Subcontratantes

Os terceiros que tratam dados pessoais por conta dos lojistas, com o papel, a região de tratamento e as categorias de dados de cada um.

Esta página lista os serviços de terceiros que a Zoctus usa para tratar dados pessoais por conta dos lojistas (os donos das lojas). De cada um indica-se o que faz, os dados que recebe, onde os trata e, quando há transferência para fora do Espaço Económico Europeu, a garantia que a cobre.

Subcontratantes da Zoctus

Fly.io, Inc.
Alojamento da aplicação (a api e o servidor das páginas) e da base de dados gerida (Fly Managed Postgres).
Região de tratamento: UE (Amesterdão, Países Baixos).
Dados: Todos os dados guardados da plataforma: contas, encomendas, clientes e lojistas, e o estado temporário das sessões em memória. Os dados pessoais mais sensíveis (como o telefone, o NIF e as moradas) são cifrados antes de serem escritos; o nome e o email das contas não, porque o email identifica a conta ao entrar e tem de poder ser pesquisado.
Upstash, Inc. (Redis)
Memória rápida (Redis): cache, bloqueios entre tarefas agendadas e distribuição de eventos de notificação em tempo real.
Região de tratamento: UE (Amesterdão, Países Baixos).
Dados: Estado temporário de sessões e da limitação de pedidos, e o conteúdo das notificações em curso. Não guarda dados pessoais de forma duradoura.
Cloudflare, Inc. (R2)
Armazenamento dos ficheiros carregados e a sua entrega ao público.
Região de tratamento: Rede global, com preferência pelos centros de dados europeus. É uma preferência e não uma garantia de que os ficheiros fiquem só na Europa.
Dados: Os ficheiros carregados por lojistas e por clientes: fotografias e vídeos dos artigos, logótipos e faixas das lojas, etiquetas de envio, faturas que o lojista carrega em PDF e anexos das conversas sobre encomendas. Estes ficheiros podem conter dados pessoais.
Garantia da transferência: Cláusulas contratuais-tipo aprovadas pela Comissão Europeia e assinadas com o fornecedor.
Cloudflare, Inc. (Cloudflare for SaaS)
Encaminhamento do tráfego e certificado de segurança das lojas que usam domínio próprio. Só intervém nas lojas que ligaram um domínio próprio.
Região de tratamento: Rede global.
Dados: Todo o tráfego dessas lojas atravessa a rede da Cloudflare: o que os visitantes e os clientes escrevem e o que a loja responde, incluindo dados pessoais, tal como circula entre o navegador e a plataforma.
Garantia da transferência: Cláusulas contratuais-tipo aprovadas pela Comissão Europeia e assinadas com o fornecedor.
Cloudflare, Inc. (Pages)
Alojamento dos ficheiros estáticos da aplicação de administração da plataforma.
Região de tratamento: Rede global.
Dados: Nada em repouso, apenas ficheiros estáticos; metadados dos pedidos na rede da Cloudflare.
Garantia da transferência: Cláusulas contratuais-tipo aprovadas pela Comissão Europeia e assinadas com o fornecedor.
Cloudflare, Inc. (Turnstile)
Verificação anti-robô (CAPTCHA) nos formulários públicos.
Região de tratamento: Rede global.
Dados: Endereço IP e características técnicas do navegador de quem preenche o formulário.
Garantia da transferência: Cláusulas contratuais-tipo aprovadas pela Comissão Europeia e assinadas com o fornecedor.
Cloudflare, Inc. (Access)
Barreira de acesso à frente da aplicação de administração da plataforma.
Região de tratamento: Rede global.
Dados: Endereços de email dos administradores da plataforma (equipa Zoctus), nunca de clientes das lojas.
Garantia da transferência: Cláusulas contratuais-tipo aprovadas pela Comissão Europeia e assinadas com o fornecedor.
Cloudflare, Inc. (Email Routing)
Reencaminha o correio recebido em support@, security@, legal@, general@ e dmarc-reports@ de zoctus.com para as caixas de correio da equipa.
Região de tratamento: Rede global.
Dados: O que quem escreve incluir no email: nome, endereço de email e qualquer dado pessoal no corpo da mensagem, incluindo correspondência de lojistas e de clientes.
Garantia da transferência: Cláusulas contratuais-tipo aprovadas pela Comissão Europeia e assinadas com o fornecedor.
Amazon Web Services EMEA SARL (SES)
Entrega de email transacional (confirmações de encomenda, avisos e códigos de acesso) e receção dos avisos de devolução e de queixa.
Região de tratamento: UE (Irlanda, região eu-west-1).
Dados: Endereço de email do destinatário, assunto e corpo da mensagem.
Stripe Payments Europe, Ltd
Processamento de pagamentos e plataforma Connect, que liga a conta de pagamentos de cada loja.
Região de tratamento: UE e EUA.
Dados: Nome, email, morada de faturação e histórico de pagamentos do cliente. Os dados do cartão nunca são vistos pela Zoctus.
Garantia da transferência: Cláusulas contratuais-tipo aprovadas pela Comissão Europeia e assinadas com o fornecedor.
Moloni Unipessoal, Lda, NIF 513321527, Av. José Malhoa n.º 2, Ed. Malhoa Plaza esc. 1.5, 1070-325 Lisboa, dpo@moloni.pt
Emissão das faturas certificadas de subscrição e de comissão da própria Zoctus aos lojistas. É uma relação de primeira parte: a Zoctus é a responsável pelo tratamento e o lojista é o titular dos dados.
Região de tratamento: UE (Portugal).
Dados: Identidade de faturação do lojista: nome legal, NIF e morada de faturação.
Functional Software, Inc. (Sentry)
Registo de erros e monitorização de desempenho.
Região de tratamento: UE.
Dados: Registos técnicos dos erros, o identificador interno do utilizador e os passos que antecederam o erro. Os endereços de email e o conteúdo dos pedidos são retirados antes do envio.
Better Stack, Inc.
Monitorização da disponibilidade dos endereços públicos de saúde da plataforma e do sinal de vida das tarefas agendadas.
Região de tratamento: UE (serviço de direito norte-americano, com tratamento sobretudo na UE).
Dados: Nenhum dado de lojistas nem de clientes: os monitores chamam endereços públicos sem autenticação. Guarda apenas o endereço que recebe os alertas (equipa Zoctus).
Zoho Corporation B.V. (Zoho Mail)
As caixas de correio da equipa, onde chega o correio reencaminhado e de onde a equipa escreve a quem pediu contacto e aceitou receber emails.
Região de tratamento: UE (centros de dados zoho.eu). Os acessos de entidades do grupo fora do Espaço Económico Europeu estão cobertos por cláusulas contratuais-tipo.
Dados: O conteúdo dos emails: nomes, endereços de email e qualquer dado pessoal no corpo da mensagem.
Garantia da transferência: Cláusulas contratuais-tipo aprovadas pela Comissão Europeia e assinadas com o fornecedor.

O Google Analytics não é subcontratante da Zoctus: só corre no site próprio da Zoctus, mediante consentimento (ver mais abaixo), e nunca numa loja, pelo que nunca toca em dados de lojistas nem de clientes das lojas. Um lojista que queira analítica na sua loja ativa a sua própria propriedade e é o responsável pelo tratamento dela (ver a secção das ferramentas de marketing mais abaixo).

Serviços dos avisos internos da equipa (a Zoctus como responsável)

A Apple, a Google, a Mozilla e a Microsoft levam os avisos internos da plataforma ao telemóvel ou ao computador da equipa da Zoctus. Não são subcontratantes: a Zoctus envia estes avisos como responsável pelo tratamento, para operar a plataforma, e os avisos nunca levam dados dos clientes das lojas. Por isso não fazem parte da lista de subcontratantes, e uma alteração a estes serviços não está sujeita ao aviso prévio da secção «Alterações». A Zoctus não assina nenhum contrato com estes serviços, porque os avisos usam a norma aberta Web Push, e por isso não se indica para eles uma base de transferência para fora do Espaço Económico Europeu, como se faz para as ferramentas da secção seguinte.

Apple Inc., Google LLC, Mozilla Corporation, Microsoft Corporation (Web Push)
Levam cada aviso ao aparelho ou ao navegador que o recebe: a Apple no iPhone, a Google no Chrome e no Android, a Mozilla no Firefox e a Microsoft no Edge. Os avisos só são enviados a estes quatro.
Região de tratamento: Rede global.
Dados: Um identificador de cada aparelho da equipa e a hora e o tamanho de cada aviso. O conteúdo (por exemplo, o nome comercial de uma loja, um valor ou uma ligação para a administração) nunca inclui dados dos clientes das lojas.
Garantia da transferência: O conteúdo dos avisos vai cifrado de ponta a ponta e estes serviços não o conseguem ler.

Ferramentas da própria Zoctus no seu site (a Zoctus como responsável)

Quando a Zoctus ativa as suas próprias ferramentas de aquisição em zoctus.com, estes terceiros recebem dados de visitantes apenas das páginas da própria Zoctus e apenas mediante consentimento de marketing ou de analítica, exceto a contagem de visitas sem cookies, que não depende de consentimento (ver a política de cookies). São fornecedores diretos da Zoctus para a sua própria publicidade, não subcontratantes de dados de lojistas.

Cloudflare, Inc. (Web Analytics)
Contagem de visitas e de páginas vistas em zoctus.com, sem cookies, sem guardar nada no dispositivo e sem identificar quem visita. Nunca corre nas lojas nem nas áreas de gestão e não depende de consentimento.
Região de tratamento: Rede global.
Dados: Nada que identifique quem visita.
Garantia da transferência: Cláusulas contratuais-tipo aprovadas pela Comissão Europeia e assinadas com o fornecedor.
Meta Platforms Ireland Ltd (Meta Pixel)
Medição de conversões de anúncios e retargeting, apenas em zoctus.com e mediante consentimento de marketing.
Região de tratamento: UE e EUA.
Dados: Dados de navegação dos visitantes das páginas da Zoctus.
Garantia da transferência: Cláusulas contratuais-tipo aprovadas pela Comissão Europeia e certificação do fornecedor no quadro de proteção de dados entre a UE e os EUA.
Google LLC / Google Ireland Ltd (Google Ads)
Medição de conversões de anúncios, apenas em zoctus.com e mediante consentimento de marketing.
Região de tratamento: Rede global.
Dados: Dados de navegação dos visitantes das páginas da Zoctus.
Garantia da transferência: Cláusulas contratuais-tipo aprovadas pela Comissão Europeia e assinadas com o fornecedor.
TikTok Technology Ltd (TikTok Pixel)
Medição de conversões de anúncios e retargeting, apenas em zoctus.com e mediante consentimento de marketing.
Região de tratamento: UE e EUA.
Dados: Dados de navegação dos visitantes das páginas da Zoctus.
Garantia da transferência: Cláusulas contratuais-tipo aprovadas pela Comissão Europeia e assinadas com o fornecedor.
Pinterest Europe Ltd (Pinterest Tag)
Medição de conversões de anúncios e retargeting, apenas em zoctus.com e mediante consentimento de marketing.
Região de tratamento: UE e EUA.
Dados: Dados de navegação dos visitantes das páginas da Zoctus.
Garantia da transferência: Cláusulas contratuais-tipo aprovadas pela Comissão Europeia e assinadas com o fornecedor.
Google LLC (GA4)
Medição de utilização de zoctus.com, mediante consentimento de analítica.
Região de tratamento: Rede global.
Dados: Dados de navegação dos visitantes das páginas da Zoctus.
Garantia da transferência: Cláusulas contratuais-tipo aprovadas pela Comissão Europeia e certificação do fornecedor no quadro de proteção de dados entre a UE e os EUA.

Os formulários de contacto dos anúncios e o WhatsApp não são ferramentas de medição nem subcontratantes. Quando alguém deixa o seu contacto num formulário de um anúncio da Zoctus, a Meta Platforms Ireland Ltd recolhe-o como responsável pela sua plataforma e entrega-o à Zoctus; quando a equipa fala com um contacto por WhatsApp (Business ou num telefone pessoal), a WhatsApp Ireland Ltd trata as mensagens como responsável pelo seu serviço. O que a Zoctus faz com esses contactos consta da política de privacidade dos lojistas.

Ferramentas de marketing que um lojista pode ativar (o lojista como responsável)

Um lojista pode ligar as mesmas plataformas (Meta Pixel, Google Analytics 4, Google Ads, TikTok Pixel, Pinterest Tag) à sua própria loja através do painel de marketing. Nesses casos o responsável pelo tratamento é o lojista, que tem a relação direta com a plataforma (conta própria, audiências e relatórios próprios); a Zoctus fornece apenas o mecanismo de disparo, sujeito ao consentimento de cookies dessa loja. Não são, por isso, subcontratantes da Zoctus, e a política de cookies de cada loja enumera as ferramentas que o respetivo lojista ativou.

Transportadora que um lojista pode ligar (o lojista como responsável)

Um lojista com o plano PRO pode ligar a sua própria conta Eurosender Business (Eurosender doo / Eurosender Group, UE) para expedição automática. O lojista tem a conta e a relação direta; a Zoctus transmite, por instrução do lojista (a compra de uma etiqueta), os dados que um envio exige por natureza: nome do destinatário, morada de entrega (ou ponto de recolha escolhido), email e telefone, peso do volume e uma descrição curta do conteúdo. A Eurosender e os transportadores subjacentes (DHL, UPS, GLS, DPD, entre outros) tratam esses dados como transportadores do lojista, tal como o software de faturação do próprio lojista, e não como subcontratantes da Zoctus. A política de privacidade do lojista deve indicar a sua transportadora; a chave de acesso é guardada cifrada e a aplicação só a pode escrever, nunca ler.

Alterações

Os lojistas são avisados com pelo menos 30 dias de antecedência de qualquer alteração material a esta lista. As objeções têm de ser apresentadas por escrito dentro dessa janela; caso contrário, a alteração considera-se aceite.

Salvaguardas de transferência

Quando um subcontratante trata dados fora do Espaço Económico Europeu, a transferência está coberta por cláusulas contratuais-tipo aprovadas pela Comissão Europeia e assinadas com esse fornecedor. Os lojistas podem pedir uma cópia através do formulário de contacto.