Política de Privacidade

1.ª — Responsável pelo tratamento e âmbito

1. A presente Política de Privacidade (doravante «Política») descreve o tratamento de dados pessoais efetuado por SCSW Solutions, Lda., pessoa coletiva n.º 519684290, com sede em Rua Madre Teresa de Calcutá, n.º 7, 1.º E, 1950-322 Lisboa (doravante «Prestador»), na qualidade de responsável pelo tratamento, no âmbito da disponibilização da plataforma Nomus (doravante «Plataforma») e do site nomus.pt (doravante «Site»), em cumprimento dos artigos 13.º e 14.º do Regulamento (UE) 2016/679 (RGPD) e da Lei n.º 58/2019, de 8 de agosto.

2. A Política aplica-se aos dados pessoais das pessoas singulares que utilizam a Plataforma — o Titular da conta e os Utilizadores adicionais por este criados, na aceção dos Termos e Condições —, das pessoas que contactam o Prestador através do Site, da Plataforma ou por correio eletrónico, das pessoas a quem o Prestador envia comunicações comerciais por correio eletrónico e dos visitantes do Site.

3. A Política não se aplica aos Dados do Cliente, isto é, à informação, documentos e demais conteúdos que o Cliente e os seus Utilizadores introduzem na Plataforma no exercício da sua atividade profissional, incluindo os dados pessoais dos seus próprios clientes, das partes e de outras pessoas neles referidas. Relativamente a esses dados, o Cliente é o responsável pelo tratamento e o Prestador atua exclusivamente como subcontratante, nos termos e para os efeitos da cláusula 10.ª dos Termos e Condições. Qualquer pedido relativo a esses dados deve ser dirigido ao Cliente que os introduziu.

4. Para qualquer questão relativa à presente Política ou ao exercício de direitos, o Prestador pode ser contactado através do endereço suporte@nomus.pt.

2.ª — Dados pessoais tratados

1. Dados de identificação e de contacto: o nome, o endereço de correio eletrónico, o género (facultativo, utilizado apenas para a forma de tratamento nas comunicações), o fuso horário e, quando indicados, o título profissional, o número de cédula profissional, a morada profissional e, quando o Utilizador a carregue ou desenhe na Plataforma, a imagem da sua assinatura manuscrita.

2. Dados de faturação, indicados pelo Titular da conta em nome do Cliente: a denominação ou o nome, o número de identificação fiscal, a morada de faturação e o endereço de correio eletrónico de faturação. O Prestador não recolhe nem conserva dados de cartão bancário; os pagamentos são processados pela Stripe Payments Europe, Ltd., que comunica ao Prestador apenas o identificador do cliente, o estado da subscrição e os elementos necessários à emissão da fatura.

3. Dados da Conta e de segurança: a palavra-passe, conservada exclusivamente sob a forma de resumo criptográfico irreversível; os elementos da autenticação de dois fatores (o segredo da aplicação de autenticação, os códigos de recuperação e os códigos enviados por correio eletrónico), a chave pública de desbloqueio (WebAuthn) que o Utilizador registe no seu dispositivo — o Prestador nunca recebe dados biométricos —, os dispositivos de confiança, as sessões ativas, o endereço de rede (IP) e a identificação do navegador e do sistema operativo em cada início de sessão, e as tentativas de início de sessão, bem-sucedidas ou não, com o respetivo endereço de rede, e, quando o Utilizador liga a sua conta de correio eletrónico à Plataforma, o endereço, os servidores e a palavra-passe dessa conta ou, nas contas Microsoft, a autorização concedida, conservados cifrados.

4. Dados de utilização: o histórico de atividade da Conta — as ações praticadas na Plataforma por cada Utilizador, com data e hora, que o Cliente pode consultar em Desempenho → Equipa —, a data do último acesso, os alertas gerados pela Plataforma e, quando o Utilizador as autoriza no seu navegador, as subscrições de notificações (push).

5. Dados de comunicação: o conteúdo dos pedidos de suporte e das sugestões apresentados através da Plataforma, das respostas do Prestador e da correspondência trocada por correio eletrónico, bem como as comunicações que o Prestador envia relativas à execução do contrato (confirmações, avisos de renovação, faturas, avisos de segurança e de alteração dos Termos ou dos preços).

6. Dados relativos à origem do registo: quando o visitante do Site o consente através do aviso de cookies, os parâmetros de campanha da ligação pela qual chegou ao Site (utm_source, utm_medium, utm_campaign, utm_content), os identificadores de clique acrescentados pelas plataformas de publicidade (gclid, fbclid) e o endereço do site que o referenciou, conservados no cookie «nomus_origem» e, aquando da criação da Conta, associados a esta; e a resposta, facultativa, à pergunta «Como nos conheceu?» do assistente de boas-vindas.

7. Dados de navegação no Site: por cada página visitada, o endereço da página, a origem da visita (os parâmetros de campanha da ligação, os identificadores de clique e o endereço do site que a referenciou), o país e o tipo de dispositivo, associados a um identificador pseudónimo gerado a partir do endereço IP e do navegador com uma chave diária, eliminada no dia seguinte; o endereço IP não é conservado e nenhuma informação é guardada no equipamento do visitante.

8. Dados de terceiros indicados pelo Utilizador: quando o Utilizador partilha um documento a partir da Plataforma, o nome e o endereço de correio eletrónico ou o número de telefone do destinatário que indicar, tratados exclusivamente para essa expedição e para o registo de que a partilha foi efetuada.

9. Dados das comunicações comerciais: o nome, o endereço de correio eletrónico, a profissão e a natureza de pessoa singular ou coletiva do destinatário, a origem do contacto, a data e a prova do consentimento, quando aplicável, o registo de cada comunicação enviada (a comunicação, a data e o resultado do envio) e a data da oposição. O Prestador não regista a abertura das mensagens nem as ligações seguidas a partir delas.

10. Dados relativos ao contrato: o plano subscrito, as subscrições e a respetiva vigência, as faturas emitidas, as versões dos Termos e Condições aceites pelo Titular da conta, com a data e o endereço de rede da aceitação, e os avisos contratuais enviados.

3.ª — Origem dos dados

1. Os dados são fornecidos pelo próprio titular, na criação da Conta, no preenchimento do perfil e das definições, incluindo a imagem da assinatura, que o Utilizador carrega a partir de um ficheiro ou desenha no ecrã do seu dispositivo, nos pedidos de suporte e nas sugestões; são fornecidos pelo Titular da conta ou por um administrador da organização, quando cria um Utilizador adicional e lhe atribui o nome e o endereço de correio eletrónico; são gerados pela utilização da Plataforma (dados de segurança, histórico de atividade, alertas); ou são comunicados pela Stripe Payments Europe, Ltd., no âmbito do processamento dos pagamentos.

2. Os dados das comunicações comerciais são fornecidos pelo próprio titular, quando consente recebê-las — na criação da Conta, em Definições → Notificações ou noutro meio em que preste o seu consentimento, designadamente em sessões e eventos —, ou, tratando-se de pessoas coletivas, correspondem ao endereço de contacto profissional que estas divulgam publicamente.

3. O Utilizador criado por um administrador da organização é informado da presente Política na primeira comunicação que o Prestador lhe dirige e no rodapé da Plataforma.

4.ª — Finalidades e fundamentos jurídicos

1. Execução do contrato (artigo 6.º, n.º 1, alínea b), do RGPD): a criação e a gestão da Conta e dos Utilizadores, a autenticação, a prestação das funcionalidades da Plataforma, a gestão das subscrições e dos pagamentos, a emissão das faturas, o apoio ao utilizador e as comunicações relativas à execução do contrato, incluindo os avisos de renovação, de fim de acesso, de alteração dos Termos e Condições e dos preços.

2. Cumprimento de obrigações legais (artigo 6.º, n.º 1, alínea c), do RGPD): a emissão e a conservação das faturas e dos demais documentos fiscais e contabilísticos pelo prazo legalmente exigido, e o registo das versões dos Termos e Condições aceites, com a data e o endereço de rede, como prova da celebração e das alterações do contrato.

3. Interesses legítimos do Prestador (artigo 6.º, n.º 1, alínea f), do RGPD): a segurança da Plataforma e das Contas — designadamente a limitação de tentativas de início de sessão, o aviso ao Utilizador de cada novo início de sessão (que este pode desativar em Definições → Notificações), a deteção e a prevenção de acessos não autorizados e de utilização abusiva —, o histórico de atividade da Conta, disponibilizado ao Cliente para a supervisão dos seus Utilizadores, a resposta às sugestões e a melhoria do serviço, incluindo a conservação dos pedidos de suporte e das sugestões nos termos da secção 7.ª, a contagem das visitas ao Site e da sua origem, para conhecer a forma como o Site é encontrado — não sendo contados os visitantes cujo navegador sinaliza a oposição ao seguimento (Do Not Track ou Global Privacy Control) —, e a defesa dos direitos do Prestador. O titular pode opor-se a estes tratamentos nos termos da secção 8.ª.

4. Consentimento (artigo 6.º, n.º 1, alínea a), do RGPD): o registo da origem do registo através do cookie «nomus_origem», que depende da aceitação expressa no aviso de cookies do Site; a resposta à pergunta «Como nos conheceu?»; as notificações no navegador ou no dispositivo, que dependem da autorização concedida pelo Utilizador ao navegador; e o envio de comunicações comerciais por correio eletrónico a pessoas singulares, nos termos do artigo 13.º-A da Lei n.º 41/2004, de 18 de agosto. O consentimento pode ser retirado a todo o tempo, sem prejuízo da licitude do tratamento anterior, através do aviso de cookies, das definições da Plataforma, das definições do navegador ou, quanto às comunicações comerciais, da ligação «Anular a subscrição» incluída em cada mensagem.

5. Comunicações comerciais a pessoas coletivas: o envio para o endereço de contacto profissional de pessoas coletivas funda-se no interesse legítimo do Prestador na divulgação da Plataforma (artigo 6.º, n.º 1, alínea f), do RGPD), no regime de oposição que o artigo 13.º-A da Lei n.º 41/2004, de 18 de agosto, prevê para as pessoas coletivas, e tem lugar após consulta da lista nacional de pessoas coletivas que se opõem à receção de comunicações comerciais. A conservação do registo das comunicações enviadas e da oposição destina-se a demonstrar o cumprimento destas regras e a garantir que a oposição é respeitada (artigo 6.º, n.º 1, alíneas c) e f), do RGPD).

6. O fornecimento do nome, do endereço de correio eletrónico e, para a subscrição de um plano, dos dados de faturação é necessário à celebração e à execução do contrato; sem esses dados a Conta não pode ser criada nem a subscrição contratada. Os restantes dados são facultativos, designadamente a imagem da assinatura, que é inserida nos documentos apenas por iniciativa do próprio Utilizador, e nunca por outro Utilizador.

7. O Prestador não toma decisões exclusivamente automatizadas que produzam efeitos jurídicos na esfera do titular ou que o afetem significativamente de forma similar, nem define perfis com esse fim.

5.ª — Destinatários dos dados

1. Os dados pessoais são tratados pelo Prestador e pelas pessoas por este autorizadas, vinculadas a um dever de confidencialidade, na medida do necessário às finalidades indicadas.

2. O Prestador recorre a subcontratantes que asseguram a infraestrutura de alojamento e de cópias de segurança, o armazenamento dos ficheiros, o processamento dos pagamentos, a emissão das faturas e o envio do correio eletrónico, transacional e das comunicações comerciais. Os subcontratantes estão identificados no anexo à presente Política, com a finalidade e a localização do tratamento, e é a mesma lista que consta do anexo aos Termos e Condições. Cada subcontratante trata os dados apenas mediante instruções do Prestador e ao abrigo de um contrato que assegura as garantias exigidas pelo artigo 28.º do RGPD.

3. Os dados pessoais podem ainda ser comunicados a autoridades judiciais, fiscais, de supervisão ou policiais, quando a lei o imponha ou uma ordem de autoridade competente o determine, e aos consultores jurídicos e contabilísticos do Prestador, no estrito âmbito das suas funções.

4. O Prestador não vende nem cede dados pessoais a terceiros para fins de marketing e não comunica dados pessoais a redes de publicidade. Os identificadores de clique referidos na secção 2.ª, n.º 6, são conservados pelo Prestador e não são, à data da presente Política, transmitidos às plataformas de publicidade que os geraram.

6.ª — Transferências internacionais

1. A Plataforma e a base de dados são alojadas em servidores situados na União Europeia. Os ficheiros carregados e gerados na Plataforma são armazenados na União Europeia.

2. O envio do correio eletrónico, transacional e das comunicações comerciais, é assegurado por um subcontratante estabelecido nos Estados Unidos da América, identificado no anexo, ao abrigo das cláusulas contratuais-tipo aprovadas pela Comissão Europeia, nos termos do artigo 46.º, n.º 2, alínea c), do RGPD. Os dados transmitidos para esse efeito limitam-se ao endereço de correio eletrónico do destinatário e ao conteúdo da mensagem.

3. Não são efetuadas outras transferências de dados pessoais para países terceiros. Caso venham a sê-lo, o Prestador assegura a observância dos mecanismos previstos no Capítulo V do RGPD e atualiza a presente Política.

7.ª — Prazos de conservação

1. Os dados da Conta e dos Utilizadores são conservados durante a vigência da Conta. Cessada a Subscrição sem que a Conta seja encerrada, a Conta e os respetivos dados são conservados durante 90 dias contados do termo da última subscrição ou do período experimental; encerrada a Conta pelo Titular da conta, durante 30 dias. Decorrido o prazo aplicável, os dados são eliminados de forma definitiva, incluindo das cópias de segurança no ciclo normal de rotação destas, nos termos da cláusula 17.ª dos Termos e Condições. A imagem da assinatura é conservada até o Utilizador a substituir ou remover, em Definições → Dados gerais, ou até à eliminação da sua conta, momento em que é eliminada. As cópias da assinatura que o Utilizador tenha inserido em documentos integram esses documentos, que constituem Dados do Cliente regidos pela cláusula 10.ª dos Termos e Condições, e não são eliminadas com a remoção da assinatura.

2. As faturas, os registos das subscrições e dos pagamentos e os demais documentos fiscais e contabilísticos são conservados pelo prazo legal de conservação, atualmente de 10 anos, ainda que a Conta seja eliminada; os dados de identificação a eles associados limitam-se aos que a lei fiscal exige. Os registos das aceitações dos Termos e Condições e dos avisos contratuais enviados são conservados, após a eliminação da Conta, de forma que não permita identificar o titular, como prova da vigência do contrato.

3. As tentativas de início de sessão são conservadas durante 90 dias. As sessões cessam por inatividade ao fim de 30 minutos e, em qualquer caso, 30 dias após o início de sessão; os dispositivos de confiança são conservados durante 30 dias; os códigos de verificação e de autenticação expiram em minutos e são eliminados. As exportações de dados preparadas a pedido do Titular da conta são eliminadas 7 dias após ficarem disponíveis. As credenciais da conta de correio eletrónico são eliminadas quando o Utilizador a desliga ou quando a sua conta é eliminada.

4. O histórico de atividade da Conta é conservado durante a vigência da Conta e eliminado com ela. A eliminação de um Utilizador adicional pelo Titular da conta ou por um administrador não elimina o histórico: as ações que praticou e os registos que criou continuam identificados pelo seu nome, que é o único dado da sua conta que se conserva; as credenciais, o endereço de correio eletrónico, os elementos da autenticação de dois fatores, os dispositivos de confiança, as sessões, os alertas, os dados profissionais e a imagem da assinatura são eliminados. Os pedidos de suporte e as sugestões respeitam à organização do Cliente e podem ser consultados pelo Titular da conta e pelos administradores; atenta a sua utilidade para a correção de erros e para a melhoria da Plataforma, são conservados após a eliminação do Utilizador que os apresentou e após a eliminação da Conta, neste caso dissociados da identificação do Cliente e do autor (cláusula 13.ª dos Termos e Condições). O conteúdo dos pedidos de suporte e das sugestões é da exclusiva responsabilidade do Utilizador que os apresenta, que o declara expressamente ao submetê-los e se deve abster de neles incluir dados pessoais, próprios ou de terceiros, designadamente dos clientes do Cliente, que não sejam necessários à sua apreciação; o Prestador não responde pelos dados pessoais que o Utilizador aí inclua. Os direitos previstos na secção 8.ª exercem-se, quanto a estes dados, nos termos e com os limites do RGPD, designadamente do seu artigo 17.º, n.º 3. Os dados relativos à origem do registo são conservados enquanto a Conta existir; o cookie «nomus_origem» tem a duração indicada na Política de cookies. Os dados de navegação no Site são conservados durante treze meses; a chave diária que permite relacionar as visitas de um mesmo dia é eliminada no dia seguinte.

5. Os dados das comunicações comerciais são conservados enquanto o titular não se opuser ou não retirar o consentimento e, no caso dos Utilizadores, até à eliminação da sua conta. O registo de cada comunicação enviada é conservado durante 3 anos. Retirado o consentimento ou exercida a oposição, o Prestador conserva apenas um resumo criptográfico irreversível do endereço de correio eletrónico, com a data, para garantir que não volta a enviar comunicações comerciais para esse endereço.

8.ª — Direitos dos titulares dos dados

1. O titular dos dados tem o direito de aceder aos seus dados pessoais, de os retificar, de obter o seu apagamento, de limitar o tratamento, de se opor ao tratamento fundado em interesses legítimos, à portabilidade dos dados e a retirar o consentimento a todo o tempo, nos termos dos artigos 15.º a 22.º do RGPD.

2. A Plataforma permite exercer diretamente vários destes direitos: a consulta e a retificação dos dados do perfil, das definições de segurança e dos dados de faturação, bem como a substituição e a remoção da imagem da assinatura, em Definições; a exportação integral dos dados da Conta, em formatos estruturados e de leitura corrente, em Definições → Dados; e o encerramento da Conta, em Definições → Dados gerais, que determina a eliminação dos dados nos prazos indicados na secção 7.ª. O Utilizador adicional exerce estes direitos junto do Titular da conta, que gere a Conta em nome do Cliente, ou junto do Prestador.

3. Os demais pedidos são dirigidos ao Prestador, através do endereço suporte@nomus.pt ou do suporte da Plataforma, e são respondidos no prazo de um mês, prorrogável nos termos do artigo 12.º, n.º 3, do RGPD. O Prestador pode solicitar a confirmação da identidade do requerente antes de dar seguimento ao pedido. O exercício dos direitos é gratuito, salvo nos casos previstos no artigo 12.º, n.º 5, do RGPD.

4. O titular dos dados pode opor-se a todo o tempo, gratuitamente e sem indicar motivo, ao envio de comunicações comerciais, através da ligação «Anular a subscrição» incluída em cada mensagem, que não exige início de sessão, em Definições → Notificações, se for Utilizador, ou por pedido dirigido ao Prestador. A oposição produz efeitos de imediato.

5. O titular dos dados tem ainda o direito de apresentar reclamação à autoridade de controlo competente, a Comissão Nacional de Proteção de Dados (CNPD), em www.cnpd.pt.

9.ª — Segurança

1. O Prestador adota as medidas técnicas e organizativas adequadas ao risco, designadamente: a cifragem das comunicações entre o navegador e a Plataforma; a conservação das palavras-passe apenas sob a forma de resumo criptográfico; a autenticação de dois fatores e o desbloqueio por chave de acesso do próprio dispositivo, disponibilizados a todos os Utilizadores; a limitação das tentativas de início de sessão; o aviso por correio eletrónico de cada novo início de sessão, quando ativado; a cessação automática das sessões inativas; a cifragem das credenciais das contas de correio eletrónico ligadas à Plataforma; o controlo de acessos por organização e por perfil; e as cópias de segurança regulares.

2. O Utilizador é responsável pela confidencialidade das suas credenciais e pela utilização dos mecanismos de segurança disponibilizados, nos termos da cláusula 4.ª dos Termos e Condições, e deve comunicar ao Prestador, sem demora, qualquer suspeita de acesso não autorizado.

10.ª — Cookies, menores e alterações

1. A utilização de cookies e de tecnologias semelhantes no Site e na Plataforma é regulada pela Política de cookies, disponível em /cookies, que identifica cada cookie, a sua finalidade e a sua duração.

2. A Plataforma destina-se a profissionais e não se dirige a menores de 18 anos. O Prestador não recolhe conscientemente dados pessoais de menores; caso tome conhecimento de que o fez, elimina-os.

3. O Prestador pode alterar a presente Política, designadamente por força de alterações legislativas, da evolução da Plataforma ou da lista de subcontratantes. Cada versão é identificada pela data e publicada no Site; as alterações materiais são comunicadas aos Utilizadores por correio eletrónico ou por aviso na Plataforma.

Anexo — Subcontratantes

Entidades a que o Prestador recorre, com a finalidade e a localização do tratamento (a mesma lista do anexo aos Termos e Condições):