Política de privacidade

Última atualização: 29 de outubro de 2026

Esta política explica que dados pessoais trata o ZarvoHUB, para quê, com que fundamento, durante quanto tempo, com quem os partilha e que direitos tem. Aplica-se ao site zarvohub.com, a quem nos contacta e às pessoas com quem trabalhamos nas empresas clientes. A secção 6 explica, em resumo, o que acontece aos dados guardados na plataforma ZarvoHUB.

1. Quem é o responsável

O ZarvoHUB é um serviço prestado por Pedro Cirera Dória Roquette de Vasconcelos, NIF 275203921, com morada na Rua Direita, n.º 108, 2765-120 Estoril. Nesta política, «ZarvoHUB» e «nós» designam o prestador.

Para qualquer assunto sobre dados pessoais, escreva para [email protected] ou, por carta, para a morada acima.

2. Dois papéis diferentes

• Responsável pelo tratamento. Somos nós que decidimos para que servem os dados descritos nas secções 3 a 5: as visitas ao site, os pedidos de contacto, a relação com as empresas clientes (contratos, faturação e suporte) e as contas do nosso backoffice.
• Subcontratante. Nos dados que as empresas clientes guardam na plataforma, a responsável pelo tratamento é a empresa cliente: é ela que decide que dados regista, para quê e durante quanto tempo. Nós tratamos esses dados só por conta dela e segundo as suas instruções, nos termos do acordo de tratamento de dados que celebramos com cada cliente (artigo 28.º do Regulamento Geral sobre a Proteção de Dados, «RGPD»).

Se é colaborador ou utilizador de uma empresa cliente, é essa empresa que o deve informar sobre o tratamento dos seus dados na plataforma, e é junto dela que exerce os seus direitos (secção 6).

3. Quando visita o site

Sem cookies nem seguimento. O site zarvohub.com não usa cookies nem ferramentas de análise ou de publicidade, e não carrega tipos de letra, scripts ou imagens de outros domínios.

Dados técnicos de cada visita. Para lhe mostrar cada página, o seu browser envia ao servidor o seu endereço IP e dados técnicos do pedido (por exemplo, o browser usado, a página pedida, a data e a hora). O prestador que aloja o site trata esses dados para entregar as páginas e proteger o site contra ataques e abusos, e guarda-os só pelo tempo necessário para esses fins. Nós não guardamos registos das visitas nem usamos estes dados para o identificar ou para criar perfis.

Fundamento: o nosso interesse legítimo em manter o site disponível e seguro (artigo 6.º, n.º 1, alínea f), do RGPD).

O endereço da sua empresa na página «Entrar». Se marcar «Lembrar neste dispositivo» na página «Entrar», o site guarda o endereço da sua empresa no armazenamento local do seu browser, para o mostrar já preenchido da próxima vez. Esse dado fica guardado só no seu dispositivo; se desmarcar a caixa, é apagado. Pode apagá-lo a qualquer momento, apagando os dados do site nas definições do browser.

4. Quando nos contacta

O que recolhemos. No formulário de contacto, para pedir uma apresentação: nome, empresa, email e número de lojas e, se os quiser indicar, telefone, módulos que lhe interessam e uma mensagem. Para outro assunto: nome, email e a mensagem e, se os quiser indicar, empresa e telefone. Os campos obrigatórios estão assinalados: sem eles não conseguimos responder-lhe. Se nos escrever diretamente, tratamos o que nos enviar.

Para quê e com que fundamento. Para lhe responder e, se pedir uma apresentação, apresentar o ZarvoHUB à sua empresa.

Fundamento: o nosso interesse legítimo em responder a quem nos contacta e em apresentar o serviço às empresas (artigo 6.º, n.º 1, alínea f), do RGPD). Se nos contactar para contratar em nome próprio, por exemplo como empresário em nome individual, o fundamento são as diligências pré-contratuais que nos pede (alínea b)).

Como circula. O formulário envia os dados, por ligação cifrada, a uma função no servidor do nosso prestador de alojamento, que os valida e os envia num único email, através de um serviço de envio de email, para a nossa caixa de correio. O pedido não é guardado em nenhuma base de dados: fica apenas no email que recebemos. O serviço de envio de email guarda uma cópia de cada email e os respetivos registos durante 30 dias. O serviço que encaminha o correio dos endereços zarvohub.com para a nossa caixa não guarda o conteúdo dos emails e mantém durante 31 dias os dados de encaminhamento (remetente, destinatário e assunto).

Proteção contra abusos. Para impedir envios em massa, guardamos, por cada envio, a hora e um código derivado do endereço IP e do dia (calculado com uma chave secreta), nunca o próprio endereço IP. Esse registo só serve para contar envios (até 5 por hora a partir da mesma ligação e 60 por dia no total) e é apagado assim que passe um dia, no envio seguinte do formulário. O prestador de alojamento guarda os registos técnicos dos pedidos à função, incluindo o endereço IP, durante um dia.

Fundamento: o nosso interesse legítimo em proteger o formulário e o nosso serviço de email (artigo 6.º, n.º 1, alínea f), do RGPD).

Quanto tempo. Guardamos a troca de emails até 12 meses depois da última mensagem, se não chegarmos a celebrar um contrato. Se a sua empresa se tornar cliente, aplica-se a secção 5.

5. Empresas clientes

O que tratamos. Das pessoas que a empresa cliente nos indica ou que falam connosco em nome dela (por exemplo, quem assina o contrato, os administradores da plataforma e o contacto de faturação): nome, função, email e telefone profissionais e as comunicações que trocamos, incluindo os pedidos de suporte. Tratamos ainda os dados do contrato, do registo da aceitação dos termos de utilização (data, hora, versão aceite e quem aceitou), da faturação e dos pagamentos. Recebemos estes dados da própria pessoa ou da empresa que representa.

Para quê e com que fundamento.

• Celebrar e executar o contrato, prestar suporte, gerir as licenças e comunicar com o cliente: o nosso interesse legítimo em gerir a relação com a empresa que representa (artigo 6.º, n.º 1, alínea f), do RGPD) ou, se contratar em nome próprio, a execução do contrato (alínea b)).
• Faturar e cumprir as obrigações fiscais e contabilísticas: o cumprimento de obrigações legais (alínea c)).
• Provar o cumprimento do contrato e defender os nossos direitos: o nosso interesse legítimo (alínea f)).

Quanto tempo.

• Faturas e documentos de suporte: 10 anos (artigo 118.º do Código do IRS e artigo 52.º do Código do IVA).
• Contrato, registo da aceitação e correspondência relevante: enquanto não prescreverem os direitos e as obrigações que resultam do contrato (artigo 21.º, n.º 3, da Lei n.º 58/2019).
• Contactos do dia a dia: enquanto durar o contrato ou até a empresa indicar outra pessoa. Depois, só ficam nos documentos referidos acima.

Contas do nosso backoffice. Só têm conta no backoffice as pessoas que trabalham connosco. Tratamos o nome, o nome de utilizador, o email para o código de entrada e o registo das ações feitas, para controlar o acesso e a segurança. Estas pessoas recebem a informação sobre este tratamento diretamente.

A quem damos estes dados. Aos prestadores que nos apoiam (alojamento e base de dados do backoffice, envio e encaminhamento de email, caixa de correio), a quem nos preste serviços de contabilidade e de faturação, aos bancos e meios de pagamento e, quando a lei o exigir, às autoridades, como a Autoridade Tributária e Aduaneira ou os tribunais.

6. Dados guardados na plataforma

6.1 Quem decide

Cada empresa cliente é a responsável pelo tratamento dos dados que guarda na plataforma. Nós tratamos esses dados só para prestar o serviço, dar suporte quando a empresa o pede, manter a plataforma segura e cumprir a lei. Não os vendemos, não os usamos para publicidade e não os usamos para treinar modelos de inteligência artificial.

6.2 Que dados pode haver na plataforma

Depende dos módulos que a empresa contrata e do que decide registar. Pode incluir:

• identificação e contactos de colaboradores e utilizadores: nome, fotografia, data de nascimento, sexo, nacionalidade, NIF, número de segurança social, documento de identificação, morada, contactos e contacto de emergência;
• contrato e remuneração: função, horário, contrato, vencimento, subsídios e outros valores, IBAN, estado civil e número de dependentes;
• assiduidade: férias, faltas, baixas, horas extra, banco de horas, formação e indicadores de assiduidade;
• dados de saúde, quando a empresa os regista: baixas e deficiência declarada. São categorias especiais de dados (artigo 9.º do RGPD), com proteção reforçada;
• avaliações de desempenho, com as assinaturas desenhadas no ecrã;
• despesas e reembolsos: fotografias de faturas e talões, deslocações em viatura própria (locais, motivo, matrícula e proprietário da viatura), as assinaturas desenhadas no ecrã nos mapas de quilómetros e IBAN;
• fornecedores (nomes, NIF, IBAN e pessoas de contacto), faturas e pagamentos;
• fechos financeiros: os valores diários de cada loja que o ponto de venda regista (vendas, métodos de pagamento, terminais e depósitos) e os movimentos dos extratos bancários da empresa, cuja descrição pode incluir nomes e referências de terceiros (por exemplo, quem paga ou quem recebe). O número completo da conta bancária não é guardado e o ficheiro original fica num arquivo privado;
• pedidos das lojas, comunicados e checklists;
• vendas por loja, em totais, sem dados dos clientes das lojas;
• contas de utilizador e registos de utilização e de auditoria.

6.3 O que a plataforma regista por conta própria

• Sessão. Ao entrar, o seu browser recebe um código de sessão; o servidor guarda apenas um resumo criptográfico (hash) desse código. Cada sessão termina, no máximo, 2 dias depois da entrada.
• Código por email. As contas de gestão só entram com a palavra-passe e um código de 6 dígitos enviado por email, válido durante 10 minutos.
• Entrar com Face ID (chaves de acesso). É opcional. Quem a ativar no seu perfil entra com o Face ID, a impressão digital ou o código do seu aparelho, sem palavra-passe nem código por email. O reconhecimento é feito pelo próprio aparelho: a plataforma não recebe nem guarda a cara, a impressão digital nem nenhum outro dado biométrico. Guarda só a chave pública que o aparelho cria, um identificador dela, o nome que a pessoa dá ao aparelho, as datas em que foi ativada e usada (e, se for recusada por parecer copiada para outro aparelho, quando) e um hash do endereço IP de onde foi ativada, até a pessoa a remover, um administrador a remover ou a conta ser desativada. Cada ativação é avisada à pessoa, na plataforma e por email.
• Tentativas de entrada. Para travar tentativas repetidas, a plataforma guarda um hash do endereço IP de origem, nunca o próprio endereço, e apaga-o ao fim de um dia.
• Auditoria. A plataforma regista quem fez o quê e quando: entradas, alterações, apagamentos, exportações, mudanças de dados bancários, entre outras ações. Este registo não pode ser alterado nem apagado e guarda-se enquanto existir o espaço da empresa na plataforma.
• Ver como. Um administrador da empresa pode ver a plataforma tal como um utilizador a vê, para lhe dar suporte ou verificar os acessos e as permissões da conta: só para leitura (nada pode ser alterado), até 30 minutos de cada vez e com o motivo registado. O utilizador é avisado no momento, na plataforma e, se a conta tiver email, por email, e vê todos estes acessos no Hub, em «O meu perfil». O início e o fim de cada acesso ficam no registo de auditoria.
• Atividade das contas. A plataforma regista, por utilizador e por módulo, a última vez que a página esteve aberta e à vista. De cinco em cinco minutos, o espaço da empresa envia ao ZarvoHUB a lista das contas, com o nome de utilizador, o nome, o perfil, se a conta está ativa, a hora do último acesso e o módulo em que foi. O ZarvoHUB usa-a só para dar suporte à empresa e manter o serviço seguro e a funcionar. Não recebe o email, o endereço IP nem o que o utilizador fez no módulo. Guarda só o último retrato, sem histórico, na base de dados do seu backoffice (na União Europeia, na Alemanha), onde só quem tem uma permissão própria o consulta, ficando cada consulta registada, e apaga-o quando o contrato cessa ou o espaço da empresa é suspenso. Uma sessão «ver como» nunca conta como atividade da pessoa. A empresa informa os seus utilizadores disto (cláusula 8.1 h) dos termos).
• Contagens de utilização. Uma vez por dia, e no primeiro dia de cada mês também para fechar o mês anterior, o espaço da empresa envia ao ZarvoHUB contagens do mês, de uma lista fechada, em seis grupos: as leituras automáticas de documentos e de talões, as que falharam e as unidades de processamento (tokens) que a inteligência artificial gastou nelas; as perguntas feitas ao assistente de ajuda, as que ficaram sem resposta e as unidades de processamento gastas; os emails enviados pela função de envio de emails da plataforma (avisos, alertas e documentos), sem os códigos de entrada e os convites; as rotas calculadas no serviço de mapas; o número de contas ativas (e quantas são de gestão), de contas que entraram no mês, de lojas ativas e de contas que usaram cada módulo; e o espaço ocupado pela base de dados e pelos ficheiros, com o número de faturas lidas, de documentos guardados e de tickets abertos. São só números: o ZarvoHUB não recebe nomes, emails, NIF, IBAN, valores do negócio da empresa (faturas, vendas, salários) nem o conteúdo de documentos, perguntas ou respostas, e as contagens não dizem quem fez o quê, pelo que não são dados pessoais. Usa-as só para faturar o serviço, pôr limites de custo por cliente nas funções de inteligência artificial e planear a capacidade do serviço. Guarda-as por mês na base de dados do seu backoffice (na União Europeia, na Alemanha), onde só quem tem uma permissão própria as consulta, ficando cada consulta registada, e conserva-as sem prazo, também depois de o contrato terminar, para ter sempre o histórico certo da utilização e da faturação. A empresa não pode desligar este envio, porque faz parte da prestação do serviço (cláusula 14.7 dos termos).
• Armazenamento no browser. A plataforma não usa cookies. Guarda no seu browser o código de sessão, a língua e as preferências de visualização que escolher e, em alguns ecrãs, uma cópia de trabalho dos dados para os abrir mais depressa. As cópias de trabalho apagam-se quando sai ou quando a sessão expira. Este armazenamento serve apenas para a plataforma funcionar como pediu e não é usado para o seguir, por isso não depende de consentimento (artigo 5.º, n.º 2, alínea b), da Lei n.º 41/2004, de 18 de agosto).

6.4 Tipos de letra e bibliotecas de código

Os tipos de letra e as bibliotecas de código que as páginas da plataforma usam (por exemplo, para ler PDF e códigos QR, exportar para Excel ou PDF, gráficos e documentos a partir de modelos) são servidos pelo próprio endereço da plataforma da sua empresa, tal como as páginas, pelo prestador de alojamento das páginas (secção 6.5). O seu browser não contacta serviços de tipos de letra nem redes públicas de distribuição de código.

6.5 Prestadores que tratam dados da plataforma

Para prestar o serviço recorremos a estes prestadores (subcontratantes ulteriores). Cada um recebe só o necessário para a sua função. A lista com os nomes, o serviço e o local de tratamento de cada um é entregue a cada cliente no acordo de tratamento de dados, e qualquer alteração é comunicada aos clientes com 30 dias de antecedência.

Os alertas de funcionamento da plataforma (contas bloqueadas, entradas falhadas, erros de tarefas automáticas, consumo da leitura automática) são enviados, por defeito, para a caixa de correio do ZarvoHUB e podem incluir nomes de utilizador. Usamo-los só para manter o serviço a funcionar.

6.6 Leitura automática de documentos

A plataforma lê o código QR das faturas no próprio browser, sem o enviar para fora. Além disso, cada fatura carregada no módulo de faturas e cada talão sem código QR do módulo de despesas é enviado ao fornecedor de inteligência artificial, que devolve os dados lidos. Esse fornecedor trata os documentos só para devolver a leitura, não os usa para treinar os seus modelos e apaga-os no prazo de 30 dias, salvo se os seus sistemas de segurança os assinalarem por uso abusivo. O resultado é uma proposta: uma pessoa confirma-o ou corrige-o antes de ser gravado.

6.7 Mapas de quilómetros

Para calcular a distância de uma deslocação, a plataforma envia a um serviço de mapas o texto que escreve ao procurar um local e os locais de partida e de chegada. O pedido parte do nosso servidor: o serviço de mapas não recebe o seu nome nem o endereço IP do seu dispositivo. Na plataforma fica guardado só o identificador de cada local no serviço de mapas e o nome que lhe deu, nunca a morada. As distâncias calculadas pelo serviço de mapas apagam-se, no máximo, ao fim de 30 dias; fica registado que a distância foi calculada e aceite. O serviço de mapas é a Google Maps Platform. A Google Ireland Limited trata os dados que recebe como responsável independente, nos termos da Política de Privacidade da Google (https://policies.google.com/privacy). A plataforma só guarda a referência da sua casa depois de o confirmar no ecrã da Casa, e pode apagá-la a qualquer momento no ecrã de quilómetros. As deslocações já registadas de ou para casa mantêm essa referência, porque fazem parte dos mapas de quilómetros. Quem decide o fundamento deste tratamento é a empresa (secção 6.1).

6.8 Quanto tempo ficam os dados

Os prazos são decididos pela empresa cliente, que pode corrigir, exportar e apagar os dados na plataforma, incluindo os dados de um colaborador a pedido dele. Quando o contrato termina, a empresa pode levar os seus dados durante 30 dias. Se pedir a mudança para outro prestador ou para os seus próprios sistemas, há antes um pré-aviso de 30 dias e um período de transição, em regra até 30 dias, com o serviço a funcionar. Depois, o espaço da empresa é conservado por mais 30 dias, salvo se a empresa pedir o apagamento antes, e é apagado, incluindo as cópias de segurança. Se pedir só o apagamento, os dados são apagados nos 10 dias úteis seguintes ao fim do contrato. As cópias de segurança diárias do prestador de alojamento guardam-se durante 7 dias. O retrato das contas que guardamos no nosso backoffice apaga-se logo que o contrato cessa ou o espaço da empresa é suspenso. As contagens mensais de utilização (secção 6.3) são números sem dados pessoais e guardam-se sem prazo, também depois de o contrato terminar. Como a empresa pode levar os dados para outro prestador está em zarvohub.com/mudanca.

6.9 Os seus direitos sobre os dados da plataforma

Dirija-se à empresa onde trabalha ou com quem se relaciona: é ela a responsável. Se nos escrever sobre dados guardados na plataforma, reencaminhamos o pedido para essa empresa no prazo de 2 dias úteis e ajudamo-la a responder.

6.10 Assistente de ajuda

Em todas as páginas da plataforma há um assistente que responde a dúvidas sobre como usar a plataforma, a partir dos manuais. Não vê os dados guardados na plataforma nem o que está no ecrã. Quando lhe faz uma pergunta, a plataforma envia ao fornecedor de inteligência artificial a pergunta, a conversa até ali, o módulo e o ecrã de onde pergunta, o idioma e o que a sua conta pode fazer (se é administrador, os módulos e as permissões do perfil), sem o seu nome nem o seu email. Esse fornecedor trata estes dados só para devolver a resposta, nas mesmas condições da secção 6.6. As conversas ficam guardadas no espaço da empresa durante 30 dias e depois são apagadas; na plataforma só a própria pessoa as vê (os administradores da empresa não lhes têm acesso), e pode apagá-las antes. O assistente é automático e pode enganar-se: não substitui o suporte nem aconselhamento profissional. Não escreva nas perguntas dados pessoais de outras pessoas; antes de enviar, a plataforma avisa quando a pergunta parece ter um NIF, um IBAN, um número de cartão ou um email. Pode votar 👍 ou 👎 em cada resposta: o voto fica no espaço da empresa, e os administradores só veem números (quantas perguntas e quantas respostas ajudaram), nunca o texto das perguntas. Para melhorarmos os manuais, quando o assistente não sabe responder, ou quando vota 👎, a pergunta e a resposta seguem automaticamente para o ZarvoHUB, sem o seu nome, o seu email, a sua conta nem a sua empresa, e só se não parecerem ter um NIF, um IBAN, um número de cartão, um email ou outro número de nove ou mais dígitos. As perguntas a que o assistente respondeu bem nunca saem do espaço da empresa. O painel avisa-o disto sempre, por baixo da caixa da pergunta, e o administrador da empresa pode desligar este envio nas Definições. Guardamos essa pergunta na base de dados do nosso backoffice (na União Europeia, na Alemanha), onde só quem tem uma permissão própria a consulta, ficando cada consulta registada, usamo-la só para corrigir os manuais e apagamo-la ao fim de 90 dias.

6.11 Canal de denúncias

Cada empresa cliente tem na plataforma um canal de denúncias (Lei n.º 93/2021), numa página pública do endereço da empresa, que qualquer pessoa pode usar sem conta. A empresa é a responsável pelo tratamento dos dados das denúncias, e é ela que informa sobre esse tratamento e junto de quem se exercem os direitos (a nota de privacidade do canal está no rodapé dessa página). O conteúdo de cada denúncia — o texto, a identificação de quem denuncia, se a indicar, a conversa e os ficheiros que lhe forem juntos — é cifrado no dispositivo de quem a escreve e só as pessoas que a empresa designou, e que o denunciante deixou marcadas, o conseguem ler, com uma frase-passe que nunca sai do dispositivo delas: nem os administradores da empresa nem o ZarvoHUB o conseguem ler. A plataforma não guarda o endereço de origem nem o dispositivo de quem denuncia: para travar abusos, guarda durante uma hora um resumo criptográfico do endereço de origem, que não se liga à denúncia. Os prestadores de alojamento registam, como em qualquer pedido, o endereço IP e dados técnicos de cada pedido, pelos prazos deles, e não os juntamos à denúncia; por isso a página aconselha a usar um dispositivo e uma rede que não sejam da empresa. As denúncias apagam-se 5 anos depois de concluídas, salvo se houver um processo pendente. As fotografias juntas a uma denúncia são limpas no dispositivo, antes de cifrar, dos dados que o telemóvel lhes junta (o local, o modelo do aparelho e a data); os outros ficheiros vão como estão. As pessoas designadas podem apagar, de uma mensagem ou de um ficheiro, os dados pessoais manifestamente irrelevantes para a denúncia (artigo 19.º da Lei n.º 93/2021), e a versão anterior deixa de existir.

7. Onde ficam os dados e transferências para fora do Espaço Económico Europeu

• Os dados guardados da plataforma de cada cliente ficam na União Europeia, na Irlanda. A base de dados do nosso backoffice fica na União Europeia, na Alemanha, e guarda também o último retrato das contas de cada empresa e as contagens mensais de utilização (secção 6.3) e as perguntas a que o assistente de ajuda não soube responder (secção 6.10).
• Alguns prestadores tratam dados fora do Espaço Económico Europeu (EEE):
  • o prestador de base de dados e funções de servidor é uma empresa com sede em Singapura, que pode aceder aos dados a partir de fora do EEE, para suporte e operação, com empresas do seu grupo e outros prestadores, alguns nos EUA; as funções de servidor da plataforma correm na região da base de dados de cada cliente (Irlanda);
  • o prestador de alojamento das páginas e de rede de distribuição é uma empresa dos EUA, com rede em vários países, e é também quem encaminha para a nossa caixa de correio os emails enviados para os endereços zarvohub.com, sem guardar o seu conteúdo;
  • o serviço de envio de email é uma empresa dos EUA e guarda os dados nos EUA;
  • o fornecedor de inteligência artificial contrata connosco através da sua empresa na Irlanda, mas guarda os dados nos EUA e pode processar os pedidos noutros países;
  • o serviço de mapas referido na secção 6 pertence a uma empresa com sede fora do EEE ou com servidores fora dele;
  • o fornecedor da nossa caixa de correio pode guardar os emails fora do EEE.
• Estas transferências assentam numa das seguintes garantias: a decisão de adequação da Comissão Europeia relativa ao Quadro de Privacidade de Dados UE-EUA (Decisão de Execução (UE) 2023/1795), quando a empresa que recebe os dados está certificada nesse quadro; as cláusulas contratuais-tipo adotadas pela Comissão Europeia (Decisão de Execução (UE) 2021/914), incluídas nos acordos de tratamento de dados com esses prestadores (artigo 46.º, n.º 2, alínea c), do RGPD); ou outra garantia prevista no artigo 46.º do RGPD.
• Pode pedir-nos, para [email protected], a indicação da garantia que se aplica a cada caso e uma cópia dessa garantia.

8. Os seus direitos

Sobre os dados que tratamos como responsável (secções 3 a 5), tem o direito de:

• saber se tratamos dados seus e aceder a eles;
• pedir a retificação dos que estejam errados ou incompletos;
• pedir o apagamento, quando os dados já não forem necessários ou o tratamento não tiver fundamento;
• pedir a limitação do tratamento;
• receber os dados que nos forneceu num formato estruturado e de leitura automática, ou pedir que os enviemos a outra entidade, quando o tratamento se basear num contrato;
• retirar o consentimento a qualquer momento, quando o tratamento se basear nele, sem afetar o tratamento feito antes.

Direito de oposição. Pode opor-se, a qualquer momento, por motivos relacionados com a sua situação particular, aos tratamentos que se baseiam no nosso interesse legítimo (artigo 21.º do RGPD). Nesse caso, deixamos de tratar esses dados, salvo se tivermos razões imperiosas e legítimas que prevaleçam sobre os seus interesses, direitos e liberdades, ou se os dados forem necessários para declarar, exercer ou defender um direito num processo judicial.

Como exercer. Escreva para [email protected]. Respondemos no prazo de um mês, que pode ser prorrogado por mais dois meses nos pedidos complexos ou numerosos, caso em que o informamos dentro do primeiro mês. O exercício dos direitos é gratuito. Podemos pedir-lhe informação para confirmar a sua identidade, se tivermos dúvidas razoáveis.

Reclamação. Pode apresentar reclamação à Comissão Nacional de Proteção de Dados (CNPD): Av. D. Carlos I, 134, 1.º, 1200-651 Lisboa; [email protected]; www.cnpd.pt (formulários em www.cnpd.pt/cidadaos/participacoes).

9. Decisões automatizadas

Não tomamos decisões baseadas exclusivamente em tratamento automatizado que produzam efeitos jurídicos sobre si ou que o afetem de forma semelhante. A leitura automática de documentos e o cálculo de distâncias produzem propostas, que uma pessoa confirma. O assistente de ajuda só responde a dúvidas sobre como usar a plataforma: não decide nada.

10. Segurança

Cada empresa cliente tem uma base de dados própria, separada das outras. O browser nunca lê as tabelas diretamente: cada leitura e cada gravação passa por uma função no servidor que confirma quem pede e se tem permissão. As palavras-passe são guardadas com hash, os códigos de sessão só em hash e as ligações são cifradas; os dados guardados são cifrados pelo prestador de alojamento. As permissões são dadas por perfil e por loja, e as contas de gestão exigem um código por email. Mais informação na página Segurança.

Se ocorrer uma violação dos dados pessoais que tratamos como responsável, notificamo-la à CNPD nos termos do artigo 33.º do RGPD e, se houver um risco elevado para as pessoas afetadas, informamo-las (artigo 34.º). Nos dados da plataforma, avisamos a empresa cliente sem demora injustificada, para que ela possa cumprir essas obrigações.

11. Alterações a esta política

Publicamos nesta página as alterações a esta política, com a data da última atualização. Se uma alteração for relevante para os clientes, avisamo-los também por email.