Termos de Utilização — Lopora: Faturas Automáticas

Última atualização: 5 de novembro de 2026

1. Prestador

A app "Lopora: Faturas Automáticas" é disponibilizada por Rodrigo André da Silva Lopes, trabalhador independente (Lopora), Coimbra, Portugal. Contacto: suporte@lopora.pt.

2. O que a app faz

Envia para a conta Vendus do lojista os dados das encomendas pagas e dos reembolsos da sua loja Shopify, para que o Vendus emita faturas-recibo, faturas simplificadas e notas de crédito. Os documentos fiscais são emitidos pelo Vendus, que é o software de faturação certificado. A app não é um programa de faturação certificado, não certifica documentos e não comunica nada à Autoridade Tributária: a numeração, ATCUD, QR, assinatura e comunicação à AT são feitas pelo Vendus.

3. Responsabilidades do lojista

• Ter uma conta Vendus ativa e fornecer uma chave de API válida (para documentos reais é preciso um plano pago do Vendus, cobrado à parte pelo Vendus).
• Confirmar, com o seu contabilista, a configuração (tipo de documento, região de IVA, motivos de isenção, limites da fatura simplificada) e rever os documentos emitidos.
• Cumprir as suas obrigações fiscais e de proteção de dados enquanto responsável pelo tratamento dos dados dos seus clientes.
• Começar em modo de testes e só passar a modo real depois de verificar os resultados.

4. Planos e pagamento

Os planos e preços são os indicados na ficha da app na Shopify App Store e são cobrados pela Shopify, na fatura da loja. O lojista pode mudar ou cancelar o plano a qualquer momento no Admin da Shopify. Quando o limite mensal de documentos é atingido, os documentos novos ficam em espera e são emitidos quando houver quota (mudança de plano ou mês seguinte).

5. Disponibilidade

A app é fornecida "tal como está". Fazemos esforços razoáveis para que funcione sem interrupções, mas pode haver falhas da Shopify, do Vendus, do alojamento ou da própria app. As encomendas que falham ficam em "A resolver" para reenvio.

6. Limitação de responsabilidade

Na medida permitida por lei, a Lopora não responde por danos indiretos, perda de lucros, coimas ou encargos fiscais resultantes de configuração incorreta, de dados incorretos da encomenda ou de falhas de terceiros (Shopify, Vendus). A responsabilidade total fica limitada ao valor pago pelo lojista pela app nos 12 meses anteriores. Nada nestes termos exclui responsabilidade que não possa ser excluída por lei.

7. Dados pessoais

O tratamento de dados rege-se pela Política de Privacidade (/privacidade). A Lopora atua como subcontratante do lojista, nos termos do Anexo A — Acordo de Tratamento de Dados, que faz parte destes Termos e é aceite com a instalação da app.

8. Fim da utilização

O lojista pode desinstalar a app a qualquer momento. Os dados são apagados conforme a Política de Privacidade. Os documentos já emitidos ficam no Vendus.

9. Lei aplicável

Lei portuguesa. Foro da comarca de Coimbra, sem prejuízo de normas imperativas em contrário.

Anexo A — Acordo de Tratamento de Dados (art. 28.º RGPD)

A.1 Partes e papéis. O lojista que instala a app é o responsável pelo tratamento; a Lopora (Rodrigo André da Silva Lopes, Coimbra) é o subcontratante. Este anexo aplica-se aos dados pessoais de clientes da loja tratados pela app.

A.2 Objeto, natureza e finalidade. Receber da Shopify os dados de encomendas pagas e reembolsos, enviá-los ao programa de faturação certificado do lojista para emissão de faturas e notas de crédito, guardar o estado de cada documento, evitar duplicados, manter cópias de segurança e responder a pedidos dos titulares.

A.3 Categorias. Titulares: clientes finais e contactos de empresas compradoras do lojista. Dados: nome, email, morada de faturação, NIF, dados da encomenda (linhas, preços, impostos). Não são tratadas categorias especiais (art. 9.º RGPD).

A.4 Duração. Enquanto a app estiver instalada, mais os prazos de conservação da Política de Privacidade (redação dos dados de clientes aos 90 dias; cópias de segurança até 12 meses).

A.5 Instruções. A Lopora trata os dados só segundo instruções documentadas do lojista, que são: estes Termos, a configuração feita na app e os pedidos enviados pelo suporte. Se uma instrução lhe parecer violar o RGPD, a Lopora avisa o lojista (art. 28.º, n.º 3, último parágrafo). Transferências para fora do EEE só nos termos de A.8.

A.6 Confidencialidade. Só o titular da Lopora acede aos dados; qualquer pessoa autorizada no futuro fica sujeita a dever de confidencialidade.

A.7 Segurança (art. 32.º). HTTPS; verificação HMAC dos webhooks; chave de API cifrada com AES-256-GCM; cópias de segurança cifradas (age/X25519) antes do envio; alojamento na UE; acesso só pelo Admin da Shopify da loja; registo de acessos; minimização e redação automática aos 90 dias; plano de resposta a incidentes.

A.8 Subcontratantes ulteriores. O lojista dá autorização geral para os seguintes:

• Fly.io, Inc. (EUA) — alojamento da app e da base de dados, região de Frankfurt (Alemanha);
• Tigris Data, Inc. (EUA) — armazenamento das cópias de segurança cifradas, através da Fly.io.; as cópias são cifradas antes do envio

A Lopora impõe-lhes obrigações equivalentes às deste anexo (pelos acordos de tratamento de dados desses fornecedores) e responde perante o lojista pelo seu cumprimento. Para acessos a partir dos EUA aplicam-se o Quadro de Privacidade de Dados UE-EUA (Decisão de Execução (UE) 2023/1795), quando o fornecedor esteja certificado, e/ou as cláusulas contratuais-tipo (Decisão de Execução (UE) 2021/914). A Lopora avisa o lojista, por email e/ou na app, com pelo menos 30 dias de antecedência, de qualquer novo subcontratante ulterior; o lojista pode opor-se desinstalando a app antes da alteração produzir efeitos.

A.9 O que não é subcontratante da Lopora.

• Shopify: é a plataforma do lojista e a origem dos dados; trata-os por contrato direto com o lojista. A app recebe dados da Shopify e não lhe envia dados de clientes.
• Programa de faturação do lojista (Vendus, InvoiceXpress, TOConline ou Moloni): o lojista contrata-o diretamente, escolhe-o e fornece a sua própria chave de API; a Lopora não escolhe este fornecedor, não tem contrato com ele para este tratamento e só lhe envia dados por instrução do lojista. É, por isso, um subcontratante (ou, nas obrigações legais próprias de software certificado, um responsável autónomo) do lojista, e não um subcontratante ulterior da Lopora. Cabe ao lojista ter com esse fornecedor o acordo do art. 28.º.

A.10 Apoio ao responsável. A Lopora ajuda o lojista a responder aos direitos dos titulares (webhooks customers/data_request, customers/redact, shop/redact e pedidos por email), e, na medida da informação de que dispõe, nas obrigações dos art. 32.º a 36.º (segurança, notificação de violações, avaliações de impacto).

A.11 Violações de dados. A Lopora notifica o lojista sem demora injustificada, e procura fazê-lo em 24 horas após ter conhecimento, com a informação do art. 33.º, n.º 3, disponível, para que o lojista possa notificar a CNPD em 72 horas, se for o caso.

A.12 Fim do tratamento. Na desinstalação, a chave de API e as sessões são apagadas logo e, com o shop/redact (cerca de 48 horas depois), todos os dados da loja; as cópias de segurança expiram nos prazos de A.4. A Lopora não devolve dados porque os documentos fiscais ficam no programa de faturação do lojista e o lojista pode descarregar os exports antes de desinstalar.

A.13 Auditorias. A Lopora disponibiliza ao lojista, a pedido por suporte@lopora.pt, a informação necessária para demonstrar o cumprimento deste anexo e aceita auditorias razoáveis, com aviso prévio de 30 dias, à custa do lojista, no máximo uma vez por ano salvo violação de dados.

A.14 Prevalência. Em caso de conflito sobre dados pessoais, este anexo prevalece sobre o resto dos Termos.