Política de Privacidade

A plataforma Vitória («Vitória», «nós») é explorada por:

Aplica-se o Regulamento (UE) 2016/679 (RGPD) e a Lei n.º 58/2019, de 8 de agosto.

A Vitória trata dados pessoais em duas qualidades distintas, e são elas que decidem a quem se dirige um pedido.

Como responsável pelo tratamento, quanto aos dados de quem contrata e usa a plataforma: o titular do negócio, os colaboradores com acesso, os dados da empresa e os dados de subscrição. Aqui, quem decide as finalidades somos nós.

Como subcontratante (art. 28.º do RGPD), quanto aos dados dos clientes finais de cada negócio, que é o utilizador quem introduz e gere: nomes, contactos, marcações, histórico de serviços e observações. O responsável pelo tratamento é o negócio aderente; a Vitória trata esses dados segundo as instruções dele, para lhe prestar o serviço.

3.1 Dados da conta e do negócio (somos responsáveis)

3.2 Dados dos clientes finais do negócio (somos subcontratantes)

3.3 Dados tratados pelas funcionalidades de inteligência artificial

Para produzir sugestões de contacto, recomendações e para responder no assistente da aplicação, enviamos a fornecedores de modelos de linguagem, por pedido e sem qualquer utilização para treino de modelos, o conteúdo estritamente necessário: nome do cliente, histórico de serviços e marcações, catálogo de serviços, modelos de mensagem e indicadores agregados do negócio.

Mantemos ainda uma base de pesquisa por semelhança construída a partir dos modelos de mensagem, catálogo de serviços e recomendações do próprio negócio. É segmentada por negócio e nunca cruza dados entre contas.

Cada email comercial de um negócio inclui uma ligação para deixar de receber os emails desse negócio. Quem a usa deixa de receber as campanhas desse negócio, mas continua a receber os avisos das suas marcações. Um endereço que devolve os emails, ou que marca um deles como spam, deixa de receber qualquer email desse negócio. A lista é por negócio: sair das campanhas de um não afeta as de outro.

O sistema classifica clientes e gera sugestões automáticas: quem está por contactar, quem faz anos, quem deixou de vir, com que periodicidade costuma voltar. Isto é definição de perfis na aceção do art. 4.º, n.º 4.

Nenhuma dessas sugestões produz efeitos jurídicos nem afeta significativamente o titular na aceção do art. 22.º, n.º 1. São propostas de contacto comercial, sempre revistas e confirmadas por uma pessoa antes de qualquer mensagem sair. Não há recusa de serviço, alteração de preço nem qualquer outra decisão tomada exclusivamente por meios automatizados.

Recorremos a subcontratantes que tratam dados por nossa conta, ao abrigo de contratos que cumprem o art. 28.º:

Partilhamos ainda dados com autoridades públicas quando a lei o imponha, e com os nossos consultores jurídicos e contabilísticos, sob dever de sigilo. Não vendemos dados pessoais nem os cedemos para publicidade de terceiros.

Fora da União Europeia e do Espaço Económico Europeu, as transferências assentam em decisão de adequação ou nas Cláusulas Contratuais-Tipo aprovadas pela Comissão Europeia, com avaliação de impacto da transferência quando aplicável. Pode pedir cópia das garantias aplicáveis a cada fornecedor através do email de privacidade indicado no ponto 1.

A Vitória usa apenas cookies estritamente necessários. Não usamos cookies de análise, de publicidade nem de terceiros — e é por isso que não lhe é apresentado um banner de consentimento.

Guardamos ainda no seu navegador algumas preferências de utilização, como filtros de listagem, que não o identificam nem o seguem fora da aplicação.

Findos os prazos, os dados são eliminados ou irreversivelmente anonimizados. As cópias de segurança seguem um ciclo próprio, findo o qual a eliminação se torna definitiva.

Aplicamos medidas técnicas e organizativas adequadas ao risco (art. 32.º):

• comunicações cifradas em trânsito (TLS);
• palavras-passe guardadas exclusivamente como hash bcrypt, irreversível;
• sessões com token assinado e validade limitada, com autenticação de dois fatores disponível;
• isolamento lógico rigoroso por negócio: cada consulta à base de dados é filtrada pela empresa do utilizador autenticado;
• controlo de acessos por perfil e registo histórico das concessões e revogações;
• credenciais de terceiros guardadas cifradas, nunca em texto legível;
• cópias de segurança periódicas e registo das operações relevantes.

Nenhum sistema é inviolável. Em caso de violação de dados pessoais, notificamos a CNPD em até 72 horas (art. 33.º) e informamos os titulares quando o risco for elevado (art. 34.º). Quando a violação atinja dados de clientes finais, informamos o negócio aderente sem demora injustificada, para que este cumpra os seus próprios deveres de notificação.

Nos termos dos artigos 15.º a 22.º do RGPD, tem direito a:

• Acesso — saber que dados temos sobre si e obter uma cópia;
• Retificação — corrigir dados inexatos ou incompletos;
• Apagamento — pedir a eliminação, nos casos previstos na lei;
• Limitação do tratamento;
• Portabilidade — receber os seus dados em formato estruturado e de uso corrente;
• Oposição a tratamentos fundados em interesse legítimo, incluindo a definição de perfis;
• Retirar o consentimento a qualquer momento, sem afetar a licitude do tratamento anterior;
• Não ficar sujeito a decisões exclusivamente automatizadas com efeitos jurídicos.

Para os restantes direitos, escreva para o email de privacidade indicado no ponto 1 endereço por preencher. Respondemos no prazo de um mês, prorrogável por mais dois em casos complexos, com informação prévia da prorrogação. Podemos pedir elementos adicionais de identificação quando haja dúvida fundada sobre quem faz o pedido.

A Vitória destina-se a profissionais e não se dirige a menores de 18 anos. Quanto aos clientes finais registados por um negócio, cabe a este assegurar o fundamento de licitude aplicável; nos serviços da sociedade da informação prestados diretamente a menores, o consentimento em Portugal exige idade igual ou superior a 13 anos e, abaixo dela, autorização dos titulares das responsabilidades parentais (art. 16.º da Lei n.º 58/2019).

Quem entra por convite tem um período grátis. Se no fim dele a conta não for assinada, os dados não são apagados nesse momento: a conta continua a funcionar durante um período de carência e depois fica suspensa, com os dados guardados para poder ser retomada.

Antes de qualquer eliminação, avisamos por email o dono da conta. A conta é marcada para eliminação 120 dias depois do fim do período grátis, e a data em que os dados serão eliminados é comunicada nesse aviso. Durante todo este tempo, o dono pode exportar os dados ou eliminar a conta ele próprio. Os prazos exatos estão nos Termos de Serviço.

Publicamos aqui qualquer alteração, com nova data de versão. Se a alteração for material, como uma nova finalidade, um novo subcontratante relevante ou um novo fundamento de licitude, avisamos por email ou dentro da aplicação com antecedência.

Os contactos para assuntos de privacidade são os indicados no ponto 1 endereço por preencher.