Política de privacidade

Que dados tratamos, para quê, com que fundamento jurídico, a quem são comunicados, durante quanto tempo e como exercer os seus direitos, nos termos do RGPD (Regulamento (UE) 2016/679) e da LOPDGDD (Lei Orgânica espanhola 3/2018, de proteção de dados pessoais e garantia dos direitos digitais).

Este texto é uma tradução para português disponibilizada por conveniência. A versão espanhola é a vinculativa e prevalece em caso de divergência.

Antes de começar: dois papéis distintos

A Sourevo trata dados pessoais em dois papéis, e convém separá-los porque os direitos se exercem perante quem corresponde:

Como responsáveis pelo tratamento, tratamos os dados de quem visita o sítio web, das pessoas utilizadoras das contas de cliente e dos fornecedores que criam a sua própria conta no portal. É disso que trata esta política.
Como subcontratantes, tratamos os dados que cada organização cliente (importador, operador ou transitário) carrega ou utiliza no seu espaço: os seus fornecedores, parcelas e provas documentais, os dados do operador para o TRACES NT e o conteúdo das declarações que apresenta. Aí, a responsável pelo tratamento é essa organização e nós limitamo-nos a seguir as suas instruções, nos termos do acordo de subcontratação.

Quando um fornecedor decide partilhar uma parcela com um cliente, esse cliente passa a utilizá-la para a sua própria diligência devida e, para essa utilização, é ele o responsável pelo tratamento.

Se for um fornecedor ou produtor e um cliente da Sourevo tiver carregado os seus dados, quem deve atendê-lo é esse cliente. Se não souber qual é, escreva-nos e ajudamo-lo a contactá-lo.

1. Responsável pelo tratamento

Responsável: Juan Cantón Rodríguez, profissional independente, que opera sob a marca «Francodesystems».
NIF: 45492167F
Domicílio: Carrer de Pau Casals 19, 4º 2ª, 08213 Polinyà (Barcelona), España
Correio eletrónico: juan.canton@sourevo.com

Não designámos um Encarregado da Proteção de Dados, porque a atividade não se enquadra nos casos do artigo 37.º do RGPD e do artigo 34.º da LOPDGDD. Para qualquer questão de privacidade, utilize o endereço de correio eletrónico indicado.

2. Que dados tratamos como responsáveis

Pessoas utilizadoras das contas de cliente: nome, endereço de correio eletrónico, palavra-passe (guardada apenas como hash com argon2id, nunca em texto simples), organização a que pertencem (denominação social e NIF ou número de IVA) e a respetiva função nessa organização.
Fornecedores com conta própria no portal: nome, endereço de correio eletrónico, palavra-passe (apenas o hash), idioma preferido, verificação do endereço de correio eletrónico, identificação fiscal declarada (tipo, número e país), o resultado da sua validação e o nível de confiança daí resultante.
Dados que o fornecedor declara no seu portal: dados do fornecedor (nome, país, endereço de correio eletrónico, telefone), as suas parcelas (nome, país, superfície e geolocalização como ponto ou polígono), as provas documentais que anexa e com que clientes decide partilhar cada parcela. A geolocalização da parcela de um pequeno produtor pode constituir um dado pessoal.
Segurança e rastreabilidade: registo de auditoria das ações (o que foi feito, sobre o quê, quando e por que tipo de utilizador), códigos de utilização única para verificar o endereço de correio eletrónico ou redefinir a palavra-passe (guardamos apenas o respetivo hash), o endereço IP, utilizado em memória durante alguns minutos para limitar tentativas de acesso (não é guardado na base de dados), e os registos técnicos do servidor.
Suporte e contacto: o que nos comunicar por correio eletrónico ou WhatsApp.

Não solicitamos categorias especiais de dados (artigo 9.º do RGPD). Não utilizamos analítica, publicidade nem rastreadores de terceiros.

De onde provêm os dados. Quase todos nos são fornecidos por si. Há três exceções: se o administrador da sua organização o convidar, é ele quem nos fornece o seu nome e endereço de correio eletrónico; se um cliente o convidar como fornecedor, fornece-nos o seu nome e endereço de correio eletrónico para lhe enviarmos o convite (nesse caso atuamos como seus subcontratantes); e o resultado da validação da sua identificação fiscal provém do registo público consultado (VIES ou CNPJ).

3. Para que fins e com que fundamento jurídico

Finalidade	Dados	Fundamento jurídico
Criar e manter a sua conta, identificá-lo e prestar o serviço contratado ou solicitado	Conta de cliente ou de fornecedor, organização	Execução do contrato (artigo 6.º, n.º 1, alínea b), do RGPD). Se utilizar a conta como trabalhador de uma empresa cliente, o interesse legítimo em manter a relação com ela (artigo 6.º, n.º 1, alínea f), do RGPD e artigo 19.º da LOPDGDD)
Disponibilizar aos clientes que escolher as parcelas que declara como fornecedor	Dados do fornecedor, parcelas, provas documentais	Execução do contrato com o fornecedor (artigo 6.º, n.º 1, alínea b), do RGPD)
Validar a identificação fiscal do fornecedor em registos públicos e calcular o seu nível de confiança	Identificação fiscal e resultado da validação	Interesse legítimo na fiabilidade da informação da cadeia de abastecimento, que o próprio fornecedor procura ao declará-la (artigo 6.º, n.º 1, alínea f), do RGPD)
Enviar mensagens de correio eletrónico do serviço: verificação, convites, redefinição de palavra-passe, avisos da conta	Nome, endereço de correio eletrónico, idioma	Execução do contrato (artigo 6.º, n.º 1, alínea b), do RGPD)
Segurança, prevenção de abusos e registo de auditoria	Registos de auditoria e técnicos, IP em memória	Interesse legítimo em proteger o serviço e em poder demonstrar quem fez cada alteração (artigo 6.º, n.º 1, alínea f), do RGPD)
Cumprir obrigações legais: fiscais e contabilísticas quando houver faturação, e responder a pedidos das autoridades	Dados de faturação e os que forem exigidos	Obrigação jurídica (artigo 6.º, n.º 1, alínea c), do RGPD)
Responder a pedidos de informação e prestar suporte	O que nos comunicar	Execução do contrato ou diligências pré-contratuais (artigo 6.º, n.º 1, alínea b), do RGPD) e, para pedidos de informação gerais, interesse legítimo (artigo 6.º, n.º 1, alínea f), do RGPD)

Pode opor-se aos tratamentos baseados em interesse legítimo (ver o ponto 8). Atualmente não enviamos newsletters nem comunicações comerciais. O nível de confiança do fornecedor é um indicador baseado em verificações objetivas; não é uma decisão automatizada que produza efeitos jurídicos na sua esfera (artigo 22.º do RGPD): a decisão de trabalhar ou não com um fornecedor é tomada por cada cliente.

Os dados assinalados como obrigatórios nos formulários são necessários para prestar o serviço; sem eles, não podemos criar a conta ou realizar a operação.

Preparar, apresentar, alterar ou retirar declarações no TRACES NT não consta desta tabela porque o fazemos como subcontratantes, por instrução da organização cliente: a finalidade e o fundamento jurídico são decididos por ela.

4. A quem são comunicados os dados

Comissão Europeia (TRACES NT): quando uma organização cliente, ou o seu mandatário, ordena a apresentação de uma DDS, os dados da declaração (operador, produtos, quantidades, geolocalização das parcelas e referências) são enviados para o sistema de informação do EUDR gerido pela Comissão Europeia. Fazemo-lo como subcontratantes desse cliente. A partir daí, os dados ficam acessíveis às autoridades competentes dos Estados-Membros e às alfândegas. A Comissão trata-os de acordo com a sua própria regulamentação de proteção de dados (Regulamento (UE) 2018/1725).
Registos fiscais públicos: para validar a identificação fiscal de um fornecedor, consultamos o serviço VIES da Comissão Europeia (números de IVA da UE) ou o registo público do CNPJ do Brasil. Enviamos apenas o número e o país.
Clientes da Sourevo: as parcelas e os dados que um fornecedor decide partilhar com um cliente concreto, e apenas com esse cliente. Esse cliente utiliza-os como responsável pelo tratamento para a sua própria diligência devida.
Prestadores de serviços (subcontratantes): os indicados no ponto 5, com contrato de subcontratação nos termos do artigo 28.º do RGPD.
Autoridades e tribunais, quando uma lei a isso nos obrigue.

Não vendemos nem cedemos dados para fins comerciais.

5. Prestadores que nos ajudam a prestar o serviço

Hetzner Online GmbH (Alemanha): alojamento do servidor, que se encontra no seu centro de dados da Finlândia (União Europeia), com a base de dados e os ficheiros. A plataforma de implementação (Coolify) é gerida por nós nesse servidor; não é um terceiro.
Resend, Inc. (Estados Unidos): envio das mensagens de correio eletrónico do serviço. Recebe o endereço de destino, o nome e o conteúdo da mensagem, e guarda-os nos Estados Unidos.
Mollie B.V. (Países Baixos): pagamentos com cartão e débitos diretos SEPA. Recebe os dados de faturação, o nome do titular e o IBAN ou os dados do cartão, que nós não guardamos. Para os dados de pagamento atua também como responsável pelo tratamento, com a sua própria política de privacidade.
Holded Technologies S.L. (Espanha): programa de faturação. Recebe os dados de faturação dos clientes que pagam (denominação social, NIF, morada e e-mail) e os montantes faturados.
Google Cloud EMEA Limited (Irlanda), com o Google Workspace: a caixa de correio de juan.canton@sourevo.com. Recebe o que nos escrever por correio eletrónico.
Cloudflare, Inc. (Estados Unidos): apenas a resolução DNS do domínio sourevo.com. O tráfego do sítio web não passa pela Cloudflare (sem proxy), pelo que não recebe o conteúdo das suas visitas nem dos seus dados.

Se nos escrever por WhatsApp, esse serviço é prestado pela WhatsApp Ireland Limited, com as suas próprias condições e a sua própria política de privacidade. Não o utilize para nos enviar dados de terceiros; para isso, utilize o correio eletrónico.

6. Transferências internacionais

Os dados do serviço são alojados na União Europeia. Há transferência para fora do Espaço Económico Europeu nos seguintes casos:

Resend, Inc. (EUA): com base nas cláusulas contratuais-tipo da Comissão Europeia incluídas no seu acordo de tratamento de dados e, além disso, na decisão de adequação relativa ao Quadro de Privacidade de Dados UE-EUA (Data Privacy Framework), no qual a Resend está certificada.
Google (Workspace): o contrato é celebrado com uma empresa irlandesa, mas a Google pode tratar dados noutros países, incluindo os EUA. Essas transferências baseiam-se nas cláusulas contratuais-tipo do seu acordo de tratamento de dados e no Quadro de Privacidade de Dados UE-EUA.
Cloudflare, Inc. (EUA): limitada a dados técnicos de resolução DNS, com base no mesmo Quadro de Privacidade de Dados e em cláusulas contratuais-tipo.
Registo do CNPJ do Brasil: é consultado um número de identificação de empresa brasileira, com o fim de validar a identidade que o próprio fornecedor declarou.

Pode pedir-nos mais informações sobre estas garantias através de juan.canton@sourevo.com.

7. Durante quanto tempo os conservamos

Conta: enquanto estiver ativa. Após o cancelamento, os dados são bloqueados (artigo 32.º da LOPDGDD) durante os prazos em que possam ser exigidas responsabilidades (em geral, 5 anos para ações contratuais e até 6 anos para a documentação contabilística e fiscal), sendo depois eliminados.
Declarações (DDS) e dados carregados por um cliente: conservamo-los como subcontratantes, de acordo com as instruções do cliente e com o previsto no acordo de subcontratação. Por defeito, o arquivo de declarações é guardado bloqueado durante 5 anos a contar de cada apresentação, que é o prazo mínimo que o EUDR impõe ao operador.
Registo de auditoria: enquanto existir o dado a que se refere e, no máximo, 5 anos.
Códigos de utilização única: até expirarem ou serem utilizados.
IP para limitar tentativas: apenas em memória, durante a janela de controlo (minutos).
Registos técnicos do servidor: o tempo estritamente necessário para a segurança e a resolução de incidentes e, no máximo, 30 dias.
Contas experimentais que não contratam: são eliminadas num prazo razoável após o fim do período experimental, mediante aviso prévio.
Pedidos de suporte: enquanto durar o pedido e até um ano depois.

8. Os seus direitos

Pode exercer os direitos de acesso, retificação, apagamento, oposição, limitação do tratamento e portabilidade, bem como o direito de não ficar sujeito a decisões tomadas exclusivamente com base no tratamento automatizado, escrevendo para juan.canton@sourevo.com. Só lhe pediremos que comprove a sua identidade se tivermos dúvidas razoáveis. Respondemos no prazo de um mês, prorrogável por mais dois meses em casos complexos (e informá-lo-íamos disso).

Se considerar que não tratámos devidamente o seu pedido, pode apresentar reclamação à Agência Espanhola de Proteção de Dados (AEPD) (C/ Jorge Juan 6, 28001 Madrid, Espanha, www.aepd.es) ou à autoridade de controlo do país onde reside ou trabalha.

Se os seus dados tiverem sido carregados por um cliente da Sourevo, dirija-se a esse cliente; se o seu pedido nos chegar a nós, reencaminhá-lo-emos para ele.

9. Segurança

Aplicamos medidas técnicas e organizativas adequadas ao risco: ligações cifradas (HTTPS), palavras-passe com hash argon2id, credenciais do TRACES NT cifradas com AES-256-GCM, cookies de sessão assinados, HttpOnly e Secure, isolamento dos dados de cada organização em cada consulta, visibilidade das parcelas controlada pelo fornecedor, histórico de declarações apenas de adição, limitação de tentativas de acesso e acesso mínimo indispensável. Comprometemo-nos ainda a manter cópias de segurança da base de dados dentro da União Europeia.

Nenhum sistema é infalível. Se sofrermos uma violação de dados pessoais que afete os seus dados, notificá-la-emos à AEPD nos casos e prazos do artigo 33.º do RGPD e avisá-lo-emos se implicar um elevado risco para si (artigo 34.º do RGPD).

10. Menores

A Sourevo é um serviço profissional e não se destina a menores de 18 anos. Não recolhemos conscientemente dados de menores; se detetarmos que foi criada uma conta por um menor, eliminá-la-emos.

11. Alterações a esta política

Se alterarmos esta política de forma relevante (por exemplo, um novo prestador ou uma nova finalidade), avisá-lo-emos por correio eletrónico ou na aplicação antes de a alteração ser aplicada. A data da última atualização figura acima.