Politique de confidentialité (professionnels et titulaires qui reçoivent un lien)

1. À qui s'applique cette politique

Cette politique s'applique (a) aux Professionnels qui disposent d'un compte sur Titus Docs, et (b) aux personnes qui reçoivent d'un Professionnel un lien de collecte et autorisent, par ce moyen, l'obtention de leurs documents (les « Titulaires »). Si vous utilisez Titus Docs directement en tant que particulier, sans passer par un professionnel, c'est la Politique de confidentialité pour les particuliers qui s'applique.

Titus Docs est un service privé du produit TitusOne, exploité par [ENTIDADE OPERADORA — NIPC, morada].

2. Responsable du traitement et sous-traitant

Dans le cadre de la collecte de documents, le Professionnel qui a demandé les documents est le responsable du traitement des données personnelles du Titulaire : il détermine les finalités pour lesquelles les données sont collectées et doit disposer d'une base légale pour le faire. Titus Docs agit en qualité de sous-traitant, en traitant les données pour le compte du Professionnel et conformément à ses instructions, en vertu d'un contrat de sous-traitance conclu conformément à l'article 28 du RGPD.

S'agissant des données de compte et de facturation du Professionnel lui-même, ainsi que des journaux de sécurité et d'audit du service, Titus Docs agit en qualité de responsable du traitement.

Si vous êtes Titulaire et souhaitez savoir qui vous a demandé les documents et dans quel but, cette information figure dans le lien que vous avez reçu et peut être demandée au Professionnel concerné.

3. Données personnelles traitées

Données du Professionnel : nom, adresse e-mail, téléphone, données de l'entreprise et de facturation, données d'utilisation du compte, historique des demandes et des crédits.

Données du Titulaire : nom, adresse e-mail ou téléphone utilisés pour l'envoi du lien, NIF et NISS, l'enregistrement du consentement et les documents officiels obtenus sur les portails. Ces documents peuvent contenir des données telles que l'adresse fiscale, les revenus, la situation contributive, des données de sécurité sociale, des biens immobiliers ou des engagements de crédit, selon ce que le Titulaire a autorisé.

Identifiants d'accès : les mots de passe et les codes SMS saisis par le Titulaire sont traités à titre exceptionnel, conformément à la section 5, et uniquement pendant la collecte.

Données techniques : adresse IP, type de navigateur et journaux d'accès, à des fins de sécurité et de détection des abus. Nous ne collectons pas intentionnellement de catégories particulières de données ; toutefois, les documents officiels peuvent contenir des informations sensibles, qui sont traitées avec le même niveau de protection et uniquement aux fins de la collecte.

4. Finalités et fondements juridiques

Exécuter la collecte demandée par le Professionnel et lui remettre les documents. En ce qui concerne le traitement des données du Titulaire, le fondement est déterminé par le Professionnel en sa qualité de responsable du traitement ; il s'agit normalement du consentement du Titulaire (article 6, paragraphe 1, point a), du RGPD) ou de mesures précontractuelles prises à la demande du Titulaire (point b)). Titus Docs se limite à exécuter le traitement dans les conditions définies.

Gérer le compte, les crédits et la facturation du Professionnel : exécution du contrat (article 6, paragraphe 1, point b)) et respect d'obligations légales, notamment fiscales et comptables (point c)).

Conserver les registres de consentement et d'audit, afin de prouver que le consentement a été donné et que le service a été fourni dans les conditions autorisées : intérêt légitime (point f)) et respect d'obligations légales, le cas échéant.

Sécurité du service, prévention de la fraude et des abus, et amélioration technique : intérêt légitime (article 6, paragraphe 1, point f)), après mise en balance des droits et des attentes des personnes concernées.

Répondre aux demandes et réclamations et, si nécessaire, défendre des droits dans le cadre de procédures : intérêt légitime et respect d'obligations légales.

5. Identifiants des portails

Pour obtenir les documents, le Titulaire saisit ses identifiants sur la page de collecte : NIF et mot de passe de l'Administration fiscale et douanière (Finanças), NISS et mot de passe du portail en ligne de la Sécurité sociale (Segurança Social Direta) et, lorsque le portail le demande, le code reçu par SMS. L'accès à la Banque du Portugal (Banco de Portugal) s'effectue au moyen de l'authentification de l'Administration fiscale (Finanças).

Ces identifiants sont chiffrés en AES-256-GCM dès leur réception, utilisés uniquement par le robot qui effectue la collecte, dans un navigateur isolé, et supprimés à la fin de la collecte. Ils sont conservés pendant une durée maximale de 24 heures, à l'expiration de laquelle ils sont supprimés, même si la collecte n'a pas été menée à terme. Le Professionnel ne les voit jamais et nous ne les utilisons à aucune autre fin ; nous ne les enregistrons pas non plus dans des fichiers journaux.

Le Titulaire peut interrompre la collecte à tout moment. Nous vous recommandons de modifier vos mots de passe une fois la collecte terminée.

6. Conservation des données

Identifiants : supprimés à la fin de la collecte et, en tout état de cause, dans un délai maximal de 24 heures.

Documents PDF obtenus : conservés pendant 30 jours afin que le Professionnel puisse les télécharger, puis supprimés automatiquement. Le Professionnel peut les supprimer avant l'expiration de ce délai. Les documents que le Professionnel a téléchargés dans ses propres systèmes relèvent de sa seule responsabilité.

Registres de consentement et d'audit : conservés pendant 5 ans, à des fins de preuve, de respect d'obligations légales et de défense de droits.

Données de compte et de facturation du Professionnel : pendant la durée du contrat, puis pendant les durées légales de conservation fiscale et comptable.

À l'expiration de ces délais, les données sont supprimées ou anonymisées de manière irréversible.

7. Destinataires et sous-traitants

Les données du Titulaire sont mises à la disposition du Professionnel qui a demandé les documents. Nous ne vendons pas de données personnelles et ne les utilisons pas à des fins publicitaires.

Nous faisons appel à des sous-traitants, dans le cadre de contrats conformes à l'article 28 du RGPD : hébergement sur un serveur dédié dans l'Union européenne (Allemagne) ; Stripe, pour les paiements (uniquement les données de facturation et de paiement du Professionnel) ; Cloudflare, pour les services DNS.

Nous pouvons également communiquer des données aux autorités publiques, lorsque la loi l'exige ou le permet, ainsi qu'à nos conseillers professionnels, tenus à une obligation de confidentialité.

8. Transferts internationaux

Les données des documents et des identifiants sont traitées et conservées sur un serveur situé dans l'Union européenne (Allemagne). Certains de nos prestataires, tels que Stripe et Cloudflare, peuvent traiter des données limitées (comme des données de paiement ou des adresses IP) en dehors de l'Espace économique européen. Dans ce cas, le transfert repose sur des mécanismes prévus par le RGPD, tels que des décisions d'adéquation ou des clauses contractuelles types, complétés par des mesures supplémentaires lorsque cela est nécessaire.

9. Sécurité

Nous appliquons des mesures techniques et organisationnelles appropriées : chiffrement des identifiants (AES-256-GCM), chiffrement des communications, navigateur isolé pour chaque collecte, contrôle des accès en fonction des rôles, journalisation des accès, sauvegardes et suppression automatique dans les délais définis.

En cas de violation de données personnelles entraînant un risque pour les droits des personnes concernées, nous en informerons le Professionnel dans les meilleurs délais, afin qu'il puisse remplir ses obligations en tant que responsable du traitement, et nous coopérerons avec lui et avec l'autorité de contrôle.

10. Droits des personnes concernées, modalités d'exercice et réclamation auprès de la CNPD

Conformément au RGPD, vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation du traitement, de portabilité et d'opposition, ainsi que du droit de retirer votre consentement à tout moment, sans que cela ne compromette la licéité du traitement déjà effectué, et du droit de ne pas faire l'objet de décisions fondées exclusivement sur un traitement automatisé produisant des effets significatifs.

Si vous êtes Titulaire, vous devez adresser votre demande au Professionnel qui vous a demandé les documents, celui-ci étant le responsable du traitement. Vous pouvez également nous écrire à dpo@titusone.pt : nous transmettrons votre demande au Professionnel et, dans la mesure du possible, nous l'aiderons à y répondre, par exemple en supprimant immédiatement les documents. Si vous êtes Professionnel, ou pour les données dont nous sommes responsables, la demande peut être adressée directement à dpo@titusone.pt.

Nous répondons dans un délai d'un mois, prorogeable dans les conditions prévues par la loi. Nous pouvons demander des informations complémentaires afin de confirmer l'identité de l'auteur de la demande.

Si vous estimez que le traitement de vos données enfreint la loi, vous avez le droit d'introduire une réclamation auprès de la Commission nationale de protection des données (Comissão Nacional de Proteção de Dados — CNPD), sur www.cnpd.pt, sans préjudice de tout autre recours administratif ou juridictionnel.

11. Cookies

Nous utilisons uniquement des cookies techniques, strictement nécessaires au fonctionnement du site : un cookie de session, qui maintient votre session ouverte, et un cookie de préférence de thème (clair ou sombre). Nous n'utilisons pas de cookies publicitaires, d'analyse comportementale ni de suivi ; il n'est donc pas nécessaire de recueillir votre consentement pour leur utilisation. Vous pouvez supprimer ou bloquer ces cookies dans les paramètres de votre navigateur, mais certaines fonctionnalités risquent de ne plus fonctionner.

12. Modifications et contacts

Nous pouvons mettre à jour cette politique. La date de la dernière mise à jour figure en haut de cette page et, en cas de modification importante, nous en informerons les Professionnels par e-mail ou dans le Bureau virtuel (Escritório Virtual).

Contact pour la protection des données : dpo@titusone.pt. Contact général : geral@titusone.pt. Entité exploitante : [ENTIDADE OPERADORA — NIPC, morada].