Política de privacidade

Introdução

A presente Política de Privacidade explica de que forma a bKlug trata informações pessoais para prestar os Serviços disponíveis no nosso Website, localizado em bklug.ai ("Serviços"). É prestada a título informativo, nos termos dos artigos 13.º e 14.º do RGPD.

Não é um contrato, e não é pedido aos Utilizadores que a aceitem. Sempre que uma finalidade dependa de consentimento, esse consentimento é solicitado em separado e pode ser retirado a qualquer momento, sem comprometer o tratamento já efetuado.

Responsável pelo tratamento

A MENSAGENS ELÍPTICAS - LDA, entidade portuguesa com sede na Rua Sousa Martins 15, 5, 1050-217, com o Número de Identificação Fiscal PT517467739 (doravante "bKlug"), atua como Responsável pelo Tratamento encarregada de recolher e gerir dados através do nosso Website.

Finalidades do tratamento e fundamento jurídico

A bKlug trata dados pessoais dos Utilizadores para diversas finalidades, incluindo:

• Funcionamento dos Serviços. Abrange a manutenção, o desenvolvimento e a gestão dos nossos Serviços, incluindo a gestão de clientes, a execução de contratos e a resolução de litígios. O fundamento jurídico deste tratamento é a execução de obrigações contratuais.
• Resposta a pedidos dos Utilizadores. Tratamos dados para responder com prontidão a questões ou pedidos de informação dos Utilizadores. Este tratamento baseia-se no interesse legítimo da bKlug em prestar um apoio completo.
• Comunicação. Podemos utilizar dados pessoais para informar os Utilizadores sobre produtos, serviços e atualizações da bKlug por meios eletrónicos. O consentimento do Utilizador é o fundamento jurídico deste tratamento.
• Medição da utilização do Website. Utilizamos ferramentas de análise no Website para contar visitas, perceber que páginas e campanhas trazem pessoas até cá e identificar o que não funciona. O fundamento jurídico é o consentimento, dado através do aviso de cookies e que pode ser retirado a qualquer momento através da ligação Preferências de cookies no rodapé.
• Publicidade. Utilizamos etiquetas de publicidade no Website para medir as campanhas que realizamos e criar públicos para as mesmas. O fundamento jurídico é o consentimento, dado e retirado da mesma forma.

Categorias de dados

Os Utilizadores devem fornecer informações verdadeiras, completas e atualizadas, exceto quando determinados dados estejam assinalados como facultativos. O incumprimento pode levar a bKlug a recusar a prestação dos Serviços. Os Utilizadores são responsáveis por manter a exatidão das suas informações. Os dados de cartão bancário são armazenados de forma segura para efeitos de transação, com disposições adicionais para subscrições recorrentes processadas pela Stripe, a nossa prestadora de serviços de pagamento. Os dados relativos ao criptograma visual ou CVV2 no verso do seu cartão bancário não são armazenados. No caso de pagamento por cartão bancário, contudo, os dados relativos ao cartão podem ser armazenados como arquivos intermédios para efeitos de prova relativamente às obrigações legais em vigor.

A navegação no Website não exige conta nem dados pessoais além do que a Política de cookies descreve. Quando uma informação é efetivamente necessária para executar o contrato, como os dados de faturação, os Serviços não podem ser prestados sem ela. Tal decorre do contrato, e não da presente Política.

Durante quanto tempo os dados são conservados

Conservamos os dados pessoais durante o tempo exigido pela finalidade para a qual foram recolhidos e, posteriormente, apenas enquanto for possível uma reclamação judicial deles decorrente.

• Dados de clientes e de contrato: durante a vigência do contrato e, posteriormente, durante o prazo de prescrição aplicável às reclamações dele decorrentes.
• Faturas e registos contabilísticos: dez anos, o prazo durante o qual a legislação fiscal portuguesa obriga a bKlug a conservar os registos contabilísticos.
• Correspondência de apoio e comercial: enquanto a relação estiver ativa e, posteriormente, arquivada enquanto for possível uma reclamação.
• Dados de análise e de publicidade do Website: durante o prazo de conservação configurado na ferramenta que os recolheu. Os próprios cookies expiram de acordo com os prazos indicados na Política de cookies.
• A sua escolha de cookies: guardada no seu próprio navegador até a alterar ou limpar os dados deste website.

Decisões automatizadas

Os nossos Serviços assentam num assistente de IA que lê as mensagens dos clientes, pesquisa a loja ligada e redige respostas e sugestões de produtos de forma automática, sem que uma pessoa reveja cada uma delas. A lógica consiste num modelo de linguagem que trabalha a partir do catálogo, das políticas e da base de conhecimento do próprio comerciante, e o seu efeito sobre a pessoa limita-se ao conteúdo de uma conversa de compra.

Estas respostas automáticas não produzem efeitos jurídicos e não constituem decisões com efeitos igualmente significativos na aceção do artigo 22.º do RGPD. Nada é concedido, tarifado, recusado ou cessado de forma automática. Uma conversa pode ser passada a uma pessoa a qualquer momento, e pode ser pedido ao comerciante que opera o assistente que o faça.

Não definimos perfis dos visitantes do Website para tomar decisões automatizadas a seu respeito. As etiquetas de publicidade descritas na Política de cookies são utilizadas apenas para medição de campanhas e criação de públicos, e só com consentimento.

Destinatários e transferências de dados

Os dados dos Utilizadores podem ser partilhados com administrações públicas e instituições bancárias para cumprir obrigações legais e gerir pagamentos, e com os prestadores de serviços enumerados no Anexo 1, que os tratam de acordo com as nossas instruções.

Alguns desses prestadores estão estabelecidos fora do Espaço Económico Europeu, incluindo nos Estados Unidos, onde este Website está alojado. Essas transferências assentam na certificação do prestador ao abrigo do Quadro de Privacidade de Dados UE-EUA (EU-US Data Privacy Framework) ou nas cláusulas contratuais-tipo da Comissão Europeia, nos termos do artigo 46.º, n.º 2, alínea c), do RGPD, juntamente com as medidas adicionais documentadas pelo prestador. Pode ser solicitada uma cópia das garantias aplicáveis a um determinado prestador através de contact@bklug.ai.

Direitos dos Utilizadores

A qualquer momento, os Utilizadores têm o direito de aceder aos seus dados pessoais, de obter a sua retificação ou apagamento, de limitar ou de se opor ao seu tratamento, de os receber num formato portável e de não ficar sujeitos a uma decisão tomada exclusivamente com base no tratamento automatizado que produza efeitos jurídicos ou efeitos igualmente significativos.

Para exercer qualquer destes direitos, escreva para contact@bklug.ai ou para MENSAGENS ELÍPTICAS - LDA, Rua Sousa Martins 15, 5, 1050-217 Lisboa, Portugal. Respondemos no prazo de um mês a contar da receção do pedido e informaremos caso o pedido seja suficientemente complexo para exigir a prorrogação permitida pelo RGPD.

Quando o tratamento se baseia no consentimento, esse consentimento pode ser retirado a qualquer momento, sem comprometer a licitude do tratamento efetuado anteriormente. No caso dos cookies, a ligação Preferências de cookies no rodapé do Website permite fazê-lo.

Os Utilizadores que considerem que os seus dados foram tratados de forma indevida podem apresentar reclamação a uma autoridade de controlo. A autoridade de controlo principal da bKlug é a Comissão Nacional de Proteção de Dados (CNPD), em Portugal, www.cnpd.pt. A reclamação pode também ser apresentada à autoridade do Estado-Membro onde o Utilizador reside ou trabalha.

A bKlug como Subcontratante

Caso o Utilizador adquira uma licença de utilização dos Serviços, a bKlug terá de tratar determinados dados pessoais por conta do licenciado (seja o licenciado o próprio Utilizador ou uma pessoa coletiva representada pelo Utilizador). Para estes efeitos, o Utilizador será considerado o Responsável pelo Tratamento e a bKlug será considerada a Subcontratante.

As cláusulas seguintes regulam a relação entre o Responsável pelo Tratamento e a Subcontratante para efeitos de cumprimento do disposto no artigo 28.º do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (doravante, "RGPD"), e do artigo 33.º da Lei Orgânica 3/2018, de 5 de dezembro, de Proteção de Dados Pessoais e garantia dos direitos digitais (doravante, "LOPDGDD").

1. Tratamento de dados a efetuar pela Subcontratante

A Subcontratante tratará os dados pessoais necessários para executar os Serviços por conta do Responsável pelo Tratamento. Esse tratamento terá uma duração igual à da prestação dos Serviços, de modo que, uma vez concluída a prestação dos Serviços, o tratamento será considerado concluído.

2. Identificação das informações em causa

Para a execução dos Serviços, o Responsável pelo Tratamento disponibilizará à Subcontratante as informações a seguir descritas.

A Subcontratante não é instruída para tratar nenhuma das categorias especiais de dados enumeradas no artigo 9.º do RGPD, e o Responsável pelo Tratamento compromete-se a não disponibilizar tais dados para os Serviços. Caso, ainda assim, surjam dados de categorias especiais no conteúdo de uma mensagem enviada por um cliente final, estes são tratados apenas para que a mensagem possa ser respondida, e para nenhuma outra finalidade.

• Dados de identificação e de contacto, como nome, número de telefone e endereço de e-mail
• O conteúdo das mensagens trocadas com o assistente nos canais de mensagens ligados
• Dados de encomendas e de transações, como produtos visualizados ou comprados, estado da encomenda e dados de entrega
• Dados de conta e de configuração da loja ligada
• Dados técnicos, como informações sobre o dispositivo, o navegador e a ligação

3. Obrigações da Subcontratante

A Subcontratante compromete-se a:

• (a) Utilizar os dados pessoais objeto de tratamento, ou que recolha para efeitos da sua inclusão, apenas para a prestação estrita dos Serviços. Em caso algum poderá utilizar os dados para fins próprios.
• (b) Tratar os dados de acordo com as instruções do Responsável pelo Tratamento. Se a Subcontratante considerar que alguma instrução viola o RGPD ou qualquer outra disposição em matéria de proteção de dados da União ou de um Estado-Membro, informará imediatamente o Responsável pelo Tratamento.
• (c) Quando aplicável, conservar um registo escrito de todas as categorias de atividades de tratamento realizadas por conta do Responsável pelo Tratamento, nos termos do artigo 30.º, n.º 2, do RGPD.
• (d) Não comunicar os dados a terceiros, salvo com autorização expressa do Responsável pelo Tratamento, nos casos legalmente admissíveis. A Subcontratante poderá comunicar os dados a outros subcontratantes do mesmo Responsável pelo Tratamento, de acordo com as instruções deste. Nesse caso, o Responsável pelo Tratamento identificará, previamente e por escrito, a entidade à qual os dados devem ser comunicados, os dados a comunicar e as medidas de segurança a aplicar para proceder à comunicação. Se o Responsável pelo Tratamento tiver de transferir dados pessoais para um país terceiro ou para uma organização internacional, por força do direito da União ou do Estado-Membro que lhe seja aplicável, deverá informar previamente o Responsável pelo Tratamento desse requisito jurídico, salvo se esse direito o proibir por motivos importantes de interesse público.
• (e) Não subcontratar nenhum dos serviços que integram os Serviços e que impliquem o tratamento de dados pessoais. Caso seja necessário subcontratar algum tratamento, o Responsável pelo Tratamento deverá ser previamente informado por escrito, com uma antecedência mínima de 20 dias de calendário, indicando o tratamento a subcontratar e identificando de forma clara e inequívoca a empresa subcontratada e os respetivos contactos. A subcontratação poderá ser realizada se o Responsável pelo Tratamento não manifestar a sua oposição, por escrito, dentro do prazo estabelecido. O subcontratante ulterior, que terá igualmente a qualidade de subcontratante, fica também obrigado a cumprir as obrigações aqui estabelecidas para a Subcontratante e as instruções emitidas pelo Responsável pelo Tratamento. Cabe à subcontratante inicial regular a nova relação de forma que o novo subcontratante fique sujeito às mesmas condições (instruções, obrigações, medidas de segurança, etc.) e aos mesmos requisitos formais que a subcontratante inicial, no que respeita ao tratamento adequado dos dados pessoais e à garantia dos direitos dos titulares dos dados. Em caso de incumprimento por parte do subcontratante ulterior, a Subcontratante inicial continuará a ser plenamente responsável perante o Responsável pelo Tratamento pelo cumprimento das obrigações. O Responsável pelo Tratamento autoriza a Subcontratante a realizar as seguintes subcontratações necessárias para prestar os Serviços: ver a lista de subcontratantes ulteriores (Anexo 1).
• (f) Manter o dever de sigilo relativamente aos dados pessoais a que tenha acesso em virtude da prestação dos Serviços, mesmo após o termo da prestação dos Serviços.
• (g) Garantir que as pessoas autorizadas a tratar dados pessoais se comprometem, de forma expressa e por escrito, a respeitar a confidencialidade e a cumprir as medidas de segurança correspondentes, das quais devem ser devidamente informadas.
• (h) Manter à disposição do Responsável pelo Tratamento a documentação que comprove o cumprimento da obrigação estabelecida na alínea anterior.
• (i) Garantir a formação necessária em matéria de proteção de dados pessoais às pessoas autorizadas a tratar dados pessoais.
• (j) Prestar assistência ao Responsável pelo Tratamento na resposta ao exercício dos direitos de: (1) acesso, retificação, apagamento e oposição; (2) limitação do tratamento; (3) portabilidade dos dados; (4) não ficar sujeito a decisões individuais automatizadas (incluindo a definição de perfis). Quando os titulares dos dados exercerem os seus direitos de acesso, retificação, apagamento e oposição, limitação do tratamento, portabilidade dos dados e o direito de não ficar sujeito a decisões individuais automatizadas junto do Responsável pelo Tratamento, este deverá comunicá-lo por e-mail ao Responsável pelo Tratamento. A comunicação deve ser efetuada de imediato e, em caso algum, depois do dia útil seguinte à receção do pedido, acompanhada, se for caso disso, de outras informações que possam ser relevantes para a resolução do pedido.
• (k) Notificar o Responsável pelo Tratamento, sem demora injustificada e, em qualquer caso, no prazo máximo de 48 horas, por e-mail, de qualquer violação da segurança dos dados pessoais sob a sua responsabilidade de que tome conhecimento, juntamente com todas as informações relevantes para a documentação e a comunicação do incidente. A notificação não será exigida quando for pouco provável que essa violação de segurança resulte num risco para os direitos e liberdades das pessoas singulares. Se disponíveis, serão prestadas, pelo menos, as seguintes informações: (1) A descrição da natureza da violação de dados pessoais, incluindo, se possível, as categorias e o número aproximado de titulares de dados afetados, bem como as categorias e o número aproximado de registos de dados pessoais em causa. (2) O nome e os contactos do encarregado da proteção de dados ou de outro ponto de contacto onde possam ser obtidas mais informações. (3) A descrição das consequências prováveis da violação de dados pessoais. (4) A descrição das medidas adotadas ou propostas para reparar a violação de dados pessoais, incluindo, se for caso disso, as medidas adotadas para atenuar os seus eventuais efeitos negativos. Caso não seja possível prestar as informações ao mesmo tempo, estas serão prestadas por fases, sem demora injustificada.
• (l) Apoiar o Responsável pelo Tratamento na realização de avaliações de impacto sobre a proteção de dados, se for caso disso.
• (m) Apoiar o Responsável pelo Tratamento na realização de consultas prévias à autoridade de controlo, se for caso disso.
• (n) Disponibilizar ao Responsável pelo Tratamento todas as informações necessárias para demonstrar o cumprimento das suas obrigações, bem como para a realização de auditorias ou inspeções conduzidas pelo Responsável pelo Tratamento ou por outro auditor por este mandatado.
• (o) Aplicar as medidas técnicas e organizativas adequadas para assegurar um nível de segurança adequado ao risco, tendo em conta as técnicas mais avançadas, os custos de aplicação e a natureza, o âmbito, o contexto e as finalidades do tratamento, bem como os riscos, de probabilidade e gravidade variáveis, para os direitos e liberdades das pessoas singulares. Em qualquer caso, deverá implementar mecanismos para: (1) Assegurar a confidencialidade, integridade, disponibilidade e resiliência permanentes dos sistemas e dos serviços de tratamento. (2) Restabelecer a disponibilidade e o acesso aos dados pessoais de forma atempada no caso de um incidente físico ou técnico. (3) Testar, apreciar e avaliar regularmente a eficácia das medidas técnicas e organizativas aplicadas para garantir a segurança do tratamento. (4) Pseudonimizar e cifrar os dados pessoais, se for caso disso.
• (p) Designar um Encarregado da Proteção de Dados e comunicar a sua identidade e contactos ao Responsável pelo Tratamento, se for caso disso.
• (q) Uma vez prestados os Serviços, o Responsável pelo Tratamento disporá de um prazo máximo de 30 dias de calendário para aceder à Plataforma bKlug e descarregar todas as suas informações nela armazenadas. Decorrido esse prazo, o Responsável pelo Tratamento apagará as informações armazenadas na Plataforma bKlug. Em qualquer caso, a Subcontratante poderá conservar uma cópia, com os dados devidamente bloqueados, enquanto puderem decorrer responsabilidades da execução do serviço.
• (r) Cumprir as demais obrigações que o RGPD, a LOPDGDD e a respetiva regulamentação de execução estabelecem para a Subcontratante.

4. Obrigações do Responsável pelo Tratamento

O Responsável pelo Tratamento tem as seguintes obrigações:

• (a) Fornecer ou permitir o acesso aos dados acima especificados pelo Responsável pelo Tratamento.
• (b) Realizar uma avaliação de impacto sobre a proteção de dados pessoais das operações de tratamento a efetuar pelo Responsável pelo Tratamento, quando aplicável.
• (c) Realizar a consulta prévia, se for caso disso.
• (d) Assegurar, antes e durante todo o tratamento, o cumprimento do RGPD, da LOPDGDD e da respetiva regulamentação de execução por parte da Subcontratante.
• (e) Supervisionar o tratamento, incluindo a realização de inspeções e auditorias.
• (f) Facilitar o direito à informação no momento da recolha dos dados.
• (g) Cumprir as demais obrigações que o RGPD, a LOPDGDD e a respetiva regulamentação de execução estabelecem para o Responsável pelo Tratamento.

Segurança e proteção dos dados

A bKlug adotou as medidas de segurança em matéria de proteção de dados legalmente exigidas e procura adotar medidas e meios técnicos adicionais ao seu alcance para evitar a perda, a utilização indevida, a alteração, o acesso não autorizado e o furto dos dados pessoais fornecidos. A bKlug compromete-se a utilizar todos os dados enviados pelos Utilizadores registados com a máxima confidencialidade e resiliência.

A utilização e a transferência, pela bKlug, para qualquer outra aplicação, de informações recebidas das APIs da Google respeitarão a Política de Dados do Utilizador dos Serviços de API da Google (Google API Services User Data Policy), incluindo os requisitos de Utilização Limitada. As APIs do Google Workspace não são utilizadas para desenvolver, melhorar ou treinar modelos generalizados de IA e/ou de ML.

Alterações à presente Política de Privacidade

A bKlug reserva-se o direito de alterar a presente política para a adaptar a novas normas, jurisprudência e práticas industriais e/ou comerciais.

Caso a bKlug decida alterar a sua Política de Privacidade, publicará essas alterações nesta página.

Anexo 1: Lista de prestadores de serviços (subcontratantes ulteriores)