Política de privacidade

O presente texto português é uma tradução de cortesia do original espanhol, disponibilizada para que o documento possa ser lido em português. Em caso de divergência entre as duas versões prevalece a versão espanhola, que é a única que produz efeitos jurídicos. O original espanhol está publicado em blastack.com/es/privacidad.

Numa plataforma de comunicação interna a mesma empresa trata dados pessoais em duas posições que o Regulamento (UE) 2016/679 (RGPD) distingue com clareza, e com obrigações diferentes. Separá-las é a primeira coisa a compreender neste documento.

A Blastack como responsável pelo tratamento

Dos dados de quem visita blastack.com, escreve para o endereço de contacto, cria uma conta de teste ou contrata o serviço. Aqui somos nós que decidimos para quê e como esses dados são tratados, e respondemos por isso. É o que se detalha nos pontos 3, 8 e 9.

A Blastack como subcontratante

Dos dados que a empresa cliente introduz na plataforma sobre o seu próprio quadro de pessoal. Aqui a responsável é a empresa cliente: decide que dados incorpora, para quê, quem acede e durante quanto tempo são conservados. Nós apenas os tratamos seguindo as suas instruções, ao abrigo do contrato de subcontratação do artigo 28.º do RGPD. É o que se detalha nos pontos 4 e 5.

A consequência prática é simples: se é uma pessoa que trabalha numa empresa que usa a Blastack, a responsável pelos seus dados é a sua empresa e não nós. No ponto sobre direitos explica-se a quem se deve dirigir e o que fazemos se nos escrever a nós.

Responsável

APRENDIZAJES DEL FUTURO, S.L.

Número de identificação fiscal (NIF)

B23853310

Sede

Passatge Domènech 3, 08470 Sant Celoni (Barcelona), Espanha

Endereço de e-mail

info@blastack.com

Encarregado da proteção de dados (DPO)

Não foi designado encarregado da proteção de dados por não se verificar nenhuma das situações previstas no artigo 37.º do RGPD.

Qualquer questão sobre proteção de dados, incluindo o exercício de direitos, pode ser colocada em info@blastack.com ou por escrito para a sede indicada.

Estes são os tratamentos em que somos nós a decidir, com a sua finalidade, a sua base jurídica e o seu prazo de conservação.

Não elaboramos perfis nem tomamos decisões automatizadas que produzam efeitos jurídicos sobre as pessoas ou que as afetem de modo similarmente significativo.

Quando uma empresa contrata a Blastack, incorpora na plataforma dados do seu próprio quadro de pessoal. Esses dados continuam a ser da empresa cliente, que é a responsável pelo tratamento. Nós alojamo-los e processamo-los por conta dela. Consoante as funcionalidades que a empresa decida utilizar, podem incluir:

• Identificação e contacto: nome e apelidos, e-mail e telefone.
• Dados de organização: função, departamento, centro de trabalho e papel dentro da plataforma.
• Fotografia de perfil, se a pessoa a carregar.
• Data de aniversário e data de entrada na empresa, se a empresa ativar as funcionalidades de parabéns e antiguidade.
• Conteúdo gerado: publicações, comentários, reações, mensagens internas, ficheiros carregados e reconhecimentos entre colegas.
• Registos de atividade necessários ao serviço: leituras de publicações, confirmações de leitura de documentos, confirmações de presença em eventos e respostas a inquéritos.
• Dados técnicos de acesso: endereço IP, navegador e datas de ligação, e o registo de auditoria das ações administrativas relevantes.

Não utilizamos nenhum destes dados para finalidades próprias: nem para publicidade, nem para elaborar perfis, nem para treinar sistemas automáticos, nem os cedemos a ninguém. Só são acedidos quando é imprescindível para prestar apoio ou resolver um incidente, e esses acessos ficam registados.

Quando a empresa cliente marca um inquérito como anónimo, a resposta é guardada sem ligação à pessoa que a enviou. Não é uma promessa do ecrã: o dado de quem respondeu o quê não chega a existir na base de dados, de modo que não pode ser reconstruído nem por um administrador da empresa nem por nós.

Cabe à empresa cliente decidir que dados incorpora, dispor de uma base jurídica para os tratar, informar o seu quadro de pessoal nos termos dos artigos 13.º e 14.º do RGPD e cumprir a legislação laboral aplicável, incluindo a consulta aos representantes legais dos trabalhadores quando esta seja devida.

A relação entre a empresa cliente, como responsável, e a Blastack, como subcontratante, é documentada num contrato de subcontratação nos termos do artigo 28.º do RGPD, que faz parte das Condições do serviço e é aceite no momento da contratação. Pode ser facultado assinado em separado a pedido do cliente. Ao abrigo desse contrato obrigamo-nos a:

• Tratar os dados unicamente segundo as instruções documentadas do responsável, e avisá-lo se entendermos que uma instrução infringe a legislação de proteção de dados.
• Manter a confidencialidade, também depois de terminada a relação, e exigir o mesmo compromisso a qualquer pessoa que possa aceder aos dados.
• Aplicar as medidas técnicas e organizativas do artigo 32.º do RGPD que se resumem no ponto sobre segurança.
• Não recorrer a outro subcontratante sem autorização do responsável. Os subcontratantes ulteriores atuais constam do ponto sobre destinatários, e qualquer alteração é comunicada com antecedência suficiente para que o cliente se possa opor.
• Apoiar o responsável para que possa dar resposta aos pedidos de exercício de direitos que receba do seu quadro de pessoal.
• Ajudá-lo a cumprir as suas obrigações dos artigos 32.º a 36.º do RGPD, incluindo as avaliações de impacto quando sejam devidas.
• Notificá-lo sem demora injustificada de qualquer violação de segurança que afete os seus dados, com a informação necessária para que possa cumprir as suas próprias obrigações de notificação.
• Devolver ou eliminar os dados no termo da prestação, à escolha do responsável, nos termos do ponto sobre conservação.
• Colocar à sua disposição a informação necessária para demonstrar o cumprimento e permitir auditorias, incluindo inspeções, com pré-aviso razoável.

O serviço é prestado a partir de servidores próprios situados na União Europeia, num centro de dados de França operado por Hostinger International Limited. As cópias de segurança permanecem na mesma jurisdição.

Não são realizadas transferências internacionais de dados para fora do Espaço Económico Europeu. Nem o alojamento, nem as cópias de segurança, nem o apoio, nem as tarefas de administração são prestados a partir de fora do EEE, pelo que não é necessário recorrer a cláusulas contratuais-tipo nem a outras garantias do capítulo V do RGPD.

Os ficheiros carregados na plataforma são guardados no disco do próprio servidor, numa pasta por empresa, e não são acessíveis por endereço direto: cada descarregamento volta a verificar a sessão e a pertença à empresa. A base de dados só é acessível a partir do próprio servidor e não está exposta à Internet.

Os tipos de letra e os demais recursos do site são servidos a partir do nosso servidor. Ao carregar uma página de blastack.com o navegador não faz qualquer pedido a terceiros, pelo que nenhum terceiro recebe o seu endereço IP pelo facto de nos visitar.

Não cedemos dados pessoais a terceiros. Só são comunicados quando existe uma obrigação legal — à administração fiscal, às forças e serviços de segurança ou aos tribunais — ou quando é necessário para formular ou defender reclamações.

• Hostinger International Limited, como fornecedor da infraestrutura onde estão alojados os servidores. Atua como subcontratante, tem assinado o contrato correspondente e não acede ao conteúdo.
• Os consultores externos que prestam serviços de contabilidade, fiscalidade ou assessoria jurídica, limitados aos dados de faturação e sujeitos a sigilo profissional.

Não utilizamos serviços de análise web, de publicidade, de gestão de campanhas nem extensões de redes sociais, pelo que nenhuma dessas empresas recebe dados de quem visita o site ou usa a plataforma.

O site comercial, blastack.com, não utiliza cookies. Não há análise, nem medição de campanhas, nem publicidade, nem botões de redes sociais. É essa a razão pela qual não verá um aviso a pedir-lhe consentimento: não há nada a consentir.

A plataforma, app.blastack.com, utiliza um único cookie próprio e estritamente necessário para manter a sessão iniciada:

É um cookie isento do dever de consentimento nos termos do artigo 22.2 da LSSI-CE espanhola, por ser imprescindível para prestar um serviço expressamente solicitado. Pode ser bloqueado a partir do navegador, mas nesse caso não é possível iniciar sessão na plataforma.

Na qualidade de responsável, conservamos cada categoria de dados durante o prazo indicado na respetiva ficha do ponto 3. Terminado esse prazo, os dados são bloqueados enquanto subsistirem responsabilidades legais e depois são eliminados.

Na qualidade de subcontratante, conservamos os dados da plataforma enquanto estiver em vigor o contrato com a empresa cliente. No termo, a empresa dispõe de 30 dias de calendário para exportar a sua informação. Decorrido esse prazo, os dados e os ficheiros são eliminados de forma definitiva no prazo máximo de 30 dias adicionais, incluindo as cópias de segurança, salvo aquilo que devamos conservar por obrigação legal, que se limita aos dados de faturação.

As contas de teste que não dão origem a contratação são encerradas ao fim dos 15 dias e os seus dados são eliminados segundo o mesmo critério.

Aplicamos as medidas técnicas e organizativas adequadas ao risco, nos termos do artigo 32.º do RGPD. Entre outras:

• As palavras-passe não são armazenadas: guarda-se um derivado obtido com scrypt e um sal diferente por utilizador.
• O identificador de sessão é guardado cifrado, de modo que uma cópia da tabela não permite fazer-se passar por ninguém.
• O isolamento entre empresas é verificado em cada consulta à base de dados, e não apenas na interface.
• A base de dados não está exposta à Internet e só é acessível a partir do próprio servidor.
• As comunicações viajam cifradas e os ficheiros são servidos verificando sessão e pertença em cada descarregamento.
• Bloqueio temporário do acesso após várias tentativas falhadas, e encerramento das sessões abertas ao mudar a palavra-passe.
• Registo de auditoria de entradas, saídas, mudanças de papel e aprovações de conteúdo.
• Cópias de segurança periódicas dentro da mesma jurisdição.

O detalhe de como isto está construído, incluindo aquilo que ainda não oferecemos, está na página de segurança.

O RGPD reconhece às pessoas os seguintes direitos sobre os seus dados:

Acesso

Saber se tratamos os seus dados e obter uma cópia deles.

Retificação

Corrigir os dados inexatos ou completar os incompletos.

Apagamento

Pedir que sejam eliminados quando já não sejam necessários ou o tratamento não esteja justificado.

Oposição

Opor-se ao tratamento baseado em interesse legítimo por motivos relacionados com a sua situação particular.

Limitação

Pedir que sejam conservados mas não utilizados enquanto se resolve uma impugnação.

Portabilidade

Receber em formato estruturado e de uso corrente os dados que nos tenha facultado.

Retirada do consentimento

Quando o tratamento se baseie no seu consentimento, retirá-lo a qualquer momento sem que isso afete a licitude do tratamento anterior.

Para os exercer basta escrever para info@blastack.com ou para a sede indicada no ponto 2, indicando que direito exerce e juntando cópia de um documento que comprove a sua identidade. Responderemos no prazo de um mês, prorrogável por mais dois meses se o pedido for especialmente complexo, caso em que o comunicaremos. O exercício destes direitos é gratuito.

Se é uma pessoa que trabalha numa empresa que usa a Blastack e o seu pedido se refere aos dados que estão na plataforma, quem o deve atender é a sua empresa, porque é a responsável pelo tratamento. Se nos escrever a nós, indicá-lo-emos e transmitiremos o pedido à sua empresa sem demora, para que não se perca pelo caminho.

Se considerar que não demos seguimento correto ao seu pedido, pode apresentar reclamação junto da Agência Espanhola de Proteção de Dados (Agencia Española de Protección de Datos, C/ Jorge Juan, 6, 28001 Madrid, www.aepd.es), que é a autoridade de controlo competente para este responsável. Nos termos do artigo 77.º do RGPD pode ainda dirigir-se à autoridade de controlo do Estado onde reside habitualmente, onde trabalha ou onde ocorreu a alegada violação — em Portugal, a Comissão Nacional de Proteção de Dados (CNPD, www.cnpd.pt). Não é necessário reclamar primeiro junto de nós, embora agradeçamos a oportunidade de resolver a questão em primeira mão.

O serviço destina-se a empresas e às pessoas que nelas trabalham. Não está pensado para menores de 16 anos e não recolhemos deliberadamente os seus dados. Se uma empresa cliente incorporar dados de pessoas com idade inferior, é ela que deve dispor da base jurídica que corresponda.

Esta política pode ser atualizada por alterações normativas, por recomendações das autoridades de controlo ou pela evolução do serviço. A versão em vigor é sempre a publicada nesta página, com a data de atualização que consta no início.

Quando a alteração for substancial, os clientes serão avisados por e-mail ou dentro da plataforma com antecedência razoável face à sua entrada em vigor.