Documentos legais que regem a Plataforma

O que recolhemos e por quê

Para cidadãos: Quando se regista através do sistema eID do seu país, a Plataforma recebe atributos de identidade do seu fornecedor de eID. Estes são imediatamente processados através de um hash criptográfico unidirecional (SHA-256 com salt sazonal). A Plataforma armazena apenas a impressão digital resultante. O seu nome, número de identificação, data de nascimento e outros identificadores pessoais nunca são armazenados.

Os seus julgamentos cívicos (confiança ou desconfiança em relação a titulares específicos) são armazenados em forma anonimizada, associados apenas à sua impressão digital criptográfica. Armazenamos o seu julgamento atual por titular — não o histórico de alterações.

O seu endereço de email (se fornecido para a lista de espera ou notificações) é armazenado separadamente dos seus dados de julgamento e pode ser eliminado de forma independente.

Para titulares (sujeitos monitorizados): Recolhemos e publicamos informações publicamente disponíveis sobre titulares que exercem autoridade pública: nome, cargo, instituição, jurisdição e nível de autoridade. Estas informações provêm de registos governamentais oficiais e bases de dados públicas.

Para subscritores: Recolhemos dados de faturação (processados pela Paddle) e credenciais de conta. Os dados de faturação não estão associados aos dados de julgamento.

Base jurídica para o tratamento

• Dados de julgamentos dos cidadãos: Interesse legítimo (artigo 6.º, n.º 1, alínea f), do RGPD) — fornecer infraestrutura de responsabilização contínua no interesse público.
• Dados de perfis de titulares: Interesse legítimo e interesse público — os titulares que exercem autoridade pública são objeto de legítimo escrutínio público.
• Dados de faturação de subscritores: Execução de contrato (artigo 6.º, n.º 1, alínea b), do RGPD).
• Endereços de email da lista de espera: Consentimento (artigo 6.º, n.º 1, alínea a), do RGPD), revogável a qualquer momento.

Armazenamento e residência dos dados

Os dados dos cidadãos de cada país são armazenados em servidores no território desse país sempre que possível. Onde a infraestrutura nacional ainda não satisfaz os requisitos de segurança, disponibilidade e conformidade da Plataforma, os dados são armazenados na UE em infraestrutura adequada à respetiva jurisdição. Em nenhum caso os dados dos cidadãos saem da UE. Os desdobramentos nacionais são totalmente isolados.

A AGPT Ltd é o responsável pelo tratamento de dados para todas as Plataformas nacionais. Os fornecedores de infraestrutura de cloud operam como subcontratantes ao abrigo de acordos de tratamento de dados.

Retenção de dados

• Impressões digitais dos cidadãos: Retidas enquanto a conta estiver ativa. Eliminadas permanentemente aquando da eliminação da conta.
• Salt criptográfico: Rotado anualmente. Salts antigos eliminados permanentemente após dois anos.
• Índices agregados: Retidos indefinidamente como dados estatísticos públicos. Não podem ser rastreados até indivíduos.
• Dados de faturação de subscritores: Retidos conforme exigido pela legislação fiscal e contabilística do Reino Unido (tipicamente 6 anos).
• Emails da lista de espera: Retidos até cancelar a subscrição ou o período da lista de espera terminar.

Os seus direitos ao abrigo do RGPD

• Acesso (artigo 15.º) — solicitar uma cópia dos dados associados à sua conta.
• Retificação (artigo 16.º) — corrigir dados inexatos.
• Apagamento (artigo 17.º) — eliminar a sua conta e todos os dados associados permanentemente.
• Limitação (artigo 18.º) — solicitar que limitemos o tratamento.
• Portabilidade (artigo 20.º) — receber os seus dados num formato estruturado.
• Oposição (artigo 21.º) — opor-se ao tratamento baseado em interesse legítimo.
• Apresentar reclamação à sua autoridade nacional de proteção de dados.

Como a Plataforma utiliza hashing irreversível, a maioria dos dados pessoais não é armazenada em forma identificável. A eliminação da conta remove permanentemente todos os dados linkáveis.

Para exercer os seus direitos: Contacte privacy@teisond.com. Respondemos no prazo de 30 dias, conforme exigido pelo RGPD.

Transferências internacionais

Os dados de julgamentos dos cidadãos não são transferidos para fora da UE. A AGPT Ltd (Reino Unido) acede apenas a resultados estatísticos agregados e não pessoais. O Reino Unido dispõe de uma decisão de adequação da UE para efeitos de proteção de dados.

Subcontratantes

Utilizamos: fornecedores de infraestrutura de cloud (centros de dados na UE), processador de pagamentos (Paddle), fornecedor de verificação de identidade (Veriff), fornecedor de serviço de email (apenas para lista de espera e notificações). Uma lista atual está disponível mediante pedido em privacy@teisond.com.