Política RGPD

1. O RGPD e o nosso compromisso

O Regulamento Geral sobre a Proteção de Dados (RGPD) é a lei europeia que rege a forma como os dados pessoais das pessoas no Espaço Económico Europeu (EEE) são recolhidos, tratados e conservados.

A Printedin está plenamente empenhada no cumprimento do RGPD. Tratamos os dados pessoais de forma lícita, leal e transparente. Recolhemo-los apenas para finalidades determinadas, explícitas e legítimas, e garantimos que são adequados, pertinentes e limitados ao necessário.

2. Responsável pelo tratamento

Nos termos do RGPD, a Printedin atua como responsável pelo tratamento dos dados pessoais dos seus utilizadores. Isto significa que determinamos as finalidades e os meios do tratamento.

3. Fundamento de licitude do tratamento

Nos termos do artigo 6.º do RGPD, tratamos dados pessoais com os seguintes fundamentos:

Quando o fundamento é o consentimento, tem o direito de o retirar a qualquer momento. A retirada não afeta a licitude do tratamento efetuado antes dela.

4. Categorias de dados pessoais

Tratamos as seguintes categorias de dados pessoais:

5. Direitos dos titulares dos dados

Ao abrigo do RGPD, tem os seguintes direitos sobre os seus dados pessoais. Respondemos a todos os pedidos válidos no prazo de 30 dias (prorrogável por 60 dias em pedidos complexos):

5.1 Direito de acesso (art. 15.º)

Tem o direito de obter a confirmação de que tratamos os seus dados pessoais e de pedir uma cópia dos mesmos num formato eletrónico de uso corrente.

5.2 Direito de retificação (art. 16.º)

Tem o direito de pedir a correção de dados inexatos ou o preenchimento de dados incompletos. Pode atualizar a maior parte da informação diretamente nas definições do seu perfil.

5.3 Direito ao apagamento (art. 17.º)

Tem o direito de pedir a eliminação dos seus dados pessoais («direito a ser esquecido»), sem prejuízo das obrigações legais aplicáveis (por exemplo, registos fiscais que têm de ser conservados).

5.4 Direito à limitação do tratamento (art. 18.º)

Pode pedir a limitação do tratamento enquanto verificamos a exatidão dos dados, avaliamos os nossos interesses legítimos, ou quando o tratamento é ilícito mas se opõe ao apagamento.

5.5 Direito à portabilidade (art. 20.º)

Tem o direito de receber os seus dados pessoais num formato estruturado, de uso corrente e de leitura automática (JSON ou CSV), e de os transmitir a outro responsável.

5.6 Direito de oposição (art. 21.º)

Tem o direito de se opor ao tratamento baseado em interesses legítimos ou para efeitos de marketing direto. Deixaremos de tratar os dados, salvo se demonstrarmos razões imperiosas que prevaleçam sobre os seus interesses.

5.7 Decisões automatizadas (art. 22.º)

Não utilizamos decisões automatizadas nem definição de perfis que produzam efeitos jurídicos ou que o afetem significativamente de forma semelhante.

6. Atividades de tratamento

Mantemos um Registo das Atividades de Tratamento (RAT), conforme exige o artigo 30.º do RGPD. As principais atividades são:

• Registo de utilizadores: tratamento do nome, do email e da palavra-passe para criar a conta.
• Criação de produtos: tratamento das imagens e textos carregados para gerar pré-visualizações.
• Produção de encomendas: tratamento de moradas e dados de pagamento para imprimir e expedir.
• Apoio ao cliente: tratamento das comunicações e dos dados da conta para resolver pedidos.
• Marketing: tratamento de endereços de email para o recordar de um projeto que deixou incompleto (com consentimento, nas suas preferências de notificação).
• Respostas a pedidos: envio da sua correspondência connosco e do registo do trabalho a que pertence a um fornecedor de IA que redige um rascunho de resposta para revermos (execução do contrato e interesse legítimo).
• Análise: tratamento de dados de utilização para melhorar os serviços (com consentimento).
• Publicidade: tratamento de visitas e compras para medir a publicidade e criar audiências (com consentimento).

6.1 Subcontratantes

Recorremos às seguintes categorias de subcontratantes, todos com os devidos Acordos de Tratamento de Dados:

7. Transferências internacionais

Guardamos e tratamos os dados pessoais sobretudo dentro do Espaço Económico Europeu (EEE). Quando são necessárias transferências para fora do EEE, asseguramos proteção adequada através de:

• Decisões de adequação: transferências para países com decisão de adequação da UE.
• Cláusulas Contratuais-Tipo: cláusulas aprovadas pela UE que garantem proteção equivalente.
• Medidas complementares: medidas técnicas e organizativas adicionais quando necessárias (cifragem, pseudonimização).

8. Medidas de proteção de dados

Nos termos do artigo 32.º do RGPD, aplicamos medidas técnicas e organizativas adequadas para garantir um nível de segurança ajustado ao risco:

8.1 Medidas técnicas

• Cifragem TLS 1.2 ou 1.3 de todos os dados entre o seu navegador e os nossos servidores
• Cópias de segurança externas cifradas com AES-256 antes de saírem do servidor
• Palavras-passe guardadas apenas como hashes PBKDF2-HMAC-SHA256 com sal (600 000 iterações)
• Testes automáticos, controlos de segurança incluídos, antes de cada nova versão
• Segmentação de rede e proteção por firewall
• Inícios de sessão e alterações a contas e encomendas anotados num registo de auditoria

8.2 Medidas organizativas

• Formação e sensibilização do pessoal em proteção de dados
• Controlo de acessos segundo o princípio do menor privilégio
• Acordos de confidencialidade com todos os colaboradores e prestadores
• Avaliações de Impacto sobre a Proteção de Dados para tratamentos de risco elevado
• Revisões e auditorias periódicas das atividades de tratamento
• Procedimentos de resposta a incidentes e protocolos de escalamento

9. Notificação de violações de dados

Nos termos dos artigos 33.º e 34.º do RGPD, temos procedimentos definidos para responder a violações de dados:

• Autoridades de controlo: notificamos a autoridade de controlo competente no prazo de 72 horas após termos conhecimento de uma violação de dados pessoais suscetível de implicar um risco para os direitos e liberdades das pessoas. Para titulares no Reino Unido, é o Information Commissioner's Office (ICO). Para titulares no Espaço Económico Europeu, é a autoridade competente do Estado-Membro em causa — não estamos estabelecidos na UE, pelo que a notificação não é feita através de uma autoridade principal única.
• Pessoas afetadas: notificamos os titulares afetados sem demora injustificada quando a violação for suscetível de implicar um risco elevado para os seus direitos e liberdades.
• Documentação: todas as violações são registadas no nosso registo de violações, independentemente da gravidade, incluindo os factos, os efeitos e as medidas corretivas adotadas.

10. Contacto para a proteção de dados

Não designámos um Encarregado da Proteção de Dados, e o RGPD não nos obriga a isso: o artigo 37.º, n.º 1, só o exige às autoridades públicas e aos responsáveis que vigiam pessoas em grande escala ou tratam categorias especiais de dados em grande escala. A proteção de dados cabe à direção da empresa, que responde a estes pedidos. Pode contactar-nos aqui:

11. Autoridade de controlo e reclamações

Se considerar que o tratamento dos seus dados pessoais viola a lei de proteção de dados, tem o direito de apresentar reclamação junto de uma autoridade de controlo (artigo 77.º). Qual é essa autoridade depende de onde está, e não de onde estamos:

11.1 Se estiver no Espaço Económico Europeu

Pode reclamar junto da autoridade de controlo do Estado-Membro onde reside, onde trabalha ou onde ocorreu a alegada infração. Como estamos estabelecidos no Reino Unido e não na União, nenhuma autoridade atua como autoridade principal em relação a nós — é competente a autoridade nacional do seu país. Em Portugal é a Comissão Nacional de Proteção de Dados (CNPD). O Comité Europeu para a Proteção de Dados publica os contactos atualizados de todas as autoridades nacionais:

11.2 Se estiver no Reino Unido

O Information Commissioner's Office é a autoridade de controlo do Reino Unido. Os dados abaixo são do ICO — não são os nossos contactos; para falar connosco, ver a secção de contacto para a proteção de dados, acima.

Exercer este direito não lhe custa nada e não depende de nos contactar primeiro — mas preferimos resolver um problema a que tenha de o fazer. Se escrever para privacy@printedin.com, respondemos no prazo de 30 dias.