Política de privacidade

Interesse legítimo prosseguido (Art. 6.º, n.º 1, al. f) RGPD): análise de padrões de utilização pseudonimizados para melhoria do produto, deteção de anomalias de segurança e relatórios de impacto para o cliente B2B. Ponderação documentada no RAT. Os titulares podem exercer o direito de oposição nos termos do Art. 21.º RGPD.

Obrigatoriedade de fornecimento de dados: os dados necessários para execução do contrato (nome, endereço, nome da empresa, email) são condição para prestação do serviço. A recusa impossibilita a entrega do kit físico e/ou o acesso à plataforma. Os dados recolhidos com base em consentimento são estritamente opcionais.

Art. 3.º Categorias Especiais de Dados

O Unplug Box não recolhe nem trata dados de categorias especiais (Art. 9.º RGPD) — nomeadamente dados de saúde, origem racial ou étnica, convicções religiosas ou filosóficas, filiação sindical, dados genéticos, dados biométricos, dados relativos à vida ou orientação sexual, ou dados relativos a condenações penais. Caso a empresa cliente pretenda integrar o serviço em programas que envolvam tais dados, deverá contactar o DPO [email protected], antes da implementação para avaliação prévia de conformidade e eventual DPIA (Art. 35.º RGPD).

Art. 4.º Decisões Automatizadas e Profiling

A App_i não recorre a decisões exclusivamente automatizadas, incluindo profiling, que produzam efeitos jurídicos sobre os titulares ou que os afetem de forma significativamente análoga (Art. 22.º RGPD).

Os relatórios de engagement são de natureza estatística e agregada. O cliente B2B não deve utilizá-los como fundamento exclusivo para decisões laborais com impacto significativo sobre colaboradores, sem prévia intervenção humana adequada.

Art. 5.º Privacy by Design e Privacy by Default

A App_i implementa os princípios de Privacy by Design e Privacy by Default (Art. 25.º RGPD; Art. 20.º Lei n.º 58/2019), através de: (i) recolha mínima de dados; (ii) pseudonimização dos dados de utilização na origem; (iii) configurações de privacidade protetoras por defeito — nenhum campo não essencial é pré-preenchido; (iv) isolamento lógico de dados por cliente (tenant isolation); (v) anonimização irreversível decorridos os prazos de conservação; (vi) integração de privacidade em todas as fases de desenvolvimento do produto.

Art. 6.º Avaliação de Impacto sobre a Proteção de Dados (DPIA)

A App_i avaliou a necessidade de DPIA (Art. 35.º RGPD; Diretrizes CEPD 09/2022). Considerando que: (i) dados de engagement são pseudonimizados e tratados de forma agregada; (ii) não existe tratamento em larga escala de dados sensíveis; (iii) não existem decisões exclusivamente automatizadas com efeitos jurídicos; (iv) o risco para direitos e liberdades é classificado como baixo a moderado — conclui-se que não existe obrigação de DPIA para o tratamento padrão do serviço.

Caso a empresa cliente integre dados de categorias especiais ou monitorização sistemática de colaboradores, poderá ser exigível DPIA ao cliente B2B enquanto Responsável pelo Tratamento.

Art. 7.º Responsável pelo Tratamento, Subcontratantes e RAT

A App_i atua como Responsável pelo Tratamento relativamente aos dados dos representantes dos clientes B2B e, como subcontratante em relação aos dados dos Colaboradores destinatários.

Em determinadas circunstâncias contratuais, pode atuar como Subcontratante por instrução do cliente B2B, nos termos de DPA celebrado ao abrigo do Art. 28.º RGPD. A App_i mantém RAT nos termos do Art. 30.º RGPD, disponível para a CNPD a qualquer momento.

Subcontratantes utilizados, todos vinculados por contrato que cumpre os requisitos mínimos do Art. 28.º, n.º 3 RGPD:

• Operadores logísticos e de expedição (kit físico) — dados de entrega exclusivamente para esse fim;

• Fornecedores de infraestrutura cloud e alojamento — localizados no EEE ou com garantias adequadas;

• Plataformas de processamento de pagamentos — certificadas PCI-DSS;

• Ferramentas de análise de desempenho — exclusivamente com dados pseudonimizados.

Lista atualizada disponível. Alterações à lista são comunicadas ao cliente B2B com antecedência mínima de 14 dias, com direito de oposição fundamentada, desde que tal oposição não coloque em risco o fornecimento do serviço contratado.

Art. 8.º Transferências Internacionais de Dados

A App_i não efetua transferências de dados pessoais para fora do EEE sem base legal adequada.

Quando necessárias, assentam em: (i) decisão de adequação da Comissão Europeia (Art. 45.º RGPD); (ii) Cláusulas Contratuais-Tipo — Decisão (UE) 2021/914, com Transfer Impact Assessment (TIA) documentado; ou (iii) BCRs. Lista de subcontratantes com localização fora do EEE disponível em [email protected].

Art. 9.º Medidas de Segurança

Medidas implementadas com base em avaliação de risco (Art. 32.º, n.º 1 RGPD):

• Encriptação em trânsito (TLS 1.2+) e em repouso;

• Controlo de acessos baseado em funções (RBAC) com princípio do menor privilégio;

• Pseudonimização de dados de engagement na origem;

• Isolamento lógico de dados por cliente (tenant isolation);

• Cópia de segurança, restauro e continuidade de negócio;

• Formação periódica dos colaboradores em proteção de dados;

• Testes de intrusão e avaliações de segurança regulares;

• Monitorização de acessos e deteção de anomalias.

Suspeitas de incidente de segurança devem ser reportadas imediatamente: [email protected] A segurança absoluta não pode ser garantida em nenhum sistema de informação.

Art. 10.º Violação de Dados Pessoais

Em caso de violação de dados pessoais, a App_i compromete-se a:

• Notificar a CNPD no prazo máximo de 72 horas (Art. 33.º RGPD);

• Comunicar a violação aos titulares afetados quando suscetível de implicar elevado risco (Art. 34.º RGPD);

• Notificar o cliente B2B sem demora injustificada e, salvo impossibilidade, no prazo máximo de 24 horas;

• Documentar todas as violações, incluindo as que não sejam objeto de notificação (Art. 33.º, n.º 5 RGPD).

Art. 11.º Direitos dos Titulares de Dados

Os titulares podem exercer os seguintes direitos gratuitamente a qualquer momento (salvo pedidos manifestamente infundados ou excessivos — Art. 12.º, n.º 5 RGPD).

Os pedidos devem ser acompanhados de identificação do titular; a App_i não exige cópia de documento de identificação exceto quando indispensável para evitar uso fraudulento.