Política de privacidad (profesionales y titulares que reciben un enlace)

1. A quién se aplica esta política

Esta política se aplica (a) a los Profesionales que tienen cuenta en Titus Docs y (b) a las personas que reciben de un Profesional un enlace de recogida y, por ese medio, autorizan la obtención de sus documentos (los «Titulares»). Si utiliza Titus Docs directamente como particular, sin pasar por un profesional, se aplica la Política de privacidad para particulares.

Titus Docs es un servicio privado del producto TitusOne, gestionado por [ENTIDADE OPERADORA — NIPC, morada].

2. Responsable y encargado del tratamiento

En la recogida de documentos, el Profesional que solicitó los documentos es el responsable del tratamiento de los datos personales del Titular: decide con qué fines se recogen los datos y debe contar con una base jurídica para hacerlo. Titus Docs actúa como encargado del tratamiento, tratando los datos en nombre del Profesional y siguiendo sus instrucciones, en virtud de un contrato de encargo del tratamiento conforme al artículo 28 del RGPD.

En cuanto a los datos de cuenta y de facturación del propio Profesional, así como a los registros de seguridad y de auditoría del servicio, Titus Docs actúa como responsable del tratamiento.

Si usted es Titular y desea saber quién le ha solicitado los documentos y con qué fin, esa información figura en el enlace que recibió y puede solicitarse al Profesional correspondiente.

3. Datos personales tratados

Datos del Profesional: nombre, correo electrónico, teléfono, datos de la empresa y de facturación, datos de uso de la cuenta, registro de solicitudes y de créditos.

Datos del Titular: nombre, correo electrónico o teléfono utilizados para el envío del enlace, NIF y NISS, el registro del consentimiento y los documentos oficiales obtenidos en los portales. Estos documentos pueden contener datos como el domicilio fiscal, los ingresos, la situación contributiva, datos de seguridad social, bienes inmuebles o responsabilidades crediticias, según lo que el Titular haya autorizado.

Credenciales de acceso: las contraseñas y los códigos SMS introducidos por el Titular se tratan de forma excepcional, en los términos de la sección 5, y únicamente durante la recogida.

Datos técnicos: dirección IP, tipo de navegador y registros de acceso, con fines de seguridad y de detección de abusos. No recogemos categorías especiales de datos de forma intencionada; no obstante, los documentos oficiales pueden contener información sensible, que se trata con el mismo nivel de protección y únicamente para la finalidad de la recogida.

4. Finalidades y bases jurídicas del tratamiento

Ejecutar la recogida solicitada por el Profesional y entregarle los documentos. En cuanto al tratamiento de los datos del Titular, la base jurídica la determina el Profesional como responsable y suele ser el consentimiento del Titular (artículo 6, apartado 1, letra a), del RGPD) o la aplicación de medidas precontractuales a petición del Titular (letra b)). Titus Docs se limita a ejecutar el tratamiento en las condiciones definidas.

Gestionar la cuenta, los créditos y la facturación del Profesional: ejecución del contrato (artículo 6, apartado 1, letra b)) y cumplimiento de obligaciones legales, en particular fiscales y contables (letra c)).

Mantener registros de consentimiento y de auditoría, para acreditar que se otorgó el consentimiento y que el servicio se prestó en los términos autorizados: interés legítimo (letra f)) y cumplimiento de obligaciones legales, cuando proceda.

Seguridad del servicio, prevención del fraude y de los abusos, y mejora técnica: interés legítimo (artículo 6, apartado 1, letra f)), tras ponderar los derechos y las expectativas de los interesados.

Atender solicitudes y reclamaciones y, cuando sea necesario, defender derechos en procedimientos: interés legítimo y cumplimiento de obligaciones legales.

5. Credenciales de los portales

Para obtener los documentos, el Titular introduce sus credenciales en la página de recogida: NIF y contraseña del portal de la Autoridad Tributaria y Aduanera (Finanças), NISS y contraseña del portal de la Seguridad Social (Segurança Social Direta) y, cuando el portal lo solicita, el código recibido por SMS. El acceso al Banco de Portugal se realiza mediante la autenticación de Finanças.

Estas credenciales se cifran con AES-256-GCM en el momento en que se reciben, las utiliza únicamente el robot que realiza la recogida, en un navegador aislado, y se eliminan al finalizar la recogida. Tienen un plazo máximo de 24 horas, transcurrido el cual se eliminan aunque la recogida no haya concluido. El Profesional nunca las ve y nosotros no las utilizamos para ninguna otra finalidad ni las anotamos en ficheros de registro.

El Titular puede interrumpir la recogida en cualquier momento. Le recomendamos que cambie sus contraseñas una vez concluida la recogida.

6. Conservación de los datos

Credenciales: se eliminan al finalizar la recogida y, en cualquier caso, en un plazo máximo de 24 horas.

Documentos PDF obtenidos: se conservan durante 30 días para que el Profesional pueda descargarlos y después se eliminan automáticamente. El Profesional puede eliminarlos antes de que venza dicho plazo. Los documentos que el Profesional haya descargado en sus sistemas pasan a estar bajo su exclusiva responsabilidad.

Registros de consentimiento y de auditoría: se conservan durante 5 años, a efectos probatorios, de cumplimiento de obligaciones legales y de defensa de derechos.

Datos de cuenta y de facturación del Profesional: durante la vigencia del contrato y, posteriormente, durante los plazos legales de conservación fiscal y contable.

Finalizados los plazos, los datos se eliminan o se anonimizan de forma irreversible.

7. Destinatarios y encargados del tratamiento

Los datos del Titular se ponen a disposición del Profesional que solicitó los documentos. No vendemos datos personales ni los utilizamos con fines publicitarios.

Recurrimos a encargados del tratamiento, con contratos que cumplen el artículo 28 del RGPD: alojamiento en servidor dedicado en la Unión Europea (Alemania); Stripe, para los pagos (únicamente datos de facturación y de pago del Profesional); Cloudflare, para servicios de DNS.

Asimismo, podemos comunicar datos a las autoridades públicas, cuando la ley lo exija o lo permita, y a nuestros asesores profesionales, sujetos a deber de confidencialidad.

8. Transferencias internacionales

Los datos de los documentos y de las credenciales se tratan y almacenan en un servidor situado en la Unión Europea (Alemania). Algunos de nuestros proveedores, como Stripe y Cloudflare, pueden tratar datos limitados (como datos de pago o direcciones IP) fuera del Espacio Económico Europeo. En esos casos, la transferencia se basa en mecanismos previstos en el RGPD, como decisiones de adecuación o cláusulas contractuales tipo, y en medidas complementarias cuando sea necesario.

9. Seguridad

Aplicamos medidas técnicas y organizativas adecuadas: cifrado de las credenciales (AES-256-GCM), cifrado de las comunicaciones, navegador aislado para cada recogida, control de accesos por función, registro de accesos, copias de seguridad y eliminación automática en los plazos definidos.

En caso de violación de la seguridad de los datos personales que suponga un riesgo para los derechos de los interesados, lo notificaremos al Profesional sin dilación indebida, para que cumpla sus obligaciones como responsable, y colaboraremos con él y con la autoridad de control.

10. Derechos de los interesados, cómo ejercerlos y reclamación ante la CNPD

De conformidad con el RGPD, usted tiene derecho de acceso, rectificación, supresión, limitación del tratamiento, portabilidad y oposición, así como derecho a retirar su consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento ya efectuado, y a no ser objeto de decisiones basadas únicamente en el tratamiento automatizado que produzcan efectos significativos.

Si usted es Titular, debe dirigir su solicitud al Profesional que le solicitó los documentos, que es el responsable. También puede escribirnos a dpo@titusone.pt: remitiremos la solicitud al Profesional y, cuando sea posible, ayudaremos a responderla, por ejemplo eliminando de inmediato los documentos. Si usted es Profesional, o respecto de los datos de los que somos responsables, la solicitud puede dirigirse directamente a dpo@titusone.pt.

Respondemos en el plazo de un mes, prorrogable en los términos legales. Podemos solicitar información adicional para confirmar la identidad de quien presenta la solicitud.

Si considera que el tratamiento de sus datos infringe la ley, tiene derecho a presentar una reclamación ante la autoridad portuguesa de protección de datos (Comissão Nacional de Proteção de Dados, CNPD), en www.cnpd.pt, sin perjuicio de cualquier otro recurso administrativo o judicial.

11. Cookies

Utilizamos únicamente cookies técnicas, estrictamente necesarias para el funcionamiento del sitio: una cookie de sesión, que mantiene su sesión iniciada, y una cookie de preferencia de tema (claro u oscuro). No utilizamos cookies publicitarias, de análisis del comportamiento ni de seguimiento, por lo que no es necesario solicitar su consentimiento para utilizarlas. Puede eliminar o bloquear estas cookies en la configuración del navegador, pero es posible que algunas funcionalidades dejen de funcionar.

12. Modificaciones y contacto

Podemos actualizar esta política. La fecha de la última actualización figura en la parte superior de esta página y, en caso de modificación relevante, informaremos a los Profesionales por correo electrónico o en la Oficina Virtual (Escritório Virtual).

Contacto para protección de datos: dpo@titusone.pt. Contacto general: geral@titusone.pt. Entidad gestora: [ENTIDADE OPERADORA — NIPC, morada].