Documento legal
Política de Privacidade
Índice
- Identidade e contactos do Responsável pelo Tratamento
- Que dados recolhemos e para que fins
- Bases legais do tratamento
- Com quem partilhamos os seus dados
- Transferências internacionais de dados
- Durante quanto tempo conservamos os seus dados
- Os seus direitos enquanto titular de dados
- Cookies e tecnologias de rastreamento
- Segurança dos dados
- Alterações a esta Política
1. Identidade e contactos do Responsável pelo Tratamento
O Responsável pelo Tratamento dos dados pessoais recolhidos através do website privuskuzola.pt é:
| Campo | Informação |
|---|---|
| Denominação | Privus Kuzola |
| Morada | Rua Vale Formoso de Cima 237 A, Lisboa, Portugal |
| Email de contacto RGPD | privacidade@privuskuzola.pt |
| Telefone | +351 936 246 971 |
| Website | privuskuzola.pt |
Para qualquer questão relacionada com o tratamento dos seus dados pessoais, contacte-nos através do email privacidade@privuskuzola.pt. Respondemos no prazo máximo de 30 dias corridos (Art. 12.º, n.º 3 RGPD).
2. Que dados recolhemos e para que fins
Recolhemos dados pessoais exclusivamente para as finalidades indicadas, através dos canais abaixo identificados.
2.1 Formulário de contacto e pedidos de proposta
Quando preenche o formulário de contacto no website, recolhemos os seguintes dados:
- Nome completo — para identificação e personalização da comunicação
- Endereço de email — para resposta ao pedido
- Nome da empresa — para contextualização do pedido
- Serviço de interesse (PRIA, Implementação, Compliance as a Service, Formação ou outro) — para encaminhamento correto do pedido
- Indicação de realização prévia de um PRIA — para qualificação do pedido
- Descrição do projecto (opcional) — para preparação da resposta
Estes dados são transmitidos através do serviço Formspree (ver secção 4) e utilizados exclusivamente para responder ao pedido e, quando aplicável, preparar uma proposta comercial personalizada.
2.2 Pagamentos — Stripe
O processamento de pagamentos é realizado pela Stripe Payments Europe, Limited. Quando efectua um pagamento, os dados de pagamento (número de cartão, data de validade, CVV, nome do titular) são recolhidos e processados directamente pela Stripe — a Privus Kuzola não tem acesso nem armazena dados de cartão de pagamento.
A Privus Kuzola recebe da Stripe apenas: confirmação de pagamento, montante, referência da transacção e email de faturação. Estes dados são utilizados para confirmação do serviço e emissão de recibo.
2.3 Prestação de serviços de consultoria
No âmbito da prestação dos serviços contratados (PRIA Assessment, PRIA Guided Assessment, Implementação, Compliance as a Service, Formação), recolhemos e tratamos dados da empresa cliente e dos seus colaboradores necessários para a elaboração da documentação e recomendações. Estes dados são tratados nos termos do contrato de prestação de serviços celebrado com o cliente e do DPA associado, quando aplicável.
2.4 Dados de navegação — Google Analytics 4
Com o seu consentimento prévio, recolhemos dados de navegação através do Google Analytics 4 para compreender como os visitantes utilizam o website e melhorar a experiência de utilização. Os dados recolhidos incluem páginas visitadas, duração da visita, fonte do tráfego e dados de dispositivo. O Google Analytics 4 utiliza mecanismos de anonimização do endereço IP e não disponibiliza o endereço IP completo à Privus Kuzola.
O Google Analytics 4 utiliza cookies para recolher estes dados. Pode gerir as suas preferências na nossa Política de Cookies.
2.5 Comunicações por email
Quando nos contacta por email, tratamos os dados pessoais presentes na comunicação (nome, email, conteúdo da mensagem) para responder ao seu pedido. Estes dados são conservados pelo prazo necessário à gestão da comunicação e pelo período de prescrição dos direitos associados.
2.6 Newsletter
Caso subscreva voluntariamente a nossa newsletter, recolhemos o seu email e, opcionalmente, o seu nome, para lhe enviar a publicação Privus Month Insights e, quando disponíveis, episódios do podcast. Estes dados são geridos através do serviço MailerLite (ver secção 4).
Pode cancelar a subscrição a qualquer momento, através do link disponível em cada email enviado, sem necessidade de justificação. A base legal deste tratamento é o seu consentimento — Art. 6.º(1)(a) RGPD.
2.7 PRIA — Privus Regulatory Impact Assessment
O acesso ao PRIA (nas modalidades Self-Service ou Guided) é precedido de pagamento através da Stripe (ver secção 2.2). Após a conclusão do diagnóstico, recolhemos os seguintes dados:
- Nome completo, nome da empresa e endereço de email — para identificação e envio do Relatório Executivo
- Respostas ao questionário (até 127 perguntas, consoante o perfil da organização) — para cálculo do nível de maturidade regulatória
- Índice de maturidade (PRMM) e score por pilar — resultado do diagnóstico
- Recomendações prioritárias e roadmap de implementação — gerados a partir das respostas fornecidas
Estes dados são transmitidos através do serviço Formspree (ver secção 4), incluindo as respostas em bruto por pergunta num formato estruturado (JSON), para que a Privus Kuzola disponha da informação necessária ao acompanhamento do diagnóstico e, quando aplicável, à elaboração de uma proposta de implementação. A base legal é a execução do contrato de prestação do serviço PRIA — Art. 6.º(1)(b) RGPD.
No caso do PRIA Guided Assessment, é adicionalmente utilizado o serviço Microsoft Bookings para agendamento da sessão de 90 minutos, o que implica a recolha de nome, email e horário selecionado (ver secção 4).
3. Bases legais do tratamento
| Finalidade | Base legal | Artigo RGPD |
|---|---|---|
| Processamento do formulário de contacto e pedidos de proposta | Execução de diligências pré-contratuais a pedido do titular | Art. 6.º(1)(b) |
| Confirmação e gestão de pagamento (PRIA, upgrade, propostas) | Execução do contrato de prestação de serviços | Art. 6.º(1)(b) |
| Prestação dos serviços de Implementação e Compliance as a Service | Execução do contrato de prestação de serviços | Art. 6.º(1)(b) |
| Prestação do serviço de Formação | Execução do contrato de prestação de serviços | Art. 6.º(1)(b) |
| Processamento de dados do PRIA (Self-Service e Guided Assessment) | Execução do contrato de prestação do serviço PRIA | Art. 6.º(1)(b) |
| Agendamento da sessão do PRIA Guided Assessment | Execução do contrato de prestação de serviços | Art. 6.º(1)(b) |
| Emissão de fatura e arquivo contabilístico | Cumprimento de obrigação legal | Art. 6.º(1)(c) |
| Análise de comportamento de navegação (GA4) | Consentimento do titular | Art. 6.º(1)(a) |
| Resposta a comunicações por email | Interesse legítimo — gestão de comunicações comerciais | Art. 6.º(1)(f) |
Nota sobre o consentimento: Quando o tratamento se baseia no consentimento, tem o direito de o revogar a qualquer momento, sem que isso afecte a licitude do tratamento efectuado antes da revogação (Art. 7.º, n.º 3 RGPD). A revogação é tão fácil quanto o consentimento — utilize o painel de gestão de cookies disponível no rodapé do website.
4. Com quem partilhamos os seus dados
A Privus Kuzola não vende, cede nem partilha dados pessoais com terceiros para fins comerciais. Os seus dados são partilhados exclusivamente com os seguintes subcontratantes, nos termos do Art. 28.º do RGPD:
| Subcontratante | Função | Dados transmitidos | País | Garantias |
|---|---|---|---|---|
| Formspree, Inc. | Recepção e transmissão de dados de formulários | Dados submetidos através dos formulários do website, incluindo respostas ao PRIA, informações de contacto e dados necessários à prestação dos serviços | EUA | SCCs — Decisão 2021/914/UE |
| Stripe Payments Europe, Ltd. | Processamento de pagamentos | Dados de faturação; confirmação de pagamento | Irlanda (UE) | DPA — Art. 28.º RGPD |
| Google LLC (GA4) | Análise de comportamento de navegação | Dados de navegação anonimizados; cookies | EUA | EU-US Data Privacy Framework |
| Cloudflare, Inc. | Alojamento, CDN e serviços de segurança | Endereço IP; dados de acesso ao servidor | EUA | SCCs — Decisão 2021/914/UE e/ou EU-U.S. Data Privacy Framework |
| Microsoft Ireland Operations Limited | Alojamento de email profissional (Microsoft 365) e agendamento de sessões do PRIA Guided Assessment (Microsoft Bookings/Teams) | Conteúdo de emails; nome; email; dados de agendamento | Irlanda (UE) — dados armazenados e processados na UE/EEE ao abrigo do EU Data Boundary | DPA (Data Protection Addendum) + SCCs Módulo 3 (Processor-to-Processor), entre Microsoft Ireland Operations Ltd e Microsoft Corporation |
| MailerLite, UAB | Gestão da newsletter — envio do Privus Month Insights e episódios do podcast | Nome (opcional) e email dos subscritores; estatísticas de abertura e cliques | Lituânia (UE) | DPA próprio do MailerLite — processamento dentro da UE/EEE |
| [Contabilista/TOC] | Contabilidade e fiscalidade | Dados de faturação | Portugal | DPA — Art. 28.º RGPD |
Podemos ainda partilhar dados pessoais com autoridades públicas competentes (CNPD, Autoridade Tributária, autoridades judiciais) quando tal seja exigido por obrigação legal ou decisão judicial, nos termos do Art. 6.º(1)(c) do RGPD.
5. Transferências internacionais de dados
Alguns dos nossos subcontratantes estão localizados fora do Espaço Económico Europeu (EEE). As transferências para países terceiros são efectuadas ao abrigo dos seguintes mecanismos legais:
- Formspree (EUA) — Cláusulas Contratuais Tipo (SCCs) aprovadas pela Comissão Europeia através da Decisão 2021/914/UE de 4 de junho de 2021
- Google LLC — GA4 (EUA) — EU-US Data Privacy Framework, adoptado pela Decisão de Adequação da Comissão Europeia de 10 de julho de 2023
- Cloudflare, Inc. (EUA) — Cláusulas Contratuais Tipo (SCCs) — Decisão 2021/914/UE, e/ou EU-U.S. Data Privacy Framework
- Stripe Payments Europe, Ltd. — Sede na Irlanda (UE); dados processados dentro do EEE; eventuais transferências para Stripe, Inc. (EUA) ao abrigo de SCCs
- Microsoft Ireland Operations Limited (Irlanda, UE) — Dados armazenados e processados dentro da UE/EEE ao abrigo do EU Data Boundary, concluído pela Microsoft em 2025. Eventuais transferências internas ao grupo Microsoft para fins de suporte técnico são cobertas por SCCs Módulo 3 (Processor-to-Processor)
MailerLite, UAB (Lituânia, UE) não consta desta lista por processar os dados da newsletter inteiramente dentro do Espaço Económico Europeu, sem transferência para país terceiro.
Nota sobre os limites da residência de dados na UE: a garantia de armazenamento de dados na União Europeia (nomeadamente pelo EU Data Boundary da Microsoft) constitui um compromisso de residência geográfica, não uma blindagem jurisdicional absoluta. A Microsoft e a Cloudflare são empresas sujeitas ao direito dos EUA, incluindo o CLOUD Act, que pode em teoria obrigar a divulgação de dados armazenados em qualquer localização geográfica mediante ordem legal válida das autoridades norte-americanas. A Privus Kuzola seleciona subcontratantes que ofereçam as melhores garantias contratuais e técnicas disponíveis no mercado, sem que tal elimine por completo este risco residual, comum a qualquer entidade que utilize serviços de fornecedores tecnológicos globais.
Pode obter cópia dos mecanismos aplicáveis contactando privacidade@privuskuzola.pt.
6. Durante quanto tempo conservamos os seus dados
| Categoria de dados | Prazo de conservação | Fundamento |
|---|---|---|
| Dados do formulário de contacto e pedidos de proposta | 3 anos após o último contacto | Prazo de prescrição contratual — Art. 309.º CC |
| Dados do PRIA (respostas, score, relatório, agendamento Guided) | Duração do serviço + 3 anos, salvo obrigação legal de conservação por período superior | Prazo de prescrição contratual — Art. 309.º CC; acompanhamento de eventual projeto de implementação |
| Dados de pagamento (referência Stripe) | 10 anos | Obrigação fiscal — Art. 52.º CIVA; Art. 123.º CIRC |
| Dados de faturação e arquivo contabilístico | 10 anos | Obrigação fiscal — Art. 40.º DL 158/2009 (SNC) |
| Dados de correspondência por email | 3 anos após último contacto | Interesse legítimo; prazo de prescrição geral |
| Dados de navegação GA4 (com consentimento) | 14 meses (configuração GA4) | Orientação CNPD/CNIL — prazo máximo recomendado |
| Dados de subscritores da newsletter | Até à revogação do consentimento (cancelamento) + 90 dias | Consentimento do titular — Art. 6.º(1)(a) RGPD |
| Logs de consentimento de cookies | 5 anos após a data do consentimento | Princípio da responsabilidade demonstrada — Art. 5.º(2) RGPD |
| Documentação de prestação de serviços | 10 anos após conclusão do serviço | Prazo de prescrição da responsabilidade civil — Art. 309.º CC |
No final de cada prazo, os dados são eliminados de forma segura ou anonimizados, de modo que não permitam a identificação do titular.
7. Os seus direitos enquanto titular de dados
Ao abrigo do RGPD, tem os seguintes direitos, que pode exercer a qualquer momento através do email privacidade@privuskuzola.pt:
| Direito | Conteúdo | Artigo | Prazo de resposta |
|---|---|---|---|
| Acesso | Obter confirmação de que tratamos dados seus e, se sim, cópia dos dados tratados e informação sobre o tratamento | Art. 15.º | 30 dias |
| Rectificação | Solicitar a correcção de dados inexactos ou o complemento de dados incompletos | Art. 16.º | 30 dias |
| Apagamento | Solicitar a eliminação dos seus dados quando já não são necessários, o consentimento foi revogado, ou o tratamento é ilícito — sujeito a limitações legais | Art. 17.º | 30 dias |
| Limitação | Solicitar a suspensão do tratamento em circunstâncias específicas (contestação da exactidão, ilicitude do tratamento, fins judiciais) | Art. 18.º | 30 dias |
| Portabilidade | Receber os dados que nos forneceu em formato estruturado de uso corrente (ex: CSV, JSON), quando o tratamento se baseia em consentimento ou contrato | Art. 20.º | 30 dias |
| Oposição | Opor-se ao tratamento baseado em interesse legítimo ou para fins de marketing directo — a oposição ao marketing é sempre atendida sem necessidade de justificação | Art. 21.º | 10 dias úteis |
| Não sujeição a decisões automatizadas | Solicitar revisão humana de decisões tomadas exclusivamente com base em tratamento automatizado que produzam efeitos jurídicos ou significativos | Art. 22.º | 30 dias |
O exercício dos direitos é gratuito. A primeira cópia dos dados (direito de acesso) é sempre gratuita. Em caso de pedidos manifestamente infundados ou excessivos, podemos cobrar uma taxa razoável ou recusar, com fundamentação escrita (Art. 12.º, n.º 5 RGPD).
Para exercer qualquer dos direitos acima, envie pedido escrito para privacidade@privuskuzola.pt com identificação do direito que pretende exercer. Poderemos solicitar informação adicional para confirmar a identidade do requerente, quando tal seja necessário. Responderemos no prazo máximo de 30 dias corridos.
Direito de reclamação junto da CNPD
Se considerar que o tratamento dos seus dados viola o RGPD ou a Lei n.º 58/2019, tem o direito de apresentar reclamação à Comissão Nacional de Proteção de Dados (CNPD):
- Website: www.cnpd.pt
- Email: geral@cnpd.pt
- Telefone: (+351) 213 928 400
- Morada: Av. D. Carlos I, 134, 1.º — 1200-651 Lisboa
O direito de reclamação junto da CNPD não prejudica outros meios de recurso administrativo ou judicial.
8. Cookies e tecnologias de rastreamento
O website privuskuzola.pt utiliza cookies e tecnologias similares. Para informação detalhada sobre os cookies utilizados, as suas finalidades, prazos e como gerir as suas preferências, consulte a nossa Política de Cookies.
Em resumo: utilizamos apenas cookies essenciais (necessários para o funcionamento do website, sem consentimento prévio) e cookies analíticos do Google Analytics 4 (apenas com o seu consentimento expresso). Não utilizamos cookies de marketing ou retargeting.
9. Segurança dos dados
Implementámos medidas técnicas e organizativas adequadas para proteger os dados pessoais que tratamos, em conformidade com o Art. 32.º do RGPD, tendo em conta o estado da arte, os custos de aplicação e a natureza, o âmbito, o contexto e as finalidades do tratamento:
- Transmissão de dados cifrada através de protocolo HTTPS/TLS em todas as comunicações
- Correio eletrónico profissional alojado em Microsoft 365. Sempre que aplicável, as contas profissionais encontram-se protegidas através de autenticação multifator (MFA), com encriptação de dados em trânsito e em repouso, e armazenamento dentro da UE/EEE ao abrigo do EU Data Boundary
- Processamento de pagamentos exclusivamente através da Stripe, com certificação PCI DSS — a Privus Kuzola não armazena dados de cartão
- Acesso aos dados de clientes restrito aos colaboradores com necessidade operacional justificada (need-to-know)
- Subcontratantes seleccionados com base em garantias adequadas de segurança e conformidade, com DPA celebrado
- Procedimento documentado de resposta a violações de dados, com notificação à CNPD no prazo de 72 horas quando legalmente exigido (Art. 33.º RGPD)
Em caso de violação de dados pessoais que seja susceptível de implicar um risco elevado para os seus direitos e liberdades, será notificado sem demora injustificada, nos termos do Art. 34.º do RGPD.
10. Alterações a esta Política
Esta Política de Privacidade pode ser actualizada para reflectir alterações nas nossas práticas de tratamento de dados, na legislação aplicável ou nos serviços prestados. Em caso de alterações materiais, notificaremos os clientes com contratos activos através do email registado e actualizaremos a data de "última actualização" no cabeçalho deste documento.
Recomendamos que consulte periodicamente esta Política. A versão em vigor é sempre a disponível em privuskuzola.pt/politica-privacidade.html.
A utilização continuada do website após a entrada em vigor de alterações a esta Política implica a aceitação das mesmas, na medida em que o tratamento se baseie em interesse legítimo ou execução de contrato. Para tratamentos baseados em consentimento, solicitaremos novo consentimento quando as alterações forem materialmente relevantes.