POLÍTICA DE PRIVACIDADE

1. Quem somos

A QuantumData Strategy, Lda. («QDS»), NIPC 517874571, com sede na Rua do Lago de Prata, n.º 16, C5, 2605-299 Belas, disponibiliza o website www.quantumdatastrategy.com (incluindo quantumdatastrategy.pt) e a plataforma empresarial QDS Routes, em app.quantumdatastrategy.com.

Contacto para privacidade e exercício de direitos: privacidade@quantumdatastrategy.com.

Esta Política explica como tratamos dados pessoais nos nossos websites e serviços. A QDS Routes destina-se exclusivamente a empresas e profissionais, mas os seus utilizadores e os destinatários de entregas podem ser pessoas singulares protegidas pelo RGPD.

2. Quando somos responsáveis pelo tratamento e quando somos subcontratantes

A QDS é responsável pelo tratamento dos dados recolhidos para finalidades próprias, como contactos do website, comunicação comercial, recrutamento, segurança, gestão administrativa, faturação e determinadas operações de autenticação e gestão de contas.

Quanto aos dados que as organizações clientes introduzem ou geram na QDS Routes para gerir entregas, rotas, veículos e motoristas, a QDS atua, em regra, como subcontratante: trata-os por conta e segundo as instruções da organização cliente, que determina as finalidades e os meios essenciais. Esta relação é regulada pelo Acordo de Tratamento de Dados (DPA).

A empresa cliente é o contacto principal para pedidos relativos aos dados operacionais que controla. A QDS presta-lhe a assistência exigida pelo RGPD.

3. Dados pessoais tratados

No website institucional: nome, email, telefone, empresa, função, conteúdo dos pedidos de contacto ou demonstração, preferências da newsletter e dados fornecidos em candidaturas. Durante a navegação podem ser tratados endereço IP, informações técnicas do navegador, registos de segurança e dados de utilização sujeitos às regras sobre cookies.

Na plataforma: nome e email dos utilizadores, organização e perfil de acesso, registos de autenticação, endereço IP, configurações, eventos técnicos e dados necessários à gestão contratual e de segurança.

Por conta das empresas clientes: contactos e moradas de destinatários de entregas, instruções, horários e janelas de entrega, identificação de veículos e motoristas, itinerários, atribuições e estados operacionais.

Quando as funcionalidades correspondentes estejam efetivamente disponíveis e ativadas, podem ainda ser tratados dados de localização de veículos ou dispositivos, coordenadas associadas à conclusão de entregas, fotografias de prova de entrega e respetivos metadados. A autorização de localização concedida no telemóvel não equivale, por si só, a consentimento válido para a sua utilização laboral.

4. Finalidades e fundamentos jurídicos

Pedidos de contacto, demonstrações e propostas: interesse legítimo na resposta a contactos profissionais ou diligências pré-contratuais quando o titular seja parte no futuro contrato (artigo 6.º, n.º 1, alíneas f) ou b), do RGPD).

Newsletter e comunicações eletrónicas de marketing: consentimento quando legalmente exigido, sem prejuízo das situações permitidas pelo regime específico das comunicações eletrónicas (artigo 6.º, n.º 1, alínea a), do RGPD).

Recrutamento: diligências pré-contratuais com o candidato; conservação para oportunidades futuras mediante consentimento específico.

Gestão de contratos, faturação e cobrança: execução do contrato quando celebrado com o próprio titular, interesses legítimos na gestão de contratos empresariais e cumprimento de obrigações legais fiscais e contabilísticas, conforme a operação (artigo 6.º, n.º 1, alíneas b), f) ou c)).

Contas de utilizadores empresariais, autenticação, apoio e segurança: interesse legítimo na disponibilização, proteção e administração da plataforma; quando o utilizador seja pessoalmente parte contratante, também execução contratual, conforme aplicável.

Análise de utilização não essencial: consentimento sempre que legalmente exigido, incluindo as regras de acesso a informação no equipamento terminal. Estatísticas estritamente técnicas de segurança podem assentar no interesse legítimo, sujeito aos princípios do RGPD.

Relativamente aos dados operacionais tratados pela QDS por conta da organização cliente, compete àquela organização identificar o fundamento jurídico aplicável e assegurar os deveres de informação.

5. Geolocalização e dados de trabalhadores

A QDS Routes destina-se à gestão de operações logísticas e não legitima a vigilância laboral proibida. O artigo 20.º do Código do Trabalho impede a utilização de meios de vigilância à distância com a finalidade de controlar o desempenho profissional dos trabalhadores.

Quando disponibilizadas funcionalidades de localização, a empresa cliente, enquanto empregadora e responsável pelo tratamento, deve assegurar a licitude, necessidade, proporcionalidade, informação prévia aos trabalhadores e, quando exigível, avaliação de impacto.

A QDS disponibilizará medidas técnicas e informação correspondentes às funcionalidades efetivamente contratadas e prestará assistência nos termos do DPA. A localização fora de serviço ou durante utilização privada não deve ser disponibilizada à entidade empregadora sem fundamento jurídico específico.

6. Prestadores tecnológicos e destinatários

Utilizamos prestadores especializados necessários ao funcionamento dos serviços, sujeitos às obrigações contratuais e legais aplicáveis:

• Hetzner Online GmbH: alojamento principal, geocodificação, mapas e serviços técnicos, com servidores identificados em Helsínquia, Finlândia.
• Amazon Web Services: autenticação (Cognito), email transacional (SES), armazenamento (S3), replicação da base de dados para recuperação de desastres (RDS), distribuição de conteúdos (CloudFront: servidor de mapas, página de estado e página de manutenção, que veem o endereço IP, o agente do navegador e o endereço pedido) e tratamento textual do assistente de inteligência artificial (Bedrock), com endpoint na região da Irlanda.
• HubSpot: gestão de contactos e formulários do website institucional, com região de alojamento identificada na União Europeia.
• Serviços de segurança de rede e distribuição de conteúdos: podem processar endereços IP e dados técnicos indispensáveis à proteção e entrega de componentes do serviço.
• Prestadores de pagamento e faturação, designadamente Stripe e InvoiceXpress, apenas quando as correspondentes funcionalidades de subscrição e faturação estiverem ativadas.

As autoridades públicas podem receber dados quando exista obrigação legal. Não comercializamos listas de dados pessoais dos utilizadores.

7. Transferências para fora do Espaço Económico Europeu

Privilegiamos infraestrutura no Espaço Económico Europeu. Certos prestadores internacionais podem, contudo, implicar acessos ou transferências para países terceiros, mesmo quando os servidores principais se encontram na União Europeia.

Quando ocorram transferências de dados pessoais, aplicamos mecanismos previstos no capítulo V do RGPD, designadamente decisões de adequação, cláusulas contratuais-tipo e medidas complementares adequadas à situação concreta. A informação sobre os mecanismos aplicáveis pode ser solicitada através do contacto indicado nesta Política.

8. Prazos de conservação

Os dados são conservados pelo tempo necessário à respetiva finalidade e pelos prazos impostos por lei.

• Contactos profissionais e pedidos de demonstração: durante o tratamento do pedido e a relação comercial eventualmente estabelecida, seguidos de um período de até 24 meses após o último contacto, para acompanhamento e prova das comunicações.
• Newsletter: até cancelamento ou retirada do consentimento, sem prejuízo da conservação estritamente necessária da prova da escolha efetuada.
• Candidaturas: durante o processo de recrutamento; para futuras vagas, apenas mediante consentimento específico e por um máximo de 12 meses.
• Contas e dados operacionais de clientes: durante o contrato e pelos períodos de recuperação, devolução ou eliminação legalmente aplicáveis, de acordo com o DPA. Não existe eliminação automática no termo do contrato; a eliminação é efetuada por procedimento manual, no prazo previsto no DPA.
• Dados de faturação: durante os períodos legais de conservação fiscal e contabilística.
• Logs técnicos e dados de diagnóstico: pelo período estritamente necessário à segurança e correção de erros, que não excede 13 meses.
• Backups: segundo ciclos técnicos documentados, com proteção e acesso limitado, até à respetiva expiração (em regra até 4 meses; a réplica de recuperação de desastres, 7 dias).
• Dados de localização e provas de entrega: não aplicamos eliminação automática; os prazos de conservação serão definidos com a organização cliente antes da ativação destas funcionalidades, sendo possível pedir a anonimização.

9. Cookies e análise de utilização

Utilizamos tecnologias necessárias à autenticação, segurança e memorização de escolhas. Outras tecnologias destinadas a medir a audiência ou analisar comportamentos são utilizadas nos termos da legislação aplicável, incluindo a obtenção de consentimento prévio quando exista armazenamento ou acesso a informação no dispositivo sem isenção legal.

A análise estatística é alojada na infraestrutura da QDS, mas a ausência de cookies tradicionais não afasta, por si só, a legislação sobre acesso ao equipamento terminal. Consulte a Política de Cookies para informação sobre as tecnologias e gestão das preferências.

10. Inteligência artificial

Quando o assistente opcional é utilizado, o conteúdo do pedido pode ser transcrito e tratado para gerar a resposta. De acordo com a arquitetura técnica descrita, a conversão voz/texto é realizada na infraestrutura europeia da QDS e o texto necessário ao processamento é enviado ao serviço Amazon Bedrock, na região da Irlanda.

A QDS não utiliza os dados operacionais dos clientes para treinar modelos próprios para finalidades alheias à prestação contratada. Evite incluir nos pedidos informações pessoais desnecessárias.

11. Direitos dos titulares

Consoante os pressupostos legais, os titulares têm os direitos de acesso, retificação, apagamento, limitação, oposição, portabilidade e retirada do consentimento, bem como proteção contra determinadas decisões exclusivamente automatizadas. A retirada do consentimento não afeta a licitude do tratamento realizado anteriormente.

Para exercer direitos relativos a tratamentos da responsabilidade da QDS, escreva para privacidade@quantumdatastrategy.com. A resposta será prestada no prazo legal, em regra um mês, prorrogável nos casos admitidos pelo RGPD.

Quando os dados tiverem sido disponibilizados por uma empresa cliente, o pedido pode ser dirigido a essa empresa, responsável pelo tratamento. A QDS encaminhará os pedidos que lhe cheguem e prestará a assistência devida.

Os titulares podem apresentar reclamação à Comissão Nacional de Proteção de Dados (www.cnpd.pt) e recorrer aos tribunais competentes.

12. Segurança e alterações desta Política

Aplicamos medidas de segurança proporcionais ao risco, incluindo comunicações protegidas, controlo de acessos, separação lógica por organização, cópias de segurança e mecanismos de resposta a incidentes. A segurança absoluta não pode ser garantida.

A presente Política poderá ser atualizada para refletir alterações legais ou técnicas, sendo indicada a data da versão publicada. Sempre que uma nova finalidade exija informação ou consentimento adicionais, adotaremos os procedimentos legalmente necessários antes da sua implementação.

Para questões sobre proteção de dados: privacidade@quantumdatastrategy.com.

Em caso de divergência entre versões linguísticas, prevalece a versão portuguesa, sem prejuízo de direitos imperativos aplicáveis.