1. Responsável pelo tratamento
- Responsável: GIRA, SL
- NRT: L-719243-J
- Sede: Crta. de Nagol, C/ Camp del Tomasset, núm. 8, AD600 Sant Julià de Lòria, Principat d’Andorra
- Contacto para questões de privacidade: privadesa@calers.ad
Esta política explica como tratamos os dados pessoais quando visita calers.ad e quando utiliza a aplicação app.calers.ad (o «serviço»).
2. Legislação aplicável
Tratamos os dados de acordo com a Lei 29/2021, de 28 de outubro, qualificada de proteção de dados pessoais do Principado de Andorra (LQPD) e, quando aplicável por oferecermos o serviço a pessoas que se encontram na União Europeia, com o Regulamento (UE) 2016/679, Regulamento Geral sobre a Proteção de Dados (RGPD).
3. Que dados tratamos
Consoante a forma como interage com o Calers, tratamos:
- Dados da conta: nome, apelidos, endereço de e-mail, palavra-passe (guardada apenas sob a forma de hash), idioma e preferências.
- Início de sessão com Google ou Apple: se escolher esta opção, recebemos o identificador da conta, o nome e o e-mail que o fornecedor nos disponibiliza. Nunca recebemos a sua palavra-passe.
- Dados financeiros que introduz: contas, saldos, transações, categorias, etiquetas, orçamentos, objetivos, dívidas, movimentos programados e ficheiros bancários que importa. O Calers não se liga ao seu banco: trata apenas o que introduz.
- Dados da subscrição: plano, estado, datas e identificadores de cliente e de subscrição da Paddle. Os dados do cartão ou do meio de pagamento são tratados diretamente pela Paddle e não os recebemos.
- Aceitação dos textos legais: a versão das condições e da política de privacidade que aceita, a confirmação de que tem 18 anos ou mais, a data e o endereço IP.
- Verificação em dois passos, se a ativar: a chave secreta (guardada cifrada), os códigos de recuperação (apenas sob a forma de hash) e os navegadores que decida memorizar (tipo de navegador e de sistema, endereço IP e datas de utilização).
- Dados técnicos e de segurança: endereço IP, tipo de navegador, datas de acesso, tentativas de início de sessão e registo de ações sensíveis.
- Dados de navegação no sítio web calers.ad, apenas se aceitar os cookies de análise: páginas visitadas, página de origem, tipo de dispositivo e de navegador, idioma, localização aproximada (país e cidade) e os identificadores dos cookies do Google Analytics. Nunca os associamos à sua conta nem aos seus dados financeiros, e a aplicação não utiliza o Google Analytics.
- Pedidos e comunicações: os dados que nos forneça quando nos escreve ou nos apresenta um pedido para exercer os seus direitos.
4. Finalidades e fundamentos jurídicos
- Prestar o serviço (criar e gerir a conta, guardar e mostrar os seus dados, importá-los e exportá-los): execução do contrato.
- Gerir o teste gratuito, a subscrição, as cobranças e os reembolsos através da Paddle: execução do contrato e cumprimento de obrigações legais.
- Registar que aceitou as condições e a política de privacidade e que é maior de idade: execução do contrato e interesse legítimo em poder comprová-lo.
- Garantir a segurança do serviço, prevenir fraudes e acessos não autorizados, controlar os acessos do nosso pessoal aos dados e fazer cópias de segurança: interesse legítimo.
- Enviar-lhe comunicações do serviço (verificação do e-mail, recuperação da palavra-passe, avisos sobre a subscrição ou alterações relevantes): execução do contrato.
- Responder aos pedidos de exercício dos seus direitos: cumprimento de uma obrigação legal. Responder às restantes consultas: interesse legítimo.
- Gerir os incidentes de segurança e, se necessário, notificá-los à autoridade de controlo e às pessoas afetadas: cumprimento de uma obrigação legal.
- Cumprir obrigações legais, fiscais e contabilísticas: obrigação legal.
- Elaborar estatísticas agregadas de visitas ao sítio web calers.ad com o Google Analytics para melhorar os seus conteúdos: o seu consentimento, que pode retirar a qualquer momento em «Definições de cookies», no rodapé.
Não utilizamos os seus dados para publicidade, não elaboramos perfis comerciais e não tomamos decisões automatizadas com efeitos jurídicos sobre si.
5. Destinatários e subcontratantes
Não vendemos nem cedemos os seus dados. Apenas os comunicamos aos fornecedores de que precisamos para prestar o serviço:
- Clouding.io (Espanha): alojamento dos servidores onde funcionam o site e a aplicação e onde são guardados os dados e as cópias de segurança. Atua como subcontratante.
- SiteGround (servidores na União Europeia): serviço de correio eletrónico com que lhe enviamos os e-mails do serviço e recebemos os que nos envia. Atua como subcontratante.
- Paddle.com Market Limited (Reino Unido) e as entidades do seu grupo, que atuam como revendedor oficial (Merchant of Record) e tratam os dados de pagamento e faturação como responsáveis independentes, de acordo com a sua própria política de privacidade.
- Google e Apple, apenas se escolher iniciar sessão com a sua conta. Atuam como responsáveis independentes, de acordo com as suas próprias políticas.
- Google Ireland Limited (Irlanda), apenas se aceitar os cookies de análise do sítio web calers.ad: serviço de estatísticas Google Analytics. Atua como subcontratante, com as funções de publicidade e o Google Signals desativados, e não recebe nenhum dado da sua conta nem da aplicação.
Os subcontratantes só podem utilizar os dados para nos prestar os seus serviços, seguindo as nossas instruções e com as garantias de confidencialidade e segurança adequadas.
Também podemos comunicar dados às autoridades quando uma lei a isso nos obrigue, por exemplo à Agência Andorrana de Proteção de Dados se tivermos de lhe notificar um incidente de segurança.
6. Transferências internacionais
Os dados da conta e os dados financeiros são guardados em servidores situados na União Europeia (Espanha), e o correio eletrónico também é gerido a partir da União Europeia. Andorra e a União Europeia reconhecem-se mutuamente um nível de proteção de dados equivalente, pelo que estas comunicações não exigem garantias adicionais.
- A Paddle trata os dados de pagamento e faturação no Reino Unido, país reconhecido como tendo um nível de proteção adequado, e pode recorrer aos seus próprios fornecedores noutros países com as garantias descritas na sua política de privacidade.
- Se iniciar sessão com Google ou Apple, identifica-se diretamente perante estas empresas, que podem tratar os dados nos Estados Unidos de acordo com as suas políticas. Não lhes enviamos os dados da sua conta nem os seus dados financeiros: apenas recebemos delas o identificador, o nome e o e-mail necessários para iniciar a sessão.
- Se aceitar os cookies de análise, a Google pode tratar os dados de navegação do sítio web nos Estados Unidos. A Google LLC aderiu ao Quadro de Privacidade de Dados UE-EUA (EU-U.S. Data Privacy Framework), e o tratamento rege-se também pelas cláusulas contratuais-tipo incluídas nos termos de tratamento de dados da Google.
7. Conservação dos dados
- Dados da conta e dados financeiros: enquanto tiver uma subscrição ou um teste ativo. Se terminar e não a renovar, conservamos a conta mais 12 meses para que a possa reativar ou exportar os dados; avisá-lo-emos por e-mail 30 e 7 dias antes e, depois, eliminá-la-emos definitivamente com as cópias de segurança. Se eliminar a conta a partir do perfil, são apagados de imediato a sua base de dados, os ficheiros associados e as cópias de segurança.
- Aceitação das condições e da política de privacidade: enquanto a conta existir.
- Dados da subscrição e das cobranças: até 6 anos, o prazo exigido pela legislação fiscal e contabilística.
- Registo de ações da conta (acessos, alterações relevantes e endereço IP): 12 meses.
- Tentativas de início de sessão e pedidos de recuperação da palavra-passe: 30 dias.
- Navegadores memorizados da verificação em dois passos: 30 dias, ou até que os esqueça ou desative a verificação.
- Registo dos acessos do nosso pessoal aos dados: 24 meses.
- Alertas de segurança automáticos: 12 meses.
- Registos do servidor e da aplicação: entre 14 dias e 6 meses.
- Dados de navegação do Google Analytics: 14 meses. Os cookies de análise expiram ao fim de 2 anos ou quando retirar o consentimento.
- Cópias de segurança: 14 dias.
- Pedidos de exercício de direitos: 3 anos após a sua resolução, para podermos comprovar que lhes respondemos.
- Incidentes de segurança e comunicações feitas às pessoas afetadas: durante o tempo necessário para comprovar que cumprimos as obrigações legais.
- Outras comunicações: durante o tempo necessário para lhes responder e para as eventuais responsabilidades daí decorrentes.
Se eliminar a conta, todos estes dados são apagados de imediato, exceto os de que precisamos para comprovar que cumprimos as nossas obrigações (pedidos de exercício de direitos, incidentes de segurança e registo de acessos do nosso pessoal) e os registos do servidor, que são conservados até ao fim dos prazos indicados. As faturas são conservadas pela Paddle de acordo com a sua política.
8. Os seus direitos
Pode exercer a qualquer momento os direitos de acesso, retificação, apagamento, oposição, limitação do tratamento e portabilidade, bem como retirar o consentimento que tenha dado.
A forma mais rápida é na aplicação, em O meu perfil → Privacidade e dados, onde pode:
- Descarregar todos os seus dados num ficheiro ZIP (formatos JSON e CSV).
- Retificar os dados do perfil.
- Eliminar a conta e todos os seus dados.
- Enviar-nos um pedido para exercer qualquer outro direito e consultar o respetivo estado e a resposta.
Também pode escrever para privadesa@calers.ad a partir do endereço associado à conta. Se necessário, poderemos pedir-lhe informação adicional para verificar a sua identidade. Responderemos no prazo de um mês, que pode ser prorrogado por mais dois meses se o pedido for complexo ou recebermos muitos; nesse caso, informá-lo-emos no primeiro mês.
Se considerar que não tratámos corretamente os seus dados, pode apresentar uma reclamação junto da Agência Andorrana de Proteção de Dados (APDA, www.apda.ad) ou, se residir na União Europeia, junto da autoridade de controlo do seu país.
9. Segurança
Aplicamos medidas técnicas e organizativas adequadas ao risco: ligações cifradas com HTTPS, uma base de dados independente com um utilizador próprio para cada cliente, palavras-passe guardadas com hash, verificação em dois passos opcional, limitação de tentativas de início de sessão, sessões que expiram, registo de ações sensíveis, registo assinado dos acessos do nosso pessoal aos dados, alertas automáticos perante atividade suspeita e cópias de segurança automáticas. Nenhum sistema é infalível, mas revemos e melhoramos estas medidas de forma contínua.
Se ocorrer um incidente de segurança que afete os seus dados e represente um risco para os seus direitos, notificá-lo-emos à Agência Andorrana de Proteção de Dados no prazo de 72 horas após dele termos conhecimento e, se o risco for elevado, avisá-lo-emos por e-mail sem demora.
10. Menores de idade
O serviço destina-se a pessoas maiores de 18 anos e, para criar uma conta, tem de confirmar que tem 18 anos ou mais. Não recolhemos conscientemente dados de menores e, se detetarmos que o fizemos, eliminá-los-emos.
11. Alterações a esta política
Podemos atualizar esta política para a adaptar a alterações legais ou do serviço. Publicaremos a versão em vigor nesta página com a data de atualização e, se as alterações forem relevantes, avisá-lo-emos por e-mail ou na aplicação.