Політика конфіденційності (для фахівців і суб’єктів даних, які отримують посилання)

1. До кого застосовується ця політика

Ця політика застосовується (a) до Фахівців, які мають обліковий запис у Titus Docs, і (b) до осіб, які отримують від Фахівця посилання для збирання документів і за його допомогою надають дозвіл на отримання своїх документів (далі — «Суб’єкти даних»). Якщо Ви користуєтеся Titus Docs безпосередньо як приватна особа, без участі фахівця, застосовується Політика конфіденційності для приватних осіб.

Titus Docs — це приватний сервіс продукту TitusOne, оператором якого є [ENTIDADE OPERADORA — NIPC, morada].

2. Контролер і обробник даних

Під час збирання документів Фахівець, який запитав документи, є контролером персональних даних Суб’єкта даних: він визначає, з якою метою збираються дані, і повинен мати для цього правову підставу. Titus Docs діє як обробник, обробляючи дані від імені Фахівця та відповідно до його вказівок на підставі договору про обробку даних згідно зі статтею 28 RGPD.

Щодо даних облікового запису та рахунків самого Фахівця, а також журналів безпеки й аудиту сервісу, Titus Docs діє як контролер.

Якщо Ви є Суб’єктом даних і хочете дізнатися, хто запитав Ваші документи і з якою метою, ця інформація міститься в отриманому Вами посиланні, і її можна запитати у відповідного Фахівця.

3. Персональні дані, що обробляються

Дані Фахівця: ім’я, адреса електронної пошти, номер телефону, дані компанії та дані для виставлення рахунків, дані про використання облікового запису, журнал запитів і кредитів.

Дані Суб’єкта даних: ім’я, адреса електронної пошти або номер телефону, використані для надсилання посилання, NIF і NISS, запис про згоду, а також офіційні документи, отримані на порталах. Ці документи можуть містити такі дані, як податкова адреса, доходи, стан сплати внесків, дані соціального забезпечення, нерухоме майно або кредитні зобов’язання — залежно від того, що дозволив Суб’єкт даних.

Облікові дані для входу: паролі та SMS-коди, введені Суб’єктом даних, обробляються у винятковому порядку відповідно до розділу 5 і лише під час збирання документів.

Технічні дані: IP-адреса, тип браузера та журнали доступу — для забезпечення безпеки та виявлення зловживань. Ми навмисно не збираємо особливі категорії даних; однак офіційні документи можуть містити чутливу інформацію, яка обробляється з тим самим рівнем захисту і лише з метою збирання документів.

4. Цілі та правові підстави обробки

Виконання збирання документів, запитаного Фахівцем, і передання йому документів. Щодо обробки даних Суб’єкта даних правову підставу визначає Фахівець як контролер; зазвичай це згода Суб’єкта даних (пункт «a» частини 1 статті 6 RGPD) або вжиття заходів до укладення договору на запит Суб’єкта даних (пункт «b»). Titus Docs лише здійснює обробку на визначених умовах.

Управління обліковим записом, кредитами та рахунками Фахівця: виконання договору (пункт «b» частини 1 статті 6) і виконання юридичних зобов’язань, зокрема податкових і бухгалтерських (пункт «c»).

Ведення записів про згоду та журналів аудиту, щоб довести, що згоду було надано і що послугу було надано на дозволених умовах: законний інтерес (пункт «f») і виконання юридичних зобов’язань, якщо це застосовно.

Безпека сервісу, запобігання шахрайству та зловживанням, а також технічне вдосконалення: законний інтерес (пункт «f» частини 1 статті 6) після зважування прав і обґрунтованих очікувань суб’єктів даних.

Відповіді на запити та скарги, а за потреби — захист прав у судових чи інших провадженнях: законний інтерес і виконання юридичних зобов’язань.

5. Облікові дані порталів

Щоб отримати документи, Суб’єкт даних вводить на сторінці збирання свої облікові дані: NIF і пароль до порталу Податкової та митної служби (Finanças), NISS і пароль до порталу соціального забезпечення (Segurança Social Direta), а також, якщо портал цього вимагає, код, отриманий в SMS. Доступ до Банку Португалії (Banco de Portugal) здійснюється через автентифікацію на порталі Податкової служби (Finanças).

Ці облікові дані шифруються за допомогою AES-256-GCM у момент їх отримання, використовуються лише роботом, який здійснює збирання, в ізольованому браузері, і видаляються після завершення збирання. Максимальний строк їх зберігання становить 24 години, після чого вони видаляються, навіть якщо збирання не було завершено. Фахівець ніколи їх не бачить, а ми не використовуємо їх для жодної іншої мети і не записуємо їх у файли журналів.

Суб’єкт даних може будь-коли перервати збирання документів. Рекомендуємо змінити паролі після завершення збирання.

6. Зберігання даних

Облікові дані: видаляються після завершення збирання, а в будь-якому разі — не пізніше ніж через 24 години.

Отримані PDF-документи: зберігаються протягом 30 днів, щоб Фахівець міг їх завантажити, після чого автоматично видаляються. Фахівець може видалити їх раніше цього строку. Документи, які Фахівець завантажив до своїх систем, переходять під його виключну відповідальність.

Записи про згоду та журнали аудиту: зберігаються протягом 5 років як доказ, а також для виконання юридичних зобов’язань і захисту прав.

Дані облікового запису та рахунків Фахівця: протягом строку дії договору, а після цього — протягом строків зберігання, передбачених податковим і бухгалтерським законодавством.

Після закінчення цих строків дані безповоротно видаляються або анонімізуються.

7. Одержувачі та обробники

Дані Суб’єкта даних надаються Фахівцю, який запитав документи. Ми не продаємо персональні дані і не використовуємо їх для реклами.

Ми залучаємо обробників на підставі договорів, що відповідають статті 28 RGPD: хостинг на виділеному сервері в Європейському Союзі (Німеччина); Stripe — для платежів (лише дані для виставлення рахунків і платіжні дані Фахівця); Cloudflare — для послуг DNS.

Ми також можемо передавати дані державним органам, якщо цього вимагає або це дозволяє закон, а також нашим професійним консультантам, які зобов’язані дотримуватися конфіденційності.

8. Міжнародні передачі даних

Дані документів і облікові дані обробляються та зберігаються на сервері в Європейському Союзі (Німеччина). Деякі з наших постачальників, як-от Stripe і Cloudflare, можуть обробляти обмежений обсяг даних (наприклад, платіжні дані або IP-адреси) за межами Європейського економічного простору. У таких випадках передача ґрунтується на механізмах, передбачених RGPD, таких як рішення про адекватність або стандартні договірні положення, а також, за потреби, на додаткових заходах.

9. Безпека

Ми застосовуємо належні технічні та організаційні заходи: шифрування облікових даних (AES-256-GCM), шифрування передавання даних, ізольований браузер для кожного збирання, контроль доступу залежно від ролі, журналювання доступу, резервне копіювання та автоматичне видалення у визначені строки.

У разі порушення безпеки персональних даних, що створює ризик для прав суб’єктів даних, ми без необґрунтованої затримки повідомимо Фахівця, щоб він міг виконати свої обов’язки як контролер, і співпрацюватимемо з ним і з наглядовим органом.

10. Права суб’єктів даних, порядок їх здійснення та скарга до CNPD

Відповідно до RGPD Ви маєте право на доступ, виправлення, видалення, обмеження обробки, перенесення даних і заперечення проти обробки, а також право будь-коли відкликати згоду, що не впливає на законність обробки, здійсненої до її відкликання, і право не підлягати рішенням, що ґрунтуються виключно на автоматизованій обробці та мають суттєві наслідки.

Якщо Ви є Суб’єктом даних, Вам слід звернутися із запитом до Фахівця, який запитав Ваші документи, оскільки він є контролером. Ви також можете написати нам на dpo@titusone.pt: ми перешлемо запит Фахівцю і, коли це можливо, допоможемо відповісти на нього, наприклад, негайно видаливши документи. Якщо Ви є Фахівцем, або щодо даних, контролером яких є ми, запит можна надіслати безпосередньо на dpo@titusone.pt.

Ми відповідаємо протягом одного місяця; цей строк може бути продовжено відповідно до закону. Ми можемо запросити додаткову інформацію для підтвердження особи заявника.

Якщо Ви вважаєте, що обробка Ваших даних порушує закон, Ви маєте право подати скаргу до Національної комісії із захисту даних (Comissão Nacional de Proteção de Dados, CNPD) на сайті www.cnpd.pt, без шкоди для будь-яких інших адміністративних чи судових засобів захисту.

11. Файли cookie

Ми використовуємо лише технічні файли cookie, суворо необхідні для роботи сайту: сеансовий cookie, який зберігає Ваш вхід у систему, і cookie з налаштуванням теми оформлення (світла чи темна). Ми не використовуємо рекламні cookie, cookie для аналізу поведінки чи відстеження, тому запитувати згоду на їх використання не потрібно. Ви можете видалити або заблокувати ці файли cookie в налаштуваннях браузера, але деякі функції можуть перестати працювати.

12. Зміни та контакти

Ми можемо оновлювати цю політику. Дата останнього оновлення зазначена вгорі цієї сторінки, а в разі суттєвих змін ми повідомимо Фахівців електронною поштою або у Віртуальному офісі (Escritório Virtual).

Контакт із питань захисту даних: dpo@titusone.pt. Загальний контакт: geral@titusone.pt. Оператор: [ENTIDADE OPERADORA — NIPC, morada].