RGPD

1. Política de Proteção de Dados – RGPD

No âmbito da prestação de serviços de comércio eletrónico de mobiliário e artigos para o lar, o tratamento de dados pessoais deve ter finalidades determinadas e legítimas e respeitar os requisitos aplicáveis em matéria de proteção de dados.

Em função das atividades de tratamento efetivamente realizadas e das respetivas circunstâncias, determinamos as finalidades do tratamento, os fundamentos de licitude e as medidas de proteção adequadas. Os dados pessoais são tratados apenas na medida necessária para alcançar as finalidades relevantes. A mera possibilidade técnica de recolher ou conservar uma informação não justifica o seu tratamento ilimitado.

Esta política baseia-se no RGPD, na Lei n.º 58/2019, de 8 de agosto, e noutras disposições aplicáveis em matéria de proteção de dados.

2. Princípios de Proteção de Dados Pessoais

O tratamento de dados pessoais deve respeitar os princípios fundamentais previstos no artigo 5.º do RGPD:

2.1 Licitude, Lealdade e Transparência

Os dados pessoais devem ser tratados de forma lícita, leal e transparente. O utilizador deve poder compreender as finalidades do tratamento, os respetivos fundamentos de licitude e os direitos que lhe assistem.

2.2 Limitação das Finalidades

Os dados pessoais devem ser recolhidos para finalidades determinadas, explícitas e legítimas. Não serão utilizados para outras finalidades incompatíveis com as iniciais sem um fundamento jurídico adequado.

2.3 Minimização dos Dados

Apenas devem ser tratados dados pessoais adequados, pertinentes e limitados ao necessário para cada finalidade. Não serão solicitadas informações excessivas ou sem relação com o serviço em causa.

2.4 Exatidão

Devem ser adotadas medidas razoáveis para garantir que os dados pessoais são exatos e, quando necessário, atualizados. Os dados que se revelem inexatos ou incompletos devem ser corrigidos ou tratados em tempo útil, de acordo com a legislação aplicável.

2.5 Limitação da Conservação

Os dados pessoais não serão conservados indefinidamente. Devem ser mantidos apenas durante o período necessário para as finalidades do tratamento, sem prejuízo de prazos legais de conservação ou de outros fundamentos legítimos que justifiquem a sua manutenção.

2.6 Integridade e Confidencialidade

Devem ser adotadas medidas adequadas à natureza e aos riscos do tratamento para proteger os dados pessoais e reduzir os riscos de acesso não autorizado, perda, divulgação, alteração ou outro tratamento indevido.

2.7 Responsabilidade

Na medida aplicável, devemos poder demonstrar que o tratamento de dados pessoais respeita os requisitos do RGPD e manter os registos de conformidade necessários em função das atividades de tratamento efetivamente realizadas.

3. Fundamentos de Licitude do Tratamento de Dados Pessoais

Nos termos do artigo 6.º do RGPD, o tratamento de dados pessoais deve assentar em pelo menos um fundamento de licitude aplicável. Cada atividade de tratamento deve ser avaliada em função da sua finalidade concreta. O consentimento do utilizador não constitui o único fundamento de licitude para todas as operações de tratamento.

3.1 Execução de um Contrato

O tratamento pode basear-se na execução de um contrato em que o utilizador seja parte ou na realização de diligências pré-contratuais a pedido do próprio utilizador, quando esse tratamento seja necessário.

Por exemplo, para processar encomendas, organizar a entrega dos produtos, prestar serviços relacionados com a encomenda e responder a pedidos necessários durante a execução do contrato, poderá ser necessário tratar informações relacionadas com o utilizador e a respetiva encomenda.

O tratamento de dados que não seja necessário para a execução do contrato não deve ser justificado apenas com esse fundamento.

3.2 Cumprimento de Obrigações Legais

Os dados pessoais podem ser tratados na medida necessária para cumprir obrigações impostas pela legislação aplicável.

Por exemplo, para cumprir obrigações fiscais, contabilísticas ou outros deveres legais de conservação de registos, poderá ser necessário conservar informações relacionadas com transações ou contratos.

Este tratamento baseia-se nas obrigações legais aplicáveis e não depende do consentimento do utilizador.

3.3 Interesses Legítimos

Quando estejam reunidas as condições previstas no artigo 6.º, n.º 1, alínea f), do RGPD, o tratamento de dados pessoais necessários poderá basear-se em interesses legítimos.

As situações concretas que poderão estar abrangidas incluem:

• A proteção da segurança básica do website e dos serviços relacionados;
• A prevenção ou investigação de situações fraudulentas, na medida necessária e adequada;
• O estabelecimento, exercício ou defesa de direitos;
• O tratamento de questões razoáveis relacionadas com a segurança e o funcionamento normal dos serviços.

Antes de recorrer a este fundamento, deve ser avaliado se o interesse prosseguido é real e legítimo e se não prevalecem os direitos e liberdades do titular dos dados. Não será invocado o interesse legítimo para justificar tratamentos que não respeitem a necessidade, a proporcionalidade ou os limites legais aplicáveis.

3.4 Consentimento do Utilizador

Quando a legislação aplicável exigir consentimento, ou quando uma determinada atividade de tratamento se basear efetivamente no consentimento, este deve ser livre, específico, informado e inequívoco.

O utilizador pode retirar o consentimento anteriormente concedido a qualquer momento. A retirada não afeta a licitude do tratamento realizado antes dessa retirada com base no consentimento previamente válido.

Os tratamentos necessários para a execução de um contrato ou para o cumprimento de obrigações legais não serão indevidamente apresentados como dependentes do consentimento do utilizador.

4. Direitos dos Titulares dos Dados

Nos termos do RGPD, o utilizador pode exercer os seguintes direitos em matéria de proteção de dados pessoais, dentro das condições e dos limites previstos na lei:

4.1 Direito à Informação

Obter informações sobre se os seus dados pessoais estão a ser tratados, bem como sobre as finalidades e os fundamentos de licitude do tratamento, os critérios de conservação, as categorias de destinatários e outras informações legalmente exigidas.

4.2 Direito de Acesso

Solicitar a confirmação de que os seus dados pessoais estão a ser tratados e, quando aplicável, obter uma cópia desses dados e as informações previstas no artigo 15.º do RGPD.

4.3 Direito de Retificação

Solicitar a correção de dados pessoais inexatos ou o preenchimento de dados pessoais incompletos.

4.4 Direito ao Apagamento

Solicitar o apagamento dos dados pessoais quando estejam reunidas as condições previstas no RGPD. Este direito poderá ser aplicável, por exemplo, quando os dados deixem de ser necessários para a finalidade que motivou o tratamento ou quando o consentimento seja retirado e não exista outro fundamento jurídico para continuar o tratamento.

O direito ao apagamento não é absoluto. Quando exista uma obrigação legal de conservação ou outra exceção prevista no RGPD, poderá não ser possível eliminar imediatamente os dados em causa.

4.5 Direito à Limitação do Tratamento

Solicitar a limitação do tratamento nas situações previstas no artigo 18.º do RGPD. Tal poderá ocorrer, por exemplo, durante a verificação da exatidão dos dados ou enquanto são avaliados os motivos de uma oposição apresentada pelo titular.

4.6 Direito à Portabilidade dos Dados

Quando o tratamento se baseie no consentimento do utilizador ou na execução de um contrato e seja realizado por meios automatizados, o utilizador poderá, nos termos do artigo 20.º do RGPD, receber os dados pessoais que forneceu num formato estruturado, de uso corrente e de leitura automática.

Quando estejam reunidas as condições legais e seja tecnicamente viável, poderá também solicitar a transmissão direta desses dados a outro responsável pelo tratamento.

Este direito não se aplica a todas as atividades de tratamento nem significa que todos os dados gerados ou inferidos internamente tenham de ser disponibilizados.

4.7 Direito de Oposição

Quando o tratamento se baseie numa missão de interesse público ou em interesses legítimos, o utilizador poderá opor-se ao tratamento nos termos e condições previstos no RGPD.

Após a receção de um pedido de oposição, deverá ser avaliado se existem motivos legítimos imperiosos que justifiquem a continuação do tratamento ou se os dados são necessários para efeitos de declaração, exercício ou defesa de um direito num processo judicial.

No que respeita ao tratamento para efeitos de marketing direto, o utilizador tem o direito de se opor a qualquer momento. Após essa oposição, os seus dados pessoais deixarão de ser tratados para essa finalidade.

4.8 Direito de Retirar o Consentimento

Quando o tratamento se baseie no consentimento do utilizador, este pode retirar o consentimento a qualquer momento. A retirada não prejudica a licitude do tratamento efetuado anteriormente com base no consentimento válido.

4.9 Direito de Não Ficar Sujeito a Determinadas Decisões Automatizadas

Nos termos do artigo 22.º do RGPD, o utilizador tem o direito de não ficar sujeito a uma decisão baseada exclusivamente no tratamento automatizado, incluindo a definição de perfis, que produza efeitos jurídicos que lhe digam respeito ou que o afetem significativamente de forma similar, salvo as exceções previstas na lei.

Quando se aplique uma das exceções legalmente permitidas, devem ser asseguradas as garantias adequadas, incluindo, quando aplicável, a possibilidade de obter intervenção humana, expressar a sua opinião e contestar a decisão.

Estes direitos não são absolutos nem se aplicam incondicionalmente em todas as situações. A sua aplicação depende da finalidade, do fundamento de licitude e das condições e exceções previstas no RGPD.

5. Como Exercer os Direitos de Proteção de Dados

Se pretender exercer algum dos direitos previstos no RGPD, poderá enviar o seu pedido para o seguinte endereço de correio eletrónico:

client@cerilirisis.com

Para facilitar a análise do pedido, deverá indicar, sempre que possível:

• O direito específico que pretende exercer;
• O conteúdo do pedido;
• As informações necessárias para localizar e verificar a atividade de tratamento a que o pedido se refere.

Quando seja efetivamente necessário e existam motivos razoáveis para duvidar da identidade de quem apresenta o pedido, poderemos solicitar informações adicionais adequadas para confirmar essa identidade. A verificação deve ser proporcional ao risco do pedido e não deverá exigir informações pessoais excessivas ou sem relação com essa finalidade.

Nos termos do artigo 12.º do RGPD, informaremos normalmente o utilizador sobre as medidas tomadas no prazo de um mês a contar da receção do pedido. Tendo em conta a complexidade e o número de pedidos, esse prazo poderá ser prorrogado por mais dois meses, quando a lei o permita. Nesse caso, o utilizador será informado da prorrogação e dos respetivos motivos no prazo de um mês a contar da receção do pedido.

Se não for possível dar seguimento ao pedido por motivos legalmente admissíveis, serão comunicadas, quando aplicável, as razões da recusa, bem como a possibilidade de apresentar reclamação junto da autoridade de controlo ou de recorrer a uma via judicial.

6. Período de Conservação dos Dados Pessoais

Os dados pessoais não serão conservados indefinidamente. Os períodos de conservação devem ser determinados em função das finalidades do tratamento, das obrigações legais e da necessidade efetiva, respeitando o artigo 5.º, n.º 1, alínea e), do RGPD e a legislação portuguesa aplicável.

Consoante a atividade, os princípios de conservação poderão incluir:

• Dados relacionados com encomendas e execução de contratos: conservados durante o período necessário ao processamento das encomendas, à execução dos contratos e à prestação dos serviços relacionados. Quando exista uma obrigação legal de conservação ou uma necessidade legítima de defesa de direitos, poderão ser conservados pelo período aplicável.
• Registos fiscais, contabilísticos e legais: conservados de acordo com os prazos estabelecidos pela legislação fiscal, contabilística e por outras disposições legais aplicáveis.
• Dados relacionados com o apoio ao cliente e a resolução de litígios: conservados durante o período necessário para tratar pedidos de informação, resolver litígios ou demonstrar o cumprimento de obrigações contratuais e legais.
• Dados tratados com base no consentimento: tratados de acordo com a finalidade correspondente e a validade do consentimento. Quando a finalidade deixe de existir ou o consentimento seja retirado, os dados deverão ser eliminados ou anonimizados, salvo se existir outro fundamento legítimo para a sua conservação.

Quando os dados deixem de ser necessários para a finalidade do tratamento e não exista fundamento legítimo para os conservar, deverão ser eliminados ou anonimizados nos termos da legislação aplicável.

Não estabelecemos períodos uniformes de conservação para diferentes categorias de dados sem uma base factual e jurídica que os justifique.

7. Segurança e Confidencialidade dos Dados Pessoais

Nos termos do artigo 32.º do RGPD, devem ser adotadas medidas técnicas e organizativas adequadas ao risco, tendo em conta o estado da técnica, os custos de aplicação, a natureza, o âmbito, o contexto e as finalidades do tratamento, bem como os riscos para os direitos e liberdades das pessoas singulares.

Estas medidas destinam-se a reduzir os riscos de:

• Acesso ou utilização não autorizados;
• Perda acidental ou ilícita;
• Divulgação não autorizada;
• Alteração ou destruição indevida dos dados;
• Outras formas de tratamento que violem os requisitos legais aplicáveis em matéria de proteção de dados.

As pessoas que tenham acesso aos dados pessoais devem estar sujeitas às regras necessárias de gestão de acessos e confidencialidade, nos termos aplicáveis. Não devem tratar dados pessoais sem fundamento jurídico ou autorização adequada.

As medidas de segurança concretas devem ser avaliadas em função das atividades de tratamento e dos respetivos riscos. Não declaramos, sem fundamento factual, a utilização de sistemas específicos de encriptação, a existência de certificações de segurança ou a realização de auditorias de segurança determinadas.

8. Destinatários dos Dados e Tratamento por Terceiros

Quando seja lícito, necessário e esteja em conformidade com o RGPD, os dados pessoais poderão ser tratados por prestadores de serviços relevantes ou comunicados a autoridades públicas e outros destinatários legalmente autorizados.

Em função das necessidades efetivas da atividade, poderão estar envolvidas as seguintes categorias de serviços:

• Serviços relacionados com o processamento de pagamentos: poderão estar envolvidos prestadores de serviços relevantes quando seja necessário processar pagamentos de encomendas ou outras operações relacionadas.
• Serviços de entrega e logística: para cumprir as obrigações de entrega, poderá ser necessário fornecer aos prestadores de serviços logísticos os dados indispensáveis da encomenda e do destinatário.
• Serviços de funcionamento e apoio técnico do website: caso sejam efetivamente utilizados, poderão estar envolvidos prestadores de serviços responsáveis pelo funcionamento, manutenção ou apoio técnico do website.
• Serviços de contabilidade, fiscalidade ou assuntos jurídicos: poderão estar envolvidos profissionais ou entidades que prestem os serviços correspondentes, quando necessário para cumprir obrigações legais ou tratar questões jurídicas.
• Autoridades públicas legalmente habilitadas: os dados poderão ser comunicados a autoridades com competência legal, nos casos e nos limites permitidos ou exigidos pela lei.

As categorias acima descrevem situações possíveis e não significam que todos estes serviços estejam confirmadamente em utilização, nem demonstram a existência de relações comerciais confirmadas com terceiros específicos.

Quando um terceiro trate dados pessoais por conta do responsável pelo tratamento e assuma a qualidade de subcontratante nos termos do RGPD, a relação deverá ser regulada de acordo com o artigo 28.º e com as demais disposições aplicáveis, definindo as finalidades, o âmbito e a duração do tratamento, bem como as obrigações de confidencialidade e segurança.

Um subcontratante e um responsável pelo tratamento independente desempenham funções jurídicas distintas. Quando um destinatário determine autonomamente as finalidades e os meios do tratamento dos dados com base nos seus próprios fundamentos de licitude, a respetiva responsabilidade deverá ser avaliada de acordo com as circunstâncias concretas e a legislação aplicável.

9. Transferências Internacionais de Dados

A transferência de dados pessoais para países situados fora do Espaço Económico Europeu ou para organizações internacionais deve cumprir o disposto no Capítulo V do RGPD.

Quando as atividades de tratamento envolvam efetivamente transferências internacionais de dados, deverão ser utilizados os mecanismos de transferência legalmente reconhecidos pelo RGPD, em função das circunstâncias concretas, incluindo:

• Uma decisão de adequação adotada pela Comissão Europeia;
• Cláusulas contratuais-tipo que cumpram os requisitos do RGPD;
• Outros mecanismos de garantia ou derrogações aplicáveis previstos nos artigos 46.º ou 49.º do RGPD.

A necessidade de utilizar um mecanismo específico depende do destino da transferência, do destinatário, das categorias de dados e das circunstâncias do tratamento.

O endereço de contacto publicado no website situa-se nos Estados Unidos, mas esse facto, por si só, não demonstra que os dados pessoais sejam efetivamente armazenados nos Estados Unidos nem que exista uma transferência de dados para esse país ou para qualquer outro país terceiro.

Na ausência de informações efetivas sobre a configuração e as transferências realizadas, não serão feitas declarações não verificadas sobre o país de armazenamento dos dados, a localização dos servidores, os destinatários no estrangeiro ou os mecanismos de transferência internacional adotados.

10. Violação de Dados Pessoais e Reclamações

10.1 Violação de Dados Pessoais

Se ocorrer uma violação de dados pessoais, a sua natureza, os riscos potenciais e as obrigações legais aplicáveis devem ser avaliados nos termos dos artigos 33.º e 34.º do RGPD.

Quando a violação for suscetível de implicar um risco para os direitos e liberdades das pessoas singulares, o responsável pelo tratamento deverá notificá-la à autoridade de controlo competente sem demora injustificada e, sempre que possível, no prazo de 72 horas após ter tido conhecimento da mesma. Esta obrigação não se aplica quando seja improvável que a violação resulte num risco para os direitos e liberdades das pessoas singulares, nos termos do RGPD.

Se a violação for suscetível de implicar um elevado risco para os direitos e liberdades dos titulares dos dados, estes deverão também ser informados sem demora injustificada, quando a legislação o exigir, com uma descrição da ocorrência e das recomendações adequadas para a sua proteção.

Nem todas as violações de dados pessoais exigem necessariamente a comunicação aos utilizadores. A necessidade de notificação depende das condições de risco estabelecidas pelo RGPD.

10.2 Reclamações junto da Autoridade de Controlo Portuguesa

Se considerar que o tratamento dos seus dados pessoais viola o RGPD ou a legislação portuguesa aplicável em matéria de proteção de dados, poderá apresentar uma reclamação junto da autoridade de controlo competente.

A autoridade nacional portuguesa de controlo da proteção de dados é:

Comissão Nacional de Proteção de Dados (CNPD)

Poderá apresentar uma reclamação de acordo com a legislação aplicável e os procedimentos disponibilizados pela CNPD. O direito de apresentar uma reclamação não prejudica o direito de recorrer a outros meios administrativos ou judiciais legalmente previstos.

11. Contactos

Se tiver dúvidas sobre esta Política de Proteção de Dados – RGPD ou pretender exercer os seus direitos em matéria de proteção de dados pessoais, poderá contactar-nos através dos seguintes meios:

Telefone: +1 (513) 473-2787
E-mail: client@cerilirisis.com
Endereço: 4614 Greenlee Ave, Cincinnati, OH 45217, Estados Unidos
Horário de atendimento: Segunda a sexta-feira, das 9h às 18h (Horário da Europa Central, CET)