Política de Privacidade para Comerciantes

Política de Privacidade dos Comerciantes

Esta política explica como a Zoctus trata os dados pessoais das pessoas que utilizam a área de gestão de uma loja alojada na plataforma: o comerciante que subscreve o serviço (o Aderente), os seus administradores e os seus colaboradores. Aplica-se à relação entre a Zoctus e o Aderente, identifica quem é responsável por cada tratamento e está escrita para ser lida sem conhecimentos jurídicos ou técnicos.

Responsável pelo tratamento e contactos

A Zoctus é a responsável pelo tratamento, na aceção do artigo 4.º, n.º 7, do Regulamento (UE) 2016/679 (RGPD), dos dados que trata para celebrar e executar o contrato com o Aderente e para operar a plataforma: os dados de registo e de identificação do negócio, os dados de faturação da subscrição, a prova de aceitação dos documentos legais, os dados de apoio e dos canais legais, e os dados de autenticação, de segurança e de auditoria descritos nesta política. A identificação completa da Zoctus (firma, morada e número de identificação fiscal) consta do rodapé do sítio da Zoctus. Para questões sobre a conta e o serviço, o contacto é support@zoctus.com. Para o exercício de direitos e para qualquer questão de proteção de dados, o contacto é legal@zoctus.com.

As contas que o Aderente cria e gere na sua área de gestão para os seus administradores e colaboradores seguem um regime diferente: é o Aderente quem decide quem tem acesso, com que função e durante quanto tempo, e é o Aderente quem pode consultar, exportar, suspender e eliminar essas contas, sem que a Zoctus valide essas decisões. Nessa parte, o responsável pelo tratamento é o Aderente e a Zoctus é subcontratante, nos termos do Acordo de Tratamento de Dados referido na secção seguinte, cabendo ao Aderente informar essas pessoas e responder aos seus pedidos. Mesmo quanto a essas contas, a Zoctus mantém a qualidade de responsável pelo tratamento nas finalidades que determina por si própria e que não resultam de instrução do Aderente: autenticação e segurança das contas, prevenção e deteção de fraude e de abuso, registos de auditoria, cumprimento das obrigações legais que sobre si impendem e exercício ou defesa de direitos em processo. Esta política descreve os dois casos, para que quem utiliza a área de gestão saiba o que é tratado, por quem e com que finalidade.

O que esta política não cobre: os dados dos clientes das lojas

Os dados pessoais dos clientes finais de cada loja (compradores registados, compradores sem conta, visitantes e destinatários de encomendas) não são tratados pela Zoctus para fins próprios. Nesse tratamento, o Aderente é o responsável pelo tratamento e a Zoctus é subcontratante, atuando por conta e segundo as instruções documentadas do Aderente, nos termos do Acordo de Tratamento de Dados (artigo 28.º do RGPD) disponível na área de gestão e aceite pelo Aderente. As finalidades e os meios desse tratamento são determinados pelo Aderente e não são validados pela Zoctus. Esses dados regem-se por esse acordo e pela política de privacidade da própria loja, e não por esta política. Se um administrador ou colaborador comprar na loja em que trabalha, nessa qualidade é cliente da loja e os dados dessa compra seguem o regime descrito neste parágrafo.

Que dados tratamos

Dados de registo e de conta: nome, endereço de email, idioma preferido, função atribuída (administrador ou colaborador), estado da conta e, quando fornecidos, telefone e número de identificação fiscal.

Dados de identificação do negócio: firma ou denominação, morada, número de identificação fiscal, email de contacto da loja e, quando preenchidos, registo comercial e autoridade de supervisão. Quando o Aderente é empresário em nome individual, estes elementos são também dados pessoais.

Dados de autenticação e de segurança: a palavra-passe, guardada apenas como derivação criptográfica (bcrypt) e nunca em texto legível; os tokens de sessão, de convite e de recuperação, guardados como resumo criptográfico; os códigos de verificação de email e de dispositivo; os dispositivos de confiança dos administradores e colaboradores (identificador do dispositivo, etiqueta, data da última utilização e data de validade); o endereço IP das autenticações e de determinadas ações; e os registos de auditoria da loja, que indicam quem fez o quê e quando.

Dados de faturação da subscrição: plano subscrito, identificadores de cliente e de subscrição junto do prestador de pagamentos, identidade de faturação (nome legal, número de identificação fiscal ou de IVA e, quando fornecida, morada de faturação) e o histórico de faturas, notas de crédito e comissões. Os dados do cartão são recolhidos e tratados diretamente pela Stripe, que atua como prestador de serviços de pagamento, e a Zoctus não lhes acede em momento algum.

Dados constantes de documentos fiscais: as faturas da subscrição e das comissões são emitidas através de software de faturação certificado e incluem um registo cifrado da identidade de faturação em vigor à data de cada documento, para que o documento possa ser reproduzido mais tarde.

Dados de apoio e de canais legais: o conteúdo das mensagens e dos anexos enviados nos pedidos de apoio, nas contestações de decisões da plataforma e nas notificações de conteúdo ilegal, bem como o endereço IP da submissão quando aplicável.

Dados de comunicação: o registo dos emails enviados pela plataforma (tipo, estado de entrega e resumo criptográfico do destinatário, nunca o endereço em texto legível), as preferências de email e a prova de aceitação de cada documento legal (versão, data, idioma apresentado e endereço IP).

Dados de utilização e de diagnóstico: registos técnicos de erro, aos quais são removidos os dados pessoais antes do envio para a ferramenta de monitorização, e, no sítio público da Zoctus, medição de utilização e ferramentas de publicidade próprias que só são carregadas mediante consentimento, conforme descrito na Política de Cookies.

A Zoctus não trata categorias especiais de dados (designadamente dados de saúde, biométricos, genéticos ou relativos a convicções), não vende dados pessoais e não os utiliza para treinar modelos de inteligência artificial.

Finalidades e fundamentos legais

Execução do contrato (artigo 6.º, n.º 1, alínea b), do RGPD): criar e manter a conta e a loja, autenticar o utilizador, disponibilizar as funcionalidades da plataforma, processar a subscrição e as comissões, prestar apoio e enviar as comunicações de serviço indispensáveis, como avisos de faturação, alterações do estado da loja, alertas de segurança e atualizações dos documentos legais.

Cumprimento de obrigações legais (artigo 6.º, n.º 1, alínea c)): emissão, comunicação e conservação de documentos fiscais, nos termos da legislação fiscal e contabilística aplicável à Zoctus; resposta a ordens e pedidos legítimos de autoridades competentes; e cumprimento dos deveres que o Regulamento (UE) 2022/2065 (Regulamento dos Serviços Digitais) impõe à Zoctus, incluindo o tratamento de notificações de conteúdo ilegal e a fundamentação das decisões que tome sobre uma loja.

Interesse legítimo (artigo 6.º, n.º 1, alínea f)): segurança da plataforma e das contas, prevenção e deteção de fraude e de abuso, manutenção de prova das aceitações contratuais e do funcionamento do serviço, e exercício ou defesa de direitos em processo. É possível opor-se a estes tratamentos nos termos da secção sobre direitos.

Consentimento (artigo 6.º, n.º 1, alínea a)): comunicações promocionais sobre a plataforma e cookies ou tecnologias semelhantes que não sejam estritamente necessários. O consentimento é livre e específico e pode ser retirado a qualquer momento, com efeito imediato para o futuro e sem afetar a licitude do tratamento anterior. Cada comunicação promocional inclui uma forma gratuita e simples de a recusar, que não exige autenticação nem resposta da Zoctus.

Comunicações que enviamos

As comunicações de serviço, de segurança, de faturação e de natureza legal fazem parte da execução do contrato e não podem ser recusadas enquanto a conta existir, porque sem elas o Aderente deixaria de saber, por exemplo, que a loja vai ser suspensa ou que um documento legal foi alterado. As comunicações promocionais sobre a plataforma dependem de consentimento prévio e cada mensagem inclui a ligação de cancelamento referida na secção anterior, que produz efeito de imediato.

Durante quanto tempo conservamos os dados

Dados de conta e da loja: enquanto a conta existir. Cessando a subscrição, ou sendo a loja suspensa e não reativada, os dados da loja são conservados durante 6 meses e depois eliminados. Esse período existe para permitir a reativação do serviço ou a exportação da informação.

Endereços IP: anulados automaticamente ao fim de 90 dias, mantendo-se o restante conteúdo do registo. Exceção deliberada: o endereço IP registado no momento em que um documento legal é aceite é elemento da prova dessa aceitação e é conservado enquanto essa prova puder ser necessária para demonstrar a que versão o Aderente ficou vinculado, o que pode ultrapassar o encerramento da conta, dado que os prazos de prescrição aplicáveis à relação contratual são mais longos. Esse endereço não é utilizado para qualquer outra finalidade, designadamente de segurança, de análise ou de comunicação promocional, e o registo de aceitação que subsiste depois de a conta ser encerrada não contém o nome nem o endereço de email de quem aceitou: fica apenas o identificador da loja à data, o identificador interno do utilizador que aceitou, o documento e a versão aceites, a data e esse endereço.

Registo de envio de emails: 90 dias.

Registos de auditoria da loja: 24 meses, exceto as ações com valor probatório (aceitação de documentos legais, exportações e apagamentos de dados a pedido do titular, decisões de moderação de conteúdo e emissão de documentos fiscais), que são conservadas enquanto forem necessárias como prova.

Registos das ações dos administradores da plataforma sobre uma loja: 2 anos.

Documentos fiscais e registos contabilísticos: pelo prazo de arquivo que a legislação fiscal e contabilística aplicável à Zoctus impõe a cada documento. Estes registos sobrevivem ao encerramento da conta e ao pedido de apagamento, com acesso restrito, porque a lei impõe a sua conservação.

Decisões automatizadas

A Zoctus não faz definição de perfis para fins publicitários nem para avaliar a solvência do Aderente. São tomadas por meios exclusivamente automatizados, com base em regras predefinidas, quatro medidas previstas nos Termos e Condições da Plataforma: a suspensão da loja quando a conta Stripe Connect associada permanece restringida pelo prestador de pagamentos durante mais de 14 dias; a suspensão da aceitação de pagamentos em linha quando o saldo dessa conta fica negativo; o alargamento do prazo que medeia entre a venda e a transferência dos fundos quando são detetados padrões anómalos de reembolsos ou de contestações; e a retenção das transferências de fundos da conta de pagamentos do Aderente enquanto a causa se mantiver, sendo as transferências retomadas automaticamente logo que esta cesse.

A suspensão da loja é a única destas medidas com efeito significativo sobre o Aderente. Nunca é o primeiro contacto, sendo precedida de aviso por email ao sétimo dia da restrição. A comunicação da suspensão indica expressamente que a decisão foi automatizada, expõe os motivos e informa do direito de obter intervenção humana, de expressar o seu ponto de vista e de contestar a decisão. A contestação é apresentada pelo canal de reclamação indicado na própria comunicação, disponível na área de gestão, dentro do prazo de 6 meses, e é decidida por escrito, de forma fundamentada, por uma pessoa da equipa da Zoctus, que pode revogar a decisão automatizada.

As outras três são medidas operacionais reversíveis e não implicam a perda de qualquer quantia: os fundos das vendas continuam a pertencer ao Aderente e voltam a ser transferidos para a sua conta bancária logo que a causa cesse, e os reembolsos aos clientes nunca são bloqueados. O Aderente é informado da medida e da sua causa, a medida é levantada logo que a causa deixe de se verificar e pode ser contestada pelo canal indicado no parágrafo anterior.

Quem tem acesso aos dados

Dentro da Zoctus, apenas o pessoal que necessita dos dados para operar o serviço, sujeito a dever de confidencialidade. Fora da Zoctus, recorremos a prestadores que tratam dados por nossa conta e segundo as nossas instruções, para alojamento aplicacional e base de dados na União Europeia, memória intermédia e estado transitório na União Europeia, armazenamento de ficheiros, distribuição e proteção do sítio, controlo de acesso à administração da plataforma, entrega de email transacional na União Europeia, processamento de pagamentos, faturação certificada, monitorização de erros e, mediante consentimento, medição de utilização do sítio público da Zoctus. Quando a loja é criada através de uma ligação de afiliado, o código dessa ligação é ainda comunicado ao fornecedor do programa de afiliados, de servidor para servidor, para que a comissão devida seja paga; esse fornecedor recebe um identificador pseudonimizado da loja e o nome da loja, nunca o nome nem o email de quem a criou. A identificação de cada prestador, a respetiva função e a região de tratamento constam da lista atualizada de subcontratantes, publicada e permanentemente acessível em /home/subprocessors, e qualquer alteração relevante é comunicada com pelo menos 30 dias de antecedência.

Podem ainda ser comunicados dados a autoridades públicas competentes, designadamente autoridades fiscais, autoridades de controlo em matéria de proteção de dados, o Coordenador dos Serviços Digitais competente, tribunais e autoridades policiais, quando a lei o exija ou o permita. No país onde a Zoctus está estabelecida, essas entidades são a Autoridade Tributária e Aduaneira, a Comissão Nacional de Proteção de Dados e a ANACOM enquanto Coordenador dos Serviços Digitais. Cada comunicação deste tipo é registada internamente, com indicação de quem a autorizou, que dados foram entregues, a quem, com que base legal e quando.

Transferências para fora do Espaço Económico Europeu

Os dados são alojados na União Europeia. Alguns dos prestadores indicados integram grupos com entidades nos Estados Unidos da América e podem, nessa medida, tratar dados fora do Espaço Económico Europeu. Nesses casos, a transferência assenta nas Cláusulas Contratuais-Tipo aprovadas pela Decisão de Execução (UE) 2021/914, nos módulos aplicáveis, já contratadas com os prestadores que tratam dados fora do Espaço Económico Europeu e, quando o destinatário esteja certificado ao abrigo do EU-US Data Privacy Framework, também na decisão de adequação correspondente, a título complementar. Se a decisão de adequação deixar de estar em vigor ou for anulada, a transferência continua a assentar nessas Cláusulas Contratuais-Tipo ou noutro mecanismo de transferência válido.

Segurança

A Zoctus aplica medidas técnicas e organizativas adequadas ao risco, nos termos do artigo 32.º do RGPD, entre as quais: cifragem em trânsito em todas as ligações externas; cifragem em repouso, com AES-256-GCM, de campos como o telefone, o número de identificação fiscal e as moradas (o nome e o endereço de email não são cifrados em repouso, porque o email identifica a conta na autenticação e tem de ser pesquisável); palavras-passe guardadas com bcrypt; tokens sensíveis guardados apenas como resumo criptográfico; isolamento estrito entre lojas, de modo a que nenhuma loja aceda aos dados de outra; tokens de acesso de curta duração com renovação por cookie seguro e deteção de reutilização; verificação por código enviado por email quando um administrador ou colaborador entra a partir de um dispositivo novo, com gestão e revogação dos dispositivos de confiança na própria conta; limitação de tentativas em pontos sensíveis; verificação anti-automatismos nos formulários públicos; mascaramento de endereços de email nos registos aplicacionais e remoção de dados pessoais antes do envio de erros para a ferramenta de monitorização; e registo de auditoria das ações relevantes.

Os seus direitos

Nos termos dos artigos 15.º a 22.º do RGPD, assistem-lhe os direitos de acesso, retificação, apagamento, limitação do tratamento, portabilidade e oposição, bem como o direito de retirar o consentimento a qualquer momento quanto aos tratamentos que nele assentam.

Para exercer estes direitos pode utilizar a página de privacidade da conta, acessível a partir da entrada "A minha conta" no menu do utilizador da área de gestão, onde é possível descarregar um ficheiro com os dados pessoais associados à conta, em formato legível por máquina, e pedir a eliminação da conta. Em alternativa, pode escrever para legal@zoctus.com. Quando o pedido disser respeito a uma conta de utilizador da área de gestão criada pelo Aderente, pode também dirigi-lo ao Aderente, que é o responsável pelo tratamento nessa parte. A resposta é dada no prazo de um mês a contar da receção do pedido, prorrogável por 2 meses em pedidos complexos, nos termos do artigo 12.º, n.º 3, do RGPD. O administrador da loja dispõe ainda, na área de gestão, da exportação integral dos dados da loja em formato legível por máquina.

O apagamento da conta é executado por anonimização irreversível: o nome e o endereço de email são substituídos por identificadores sem correspondência possível, os restantes elementos de contacto são eliminados e as sessões são encerradas. Os registos que a lei obriga a conservar, designadamente os documentos fiscais e a prova de aceitação dos documentos legais, mantêm-se pelos prazos indicados na secção sobre conservação. Por razões de continuidade do serviço, a eliminação da conta do último administrador ativo de uma loja só é possível depois de outra pessoa assumir essa função ou de a loja ser encerrada.

Se entender que o tratamento dos seus dados não respeita a lei, pode apresentar reclamação junto da autoridade de controlo do seu país, designadamente a do Estado-Membro da sua residência habitual, do seu local de trabalho ou do local onde ocorreu a alegada infração, nos termos do artigo 77.º do RGPD. A autoridade de controlo do país onde a Zoctus está estabelecida é a Comissão Nacional de Proteção de Dados, cujos contactos constam do respetivo sítio na Internet.

Violações de dados pessoais

Em caso de violação de dados pessoais suscetível de implicar um risco para os direitos e liberdades das pessoas, a Zoctus notifica a autoridade de controlo competente nos termos do artigo 33.º do RGPD e, quando o risco for elevado, comunica a violação aos titulares afetados nos termos do artigo 34.º. Quando a violação disser respeito a dados que a Zoctus trata na qualidade de subcontratante do Aderente, designadamente os dados dos clientes da loja e as contas de utilizador da área de gestão criadas pelo Aderente, a Zoctus notifica o Aderente sem demora injustificada e, em qualquer caso, no prazo de 72 horas a contar do conhecimento, cabendo ao Aderente, enquanto responsável pelo tratamento, a notificação à autoridade de controlo e, quando exigível, aos titulares.

Cookies

Na área de gestão utilizamos apenas os cookies estritamente necessários à autenticação e à segurança da sessão. No sítio público da Zoctus, os cookies e tecnologias semelhantes que não sejam estritamente necessários só são utilizados mediante consentimento, recolhido por categorias, com recusa tão simples quanto a aceitação e possibilidade de retirada a qualquer momento. A informação detalhada consta da Política de Cookies.

Alterações a esta política

Esta política é publicada em versões numeradas. Quando é publicada uma nova versão, o Aderente é notificado por email e a aceitação é pedida no acesso seguinte à área de gestão, ficando registada com a versão, a data, o idioma apresentado e o endereço IP. Esta política é publicada em português e em inglês; havendo divergência entre as versões, prevalece a versão na língua em que foi apresentada ao Aderente no momento da aceitação, tal como resulta do registo de aceitação enquanto este existir, e na sua falta a versão portuguesa.