Política de privacidade

1. Responsável pelo tratamento

EAS International

Urs Zimmermann

Klybeckstr. 141

4057 Basel

Schweiz

E-mail: info@batteriepass-online.eu

Não estamos obrigados a designar um encarregado da proteção de dados nos termos do artigo 37.º do RGPD. Envie os pedidos em matéria de proteção de dados para o endereço de e-mail acima indicado.

1a. Representante na União (artigo 27.º do RGPD)

Urs Zimmermann

Eichacker 2

79418 Schliengen

Germany

E-mail: info@batteriepass-online.eu

Os titulares dos dados e as autoridades de controlo na UE podem contactar o representante para todas as questões relacionadas com o tratamento; o representante atua em nome do responsável pelo tratamento.

2. O nosso papel: responsável pelo tratamento ou subcontratante

Relativamente às contas de cliente, à faturação, à segurança e ao funcionamento do sítio Web, somos responsáveis pelo tratamento. A presente política descreve esse tratamento.

O conteúdo dos passaportes da bateria, os documentos carregados, os contactos de fornecedores e os pedidos de acesso são introduzidos no software pelos nossos clientes (os operadores económicos). Relativamente a esses dados, o respetivo cliente é o responsável pelo tratamento e nós somos o seu subcontratante nos termos do artigo 28.º do RGPD, com base no nosso Acordo de tratamento de dados (/avv). Para esses dados, os titulares dos dados devem contactar o operador económico indicado no passaporte; nós reencaminhamos os pedidos.

3. Visita ao sítio Web

Quando abre as nossas páginas, o nosso servidor trata o seu endereço IP, o endereço solicitado e o identificador do navegador (user agent) para disponibilizar a página e repelir ataques (artigo 6.º, n.º 1, alínea f), do RGPD). O nosso servidor Web a montante regista o endereço IP, a hora, o endereço solicitado, o código de estado e o user agent para detetar ataques e utilizações abusivas; este registo do servidor é apagado automaticamente ao fim de sete dias. Para além disso, o endereço IP só é tratado nos contadores de limitação de pedidos (ponto 5) e, truncado e sujeito a hash, no registo de acessos a conteúdos protegidos dos passaportes (ponto 7).

Não utilizamos ferramentas de análise, plugins de redes sociais nem tipos de letra externos. Utilizamos o Google Ads para medir o êxito dos nossos anúncios apenas com o seu consentimento (ponto 4).

4. Cookies

Cookies e entradas de armazenamento tecnicamente necessários, para os quais não é exigido consentimento (§ 25, n.º 2, ponto 2, da TDDDG):

• bpo_session: início de sessão na área de cliente; duração 30 dias, apagado ao terminar a sessão.
• bpo_access: memoriza uma autorização de acesso a conteúdos não públicos dos passaportes (interesse legítimo ou autoridade); duração de acordo com a autorização.
• bpo_consent (armazenamento local do navegador): guarda a sua escolha relativa a cookies; duração 12 meses.
• Google Ads (apenas com consentimento): se consentir no banner de cookies, integramos o acompanhamento de conversões do Google Ads (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlanda). Para tal, a Google define cookies (como _gcl_au, duração até 90 dias) e recebe o seu endereço IP, as páginas visitadas, a hora e dados do navegador, para medir se um clique no nosso anúncio conduziu a um registo ou a uma compra. O fundamento jurídico é o seu consentimento (artigo 6.º, n.º 1, alínea a), do RGPD, § 25, n.º 1, da TDDDG). As transferências para a Google LLC nos EUA estão abrangidas pelo Quadro de Proteção de Dados UE-EUA (EU-US Data Privacy Framework). Sem consentimento, não é carregado qualquer código da Google. Pode retirar o seu consentimento a qualquer momento, com efeitos para o futuro, em «Definições de cookies» no rodapé. Política de privacidade da Google: https://policies.google.com/privacy

5. Conta de cliente e organização

No registo, tratamos o nome, o endereço de e-mail, a empresa e uma palavra-passe, que guardamos apenas sob a forma de hash (scrypt). Para a organização, guardamos a denominação social, o endereço, o país, o número de identificação para efeitos de IVA, o número EORI e outros identificadores da empresa (como o número de registo comercial ou o número LEI) que o cliente indica para os passaportes e para o registo na UE, bem como o plano e as quotas. Registamos ainda a hora do último início de sessão e a definição de idioma.

A finalidade é disponibilizar a área de cliente, associar os passaportes ao operador económico e faturar. O fundamento jurídico é a execução do contrato (artigo 6.º, n.º 1, alínea b), do RGPD).

As confirmações por e-mail e as ligações de início de sessão e de reposição da palavra-passe são enviadas através do serviço de e-mail da STRATO GmbH (Alemanha). Registamos os e-mails enviados com destinatário, assunto, conteúdo e estado de entrega para rastrear problemas de entrega; o registo é apagado ao fim de doze meses.

Para nos protegermos contra utilizações abusivas, limitamos as tentativas de início de sessão, os registos e as reposições de palavra-passe por endereço IP e por conta. Para tal, guardamos contadores com o endereço IP durante, no máximo, 24 horas (artigo 6.º, n.º 1, alínea f), do RGPD). Registamos as tentativas de início de sessão (bem-sucedidas e falhadas) com hora, endereço de e-mail, resultado, endereço IP completo e user agent durante 90 dias, para detetar ataques a contas e distingui-los de um cliente que se engana a escrever a sua própria palavra-passe. Este registo só é visível para o operador no painel interno do operador, onde está oculto por predefinição atrás de um comando de visualização.

6. Pagamento e faturação

Os planos pagos são processados através da Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin, Irlanda. A Stripe recebe o nome, o endereço de e-mail, o endereço da empresa, o número de IVA e os dados de pagamento; os dados do cartão e da conta são recolhidos exclusivamente pela Stripe e nunca chegam aos nossos servidores. Guardamos o ID de cliente Stripe, o estado da subscrição e os dados das faturas.

A Stripe é responsável pelo tratamento autónomo no que respeita ao processamento de pagamentos; aplica-se a política de privacidade da Stripe (https://stripe.com/privacy). As transferências para a Stripe Inc. nos EUA estão abrangidas pelo Quadro de Proteção de Dados UE-EUA (EU-US Data Privacy Framework) e por cláusulas contratuais-tipo.

Os fundamentos jurídicos são a execução do contrato (artigo 6.º, n.º 1, alínea b), do RGPD) e as nossas obrigações legais de conservação (artigo 6.º, n.º 1, alínea c), do RGPD). Conservamos os dados das faturas durante dez anos.

7. Passaportes da bateria públicos

Os passaportes da bateria publicados podem ser consultados em todo o mundo através do respetivo endereço (código QR). Os dados que são públicos, visíveis apenas para pessoas com interesse legítimo ou apenas para as autoridades são determinados pelo anexo XIII do Regulamento (UE) 2023/1542; o software aplica tecnicamente esses níveis. Os dados públicos incluem o nome e os contactos do operador económico; caso se trate de uma pessoa singular, o operador económico é responsável por esses dados.

Registamos para o cliente os acessos a conteúdos não públicos dos passaportes, com hora, nível de acesso, endereço IP truncado e sujeito a hash e user agent. Este registo de acessos é apagado ao fim de 90 dias.

Quem pede acesso a conteúdos protegidos na qualidade de autoridade ou de pessoa com interesse legítimo indica o endereço de e-mail, a organização, o papel, a finalidade e, se for caso disso, documentos comprovativos. O cliente, que decide sobre a autorização, vê essas informações; tratamo-las em nome do cliente.

8. Formulários para fornecedores, API e webhooks

Os clientes podem pedir dados de produtos aos fornecedores através de uma ligação enviada por e-mail. Para tal, guardamos, em nome do cliente, o endereço de e-mail do fornecedor introduzido pelo cliente, o estado de tratamento e os valores transmitidos.

Para a API, guardamos as chaves de API apenas sob a forma de hash, juntamente com a hora da última utilização. Os endereços e os segredos dos webhooks são indicados pelo cliente; os segredos são guardados de forma cifrada. Registamos as tentativas de entrega com hora, código de estado e um excerto da resposta durante 30 dias.

9. Alojamento e destinatários

Recorremos aos seguintes prestadores de serviços, que tratam dados em nosso nome (artigo 28.º do RGPD):

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Alemanha: servidores para a aplicação, a base de dados e o armazenamento de documentos nos centros de dados de Falkenstein e Nuremberga.
• STRATO GmbH, Otto-Ostrowski-Str. 7, 10249 Berlin, Alemanha: envio de e-mails do sistema.
• Stripe Payments Europe Ltd., Dublin, Irlanda: processamento de pagamentos (como responsável pelo tratamento autónomo, ver ponto 6).

10. Transferências para países terceiros

Estamos estabelecidos na Suíça. A Comissão Europeia reconheceu que a Suíça assegura um nível de proteção de dados adequado (Decisão de adequação 2000/518/CE, confirmada em 2024), pelo que o acesso a partir da Suíça aos dados armazenados na Alemanha é permitido. Com exceção do processamento de pagamentos através da Stripe (ponto 6), não ocorrem transferências para outros países terceiros.

11. Prazos de conservação

• Dados da conta de cliente e da organização: até à eliminação da conta, seguindo-se um período de bloqueio de 30 dias; dados das faturas, dez anos.
• Sessões iniciadas: 30 dias; ligações de início de sessão e de reposição: até 24 horas.
• Registo do servidor Web: sete dias. Contadores de limitação de pedidos: 24 horas. Registo de inícios de sessão: 90 dias. Registos de acessos a conteúdos protegidos dos passaportes: 90 dias. Registo de e-mails: doze meses. Registo de entregas de webhooks: 30 dias.
• Passaportes da bateria e documentos: durante o prazo legal de conservação nos termos do artigo 77.º, n.º 8, do Regulamento (UE) 2023/1542. Após a cessação do contrato, os passaportes permanecem em modo de leitura durante, pelo menos, 15 anos e, para além disso, até ser comunicada a reciclagem; eliminação nos termos dos nossos Termos e condições (ponto 8).
• Registo de alterações (audit log) da área de cliente: durante a vigência do contrato, para comprovar a cadeia de verificação dos passaportes.

12. Segurança

Todas as ligações são cifradas com TLS. As palavras-passe são guardadas como hashes scrypt e os segredos de forma cifrada. O acesso baseia-se em funções, as tentativas de início de sessão são limitadas e as alterações aos passaportes são registadas numa cadeia de hash. A base de dados só é acessível a partir da rede privada. As cópias de segurança são criadas diariamente e conservadas durante 30 dias.

13. Os seus direitos

Tem direito de acesso (artigo 15.º do RGPD), de retificação (artigo 16.º), ao apagamento (artigo 17.º), à limitação do tratamento (artigo 18.º), à portabilidade dos dados (artigo 20.º) e de oposição ao tratamento baseado em interesses legítimos (artigo 21.º). Contacte info@batteriepass-online.eu. Respondemos no prazo de um mês.

Pode apresentar reclamação junto de uma autoridade de controlo da proteção de dados: na Suíça, junto do Comissário Federal para a Proteção de Dados e a Transparência (FDPIC); na UE, junto da autoridade do seu local de residência ou de trabalho.

Não tomamos decisões individuais automatizadas e não utilizamos os seus dados para fins publicitários sem o seu consentimento prévio.

14. Alterações

Atualizamos a presente política sempre que os nossos tratamentos ou a situação jurídica se alterem. A versão atual está sempre disponível em /datenschutz; informamos os clientes por e-mail sobre alterações substanciais.