Política RGPD

1. O RGPD e o nosso compromisso

O Regulamento Geral sobre a Proteção de Dados (RGPD) é a lei europeia que rege a forma como os dados pessoais das pessoas no Espaço Económico Europeu (EEE) são recolhidos, tratados e conservados.

A PrintedIn está plenamente empenhada no cumprimento do RGPD. Tratamos os dados pessoais de forma lícita, leal e transparente. Recolhemo-los apenas para finalidades determinadas, explícitas e legítimas, e garantimos que são adequados, pertinentes e limitados ao necessário.

2. Responsável pelo tratamento

Nos termos do RGPD, a PrintedIn atua como responsável pelo tratamento dos dados pessoais dos seus utilizadores. Isto significa que determinamos as finalidades e os meios do tratamento.

3. Fundamento de licitude do tratamento

Nos termos do artigo 6.º do RGPD, tratamos dados pessoais com os seguintes fundamentos:

Quando o fundamento é o consentimento, tem o direito de o retirar a qualquer momento. A retirada não afeta a licitude do tratamento efetuado antes dela.

4. Categorias de dados pessoais

Tratamos as seguintes categorias de dados pessoais:

5. Direitos dos titulares dos dados

Ao abrigo do RGPD, tem os seguintes direitos sobre os seus dados pessoais. Respondemos a todos os pedidos válidos no prazo de 30 dias (prorrogável por 60 dias em pedidos complexos):

5.1 Direito de acesso (art. 15.º)

Tem o direito de obter a confirmação de que tratamos os seus dados pessoais e de pedir uma cópia dos mesmos num formato eletrónico de uso corrente.

5.2 Direito de retificação (art. 16.º)

Tem o direito de pedir a correção de dados inexatos ou o preenchimento de dados incompletos. Pode atualizar a maior parte da informação diretamente nas definições do seu perfil.

5.3 Direito ao apagamento (art. 17.º)

Tem o direito de pedir a eliminação dos seus dados pessoais («direito a ser esquecido»), sem prejuízo das obrigações legais aplicáveis (por exemplo, registos fiscais que têm de ser conservados).

5.4 Direito à limitação do tratamento (art. 18.º)

Pode pedir a limitação do tratamento enquanto verificamos a exatidão dos dados, avaliamos os nossos interesses legítimos, ou quando o tratamento é ilícito mas se opõe ao apagamento.

5.5 Direito à portabilidade (art. 20.º)

Tem o direito de receber os seus dados pessoais num formato estruturado, de uso corrente e de leitura automática (JSON ou CSV), e de os transmitir a outro responsável.

5.6 Direito de oposição (art. 21.º)

Tem o direito de se opor ao tratamento baseado em interesses legítimos ou para efeitos de marketing direto. Deixaremos de tratar os dados, salvo se demonstrarmos razões imperiosas que prevaleçam sobre os seus interesses.

5.7 Decisões automatizadas (art. 22.º)

Não utilizamos decisões automatizadas nem definição de perfis que produzam efeitos jurídicos ou que o afetem significativamente de forma semelhante.

6. Atividades de tratamento

Mantemos um Registo das Atividades de Tratamento (RAT), conforme exige o artigo 30.º do RGPD. As principais atividades são:

• Registo de utilizadores: tratamento do nome, do email e da palavra-passe para criar a conta.
• Criação de produtos: tratamento das imagens e textos carregados para gerar pré-visualizações.
• Produção de encomendas: tratamento de moradas e dados de pagamento para imprimir e expedir.
• Apoio ao cliente: tratamento das comunicações e dos dados da conta para resolver pedidos.
• Marketing: tratamento de endereços de email para envio da newsletter (com consentimento).
• Análise: tratamento de dados de utilização para melhorar os serviços (com consentimento).
• Publicidade: tratamento de visitas e compras para medir a publicidade e criar audiências (com consentimento).

6.1 Subcontratantes

Recorremos às seguintes categorias de subcontratantes, todos com os devidos Acordos de Tratamento de Dados:

7. Transferências internacionais

Guardamos e tratamos os dados pessoais sobretudo dentro do Espaço Económico Europeu (EEE). Quando são necessárias transferências para fora do EEE, asseguramos proteção adequada através de:

• Decisões de adequação: transferências para países com decisão de adequação da UE.
• Cláusulas Contratuais-Tipo: cláusulas aprovadas pela UE que garantem proteção equivalente.
• Medidas complementares: medidas técnicas e organizativas adicionais quando necessárias (cifragem, pseudonimização).

8. Medidas de proteção de dados

Nos termos do artigo 32.º do RGPD, aplicamos medidas técnicas e organizativas adequadas para garantir um nível de segurança ajustado ao risco:

8.1 Medidas técnicas

• Cifragem TLS 1.3 de ponta a ponta para todos os dados em trânsito
• Cifragem AES-256 para dados pessoais em repouso
• Palavras-passe protegidas com bcrypt e fator de custo adaptativo
• Análises e testes de segurança automáticos regulares
• Segmentação de rede e proteção por firewall
• Registo e monitorização dos acessos à base de dados

8.2 Medidas organizativas

• Formação e sensibilização do pessoal em proteção de dados
• Controlo de acessos segundo o princípio do menor privilégio
• Acordos de confidencialidade com todos os colaboradores e prestadores
• Avaliações de Impacto sobre a Proteção de Dados para tratamentos de risco elevado
• Revisões e auditorias periódicas das atividades de tratamento
• Procedimentos de resposta a incidentes e protocolos de escalamento

9. Notificação de violações de dados

Nos termos dos artigos 33.º e 34.º do RGPD, temos procedimentos definidos para responder a violações de dados:

• Autoridades de controlo: notificamos a autoridade de controlo competente no prazo de 72 horas após termos conhecimento de uma violação de dados pessoais suscetível de implicar um risco para os direitos e liberdades das pessoas. Para titulares no Reino Unido, é o Information Commissioner's Office (ICO). Para titulares no Espaço Económico Europeu, é a autoridade competente do Estado-Membro em causa — não estamos estabelecidos na UE, pelo que a notificação não é feita através de uma autoridade principal única.
• Pessoas afetadas: notificamos os titulares afetados sem demora injustificada quando a violação for suscetível de implicar um risco elevado para os seus direitos e liberdades.
• Documentação: todas as violações são registadas no nosso registo de violações, independentemente da gravidade, incluindo os factos, os efeitos e as medidas corretivas adotadas.

10. Encarregado da proteção de dados

Designámos um Encarregado da Proteção de Dados (EPD) que acompanha o cumprimento do RGPD em toda a organização. Pode contactá-lo para qualquer questão relacionada com proteção de dados:

11. Autoridade de controlo e reclamações

Se considerar que o tratamento dos seus dados pessoais viola a lei de proteção de dados, tem o direito de apresentar reclamação junto de uma autoridade de controlo (artigo 77.º). Qual é essa autoridade depende de onde está, e não de onde estamos:

11.1 Se estiver no Espaço Económico Europeu

Pode reclamar junto da autoridade de controlo do Estado-Membro onde reside, onde trabalha ou onde ocorreu a alegada infração. Como estamos estabelecidos no Reino Unido e não na União, nenhuma autoridade atua como autoridade principal em relação a nós — é competente a autoridade nacional do seu país. Em Portugal é a Comissão Nacional de Proteção de Dados (CNPD). O Comité Europeu para a Proteção de Dados publica os contactos atualizados de todas as autoridades nacionais:

11.2 Se estiver no Reino Unido

O Information Commissioner's Office é a autoridade de controlo do Reino Unido. Os dados abaixo são do ICO — não são os nossos contactos; para falar connosco, ver a secção do Encarregado da Proteção de Dados, acima.

Exercer este direito não lhe custa nada e não depende de nos contactar primeiro — mas preferimos resolver um problema a que tenha de o fazer. Se escrever para privacy@printedin.com, respondemos no prazo de 30 dias.