Política de privacidade Informações sobre a proteção de dados, conforme os Arts. 13.º e 14.º do RGPD I. Conceitos A política de privacidade da DACHSER PORTUGAL AIR & SEA LOGISTICS, SA.baseia-se nos conceitos utilizados pela autoridade legislativa europeia aquando da aprovação do Regulamento Geral sobre a Proteção de Dados Europeu (RGPD). Deste modo, gostaríamos de o remeter para os conceitos no Art. 4.º do RGPD. O RGPD pode ser consultado no seguinte endereço: http://eur-lex.europa.eu/legal-content/pt/txt/pdf/?uri=celex:32016r0679&from=pt. II. Nome e endereço da pessoa responsável pelo processamento e do responsável pela proteção de dados Considera-se pessoa responsável no âmbito do RGPD, por outras leis de proteção de dados vigentes nos Estados-Membros da União Europeia e por outros conceitos em matéria de proteção de dados: DACHSER PORTUGAL AIR & SEA LOGISTICS, SA. Rua do Castanhal, 656 Z.I. Maia I, Sector II 4475-122 Maia Portugal Tel.: +351 22 943 1406 Fax: +351 22 943 1449 E-mail: info.portugal@dachser.com Web site: www.dachser.pt DACHSER PORTUGAL AIR & SEA LOGISTICS, SA. Sr. Helder Martins Rua do Castanhal, 656 Z.I. Maia I, Sector II 4475-122 Maia Tel.: +351 229431437 Fax: +351 229431432 1
e-mail: helder.martins@dachser.com III. Informações gerais sobre o processamento de dados 1. Âmbito do processamento de dados pessoais Recolhemos e utilizamos os dados pessoais dos nossos sócios fundamentalmente apenas para a execução de um contrato, nomeadamente para a gestão dos nossos pedidos e contratos. Após o cumprimento das obrigações contratuais, os dados são exclusivamente processados por nós após o consentimento livre. Os casos em que não é possível obter o consentimento prévio por razões de facto ou em que é permitido ou exigido pelas disposições legais o processamento dos dados constitui uma exceção. 2. Tratamento de dados pessoais A recolha, o processamento e a utilização de dados pessoais são estritamente proibidos, exceto se existir uma norma legal que permita explicitamente o tratamento de dados. Os dados pessoais podem ser recolhidos, processados e utilizados em conformidade com o RGPD: - Em caso de uma relação contratual com a parte em causa. - No decurso da execução contratual ou durante a gestão contratual com a parte em causa. - Se e na medida em que a parte em causa tiver dado o seu consentimento. 3. Base jurídica para o processamento de dados pessoais Desde que obtenhamos consentimento da pessoa em causa para os processos de processamento de dados pessoais, serve de base jurídica o Art. 6.º, parágrafo 1, alínea a) do RGPD. No processamento de dados pessoais, necessários para cumprimento de um contrato cuja parte contratante é a pessoa em causa, serve de base jurídica o Art. 6.º, parágrafo 1, alínea b) do RGPD. Isto também se aplica a processos de processamento necessárias para a execução de medidas pré-contratuais. Na medida em que um processamento de dados pessoais é necessário para o cumprimento de uma obrigação jurídica a que a nossa empresa está sujeita, serve de base jurídica o Art. 6.º, parágrafo 1, alínea c) do RGPD. Se o processamento é necessário para a salvaguarda dos interesses legítimos da nossa empresa ou de terceiros e, desde que não prevaleçam os interesses ou direitos e 2
liberdades fundamentais da pessoa em causa, serve de base jurídica para o processamento o Art. 6.º, parágrafo 1, alínea f) do RGPD. 4. Categorias dos grupos de pessoas em causa e dos seus dados Para o exercício da atividade económica e cumprimento de todas as obrigações inerentes, estão disponíveis sempre que necessário as seguintes categorias de dados: - Na medida do necessário, os dados do cliente e os seus parceiros de contacto, bem como os dados enviados pelos clientes dos seus clientes para a gestão de pedidos e atendimento ao cliente. - Na medida do necessário, os dados de prestadores de serviços, fornecedores e os seus parceiros de contacto para o cumprimento dos pedidos perante os clientes, prestadores de serviços e fornecedores. Na utilização de dados pessoais e no âmbito dos dados recolhidos, são consideradas as regras básicas do direito de autodeterminação informacional, bem como outras regras associadas à proteção de dados, particularmente os princípios preventivos de proibição, a finalidade, a transparência, o dever de divulgação e de informação, os princípios da prevenção e economia de dados, assim como o direito sobre a correção, bloqueio, eliminação e revogação. A recolha e o processamento de dados pessoais ocorre no âmbito do legalmente permitido. Aqui, deve ter ainda em consideração os pré-requisitos específicos para o levantamento e processamento de dados confidenciais, de acordo com o Art. 9.º, parágrafo 1 do RGPD. Basicamente, apenas podem ser processadas e utilizadas informações necessárias à execução operacional de tarefas e que estejam diretamente relacionadas com o propósito final do processamento. Caso outras entidades solicitem informações sobre as pessoas em causa, estas informações são exclusivamente divulgadas sem o consentimento do titular se, para este efeito, se verificar a existência de uma obrigação jurídica ou de um interesse legítimo da empresa que justifique a divulgação e a identidade do requerente seja incontestável. 5. Destinatário dos dados pessoais Os dados pessoais são exclusivamente utilizados para a prestação de serviços de logística por si mandatados no cumprimento do contrato divulgado a terceiros, tal como, por ex. sociedades subsidiárias, parceiros, subcontratantes. Os dados pessoais dos envolvidos na prestação de serviços de logística são, sempre que necessário, divulgados ao contratante do serviço de logística (por ex. comprovativo de entrega). 3
Em particular, não iremos vender ou comercializar os seus dados pessoais a terceiros. 6. Transmissão de dados para países terceiros Um envio de dados para países terceiros ocorre exclusivamente para o cumprimento de prestações de serviços de logística mandatados. No âmbito da economia de dados, são apenas divulgados os dados necessários para o envio e a entrega dos bens aos clientes do contratante às empresas alemãs e estrangeiras do grupo DACHSER e aos prestadores de serviços externos. É permitida uma transmissão de dados para países terceiros sem um nível adequado de proteção de dados para o cumprimento de um contrato entre a pessoa em causa e a autoridade necessária para o processamento, desde que a transmissão de dados seja necessária para o cumprimento do contrato. 7. Prestadores de serviços externos/processamento de pedidos/manutenção Sempre que necessário, existem acordos com prestadores de serviços externos, em conformidade com o Art. 28.º do RGPD ou com as cláusulas contratuais típicas da UE. 8. Conceito Security IT Para além das medidas técnicas e organizacionais tomadas, a Dachser elaborou diretivas pertinentes adicionais decorrentes da importância da segurança da informação. O Sistema de Gestão de Segurança de Informação (SGSI) da central IT da DACHSER está certificado em conformidade com a norma ISO 27001, desde o ano de 2011. 9. Eliminação de dados e tempo de armazenamento Uma vez suprimida a finalidade do armazenamento, os dados pessoais da pessoa em causa são eliminados ou bloqueados. Além disso, pode ainda ser efetuado um armazenamento se o mesmo for previsto pelo legislador europeu ou nacional nas disposições do direito da União, leis ou outros regulamentos aos quais o responsável está sujeito. Um bloqueio ou uma eliminação dos dados também ocorre caso um período de armazenamento fixado pelas normas mencionadas expirar, exceto caso exista a necessidade de um novo armazenamento de dados para a conclusão ou execução de um contrato. IV. Direitos da pessoa em causa Caso os seus dados pessoais sejam processados, é a pessoa em causa na aceção do RGPD e, deste modo, tem os seguintes direitos perante a pessoa responsável: 1. Direito de acesso Pode pedir à pessoa responsável para confirmar se os dados pessoais que lhe dizem respeito são processados por nós. 4
Caso tal processamento exista, pode solicitar à pessoa responsável as seguintes informações: (1) os propósitos finais, para os quais os seus dados pessoais são processados; (2) as categorias de dados pessoais que são processadas; (3) os destinatários ou as categorias de destinatários para os quais os dados pessoais que lhe dizem respeito foram divulgados ou serão ainda divulgados; (4) o tempo previsto do armazenamento dos dados pessoais que lhe dizem respeito ou, se não for possível ter acesso a informações específicas, os critérios para determinar o tempo de armazenamento; (5) a existência de um direito para corrigir ou eliminar os dados pessoais que lhe dizem respeito, um direito para limitar o processamento efetuado pelo responsável ou um direito de recurso contra este processamento; (6) a existência de um direito de contestação perante uma autoridade reguladora; (7) todas as informações disponíveis sobre a origem dos dados, se os dados pessoais não forem recolhidos junto da pessoa em causa; (8) a existência de um processo de tomada de decisões automatizado, incluindo a criação de perfis em conformidade com o Art. 22.º, parágrafos 1 e 4 do RGPD e pelo menos nestes casos informações importantes sobre a lógica implicada, bem como a magnitude e o impacto pretendido desse processamento para a pessoa em causa. Tem o direito de pedir informações sobre se os dados pessoais que lhe dizem respeito foram enviados a um país terceiro ou a uma organização internacional. Neste contexto, pode pedir para ser informado sobre as garantias apropriadas em conformidade com o Art. 46.º do RGPD associadas ao envio. 2. Direito à correção Tem o direito à correção e/ou completude perante o responsável, desde que os dados pessoais processados que lhe dizem respeito estejam incorretos ou incompletos. A pessoa responsável deve efetuar a correção sem qualquer demora. 3. Direito à limitação de processamento Pode solicitar a limitação de processamento dos dados pessoais que lhe dizem respeito nas seguintes condições: (1) se contestar a exatidão dos dados pessoais que lhe dizem respeito num período de tempo que permita ao responsável verificar a exatidão dos dados pessoais; 5
(2) se o processamento é ilegal e caso tenha rejeitado a eliminação dos dados pessoais, porém tenha solicitado a limitação da utilização dos dados pessoais; (3) se o responsável já não necessitar de utilizar os dados pessoais para o propósito do processamento, contudo necessita dos mesmos para reivindicar, exercer ou defender direitos legais, ou (4) se apresentou um recurso contra o processamento, em conformidade com o Art. 21.º, parágrafo 1 do RGPD, não havendo ainda certezas se os motivos legítimos do responsável prevalecem sobre os seus. Caso o processamento dos dados pessoais que lhe dizem respeito tiver sido limitado, estes dados independentemente do seu armazenamento - apenas podem ser processados com o seu consentimento ou para reivindicar, exercer ou defender direitos legais ou para proteger o direito de outra pessoa singular ou coletiva ou processados por motivos de interesse público importante da União ou de um Estado-membro. Se a limitação do processamento tiver ocorrido em conformidade com a limitação dos prérequisitos acima mencionados, será informado pelo responsável antes da limitação ser revogada. 4. Direito à eliminação a. Obrigação à eliminação Pode pedir ao responsável para eliminar prontamente todos os dados pessoais que lhe dizem respeito e a pessoa responsável tem o dever de eliminar estes dados sem qualquer hesitação, se um dos seguintes motivos se aplicar: (1) os dados pessoais que lhe dizem respeito já não são necessários para o propósito para o qual estes foram recolhidos ou, sob outra forma, processados. (2) rescinde do seu consentimento que tem por base o Art. 6.º, parágrafo 1, alínea a) ou o Art. 9.º, parágrafo 2, alínea a) do RGPD e não existe outra base jurídica para o processamento. (3) apresenta um recurso contra o processamento em conformidade com o Art. 21.º, parágrafo 1 do RGPD e não existem motivos legítimos primordiais para o processamento ou apresenta um recurso contra o processamento em conformidade com o Art. 21.º, parágrafo 2 do RGPD. (4) os dados pessoais que lhe dizem respeito foram processados de forma ilícita. (5) a eliminação dos dados pessoais que lhe dizem respeito é necessária para o cumprimento de uma obrigação legal sob o direito da União ou dos Estados-Membros, ao qual a pessoa responsável está sujeita. 6
(6) os dados pessoais que lhe dizem respeito foram recolhidos em matéria de serviços prestados pela sociedade de informação, em conformidade com o Art. 8.º, parágrafo 1 do RGPD. b. Informações a terceiros Caso a pessoa responsável tenha tornado públicos os dados pessoais que lhe dizem respeito e é obrigado a eliminá-los de acordo com o Art. 17.º, parágrafo 1 do RGPD, este deve tomar medidas adequadas, tendo em consideração a tecnologia disponível e os custos de implementação, mesmo do tipo técnico, para informar os responsáveis pelo processamento de dados que processam os dados pessoais, de que, a título de pessoa em causa, terá solicitado a eliminação de todas as hiperligações orientadas para estes dados pessoais ou de cópias ou réplicas dos mesmos. c. Exceções O direito à eliminação não pode ser aplicado se o processamento for necessário (1) para exercer o direito à liberdade de expressão e informação; (2) para cumprir uma obrigação jurídica para o processamento em conformidade com o direito da União ou dos Estados-Membros a que o responsável está sujeito ou lhe é exigido, ou para desempenhar uma tarefa de interesse público ou no exercício de autoridade pública conferida à pessoa responsável; (3) por motivos de interesse público no domínio da saúde pública em conformidade com o Art. 9.º, parágrafo 2, alíneas h) e i), bem como com o Art. 9.º, parágrafo 3 do RGPD; (4) para fins de arquivo de interesse público, da investigação científica ou histórica ou para fins estatísticos, em conformidade com o Art. 89.º, parágrafo 1 do RGPD, na medida em que o direito referido na alínea a) possa potencialmente tornar impossível ou afetar gravemente a concretização do objetivo desse processamento ou (5) para a reivindicação, exercício ou defesa de direitos legais. 5. Direto à informação Caso tenha exercido o seu direito à correção, eliminação ou limitação do processamento perante a pessoa responsável, esta é obrigada a informar todos os destinatários, aos quais foram divulgados os dados pessoais que lhe dizem respeito, sobre esta correção ou eliminação dos dados ou limitação do processamento, exceto quando tal se revele impossível ou implique um esforço desproporcionado. Tem o direito, perante a pessoa responsável, de ser informado sobre estes destinatários. 7
6. Direito de transmissibilidade de dados Tem o direito a receber os dados pessoais que lhe dizem respeito disponibilizados à pessoa responsável num formato estruturado, corrente e mecanicamente legível. Para além disso, tem o direito de transferir estes dados a outra pessoa responsável sem limitação do responsável ao qual tinha anteriormente disponibilizado os dados pessoais que lhe disponibilizou, se (1) o processamento tiver por base um consentimento em conformidade com o Art. 6.º, parágrafo 1, alínea a) do RGPD ou com o Art. 9.º, parágrafo 2, alínea a) do RGPD ou um contrato em conformidade com o Art. 6.º, parágrafo 1, alínea b) do RGPD e (2) o processamento for efetuado com a ajuda de processos automatizados. Ao exercer este direito, tem ainda o direito de solicitar que os seus dados pessoais sejam diretamente enviados de uma pessoa responsável para outra pessoa responsável, se tal for tecnicamente viável. As liberdades e os direitos de outros não devem ser afetados por tal. O direito à transmissibilidade não se aplica a um processamento de dados pessoais necessários para desempenhar uma tarefa de interesse público ou no exercício de autoridade pública conferida à pessoa responsável. 7. Direito de recurso Tem o direito a contestar, a qualquer momento, por motivos decorrentes de uma situação específica, o processamento dos seus dados pessoais em conformidade com o Art. 6.º, parágrafo 1, alínea e) ou f) do RGPD; o mesmo aplica-se à criação de perfis com base nestas disposições. A pessoa responsável pelo processamento dos seus dados pessoais deixa de exercer essa função, exceto se ela apresentar motivos imperiosos e legítimos para o processamento, que superam os seus interesses, direitos e liberdades ou em casos em que o processamento se destine à reivindicação, ao exercício ou defesa de direitos legais. Se os dados pessoais que lhe dizem respeito forem processados para fins de publicidade endereçada, tem o direito a contestar, a qualquer momento, o processamento dos seus dados pessoais para o efeito de tal publicidade; isto também se aplica à criação de perfis associados à publicidade endereçada. Caso recuse o processamento para fins de publicidade endereçada, os dados pessoais que lhe dizem respeito não serão processados para este fim. Tem a possibilidade de, em conexão com a utilização de serviços da sociedade de informação não obstante da diretiva 2002/58/EU exercer o seu direito de recurso por meio de processos automatizados, nos quais são utilizadas especificações técnicas. 8
8. Direito a recurso relativamente à declaração de consentimento para a proteção de dados Tem o direito a invalidar, a qualquer momento, a sua declaração de consentimento para a proteção de dados. Ao apresentar recurso do consentimento, tal ação não tem qualquer influência na legalidade do processamento realizado tendo por base o consentimento até ao recurso. 9. Decisão automatizada em casos específicos, incluindo a criação de perfis Tem o direito a não ser subjugado a uma decisão baseada exclusivamente num processamento automatizado incluindo a criação de perfis que exerce um efeito jurídico sobre a sua pessoa ou o afeta significativamente de forma semelhante. Isto não se aplica, se a decisão (1) for necessária para a conclusão ou execução de um contrato entre si e a pessoa responsável, (2) for autorizada com base no direito da União Europeia ou dos Estados-Membros, ao qual a pessoa responsável está sujeita e estas disposições legais apresentam as medidas adequadas para salvaguardar os seus direitos e liberdades, bem como os seus interesses legítimos ou (3) for realizada com o seu consentimento explícito. Nestes casos, estas decisões podem não ter como base as categorias específicas dos dados pessoais em conformidade com o Art. 9.º, parágrafo 1 do RGPD, exceto se se aplicar o Art. 9.º, parágrafo 2, alínea a) ou g) do RGPD e as medidas adequadas para proteger os seus direitos, liberdades e interesses legítimos forem cumpridas. No que diz respeito aos casos mencionados em (1) e (3), a pessoa responsável toma medidas adequadas para salvaguardar os seus direitos, liberdades e interesses legítimos, incluindo pelo menos o direito a obter a intervenção de uma pessoa por parte do responsável, para defender a posição adotada e impugnar a decisão. 10. Direito a contestação perante uma autoridade reguladora Sem prejuízo de qualquer outro recurso administrativo ou jurisdicional, tem o direito a recurso perante uma autoridade supervisora, particularmente no Estado-membro em que habitualmente reside, trabalha ou no local da presumível infração, se acredita que o processamento dos seus dados pessoais viola o RGPD. A autoridade supervisora, à qual foi apresentado o recurso, deve informar o requerente sobre o estado e o desfecho do recurso, incluindo a possibilidade de um recurso jurisdicional em conformidade com o Art. 78.º do RGPD. 9