Política de Privacidade - Shopilo Portugal

1. Responsável pelo tratamento

O responsável pelo tratamento, na aceção do artigo 4.º, n.º 7, do RGPD, relativamente ao tratamento de dados pessoais em www.shopilo.pt, é:

1.1 Encarregado de proteção de dados

Segundo a nossa avaliação, a designação de um encarregado de proteção de dados nos termos do artigo 37.º do RGPD não é atualmente obrigatória para a nossa empresa. Para todas as questões de proteção de dados, contacte [email protected].

1.2 O que NÃO recolhemos

A aplicação móvel Shopilo também não recolhe identificadores de publicidade móvel (Apple IDFA / Google Advertising ID) e não integra SDKs de publicidade nem SDKs de análise de terceiros. O Google Analytics 4 e o Meta Pixel funcionam apenas no website, não na aplicação.

2. Que dados tratamos e porquê?

A tabela seguinte apresenta uma visão geral de todas as atividades de tratamento em www.shopilo.pt:

2.1 Interesses legítimos (artigo 6.º, n.º 1, alínea f), do RGPD)

Recorremos ao interesse legítimo apenas de forma restrita: para garantir o funcionamento tecnicamente estável e seguro do serviço, detetar e prevenir abusos (registos de segurança dos servidores) e para o tratamento associado aos cookies estritamente necessários. Em conformidade com o direito português (artigo 5.º da Lei n.º 41/2004) e com as Orientações 05/2020 do Comité Europeu para a Proteção de Dados, não invocamos o interesse legítimo como fundamento para cookies não essenciais nem para análises estatísticas - o Google Analytics 4 funciona exclusivamente com base no seu consentimento. Na ponderação de interesses tivemos em conta que os dados são anonimizados no servidor antes de qualquer transmissão ao Google Analytics 4 (truncagem do IP através de proxy na UE, Google Signals desativado) e que nenhum dado é transmitido a terceiros para fins próprios destes.

2.2 Alertas de preço e newsletter - double opt-in

Os alertas de preço exigem o seu consentimento expresso, obtido através de um procedimento de double opt-in, nos termos do artigo 6.º, n.º 1, alínea a), do RGPD. Caso venhamos a disponibilizar uma newsletter, aplicar-se-á o mesmo regime; o consentimento é recolhido nos termos do artigo 13.º-A da Lei n.º 41/2004 (comunicações não solicitadas), em conjugação com o artigo 6.º, n.º 1, alínea a), do RGPD. O interesse legítimo está expressamente excluído como fundamento jurídico para marketing por e-mail.

2.3 Menores

O www.shopilo.pt não se dirige especificamente a crianças. Nos termos do artigo 16.º da Lei n.º 58/2019, em conjugação com o artigo 8.º do RGPD, a idade a partir da qual o menor pode consentir por si próprio no tratamento de dados relativo a serviços da sociedade da informação é, em Portugal, de 13 anos. Abaixo dos 13 anos, o consentimento cabe aos representantes legais. A criação de uma conta de utilizador está, além disso, reservada, enquanto condição comercial, a pessoas com pelo menos 18 anos. Não recolhemos conscientemente dados pessoais de menores de 13 anos; se tomarmos conhecimento de que tais dados foram recolhidos, eliminá-los-emos de imediato.

Aplicação móvel Shopilo — tratamento adicional

Para além do tratamento acima descrito, aplica-se o seguinte quando utiliza a aplicação móvel Shopilo (iOS e Android). O início de sessão na aplicação é feito sem palavra-passe: é enviado um código de utilização única ou uma ligação mágica (magic link) para o seu endereço de e-mail. A sua conta, as lojas que segue e as preferências de newsletter são os mesmos dados de conta que no website (ver categoria D acima).

O tratamento efetuado na aplicação com base no interesse legítimo (artigo 6.º, n.º 1, alínea f), do RGPD) compreende: o identificador estável da instalação da aplicação, utilizado para disponibilizar sessões de convidado e um acesso seguro à API; a atestação de integridade do dispositivo, efetuada através do Apple App Attest e do Google Play Integrity para proteger os nossos serviços contra abusos e ataques automatizados; e os diagnósticos de falhas e erros, utilizados para manter a aplicação estável. Os diagnósticos de falhas são tratados exclusivamente na nossa própria infraestrutura de monitorização de erros, alojada por nós (Sentry, operado pela DontPayFull SRL em servidores sob o nosso controlo). Nenhum destes dados é utilizado para publicidade ou definição de perfis.

3. Subcontratantes e destinatários

Recorremos aos seguintes subcontratantes, nos termos do artigo 28.º do RGPD. Com todos os subcontratantes foram celebrados contratos de subcontratação:

Outros terceiros só recebem os seus dados pessoais quando tal seja legalmente exigido (por exemplo, a pedido de autoridades de investigação criminal, mediante apresentação de uma ordem juridicamente válida) ou quando tenha dado o seu consentimento expresso.

Aplicação móvel Shopilo — destinatários adicionais

Se ativar as notificações push na aplicação móvel Shopilo, é gerado um token push através do Expo Push Service (650 Industries, Inc., EUA) e as notificações são entregues através do serviço de notificações da plataforma do seu dispositivo — Apple Push Notification service (Apple Inc.) no iOS ou Firebase Cloud Messaging (Google LLC) no Android. O token push é um identificador técnico de encaminhamento; não é utilizado para publicidade nem para rastreio entre aplicações. Para proteger a nossa API contra abusos, a aplicação verifica a integridade do dispositivo e da instalação da aplicação através do Apple App Attest (iOS) e da Google Play Integrity API (Android); no decurso desta verificação, a Apple ou a Google recebe um pedido técnico de atestação a partir do seu dispositivo. A aplicação verifica ainda periodicamente a existência de atualizações através do serviço EAS Update do Expo, o que implica tecnicamente a transmissão do seu endereço IP para os servidores do Expo.

4. Transferências internacionais de dados

Alguns dos nossos subcontratantes têm sede fora do Espaço Económico Europeu (EEE). Para essas transferências para países terceiros, garantimos o nível de proteção exigido pelos artigos 44.º e seguintes do RGPD da seguinte forma:

4.1 Google LLC e Meta Platforms Inc. - EU-US Data Privacy Framework

A Google LLC e a Meta Platforms Inc. estão certificadas ao abrigo do EU-US Data Privacy Framework (DPF), reconhecido pela Comissão Europeia através da decisão de adequação de 10 de julho de 2023 (C(2023) 4745). A transferência para os EUA é, por isso, admissível nos termos do artigo 45.º do RGPD. As certificações atuais podem ser consultadas em dataprivacyframework.gov.

4.2 Google Analytics 4 - medidas técnicas de proteção adicionais

4.3 Cloudflare Inc. - DPF e cláusulas contratuais-tipo

A Cloudflare está igualmente certificada ao abrigo do EU-US DPF. Adicionalmente, foram acordadas cláusulas contratuais-tipo (SCC) nos termos do artigo 46.º, n.º 2, alínea c), do RGPD. A maior parte do tratamento de dados é efetuada através de Points of Presence (PoPs) europeus, dentro do EEE.

4.4 Hetzner Online GmbH e CookieScript - intra-UE

A Hetzner Online GmbH (Alemanha) e o CookieScript (UE) tratam dados exclusivamente dentro do EEE. Para estes subcontratantes não são necessárias garantias especiais de transferência para países terceiros.

Apple Inc. e 650 Industries, Inc. (Expo) — aplicação móvel

No que respeita à aplicação móvel Shopilo, a Apple Inc. (Apple Push Notification service, App Attest) e a Google LLC (Firebase Cloud Messaging, Play Integrity) estão certificadas ao abrigo do EU-US Data Privacy Framework (DPF); as transferências para os EUA são, por isso, admissíveis nos termos do artigo 45.º do RGPD. A 650 Industries, Inc. (“Expo”, EUA) trata tokens push e pedidos de atualização da aplicação; estas transferências são salvaguardadas por cláusulas contratuais-tipo (SCC) nos termos do artigo 46.º, n.º 2, alínea c), do RGPD, celebradas no âmbito do contrato de subcontratação com o Expo.

5. Cookies e rastreio

A aplicação móvel Shopilo, em si, não instala cookies nem integra SDKs de rastreio, publicidade ou análise de terceiros. Esta secção diz respeito apenas ao website.

5.1 Gestão do consentimento através do CookieScript

Na primeira visita a www.shopilo.pt é-lhe apresentado um banner de cookies do CookieScript. Aí pode dar ou recusar o seu consentimento para cada categoria de cookies. As suas preferências são guardadas e podem ser retiradas ou alteradas a qualquer momento através da ligação «Definições de cookies» no rodapé. A retirada não afeta a licitude do tratamento efetuado com base no consentimento anteriormente prestado.

5.2 Categorias de cookies

Cookies tecnicamente necessários (sem opt-in, artigo 5.º, n.º 2, da Lei n.º 41/2004): São indispensáveis ao funcionamento do serviço, por exemplo para guardar a sua decisão de consentimento (cookie do CookieScript) ou para garantir funções básicas de segurança (Cloudflare).

Cookies de análise (opt-in nos termos do artigo 5.º, n.º 1, da Lei n.º 41/2004 + artigo 6.º, n.º 1, alínea a), do RGPD): Google Analytics 4 - ativo apenas se tiver dado o seu consentimento no banner de cookies. Em Portugal, o interesse legítimo não constitui fundamento válido para cookies de análise.

Cookies de marketing (opt-in nos termos do artigo 5.º, n.º 1, da Lei n.º 41/2004 + artigo 6.º, n.º 1, alínea a), do RGPD): Meta Pixel - ativo exclusivamente se tiver dado o seu consentimento expresso.

5.3 Cookies de afiliação

O www.shopilo.pt não coloca cookies de rastreio de afiliação. Quando clica numa ligação para uma loja e visita o website desta, a loja ou a respetiva rede de afiliação podem colocar cookies nos seus próprios domínios. Esses cookies regem-se exclusivamente pelas políticas de privacidade da respetiva loja ou rede, e não pela presente Política de Privacidade.

5.4 Opt-out do Google Analytics 4

Para além da gestão do consentimento através do CookieScript, pode desativar a recolha de dados pelo Google Analytics 4 com o complemento de navegador da Google: tools.google.com/dlpage/gaoptout

Encontra informações detalhadas sobre todos os cookies utilizados, respetivas durações e fornecedores na nossa Política de Cookies.

6. Prazos de conservação

Os dados pessoais são eliminados ou anonimizados logo que a finalidade do tratamento deixe de existir e não subsistam obrigações legais de conservação. A tabela seguinte resume os prazos:

Obrigações legais de conservação (por exemplo, obrigações de conservação de natureza fiscal ao abrigo do direito fiscal romeno) podem justificar, em casos concretos, prazos de conservação mais longos. Nesse caso, o tratamento limita-se ao âmbito legalmente exigido.

7. Os seus direitos

Enquanto titular dos dados, assistem-lhe, perante a DontPayFull SRL, os direitos seguintes. Para exercer os seus direitos, contacte [email protected]. Respondemos ao seu pedido no prazo de um mês (artigo 12.º, n.º 3, do RGPD).

7.1 Direitos ao abrigo do RGPD (artigos 15.º a 22.º)

7.2 Direito nacional aplicável - Lei n.º 58/2019

7.3 Inexistência de obrigação de fornecer dados

A utilização das funcionalidades básicas de www.shopilo.pt não exige o fornecimento de dados pessoais. Quando a utilização de determinadas funcionalidades (conta, alerta de preço) exija o fornecimento de dados, será informado disso no momento da introdução. A não disponibilização desses dados tem como única consequência a impossibilidade de utilizar a funcionalidade em causa.

8. Autoridades de controlo

Tem o direito de apresentar reclamação junto de uma autoridade de controlo em matéria de proteção de dados relativamente ao tratamento dos seus dados pessoais por nós (artigo 77.º do RGPD).

8.1 Autoridade de controlo principal (balcão único)

A autoridade de controlo principal competente nos termos do artigo 56.º do RGPD (mecanismo de balcão único) é a autoridade romena de proteção de dados:

8.2 Autoridade de controlo local para os utilizadores em Portugal

Os utilizadores em Portugal podem igualmente dirigir-se à Comissão Nacional de Proteção de Dados (CNPD):

O direito de reclamação junto da autoridade de controlo não prejudica quaisquer outras vias de recurso administrativo ou judicial.

9. Contacto e pedidos em matéria de proteção de dados

Para todas as questões de proteção de dados, para o exercício dos seus direitos ou para comunicações nesta matéria, contacte:

Respondemos aos pedidos em matéria de proteção de dados gratuitamente e no prazo de um mês (artigo 12.º, n.º 3, do RGPD). Em caso de pedidos complexos ou numerosos, este prazo pode ser prorrogado por mais dois meses, caso em que o informaremos previamente.

9.1 Comprovação de identidade nos pedidos dos titulares

Para proteger os seus dados contra acessos não autorizados, podemos solicitar uma comprovação de identidade adequada no âmbito dos pedidos dos titulares. Utilizaremos os dados de identificação recolhidos exclusivamente para o tratamento do seu pedido e eliminá-los-emos em seguida.

9.2 Alterações a esta Política de Privacidade

Reservamo-nos o direito de adaptar esta Política de Privacidade sempre que a legislação, as circunstâncias técnicas ou o nosso serviço se alterem. As alterações substanciais serão anunciadas com, pelo menos, 14 dias de antecedência relativamente à sua entrada em vigor, através de um aviso destacado em www.shopilo.pt ou, quando possível, por e-mail aos utilizadores registados. As alterações não se consideram aceites pela simples continuação da utilização do serviço; solicitar-lhe-emos uma tomada de conhecimento ativa. A data da última atualização, no topo da página, será ajustada em conformidade.

Encontra mais informações jurídicas na nossa Informação Legal, nos Termos e Condições e na Política de Cookies.