Política de privacidade

1. Responsável pelo tratamento

Elni Consulting SRL, Rue Grande Coyarde 7, 1367 Ramillies, Belgique — BE 1002.511.925.

Para qualquer questão ou para exercer os seus direitos: privacy@climatememory.com.

Não designámos encarregado da proteção de dados: a nossa atividade não se enquadra em nenhum dos casos em que o RGPD o impõe (artigo 37.º).

2. O que tratamos, e porquê

Conta: endereço de correio, eventual nome de apresentação, língua e identificador opaco do fornecedor de identidade se usar a Google ou o GitHub. Finalidade: autenticá-lo e contactá-lo. Fundamento: execução do contrato.

Faturação: país, eventualmente denominação social e número de IVA, e o índice das suas faturas. Finalidade: emitir faturas conformes e aplicar o IVA correto. Fundamento: obrigação legal.

Utilização da API: identificador da chave, marca temporal ao minuto, endpoint chamado e custo em créditos. Finalidade: faturar, aplicar quotas, detetar abusos. Fundamento: contrato e interesse legítimo. Estes registos não contêm nem os parâmetros dos seus pedidos nem as coordenadas solicitadas.

Segurança: impressão truncada e com sal do seu endereço IP no momento da ligação e de ações sensíveis, e o agente do utilizador. Finalidade: detetar uma utilização anómala. Fundamento: interesse legítimo. Não conservamos os endereços em si.

Consentimentos: a prova, datada, da aceitação dos documentos contratuais e, se for o caso, da renúncia ao direito de livre resolução. Fundamento: obrigação legal (RGPD art. 7.º, n.º 1 e CDE art. VI.53).

3. O que não fazemos

Não vendemos nem alugamos os seus dados. Não os usamos para publicidade dirigida. Não praticamos decisões automatizadas com efeitos jurídicos sobre si, nem definição de perfis.

Não conservamos palavras-passe, porque não as usamos.

4. Destinatários

Alojamento: OVHcloud SAS, 2 rue Kellermann, 59100 Roubaix, France. Os servidores e as bases de dados situam-se na União Europeia.

Rede de distribuição e proteção: Cloudflare, Inc., que trata os endereços IP dos visitantes para filtrar ataques.

Pagamento: Stripe Payments Europe, Ltd., Dublin, Irlande, que atua como responsável pelo tratamento dos dados de pagamento e é o único a conservar dados de cartão.

Correio eletrónico transacional: Amazon Web Services EMEA SARL (Amazon SES, região de Paris), Luxemburgo. Caixas de correio: OVHcloud (Zimbra), França.

Estes prestadores atuam mediante instrução e estão vinculados por contrato. Nenhum dado é transferido para fora do Espaço Económico Europeu, salvo pela Cloudflare, pela Stripe e pela Amazon Web Services no âmbito dos seus próprios mecanismos de transferência legalmente enquadrados.

5. Prazos de conservação

Conta: enquanto existir, sendo depois apagada a seu pedido.

Faturas e dados de faturação: sete anos a contar do encerramento do exercício, como impõe a legislação contabilística belga. Essa conservação sobrevive a um pedido de apagamento (RGPD art. 17.º, n.º 3, alínea b), mas a fatura conservada deixa de estar associada a uma conta ativa.

Registos de utilização: treze meses móveis.

Sessões: trinta dias após a última utilização.

Ligações de acesso: quinze minutos, sendo eliminadas no máximo ao fim de sete dias.

Eventos de pagamento em bruto recebidos da Stripe: noventa dias, e imediatamente em caso de apagamento da conta em causa.

6. Os seus direitos

Dispõe dos direitos de acesso, retificação, apagamento, limitação, oposição e portabilidade previstos nos artigos 15.º a 22.º do RGPD.

O apagamento é desencadeado a partir da sua área de cliente, sem formalidades nem espera: revoga as suas chaves, elimina as suas identidades de acesso e sessões, sobrescreve os dados identificativos da sua conta e desliga as suas faturas, que permanecem sem dados pessoais associados. A operação é irreversível.

Pode também escrever-nos para privacy@climatememory.com. Respondemos no prazo de um mês.

7. Reclamação

Se a nossa resposta não o satisfizer, pode dirigir-se à Autorité de protection des données (APD/GBA), Rue de la Presse 35, 1000 Bruxelles, Belgique — https://www.autoriteprotectiondonnees.be.

A autoridade competente é a belga e não a francesa: o nosso estabelecimento principal situa-se na Bélgica.

8. Segurança

As chaves de API e os tokens de sessão nunca são armazenados em claro: apenas a sua impressão criptográfica é conservada, o que torna uma cópia da base de dados inútil para estabelecer ligação.

Os papéis da base de dados estão separados: o processo que responde aos pedidos da API não tem qualquer direito de leitura sobre as tabelas com dados pessoais. Não é uma instrução interna, é uma restrição imposta pelo servidor.

As trocas são cifradas em trânsito. Em caso de violação suscetível de gerar risco para os seus direitos, notificamos a autoridade em 72 horas e informamo-lo quando o risco for elevado.

9. Alteração

Qualquer alteração substancial desta política é-lhe notificada por correio eletrónico. A versão em vigor tem a data indicada no topo da página.