o número de vezes que um WIA Code é gerado ou lido com êxito. Este contador é anónimo por conceção e funciona da seguinte forma.

Sem informação de identidade: os pedidos de contagem não transportam cookies (credentials: 'omit') e não há associação a contas nem identificadores de dispositivo. A Empresa não pode atribuir uma determinada contagem a uma pessoa determinada.
Token de utilização única: antes da contagem, a página recebe da Empresa um token assinado de curta validade. O token contém apenas a hora e um valor aleatório, não contém informações sobre o utilizador e só pode ser usado uma vez.
Limitação de abusos (tratada por hash): para manter os valores da contagem honestos, é fixado um limite de contagens por minuto e por dia para cada origem. Para aplicar o limite diário, o hash com salt do endereço IP e do User-Agent do navegador é conservado durante um máximo de 24 horas. O endereço IP e o User-Agent originais não são armazenados e este hash não é associado a nenhuma conta nem a qualquer outra ação no sítio.

4. Início de sessão (opcional)

O gerador e o leitor podem ser utilizados sem conta. Se o utilizador optar por iniciar sessão através do botão «Iniciar sessão» na parte superior do sítio (com o serviço de conta comum WIA), a Empresa recebe as seguintes informações.

Identificador da conta, endereço de correio eletrónico, alcunha, URL da imagem de perfil, plano de membro, função (role) e fornecedor usado no início de sessão (por exemplo, Google, Kakao)
A Empresa não recebe a palavra-passe do utilizador.

Se o utilizador utilizar um plano pago (subscrição), são tratados adicionalmente, e apenas nesse caso, os seguintes elementos.

Endereço de correio eletrónico (o da conta que pediu a subscrição)
ID de cliente de pagamento (número de identificação de cliente atribuído ao utilizador pela Stripe)
Estado da subscrição (plano, distinção mensal/anual, data de termo do período de faturação em curso, existência de cancelamento previsto, indicação de o plano ter sido retirado por reembolso ou litígio, etc.)
A Empresa não armazena números de cartão. Os dados do cartão são introduzidos pelo utilizador diretamente no formulário de pagamento da Stripe e não passam pela Empresa.

5. Ligações diretas (endereços curtos do wiacode.com)

Token curto, conta titular, URL de destino e respetivo anfitrião, indicadores de estado, nota opcional que o utilizador deixa para si próprio
Se o utilizador verificar o seu próprio domínio, o nome desse domínio e o resultado da verificação
Número diário de visualizações por ligação. Este número é um total e não um registo (log) de visualizações individuais. No entanto, para contar o mesmo visitante apenas uma vez por dia, no momento da visualização é conservado, juntamente com a ligação e a data, o hash do endereço IP e do User-Agent do navegador calculado com um salt usado apenas nesse dia. O endereço IP e o User-Agent originais não são armazenados; como, mudando o dia, o valor do mesmo visitante é diferente, não é possível seguir o visitante de um dia para o outro, e esse hash é eliminado findo o prazo de conservação (no máximo, 40 dias). As visualizações por bots de pré-visualização e os pedidos que não sejam GET não são contados.

6. Apoio

Quando o apoio é prestado através do botão «Buy us a coffee», o pagamento é processado pela Stripe. Os dados do cartão são introduzidos diretamente no formulário de pagamento próprio da Stripe e não chegam ao wiacode.com. Este sítio transmite ao serviço de pagamento apenas o montante e a moeda do apoio, e não detém dados do cartão nem a chave secreta (secret key) da Stripe.

7. Informações que a Empresa não recolhe

Não recolhe informações de identificação pessoal que o utilizador não forneça voluntariamente.
Não armazena no servidor os dados dos WIA Code lidos.
Não usa cookies nem identificadores para fins de publicidade, análise ou rastreamento por terceiros.
Não vende, não troca nem partilha os dados pessoais do utilizador com terceiros.

Artigo 3 (Tratamento e prazo de conservação de dados pessoais)

A Empresa trata e conserva os dados pessoais dentro do prazo de conservação e utilização previsto na lei ou do prazo de conservação e utilização consentido pelo titular no momento da recolha. Os prazos de conservação de cada categoria são os seguintes.

Categoria	Prazo de conservação
Imagem enviada para descodificação na nuvem	Eliminada imediatamente após a descodificação (não é armazenada)
Conteúdo da participação em eventos	Até à consecução da finalidade da realização do evento (conclusão da entrega das recompensas e termo do evento). Eliminado sem demora se o titular o solicitar
Sinais de abuso em eventos (hash com salt do IP e do User-Agent)	Durante o período necessário para a apreciação da respetiva participação, sendo eliminados juntamente com o conteúdo da participação
Hash com salt do IP e do User-Agent do contador de utilização anónimo	No máximo, 24 horas
Dados de início de sessão (identificador da conta, correio eletrónico, alcunha, URL da imagem de perfil, plano, função, fornecedor)	Eliminados sem demora com o cancelamento da qualidade de membro (pedido de eliminação da conta)
Dados das ligações diretas (token, conta titular, destino, estado, nota, verificação de domínio, totais diários de visualizações)	Eliminados sem demora quando o utilizador elimina a ligação ou cancela a qualidade de membro
Dados da subscrição (correio eletrónico, ID de cliente de pagamento, estado da subscrição)	Durante o período de utilização da subscrição e, após o termo da subscrição ou o cancelamento da qualidade de membro, durante o prazo legal de conservação abaixo indicado. A informação que a lei não obrigue a conservar é eliminada sem demora com o cancelamento da qualidade de membro
Registos relativos ao contrato ou à retratação, ao pagamento e ao fornecimento de bens e serviços	5 anos, nos termos da Lei de Proteção do Consumidor no Comércio Eletrónico, etc.
Registos relativos a reclamações de consumidores ou ao tratamento de litígios	3 anos, nos termos da Lei de Proteção do Consumidor no Comércio Eletrónico, etc.
Outros registos de processamento de pagamentos que a Empresa conserve para o funcionamento do Serviço (registos de tratamento de webhooks, etc.)	3 anos
Hash diário para evitar a contagem em duplicado das visualizações de ligações diretas	No máximo, 40 dias
Montante e moeda do apoio	A Empresa não detém dados do cartão. Os registos de pagamento são conservados pela Stripe, nos termos da política de privacidade da Stripe
Conteúdo dos pedidos de informação	Até à conclusão do tratamento do pedido

No entanto, se a legislação aplicável exigir a conservação de determinados registos durante um certo período, esses registos são conservados durante o prazo fixado nessa legislação.

Artigo 4 (Disponibilização de dados pessoais a terceiros)

A Empresa trata os dados pessoais dos titulares apenas dentro do âmbito indicado no Artigo 1 e só os disponibiliza a terceiros nos casos abrangidos pelos artigos 17.º e 18.º da Lei de Proteção de Dados Pessoais, como o consentimento do titular ou disposição especial da lei. Atualmente, a Empresa não disponibiliza dados pessoais dos utilizadores a terceiros.

Artigo 5 (Subcontratação do tratamento de dados pessoais)

Para assegurar a prestação fluida do Serviço, a Empresa subcontrata o tratamento de dados pessoais da seguinte forma. Ao celebrar o contrato de subcontratação, a Empresa, nos termos do artigo 26.º da Lei de Proteção de Dados Pessoais, fixa por escrito a proibição de tratar dados pessoais para além da finalidade das tarefas subcontratadas, as medidas de proteção técnicas e organizativas, a limitação da subcontratação ulterior, a gestão e supervisão do subcontratante e as responsabilidades, incluindo a indemnização por danos, e supervisiona se o subcontratante trata os dados pessoais em segurança.

Subcontratante	Tarefas subcontratadas	Categorias tratadas
Stripe, Inc. e as suas sociedades coligadas	Processamento de pagamentos de apoio e de planos pagos (subscrições), tratamento de reembolsos e litígios	Montante e moeda do apoio ou plano e montante da subscrição, endereço de correio eletrónico, ID de cliente de pagamento e dados de pagamento que o utilizador introduz diretamente no formulário de pagamento da Stripe (sem passar pela Empresa)
Serviço de conta comum WIA (serviço de início de sessão integrado operado pela Empresa)	Autenticação de membros e manutenção do estado de sessão iniciada	Dados de início de sessão do Artigo 2, n.º 4

Os fornecedores externos de início de sessão que o utilizador escolhe ao iniciar sessão (por exemplo, Google, Kakao) são serviços distintos, aos quais se aplicam os termos de utilização e a política de privacidade existentes entre o utilizador e esse fornecedor; a Empresa apenas recebe desse fornecedor as informações do Artigo 2, n.º 4, e não transmite dados pessoais do utilizador ao fornecedor.

Artigo 6 (Transferência de dados pessoais para o estrangeiro)

Para o processamento de pagamentos de apoio e de planos pagos (subscrições), a Empresa transfere dados pessoais para o estrangeiro da seguinte forma. Tal só ocorre se o utilizador optar por prestar apoio ou por subscrever.

Elemento	Conteúdo
Destinatário	Stripe, Inc. (Estados Unidos da América)
Contacto do destinatário	Contacto indicado na política de privacidade da Stripe (https://stripe.com/privacy)
País de destino	Estados Unidos da América
Dados transferidos	Montante e moeda do apoio, plano e montante da subscrição, endereço de correio eletrónico, ID de cliente de pagamento e dados de pagamento que o utilizador introduz diretamente no formulário de pagamento da Stripe (os dados do cartão, etc., são enviados diretamente para a Stripe, sem passar pela Empresa)
Data e forma da transferência	Enviados por comunicação de rede cifrada no momento em que o utilizador efetua o pagamento do apoio ou da subscrição e no momento da renovação, do cancelamento ou do reembolso da subscrição
Finalidade da utilização	Autorização e cobrança periódica dos pagamentos de apoio e de subscrições, tratamento de cancelamentos, reembolsos e litígios
Prazo de conservação e utilização	Conforme a política de privacidade da Stripe e a legislação aplicável

O utilizador pode recusar a transferência para o estrangeiro acima descrita não prestando apoio e não subscrevendo um plano pago. Tanto o apoio como os planos pagos são facultativos e as funcionalidades básicas continuam gratuitas mesmo sem subscrição. Quanto às condições dos planos pagos, consulte o Artigo 5-2 e seguintes dos Termos de Serviço.

Artigo 7 (Destruição de dados pessoais)

Quando os dados pessoais se tornem desnecessários, nomeadamente pelo decurso do prazo de conservação ou pela consecução da finalidade do tratamento, a Empresa destrói-os sem demora.
Se, apesar de decorrido o prazo de conservação consentido pelo titular ou de atingida a finalidade do tratamento, os dados pessoais tiverem de continuar a ser conservados por força de outra legislação, a Empresa transfere-os para uma base de dados (BD) separada ou conserva-os num local distinto.
As informações em formato de ficheiro eletrónico são eliminadas definitivamente de forma que o registo não possa ser reproduzido, e os dados pessoais registados em documentos em papel são destruídos por trituração ou incineração.

Artigo 8 (Direitos e deveres do titular e do seu representante legal e forma de os exercer)

O titular pode, a qualquer momento, exercer perante a Empresa direitos como o de pedir o acesso, a retificação, o apagamento e a suspensão do tratamento dos dados pessoais e o de retirar o consentimento.
O exercício dos direitos pode ser feito junto do responsável pela proteção de dados pessoais referido no Artigo 12 ou através do correio eletrónico de contacto do Serviço (global@thekoreantoday.com), por escrito, por correio eletrónico, etc., e a Empresa adota sem demora as medidas devidas. Se for solicitada a eliminação da conta, a Empresa elimina a conta conjuntamente com as ligações diretas que lhe pertencem.
Os direitos podem ser exercidos por intermédio de um representante, como o representante legal do titular ou uma pessoa por ele mandatada. Neste caso, deve ser apresentada uma procuração conforme o modelo n.º 11 anexo à Instrução sobre os Métodos de Tratamento de Dados Pessoais.
Os direitos do titular de pedir o acesso e a suspensão do tratamento podem ser limitados nos termos do artigo 35.º, n.º 4, e do artigo 37.º, n.º 2, da Lei de Proteção de Dados Pessoais.
Não pode ser pedido o apagamento de dados pessoais quando outra legislação os indique expressamente como objeto de recolha.
A Empresa verifica se quem apresenta o pedido ao abrigo dos direitos do titular é o próprio ou um representante legítimo.
A Empresa informa que, quanto às informações que conserva apenas numa forma que não permite identificar uma pessoa determinada, como os valores de hash do contador de utilização anónimo, pode ser difícil responder a pedidos individuais de acesso ou retificação, por não ser tecnicamente possível atribuí-las a uma pessoa determinada.

Artigo 9 (Medidas de garantia da segurança dos dados pessoais)

Nos termos do artigo 29.º da Lei de Proteção de Dados Pessoais, a Empresa adota as seguintes medidas técnicas, organizativas e físicas necessárias para garantir a segurança.

Minimização na fase de conceção: a geração e a descodificação de WIA Code são tratadas, por defeito, no dispositivo do utilizador, minimizando os próprios dados pessoais tratados pelo servidor.
Conservação de hash em vez do original: o endereço IP e o User-Agent usados para prevenir abusos não são armazenados na forma original, mas apenas como hash com salt (hash truncado, no caso dos eventos).
Cifragem na transmissão: o Serviço é prestado por HTTPS (TLS) e o cookie de início de sessão é assinado criptograficamente, o que impede a sua falsificação ou alteração.
Não conservação de dados de pagamento: a Empresa não conserva nos seus sistemas dados do cartão, como o número do cartão, nem mantém neste sítio a chave secreta da Stripe.
Gestão de permissões de acesso: as permissões de acesso ao sistema de tratamento de dados pessoais são limitadas ao número mínimo de pessoas necessário ao desempenho das funções.
Medidas organizativas: elaboração e execução de um plano de gestão interna, formação das pessoas que tratam dados pessoais

Artigo 10 (Instalação e funcionamento de dispositivos de recolha automática de dados pessoais e recusa dos mesmos)

Armazenamento local (localStorage): a Empresa usa o localStorage do navegador para memorizar as definições de idioma e de PWA do utilizador. Estas informações não saem do dispositivo do utilizador e não são enviadas para os servidores da Empresa.
Cookies: o único cookie instalado pela Empresa é o wia_session, que só é instalado depois de o utilizador iniciar sessão. Este cookie:
- é um cookie host-only, não partilhado com subdomínios,
- está assinado criptograficamente,
- expira passados 30 dias desde a instalação ou quando o utilizador termina a sessão.
- contém os dados de início de sessão do Artigo 2, n.º 4, e é usado apenas para manter o estado de sessão iniciada nos sítios da família WIA.
A Empresa não usa quaisquer cookies de publicidade, de análise ou de rastreamento por terceiros. Se o utilizador não iniciar sessão, este sítio não instala quaisquer cookies.
Forma de recusa: o utilizador pode evitar totalmente a instalação de cookies não iniciando sessão. Pode também recusar ou eliminar os cookies nas definições do navegador (por exemplo, Chrome — Definições > Privacidade e segurança > Cookies e outros dados de sites; Safari — Preferências > Privacidade). Contudo, se recusar o armazenamento de cookies, o estado de sessão iniciada não é mantido e não é possível usar as funcionalidades que exigem início de sessão, como A Minha Página. A função de eliminação de dados de sites do navegador permite também eliminar as definições de idioma e de PWA guardadas no localStorage.
PWA e utilização sem ligação: quando o WIA Code é instalado como PWA (Progressive Web App), o Service Worker coloca em cache os ficheiros da aplicação no dispositivo do utilizador, o que permite a leitura sem ligação. Apenas o código da aplicação é colocado em cache; os dados pessoais não são colocados em cache.

Artigo 11 (Dados pessoais de crianças)

O WIA Code foi concebido para poder ser utilizado por todas as idades. A Empresa não recolhe dados pessoais de crianças com menos de 14 anos sem o consentimento do representante legal e, se tomar conhecimento de que foram recolhidos dados pessoais de uma criança, elimina-os sem demora. Se considerar que uma criança forneceu dados pessoais à Empresa, informe-nos através dos contactos do Artigo 12.

Artigo 12 (Responsável pela proteção de dados pessoais)

A Empresa assume a responsabilidade global pelas tarefas relativas ao tratamento de dados pessoais e, para tratar as reclamações dos titulares e assegurar a reparação de danos relacionados com esse tratamento, designou o seguinte responsável pela proteção de dados pessoais.

Responsável pela proteção de dados pessoais: Yeon Sam-heum (Diretor Executivo)
Correio eletrónico: ceosmilestory@nate.com
Telefone: +82-1599-1045
Contacto do Serviço: global@thekoreantoday.com

O titular pode dirigir ao responsável pela proteção de dados pessoais todas as questões, reclamações e pedidos de reparação relativos à proteção de dados pessoais surgidos na utilização do Serviço, e a Empresa responde e trata, sem demora, as questões dos titulares.

Artigo 13 (Vias de reparação em caso de violação de direitos)

O titular pode, para obter reparação por violação de dados pessoais, solicitar a resolução de litígios ou aconselhamento à Comissão de Mediação de Litígios de Dados Pessoais, ao Centro de Denúncia de Violações de Dados Pessoais da Agência Coreana de Internet e Segurança (KISA), entre outros. Para outras denúncias e consultas sobre violações de dados pessoais, contacte as entidades abaixo.

Comissão de Mediação de Litígios de Dados Pessoais: (sem indicativo) 1833-6972 (www.kopico.go.kr)
Centro de Denúncia de Violações de Dados Pessoais: (sem indicativo) 118 (privacy.kisa.or.kr)
Procuradoria-Geral: (sem indicativo) 1301 (www.spo.go.kr)
Agência Nacional de Polícia: (sem indicativo) 182 (ecrm.cyber.go.kr)

Aquele cujos direitos ou interesses tenham sido lesados por decisão ou omissão do dirigente de um organismo público relativamente a pedidos ao abrigo dos artigos 35.º (acesso a dados pessoais), 36.º (retificação e apagamento de dados pessoais) e 37.º (suspensão do tratamento de dados pessoais, etc.) da Lei de Proteção de Dados Pessoais pode interpor recurso administrativo nos termos da Lei dos Recursos Administrativos.

Artigo 14 (Língua prevalecente)

A presente Política de Privacidade é disponibilizada nas versões coreana e inglesa (/privacy.html). Em caso de divergência de interpretação entre as duas versões linguísticas, prevalece a versão coreana. Quaisquer traduções disponibilizadas noutras línguas são meros materiais de referência para comodidade do utilizador e não são vinculativas.

Artigo 15 (Alteração da Política de Privacidade)

A presente Política de Privacidade aplica-se a partir de 11/10/2026.
A Empresa pode alterar a presente Política em função de alterações da legislação, das políticas ou do Serviço; em caso de alteração, publica nesta página o conteúdo das alterações e a data de entrada em vigor e atualiza a data da última alteração no topo.

Disposições finais

A presente Política de Privacidade entra em vigor em 11/10/2026.

Denominação: SmileStory Co., Ltd.
Representante: Yeon Sam-heum (Ph.D.)
N.º de registo comercial: 109-86-17229
N.º de registo de venda por correspondência: 2013-서울강서-0434
Morada: 서울특별시 강서구 마곡중앙6로 21, 5층 511호 D01 (마곡동, 이너매스마곡1차)
Telefone: +82-1599-1045
Contacto do Serviço: global@thekoreantoday.com