Política de privacidade (profissionais e titulares que recebem um link)

1. A quem se aplica esta política

Esta política aplica-se (a) aos Profissionais que têm conta no Titus Docs, e (b) às pessoas que recebem de um Profissional um link de recolha e, por esse meio, autorizam a obtenção dos seus documentos (os «Titulares»). Se utilizar o Titus Docs diretamente como particular, sem passar por um profissional, aplica-se a Política de privacidade para particulares.

O Titus Docs é um serviço privado do produto TitusOne, operado por [ENTIDADE OPERADORA — NIPC, morada].

2. Responsável pelo tratamento e subcontratante

Na recolha de documentos, o Profissional que pediu os documentos é o responsável pelo tratamento dos dados pessoais do Titular: decide para que fins os dados são recolhidos e tem de ter uma base legal para o fazer. O Titus Docs atua como subcontratante, tratando os dados em nome do Profissional e segundo as suas instruções, ao abrigo de um acordo de subcontratação nos termos do artigo 28.º do RGPD.

Nos dados de conta e de faturação do próprio Profissional, bem como nos registos de segurança e de auditoria do serviço, o Titus Docs atua como responsável pelo tratamento.

Se for Titular e quiser saber quem lhe pediu os documentos e para que fim, essa informação consta do link que recebeu e pode ser pedida ao Profissional em causa.

3. Dados pessoais tratados

Dados do Profissional: nome, e-mail, telefone, dados da empresa e de faturação, dados de utilização da conta, registo de pedidos e de créditos.

Dados do Titular: nome, e-mail ou telefone usados para o envio do link, NIF e NISS, o registo do consentimento e os documentos oficiais obtidos nos portais. Estes documentos podem conter dados como morada fiscal, rendimentos, situação contributiva, dados de segurança social, bens imóveis ou responsabilidades de crédito, consoante o que o Titular tiver autorizado.

Credenciais de acesso: as senhas e os códigos SMS introduzidos pelo Titular são tratados de forma excecional, nos termos da secção 5, e apenas durante a recolha.

Dados técnicos: endereço IP, tipo de navegador e registos de acesso, para segurança e deteção de abusos. Não recolhemos categorias especiais de dados de forma intencional; contudo, os documentos oficiais podem conter informação sensível, que é tratada com o mesmo nível de proteção e apenas para a finalidade da recolha.

4. Finalidades e fundamentos de licitude

Executar a recolha pedida pelo Profissional e entregar-lhe os documentos. Quanto ao tratamento do Titular, o fundamento é determinado pelo Profissional enquanto responsável, e é normalmente o consentimento do Titular (artigo 6.º, n.º 1, alínea a), do RGPD) ou diligências pré-contratuais a pedido do Titular (alínea b). O Titus Docs apenas executa o tratamento nas condições definidas.

Gerir a conta, os créditos e a faturação do Profissional: execução do contrato (artigo 6.º, n.º 1, alínea b)) e cumprimento de obrigações legais, nomeadamente fiscais e contabilísticas (alínea c)).

Manter registos de consentimento e de auditoria, para provar que o consentimento foi dado e que o serviço foi prestado nos termos autorizados: interesse legítimo (alínea f)) e cumprimento de obrigações legais, quando aplicável.

Segurança do serviço, prevenção de fraude e de abusos, e melhoria técnica: interesse legítimo (artigo 6.º, n.º 1, alínea f)), depois de ponderados os direitos e as expectativas dos titulares.

Responder a pedidos e reclamações e, quando necessário, defender direitos em processos: interesse legítimo e cumprimento de obrigações legais.

5. Credenciais dos portais

Para obter os documentos, o Titular escreve, na página de recolha, as suas credenciais: NIF e senha das Finanças, NISS e senha da Segurança Social Direta e, quando o portal o pede, o código recebido por SMS. O acesso ao Banco de Portugal faz-se através da autenticação das Finanças.

Estas credenciais são cifradas com AES-256-GCM no momento em que são recebidas, usadas apenas pelo robô que faz a recolha, num navegador isolado, e apagadas no final da recolha. Têm um prazo máximo de 24 horas, findo o qual são apagadas mesmo que a recolha não tenha sido concluída. O Profissional nunca as vê e nós não as usamos para qualquer outra finalidade, nem as registamos em ficheiros de registo.

O Titular pode interromper a recolha a qualquer momento. Recomendamos que altere as senhas depois de concluída a recolha.

6. Conservação dos dados

Credenciais: apagadas no final da recolha, e em qualquer caso no prazo máximo de 24 horas.

Documentos PDF obtidos: guardados durante 30 dias, para o Profissional os poder descarregar, e depois apagados automaticamente. O Profissional pode apagá-los antes desse prazo. Os documentos que o Profissional tenha descarregado para os seus sistemas passam a estar sob a sua exclusiva responsabilidade.

Registos de consentimento e de auditoria: conservados durante 5 anos, para prova e para cumprimento de obrigações legais e de defesa de direitos.

Dados de conta e de faturação do Profissional: durante a vigência do contrato e, depois, pelos prazos legais de conservação fiscal e contabilística.

Terminados os prazos, os dados são apagados ou anonimizados de forma irreversível.

7. Destinatários e subcontratantes

Os dados do Titular são disponibilizados ao Profissional que pediu os documentos. Não vendemos dados pessoais nem os usamos para publicidade.

Recorremos a subcontratantes, com contratos que cumprem o artigo 28.º do RGPD: alojamento em servidor dedicado na União Europeia (Alemanha); Stripe, para pagamentos (apenas dados de faturação e de pagamento do Profissional); Cloudflare, para serviços de DNS.

Podemos ainda comunicar dados a autoridades públicas, quando a lei o exigir ou o permitir, e aos nossos consultores profissionais, sujeitos a dever de confidencialidade.

8. Transferências internacionais

Os dados dos documentos e das credenciais são tratados e guardados em servidor na União Europeia (Alemanha). Alguns dos nossos prestadores, como a Stripe e a Cloudflare, podem tratar dados limitados (como dados de pagamento ou endereços IP) fora do Espaço Económico Europeu. Nesses casos, a transferência assenta em mecanismos previstos no RGPD, como decisões de adequação ou cláusulas contratuais-tipo, e em medidas complementares quando necessário.

9. Segurança

Aplicamos medidas técnicas e organizativas adequadas: cifragem das credenciais (AES-256-GCM), cifragem das comunicações, navegador isolado para cada recolha, controlo de acessos por função, registo de acessos, cópias de segurança e apagamento automático nos prazos definidos.

Em caso de violação de dados pessoais que implique risco para os direitos dos titulares, notificaremos o Profissional sem demora injustificada, para que este cumpra as suas obrigações como responsável, e colaboraremos com ele e com a autoridade de controlo.

10. Direitos dos titulares, como os exercer e reclamação à CNPD

Nos termos do RGPD, tem direito de acesso, retificação, apagamento, limitação do tratamento, portabilidade e oposição, bem como o direito de retirar o consentimento a qualquer momento, sem comprometer a licitude do tratamento já efetuado, e de não ficar sujeito a decisões exclusivamente automatizadas com efeitos significativos.

Se for Titular, deve dirigir o pedido ao Profissional que lhe pediu os documentos, que é o responsável. Também pode escrever-nos para dpo@titusone.pt: encaminhamos o pedido ao Profissional e, quando possível, ajudamos a respondê-lo, por exemplo apagando de imediato os documentos. Se for Profissional, ou quanto aos dados em que somos responsáveis, o pedido pode ser dirigido diretamente a dpo@titusone.pt.

Respondemos no prazo de um mês, prorrogável nos termos legais. Podemos pedir informação adicional para confirmar a identidade de quem faz o pedido.

Se entender que o tratamento dos seus dados viola a lei, tem o direito de apresentar reclamação à Comissão Nacional de Proteção de Dados (CNPD), em www.cnpd.pt, sem prejuízo de qualquer outro meio administrativo ou judicial.

11. Cookies

Utilizamos apenas cookies técnicos, estritamente necessários ao funcionamento do site: um cookie de sessão, que mantém a sua sessão iniciada, e um cookie de preferência de tema (claro ou escuro). Não utilizamos cookies de publicidade, de análise de comportamento nem de seguimento, pelo que não é necessário pedir consentimento para os utilizar. Pode apagar ou bloquear estes cookies nas definições do navegador, mas algumas funcionalidades podem deixar de funcionar.

12. Alterações e contactos

Podemos atualizar esta política. A data da última atualização consta no topo desta página e, em caso de alteração relevante, informaremos os Profissionais por e-mail ou no Escritório Virtual.

Contacto para proteção de dados: dpo@titusone.pt. Contacto geral: geral@titusone.pt. Entidade operadora: [ENTIDADE OPERADORA — NIPC, morada].