Política de Proteção de Dados (RGPD)

1. Introdução e Finalidade desta Política

Esta Política de Proteção de Dados explica os principais princípios e requisitos do Regulamento Geral sobre a Proteção de Dados (Regulamento (UE) 2016/679, doravante designado por RGPD), bem como os direitos das pessoas singulares no que respeita ao tratamento dos seus dados pessoais.

Esta política destina-se aos visitantes do nosso website, aos clientes e às pessoas que entram em contacto connosco no âmbito da nossa atividade de comércio eletrónico de mobiliário e artigos para o lar.

O objetivo é apresentar os princípios gerais aplicáveis à proteção de dados pessoais, tendo em conta o RGPD e a restante legislação de proteção de dados aplicável, incluindo as disposições legais portuguesas pertinentes, quando aplicáveis.

Esta política deve ser lida em conjunto com a nossa Política de Privacidade e a Política de Cookies. Não substitui as informações específicas legalmente exigidas sobre as operações de tratamento de dados efetivamente realizadas no nosso website.

2. Âmbito de Aplicação do RGPD

O RGPD protege as pessoas singulares relativamente ao tratamento dos seus dados pessoais. Consideram-se dados pessoais as informações relativas a uma pessoa singular identificada ou identificável.

O regulamento aplica-se, em geral, ao tratamento de dados pessoais realizado por meios total ou parcialmente automatizados, bem como a determinadas operações de tratamento não automatizado de dados pessoais incluídos ou destinados a ser incluídos num ficheiro.

A aplicabilidade do RGPD depende das circunstâncias concretas do tratamento e dos critérios estabelecidos nos artigos 2.º e 3.º do regulamento.

O RGPD pode ser aplicável, nomeadamente, nas seguintes situações:

• Estabelecimento na União Europeia: O tratamento é realizado no contexto das atividades de um estabelecimento de um responsável pelo tratamento ou de um subcontratante situado na União Europeia, independentemente de o tratamento ocorrer ou não dentro da União.

• Oferta de bens ou serviços: Um responsável pelo tratamento ou subcontratante sem estabelecimento na União Europeia trata dados de pessoas que se encontram na União, quando o tratamento está relacionado com a oferta de bens ou serviços dirigida a essas pessoas.

• Monitorização do comportamento: O tratamento está relacionado com a observação do comportamento de pessoas que ocorre na União Europeia, desde que estejam preenchidas as condições previstas no RGPD.

Uma vez que o nosso website se destina a disponibilizar produtos a consumidores em Portugal, a aplicabilidade do RGPD deve ser avaliada de acordo com o modelo de negócio efetivo e as operações de tratamento realizadas.

A existência de uma morada nos Estados Unidos não determina, por si só, a aplicabilidade ou a inaplicabilidade do RGPD, nem permite concluir onde os dados pessoais são efetivamente armazenados ou tratados.

Sempre que aplicável, devem também ser observadas as disposições da legislação portuguesa de proteção de dados, incluindo a Lei n.º 58/2019.

3. Princípios do Tratamento de Dados Pessoais

Nos termos do artigo 5.º do RGPD, o tratamento de dados pessoais deve respeitar os seguintes princípios:

• Licitude, lealdade e transparência: Os dados pessoais devem ser tratados de forma lícita, leal e transparente, com informações claras sobre as operações de tratamento realizadas.

• Limitação das finalidades: Os dados devem ser recolhidos para finalidades determinadas, explícitas e legítimas, não podendo ser posteriormente tratados de forma incompatível com essas finalidades.

• Minimização dos dados: Os dados tratados devem ser adequados, pertinentes e limitados ao necessário para as finalidades pretendidas.

• Exatidão: Os dados pessoais devem ser exatos e, sempre que necessário, atualizados. Os dados inexatos devem ser corrigidos ou eliminados nos termos da legislação aplicável.

• Limitação da conservação: Os dados pessoais não devem ser conservados durante mais tempo do que o necessário para as finalidades do tratamento, sem prejuízo das obrigações legais de conservação aplicáveis.

• Integridade e confidencialidade: Os dados devem ser protegidos através de medidas adequadas contra o acesso não autorizado, a perda, a destruição, a alteração ou a divulgação ilícita.

• Responsabilidade: O responsável pelo tratamento deve assegurar o cumprimento dos princípios de proteção de dados e conseguir demonstrá-lo quando exigido por lei.

As medidas concretas necessárias dependem da natureza, do âmbito, das finalidades e das circunstâncias do tratamento, bem como dos riscos para os direitos e as liberdades das pessoas singulares.

4. Fundamentos Jurídicos do Tratamento

Os dados pessoais só podem ser tratados quando existir um fundamento jurídico válido nos termos do artigo 6.º do RGPD. O fundamento adequado deve ser determinado para cada operação de tratamento, tendo em conta a sua finalidade e as circunstâncias concretas.

Os fundamentos jurídicos possíveis incluem:

• Consentimento: A pessoa deu o seu consentimento livre, específico, informado e inequívoco para o tratamento dos seus dados para uma ou mais finalidades determinadas.

• Execução de um contrato: O tratamento é necessário para executar um contrato no qual a pessoa é parte ou para realizar diligências pré-contratuais a seu pedido, como determinadas operações necessárias ao processamento de uma encomenda.

• Obrigação jurídica: O tratamento é necessário para cumprir uma obrigação legal aplicável ao responsável pelo tratamento.

• Interesses legítimos: O tratamento é necessário para prosseguir interesses legítimos do responsável pelo tratamento ou de terceiros, desde que não prevaleçam os direitos e as liberdades fundamentais da pessoa em causa.

• Interesses vitais: O tratamento é necessário para proteger os interesses vitais da pessoa em causa ou de outra pessoa singular.

• Interesse público ou exercício de autoridade pública: Este fundamento só pode ser utilizado quando o tratamento for necessário para o desempenho de uma função de interesse público ou para o exercício de autoridade pública com base numa disposição legal adequada.

A aceitação dos termos e condições de utilização não significa automaticamente que a pessoa consentiu em todas as operações de tratamento de dados pessoais.

Do mesmo modo, os interesses legítimos não podem substituir o consentimento quando este seja exigido pelas regras aplicáveis à utilização de cookies ou de tecnologias semelhantes.

As categorias especiais de dados pessoais previstas no artigo 9.º do RGPD estão sujeitas a requisitos adicionais. Quando esse tipo de dados for efetivamente tratado, deve existir um fundamento jurídico adequado nos termos do artigo 6.º e uma condição de licitude aplicável nos termos do artigo 9.º.

5. Responsável pelo Tratamento e Subcontratantes

5.1. Responsável pelo Tratamento

O responsável pelo tratamento, na aceção do artigo 4.º, n.º 7, do RGPD, é a pessoa singular ou coletiva, autoridade pública, agência ou outro organismo que determina as finalidades e os meios do tratamento de dados pessoais, individualmente ou em conjunto com outros.

Quando o RGPD for aplicável, o responsável pelo tratamento deve, nomeadamente:

• Assegurar a existência de um fundamento jurídico válido para cada operação de tratamento.

• Respeitar os princípios de proteção de dados e os direitos das pessoas em causa.

• Disponibilizar as informações de privacidade legalmente exigidas.

• Implementar medidas técnicas e organizativas adequadas aos riscos.

• Responder aos pedidos relativos aos direitos das pessoas em causa dentro dos prazos legais.

• Avaliar as violações de dados pessoais e efetuar as notificações exigidas por lei.

• Cumprir as obrigações aplicáveis de documentação, avaliação e demonstração de conformidade.

A identidade jurídica completa do responsável pelo tratamento associado ao website deve corresponder à entidade que efetivamente determina as finalidades e os meios do tratamento. Os dados de contacto, por si só, não substituem a identificação jurídica dessa entidade.

5.2. Subcontratantes

Um subcontratante é uma entidade que trata dados pessoais por conta do responsável pelo tratamento. A sua qualificação depende das funções efetivamente desempenhadas e não apenas da designação comercial utilizada.

Quando sejam utilizados subcontratantes, a relação deve cumprir os requisitos do artigo 28.º do RGPD, incluindo a celebração de um contrato ou outro ato jurídico vinculativo que estabeleça o objeto e a duração do tratamento, a sua natureza e finalidade, os tipos de dados pessoais, as categorias de pessoas em causa e os direitos e obrigações das partes.

Os subcontratantes devem cumprir as obrigações legais e contratuais que lhes sejam aplicáveis, proteger os dados pessoais e prestar a assistência legalmente exigida ao responsável pelo tratamento.

Os prestadores de serviços de pagamento, alojamento web, logística, análise ou publicidade eventualmente envolvidos devem ser identificados de acordo com os serviços efetivamente utilizados e com os respetivos papéis no tratamento de dados.

6. Direitos das Pessoas em Causa

Nos termos do RGPD, as pessoas em causa dispõem de vários direitos relativos aos seus dados pessoais. O exercício desses direitos depende das circunstâncias do tratamento e dos requisitos legais aplicáveis.

6.1. Direito à Informação

As pessoas em causa têm direito a receber as informações exigidas por lei sobre o tratamento dos seus dados pessoais. Estas informações podem incluir a identidade e os contactos do responsável pelo tratamento, as finalidades e os fundamentos jurídicos, os destinatários dos dados, os prazos de conservação ou os critérios utilizados para os determinar e os direitos disponíveis.

6.2. Direito de Acesso

Nos termos do artigo 15.º do RGPD, a pessoa em causa pode solicitar a confirmação de que os seus dados pessoais estão a ser tratados e, quando aplicável, obter acesso aos dados e às informações legalmente previstas sobre o respetivo tratamento.

6.3. Direito de Retificação

Nos termos do artigo 16.º do RGPD, a pessoa em causa pode solicitar a correção dos dados pessoais inexatos e a complementação dos dados incompletos, tendo em conta as finalidades do tratamento.

6.4. Direito ao Apagamento

Nos termos do artigo 17.º do RGPD, a pessoa em causa pode solicitar o apagamento dos seus dados pessoais quando estejam preenchidos os requisitos legais.

Este direito não é absoluto. A conservação dos dados pode continuar a ser permitida ou necessária, por exemplo, para cumprir obrigações legais de conservação ou para declarar, exercer ou defender direitos num processo judicial.

6.5. Direito à Limitação do Tratamento

Nas situações previstas no artigo 18.º do RGPD, a pessoa em causa pode solicitar a limitação do tratamento dos seus dados pessoais. Durante o período de limitação, o tratamento só poderá continuar nas condições permitidas pelo regulamento.

6.6. Direito à Portabilidade dos Dados

Nos termos do artigo 20.º do RGPD, a pessoa em causa pode, em determinadas circunstâncias, receber os dados pessoais que forneceu num formato estruturado, de uso corrente e de leitura automática, e transmiti-los a outro responsável pelo tratamento.

Este direito aplica-se às operações abrangidas pelas condições legais, nomeadamente quando o tratamento se baseia no consentimento ou num contrato e é realizado por meios automatizados.

6.7. Direito de Oposição

Nos termos do artigo 21.º do RGPD, a pessoa em causa pode opor-se a determinadas operações de tratamento baseadas no artigo 6.º, n.º 1, alíneas e) ou f), por motivos relacionados com a sua situação particular.

No caso do tratamento de dados pessoais para efeitos de marketing direto, a pessoa em causa tem o direito de se opor a qualquer momento. Após uma oposição válida, os dados pessoais deixam de poder ser tratados para essa finalidade.

6.8. Direito de Retirar o Consentimento

Quando o tratamento se baseia no consentimento, este pode ser retirado a qualquer momento, com efeitos para o futuro. A retirada não afeta a licitude do tratamento efetuado antes desse momento.

A retirada do consentimento deve ser tão simples como a sua concessão.

6.9. Decisões Individuais Automatizadas e Definição de Perfis

O artigo 22.º do RGPD prevê direitos específicos relativamente a determinadas decisões baseadas exclusivamente no tratamento automatizado, incluindo a definição de perfis, quando produzam efeitos jurídicos ou afetem significativamente a pessoa de forma semelhante.

Estes direitos estão sujeitos às condições, exceções e garantias previstas no RGPD. A existência de decisões automatizadas ou de definição de perfis no nosso website deve ser avaliada com base nas operações de tratamento efetivamente realizadas.

6.10. Exercício dos Direitos e Prazos de Resposta

Os pedidos relativos aos direitos de proteção de dados podem ser apresentados através dos contactos indicados nesta política.

Quando necessário e proporcional, poderemos solicitar informações adicionais para confirmar a identidade da pessoa que apresenta o pedido. Esta verificação deve limitar-se ao estritamente necessário. Não envie números completos de cartões bancários, palavras-passe ou outros dados confidenciais desnecessários.

Nos termos do artigo 12.º do RGPD, os pedidos devem, em regra, receber resposta no prazo de um mês a contar da sua receção. Este prazo pode ser prorrogado por mais dois meses, quando necessário, tendo em conta a complexidade e o número de pedidos. A pessoa em causa deve ser informada da prorrogação e dos respetivos motivos dentro do prazo inicial de um mês.

Os pedidos manifestamente infundados ou excessivos estão sujeitos às disposições específicas do RGPD. O exercício dos direitos pode também estar sujeito a limitações legais, dependendo das circunstâncias concretas.

7. Segurança dos Dados e Violações de Dados Pessoais

Nos termos do artigo 32.º do RGPD, os responsáveis pelo tratamento e os subcontratantes devem implementar medidas técnicas e organizativas adequadas para garantir um nível de segurança apropriado ao risco.

A avaliação deve considerar, entre outros fatores, o estado da técnica, os custos de implementação, a natureza, o âmbito, o contexto e as finalidades do tratamento, bem como a probabilidade e a gravidade dos riscos para os direitos e as liberdades das pessoas singulares.

Dependendo das circunstâncias, as medidas de segurança podem incluir controlos de acesso, encriptação, cópias de segurança, gestão de permissões, procedimentos de recuperação e mecanismos de deteção e resposta a incidentes.

Estes exemplos descrevem medidas possíveis e não constituem uma declaração de que todas elas já se encontram implementadas no nosso website.

Uma violação de dados pessoais pode envolver a destruição, perda, alteração, divulgação não autorizada ou acesso não autorizado a dados pessoais, de forma acidental ou ilícita.

Quando ocorre uma violação, devem ser avaliadas as obrigações legais aplicáveis:

• Notificação à autoridade de controlo: Nos termos do artigo 33.º do RGPD, o responsável pelo tratamento deve, em regra, notificar a autoridade de controlo competente sem demora injustificada e, sempre que possível, no prazo de 72 horas após ter conhecimento da violação, salvo se for improvável que esta resulte num risco para os direitos e as liberdades das pessoas singulares.

• Comunicação às pessoas em causa: Nos termos do artigo 34.º do RGPD, quando a violação for suscetível de implicar um elevado risco para os direitos e as liberdades das pessoas singulares, estas devem ser informadas sem demora injustificada, salvo quando se verifique uma das exceções legalmente previstas.

Nem todos os incidentes de segurança exigem, portanto, uma comunicação individual às pessoas afetadas. As obrigações aplicáveis dependem da natureza do incidente e do nível de risco envolvido.

8. Avaliação de Impacto e Responsabilidade pelo Cumprimento

O cumprimento do RGPD exige que as medidas de proteção de dados sejam adequadas às operações de tratamento efetivamente realizadas e aos riscos associados.

Nos termos do artigo 25.º do RGPD, quando aplicável, devem ser consideradas a proteção de dados desde a conceção e a proteção de dados por defeito. Isto implica integrar medidas e salvaguardas adequadas na conceção dos processos de tratamento.

O artigo 30.º do RGPD prevê, em regra, a manutenção de registos das atividades de tratamento pelos responsáveis pelo tratamento e pelos subcontratantes, sem prejuízo das exceções e condições legalmente previstas.

Nos termos do artigo 35.º do RGPD, deve ser realizada uma avaliação de impacto sobre a proteção de dados quando um tipo de tratamento, especialmente com recurso a novas tecnologias e tendo em conta a sua natureza, âmbito, contexto e finalidades, for suscetível de implicar um elevado risco para os direitos e as liberdades das pessoas singulares.

Esta obrigação pode aplicar-se, nomeadamente, a determinadas avaliações sistemáticas e abrangentes de aspetos pessoais, ao tratamento em larga escala de categorias especiais de dados e à monitorização sistemática de zonas acessíveis ao público em grande escala.

Uma avaliação de impacto não é automaticamente necessária para todas as atividades habituais de comércio eletrónico. A sua necessidade deve ser determinada com base nos critérios legais e nas operações efetivamente realizadas.

O princípio da responsabilidade exige que o responsável pelo tratamento consiga demonstrar o cumprimento das obrigações aplicáveis. Esta política não significa que tenha sido concluída uma avaliação de impacto, auditoria ou certificação específica.

9. Transferências Internacionais de Dados

As transferências de dados pessoais para países situados fora do Espaço Económico Europeu ou para organizações internacionais estão sujeitas ao capítulo V do RGPD, sempre que as respetivas disposições sejam aplicáveis.

Estas transferências só podem ocorrer quando estiverem preenchidas as condições legais pertinentes. Dependendo das circunstâncias, podem ser utilizados os seguintes mecanismos:

• Uma decisão de adequação da Comissão Europeia aplicável ao país, território, setor ou organização internacional em causa.

• Garantias adequadas nos termos do artigo 46.º do RGPD, incluindo cláusulas contratuais-tipo adotadas pela Comissão Europeia, acompanhadas de medidas suplementares quando necessárias.

• Uma derrogação prevista no artigo 49.º do RGPD, desde que estejam preenchidos os respetivos requisitos legais.

O mecanismo aplicável depende do destinatário, do país de destino, da natureza dos dados e da finalidade da transferência. As derrogações previstas no artigo 49.º não devem ser utilizadas como fundamento geral para transferências regulares sem uma avaliação dos requisitos legais específicos.

A morada de contacto indicada nesta política situa-se nos Estados Unidos. Esse facto, por si só, não permite concluir que todos os dados pessoais são armazenados nesse país ou que existe uma transferência internacional específica.

Os destinatários efetivos, os locais de tratamento e os mecanismos de transferência devem ser identificados com base nas condições técnicas e contratuais reais.

10. Encarregado da Proteção de Dados e Representante na União Europeia

10.1. Encarregado da Proteção de Dados

A designação de um Encarregado da Proteção de Dados (EPD/DPO) é obrigatória apenas nas situações previstas no artigo 37.º do RGPD.

Estas situações incluem, nomeadamente, determinados tratamentos realizados por autoridades ou organismos públicos, atividades principais que exijam um controlo regular e sistemático dos titulares dos dados em grande escala e determinadas operações de tratamento em grande escala de categorias especiais de dados pessoais ou de dados relativos a condenações penais e infrações.

A necessidade de designação deve ser avaliada com base nas atividades e operações de tratamento efetivamente realizadas. Esta política não identifica qualquer pessoa específica como Encarregado da Proteção de Dados.

10.2. Representante na União Europeia

Nos termos do artigo 27.º do RGPD, um responsável pelo tratamento ou subcontratante sem estabelecimento na União Europeia pode ter de designar por escrito um representante na União quando o RGPD lhe seja aplicável ao abrigo do artigo 3.º, n.º 2, salvo se estiver abrangido por uma exceção legal.

A obrigação depende das circunstâncias concretas, incluindo a natureza e a regularidade do tratamento, bem como a eventual realização de tratamentos em grande escala de categorias especiais de dados pessoais ou de dados relativos a condenações penais e infrações.

A morada nos Estados Unidos não permite determinar, por si só, se existe obrigação de designar um representante na União Europeia nem comprova que essa designação tenha sido efetuada.

11. Reclamações junto de uma Autoridade de Controlo

Se considerar que o tratamento dos seus dados pessoais viola o RGPD, tem o direito de apresentar uma reclamação junto de uma autoridade de controlo competente, nos termos do artigo 77.º do regulamento.

A reclamação pode ser apresentada, nas condições legalmente previstas, no Estado-Membro da sua residência habitual, do seu local de trabalho ou do local onde alegadamente ocorreu a infração.

Em Portugal, a Comissão Nacional de Proteção de Dados (CNPD) é a autoridade nacional de controlo em matéria de proteção de dados. A competência para apreciar uma reclamação específica depende das regras legais aplicáveis, podendo outras autoridades de controlo estar envolvidas em situações de tratamento transfronteiriço.

O direito de apresentar uma reclamação não prejudica o exercício de outros direitos ou meios de recurso previstos na legislação aplicável.

12. Relação com a Política de Privacidade e a Política de Cookies

Esta Política de Proteção de Dados, a Política de Privacidade e a Política de Cookies têm finalidades distintas, mas complementares.

• Política de Proteção de Dados: apresenta os princípios gerais do RGPD, os direitos das pessoas em causa e as principais responsabilidades relacionadas com a proteção de dados pessoais.

• Política de Privacidade: descreve as operações de tratamento efetivamente realizadas, incluindo as categorias de dados recolhidos, as finalidades, os fundamentos jurídicos, os destinatários e os prazos de conservação ou os critérios utilizados para os determinar.

• Política de Cookies: explica a utilização de cookies e tecnologias semelhantes, as respetivas finalidades e categorias, bem como as opções de consentimento e gestão disponíveis.

Estes documentos devem ser coerentes entre si e refletir as práticas efetivamente adotadas no website.

Esta política não substitui as informações específicas exigidas por lei nem o consentimento que possa ser necessário para a utilização de cookies ou tecnologias semelhantes. A disponibilidade de funcionalidades de gestão de consentimento depende da configuração técnica efetivamente implementada.

13. Alterações a Esta Política

Esta política pode ser atualizada quando ocorram alterações na legislação aplicável, nas atividades comerciais ou nas operações de tratamento de dados pessoais.

A versão publicada deve refletir o conteúdo atualmente aplicável. A atualização desta política não torna retroativamente lícito um tratamento anteriormente ilícito.

Sempre que exigido por lei, as alterações relevantes ao tratamento devem ser comunicadas às pessoas em causa e os requisitos legais adicionais devem ser cumpridos antes da implementação das novas operações.

14. Contactos

Se tiver dúvidas sobre esta política ou pretender exercer os seus direitos em matéria de proteção de dados, pode contactar-nos através dos seguintes meios:

Website: https://aubrinfiel.com

E-mail: team@aubrinfiel.com

Telefone: +1 (409) 672-8413

Morada: 3375 Haynes Loop, Kountze, TX 77625, Estados Unidos

Área de entrega: Portugal

Horário de atendimento: de segunda-feira a sexta-feira, das 09:00 às 18:00, CET.

A morada indicada situa-se nos Estados Unidos e não é apresentada como morada de um estabelecimento em Portugal ou de um representante na União Europeia.

As informações de contacto não substituem a identificação jurídica completa do responsável pelo tratamento nem outras informações que possam ser legalmente exigidas. Esses dados devem ser disponibilizados de acordo com a estrutura jurídica e as atividades efetivas da empresa.