Política de privacidade

Responsável pelo tratamento:

Zakomo FZCO
IFZA, Dubai Silicon Oasis
Dubai, Emirados Árabes Unidos

Representada por: Jörg Müller
E-mail: [email protected]

Não foi designado um encarregado da proteção de dados.

1. Direito aplicável e local de tratamento

A Growmindr é operada por uma sociedade com sede nos Emirados Árabes Unidos, mas dirige-se expressamente também a clientes no Espaço Económico Europeu. Por conseguinte, tratamos os dados pessoais nos termos do Regulamento Geral sobre a Proteção de Dados (RGPD), cujo âmbito de aplicação territorial resulta, nessa medida, do artigo 3.º, n.º 2, do RGPD, bem como nos termos da Lei Federal n.º 45 de 2021 dos Emirados Árabes Unidos relativa à proteção de dados pessoais (PDPL).

Todos os tratamentos têm lugar em servidores no Dubai, Emirados Árabes Unidos. Relativamente aos Emirados Árabes Unidos não existe qualquer decisão de adequação da Comissão Europeia nos termos do artigo 45.º do RGPD. Baseamos, portanto, as transferências a partir do EEE nas cláusulas contratuais tipo da Comissão Europeia (Decisão de Execução (UE) 2021/914) nos termos do artigo 46.º, n.º 2, alínea c), do RGPD; para os dados que os clientes introduzem na Plataforma, essas cláusulas constituem parte integrante do acordo de tratamento de dados. A título complementar, adotamos as medidas técnicas e organizativas descritas no Anexo 1 daquele contrato.

Em todos os assuntos relativos à proteção de dados pode contactar-nos diretamente através de [email protected].

2. Dois papéis

• Relativamente ao sítio Web e à sua conta de cliente somos o responsável

pelo tratamento.

• Relativamente aos conteúdos que os clientes introduzem na Plataforma — em

especial dados de contacto de destinatários de outreach — o responsável pelo tratamento é o respetivo cliente; tratamos esses dados exclusivamente na qualidade de subcontratante (secção 7).

3. Visita ao sítio Web

Ao aceder a growmindr.com, o nosso servidor trata os dados de ligação tecnicamente necessários: endereço solicitado, momento, volume de dados transmitido, código de estado, referenciador, identificação do navegador e endereço IP. O fundamento jurídico é o artigo 6.º, n.º 1, alínea f), do RGPD; o nosso interesse legítimo reside no funcionamento seguro e sem perturbações. Os registos do servidor são eliminados no prazo máximo de 14 dias.

O sítio Web é disponibilizado através de um túnel Cloudflare. Nesse âmbito, a Cloudflare trata, na qualidade de subcontratante, dados de ligação, incluindo o endereço IP, a fim de garantir a disponibilização, a encriptação TLS e a proteção contra ataques.

No sítio Web não são colocados cookies e não são utilizados localStorage, sessionStorage ou técnicas comparáveis para armazenar ou ler informações no seu dispositivo. Por conseguinte, não é necessário um consentimento para o acesso a equipamentos terminais — na Alemanha, o § 25, n.º 1, da TDDDG; a renúncia a um banner de consentimento é deliberada.

As fontes tipográficas integradas são carregadas a partir do Google Fonts. Nesse âmbito, o seu endereço IP é transmitido à Google Ireland Limited. O fundamento jurídico é o artigo 6.º, n.º 1, alínea f), do RGPD (apresentação uniforme do sítio Web).

4. Medição de audiência

Para a medição de audiência exploramos uma instância auto-hospedada do software de código aberto Umami no nosso próprio servidor. Não tem lugar qualquer transmissão a um prestador de serviços de análise.

O Umami funciona sem cookies. A partir do endereço IP, da identificação do navegador e de um valor aleatório que muda regularmente é formado um identificador que resume uma visita; o próprio endereço IP não é armazenado. São armazenados exclusivamente: página acedida, página de proveniência, momento, país e região deduzidos do endereço IP, navegador, sistema operativo, tipo de dispositivo, resolução de ecrã e configuração de idioma. Não nos é assim possível qualquer conclusão sobre uma pessoa determinada.

Além disso, registamos eventos anónimos relativos ao percurso de utilização (por exemplo, o clique num botão de registo), a fim de reconhecer em que ponto os interessados desistem.

O fundamento jurídico é o artigo 6.º, n.º 1, alínea f), do RGPD. Os dados são eliminados após 24 meses.

5. Registo e utilização da conta

Para uma conta tratamos o nome, o endereço de e-mail, uma palavra-passe submetida a hash, o papel escolhido na equipa, bem como os momentos do início de sessão e da última atividade. O fundamento jurídico é o artigo 6.º, n.º 1, alínea b), do RGPD (execução do contrato).

Para a confirmação do endereço de e-mail e para os convites para a equipa enviamos e-mails através do nosso próprio servidor de correio. As sessões são representadas através de um cookie tecnicamente necessário, colocado exclusivamente após o início de sessão (httpOnly, SameSite=Strict, apenas através de HTTPS) e que expira após 15 minutos de inatividade. É indispensável para o serviço por si expressamente pretendido e, por conseguinte, isento de consentimento.

Por razões de segurança e de prevenção de abusos, mantemos um registo de atividade sobre operações relevantes em termos de segurança na conta (artigo 6.º, n.º 1, alínea f), do RGPD).

6. Faturação

Os planos pagos são faturados através da Paddle. A Paddle atua nesse âmbito como Merchant of Record e, por conseguinte, como responsável pelo tratamento autónomo: a sua contraparte contratual para o processamento dos pagamentos é a Paddle, não nós. Os dados de pagamento são recolhidos diretamente junto da Paddle; não recebemos números de cartão nem dados bancários, mas apenas o plano, o estado e a vigência da subscrição. Aplicam-se a título complementar as indicações de proteção de dados da Paddle em https://www.paddle.com/legal/privacy.

7. Dados introduzidos pelos clientes

Se um cliente introduzir dados pessoais na Plataforma — em especial dados de contacto de destinatários de outreach, conteúdos de mensagens, bem como eventos de abertura, clique e cancelamento de subscrição —, o cliente é o responsável pelo tratamento. Tratamos esses dados exclusivamente de acordo com instruções, com base no acordo de tratamento de dados, que é parte integrante do contrato e inclui as cláusulas contratuais tipo para a transferência para os Emirados Árabes Unidos.

Enquanto destinatário de um e-mail enviado através da Growmindr, dirija os pedidos de acesso, retificação e apagamento ao remetente, ou seja, ao cliente que lhe escreveu. Pode ainda cancelar a sua subscrição através da ligação de cancelamento presente em cada e-mail; o endereço fica então permanentemente bloqueado para campanhas adicionais desse cliente. Se um pedido nos chegar diretamente, encaminhamo-lo sem demora ao cliente responsável e apoiamo-lo na resposta.

8. Destinatários e subcontratantes

• Cloudflare — disponibilização do sítio Web, proteção contra ataques.
• Paddle — processamento dos pagamentos, aí na qualidade de responsável pelo

tratamento autónomo.

Não são utilizados serviços externos de análise, publicidade ou rastreio. A base de dados, o armazenamento de objetos, a medição de audiência e as funcionalidades de IA são executados na nossa própria infraestrutura no Dubai.

Serviços opcionais que apenas são ligados por indicação expressa do cliente e para os quais o cliente deposita uma chave de acesso própria: Hunter.io e Apollo.io para enriquecimento de contactos, bem como o servidor de correio configurado pelo cliente para o envio. Sem uma chave depositada não tem lugar qualquer transmissão.

9. Inteligência artificial

As funcionalidades de criação de texto assistidas por IA utilizam um modelo de linguagem operado no nosso próprio servidor. As entradas não saem da nossa infraestrutura e não são utilizadas para o treino de modelos de terceiros. Caso, no futuro, venha a ser ligado um prestador externo, informaremos previamente sobre tal neste ponto.

10. Prazo de conservação

• Registos do servidor: 14 dias.
• Medição de audiência: 24 meses.
• Dados da conta e do contrato: pela duração do contrato; depois, até ao termo

dos prazos legais de conservação, com tratamento limitado a esses fins.

• Conteúdos introduzidos pelo cliente: até 30 dias após o termo do contrato,

seguidos de apagamento.

• Cópias de segurança: rotativas, sobrescritas no prazo máximo de 14 dias. Um

apagamento só produz efeitos sobre as cópias de segurança com o termo destas.

11. Os seus direitos

Tem o direito de acesso (artigo 15.º), de retificação (artigo 16.º), de apagamento (artigo 17.º), de limitação do tratamento (artigo 18.º), de portabilidade dos dados (artigo 20.º) e de oposição (artigo 21.º do RGPD). Um consentimento prestado pode ser retirado a qualquer momento com efeitos para o futuro. Direitos equivalentes assistem-lhe nos termos da PDPL.

Direito de oposição: na medida em que tratemos dados com base em interesses legítimos, pode opor-se a esse tratamento a qualquer momento por motivos relacionados com a sua situação particular.

Para o efeito, dirija-se a [email protected]. A pedido, colocamos à sua disposição uma cópia das cláusulas contratuais tipo.

Independentemente disso, assiste-lhe o direito de apresentar reclamação junto de uma autoridade de controlo. No EEE, trata-se da autoridade de controlo do seu local de residência habitual, do seu local de trabalho ou do local da alegada infração; nos Emirados Árabes Unidos, do UAE Data Office.

12. Necessidade da disponibilização

A indicação do nome e do endereço de e-mail é necessária para a criação de uma conta. Sem essas indicações não podemos executar o contrato. Não tem lugar qualquer decisão automatizada, incluindo definição de perfis na aceção do artigo 22.º do RGPD.

13. Alterações

Adaptamos a presente política quando o tratamento se altere. É determinante a versão publicada em cada momento nesta página.