Como tratamos os seus dados pessoais, em linguagem corrente (art. 13.º do RGPD).

Quem é o responsável

Carpintaria da Vermelha, Lda. · NIF 503 533 122 · Estrada Nacional 115, Km 21, Sítio da Quinta, 2550-538 Vermelha — Cadaval · geral@carpintariadavermelha.pt · 912 236 879.

Para que usamos os dados e com que fundamento

• Orçamentação, execução e faturação de trabalhos de carpintaria — nome, NIF, morada, contactos e histórico de obras e orçamentos. Fundamento: execução de contrato e diligências pré-contratuais (art. 6.º, n.º 1, b).
• Conta de cliente na nossa aplicação — utilizador, nome, contacto, palavra-passe guardada de forma irreversível e pedidos do simulador. Fundamento: execução de contrato e diligências pré-contratuais — a conta é criada a seu pedido (art. 6.º, n.º 1, b); a aprovação dos registos, interesse legítimo na segurança (art. 6.º, n.º 1, f). Registos pendentes: os rejeitados são apagados e os nunca aprovados apagam-se ao fim de 90 dias.
• Pedido de orçamento feito no simulador do site, sem conta — nome, email e/ou telefone, concelho da obra, a mensagem que escrever e a configuração escolhida. Fundamento: consentimento, dado ao marcar a caixa do formulário (art. 6.º, n.º 1, a), que pode retirar a qualquer momento pedindo-nos que apaguemos o pedido. Se não der origem a uma proposta, apaga-se sozinho ao fim de 12 meses; se der, passa a fazer parte dos dados comerciais acima. O endereço IP de quem envia fica só no diário técnico do servidor (30 dias), para os limites contra o envio automático em massa.
• Registos técnicos do servidor — acessos e escritas (utilizador, papel e ação), guardados 365 dias; tentativas de entrada falhadas (conta e endereço IP), guardadas 30 dias (as de acesso técnico ao servidor ficam também no registo do sistema, até cerca de 2 meses). Fundamento: interesse legítimo na segurança. As sessões expiram por inatividade. As cópias de segurança são cifradas, exceto a réplica contínua da base de dados, que guarda 7 dias, e, quando houver o segundo servidor, a cópia dos documentos anexos que ele recebe — passam entre os dois por uma ligação cifrada.

Por quanto tempo

Dados comerciais: 5 anos após a última atividade; documentos com relevância fiscal: 10 anos (obrigação legal). Contas de cliente: enquanto a conta existir; pedidos de orçamento feitos no simulador do site sem conta e sem seguimento: 12 meses. As cópias de segurança renovam-se por rotação: o que é apagado na aplicação sai também delas, no máximo, ao fim de cerca de 14 meses.

Com quem partilhamos

Alojamento num servidor na União Europeia (OVH) e, quando estiver em funcionamento, também num nas nossas instalações, os dois ligados por uma ligação cifrada; a ligação ao site é segura (TLS) e termina no servidor da OVH; o email que a aplicação envia e recebe passa pelo alojamento de email da OVH, também na UE. A faturação é emitida à parte, no software próprio da empresa. O email da empresa (carpintariadavermelha.pt) está na Google Workspace, numa conta empresarial com acordo de tratamento de dados: a Google atua como subcontratante (art. 28.º) — é por lá que passam, por exemplo, os pedidos que nos fizer sobre os seus dados e os avisos que a aplicação envia à nossa gestão. As cópias de segurança externas ficam nos computadores da empresa e, quando a ligação estiver feita, também no Google Drive dessa mesma conta Google Workspace (até lá, as cópias para a nuvem estão suspensas); as cópias da base de dados e dos ficheiros são cifradas por nós antes de saírem e a Google não tem as chaves. Como a Google pode tratar dados fora da UE, essas transferências fazem-se ao abrigo das cláusulas contratuais-tipo da Comissão Europeia e do EU-US Data Privacy Framework. A salvaguarda do código da aplicação não leva a base de dados nem os ficheiros, mas o histórico do código ainda contém o nome, o IBAN e valores de ordenado de um trabalhador (até ser reescrito); fica nos computadores da empresa e só vai para a nuvem cifrado por nós — e não vai enquanto as cópias para lá estiverem suspensas. A aplicação não envia os seus dados a serviços de inteligência artificial de terceiros: os documentos são lidos (incluindo o reconhecimento de texto) no nosso servidor. As páginas públicas do site não usam cookies. A aplicação (/app) usa um cookie de sessão estritamente necessário, que expira por inatividade, e — só se pedir para lembrar o aparelho no segundo passo da entrada — um cookie que dispensa esse passo durante 30 dias; guarda ainda rascunhos no seu navegador. Não usamos cookies de análise nem de publicidade.

Os seus direitos

Pode pedir acesso, retificação, apagamento, limitação ou portabilidade dos seus dados, ou opor-se ao tratamento, escrevendo para geral@carpintariadavermelha.pt. Quando há obras realizadas, o histórico conserva-se pelo prazo legal (a obrigação legal prevalece sobre o apagamento). Tem ainda o direito de apresentar queixa à CNPD — Comissão Nacional de Proteção de Dados (www.cnpd.pt).