Conformidade RGPD

Quando expede com o ParcelRush, confia-nos os dados dos seus compradores: o nome, a morada, muitas vezes o telefone e o email. Continua a ser o responsável por esses dados, e tem de conseguir prestar contas sobre eles.

Esta página reúne o que precisa para isso: quem trata o quê, onde estão alojados os dados, quanto tempo são conservados, o contrato de subcontratação para arquivar, e um parágrafo pronto a copiar para a sua própria política de privacidade.

O artigo 28.º do RGPD impõe um contrato escrito entre o responsável pelo tratamento (você) e o subcontratante (ParcelRush). Esse contrato existe e pode pedi-lo para [email protected], sem limiar de volume e sem passar por um comercial.

O que ele enquadra:

• Só tratamos os seus dados segundo as suas instruções, e apenas para as finalidades do serviço.
• Os nossos subcontratantes subsequentes estão listados, e qualquer alteração substancial é-lhe notificada com 30 dias de pré-aviso.
• Damos-lhe apoio para responder aos pedidos de acesso, retificação, apagamento e portabilidade dos seus compradores.
• No fim do contrato, os seus dados são apagados.

O contrato rege-se pela lei portuguesa, sendo o ParcelRush operado pela Navescale, Lda, com sede em Lisboa. As transferências para um subcontratante situado fora da União Europeia são enquadradas pelas cláusulas contratuais-tipo da Comissão Europeia (decisão 2021/914).

O RGPD distingue três papéis nesta cadeia, e não implicam as mesmas obrigações.

• Você é o responsável pelo tratamento. São os seus compradores, a sua relação comercial, as suas finalidades. É você que os informa e que responde aos pedidos deles.
• O ParcelRush é o seu subcontratante na aceção do artigo 28.º. Tratamos os dados das encomendas para produzir a etiqueta, os documentos aduaneiros e o rastreio, e para mais nada.
• As transportadoras não são nossas subcontratantes. CTT, DHL, UPS, FedEx, DPD e Colissimo agem como responsáveis pelo tratamento independentes: têm as suas próprias obrigações legais de transporte, alfândega e conservação, e não tratam os dados por nossa conta. A transmissão da morada à transportadora que escolheu é necessária à execução do seu contrato de venda.

Esta distinção conta na hora de redigir os seus textos: uma transportadora menciona-se como destinatária dos dados, não como subcontratante do ParcelRush.

Quanto aos seus compradores, tratamos o nome do destinatário, a morada de entrega, o telefone e o email quando são fornecidos, e o conteúdo da encomenda necessário à etiqueta e à declaração aduaneira.

Quanto a si, tratamos os dados da sua conta e as suas credenciais de transportadora, que são cifradas.

Prazos de conservação:

• Dados da encomenda: apagados assim que o envio é concluído. Não constituímos qualquer base de destinatários.
• Etiquetas geradas: 6 meses. Uma etiqueta contém o nome e a morada do destinatário, porque é isso que nela vai impresso. Fica disponível o tempo necessário para tratar uma devolução, uma reclamação ou um litígio de entrega, e depois é apagada.
• País de destino: 1 ano. Apenas o país, para fins estatísticos. Não permite identificar ninguém.
• Documentos de faturação: 10 anos, como impõe a lei contabilística portuguesa. Contêm dados da sua empresa, não dos seus compradores.
• Dados de conta: durante a vigência do contrato, depois apagados.
• Cópias de segurança: purgadas em 30 dias.

Pode pedir o apagamento antecipado de uma etiqueta a qualquer momento, antes dos 6 meses. Escreva para [email protected]: o apagamento é definitivo.

Todo o serviço está alojado na Hetzner, na Alemanha, portanto dentro da União Europeia. A base de dados é desenvolvida e operada pela nossa equipa: nenhum fornecedor terceiro aloja os seus envios.

Os nossos subcontratantes são poucos, e cada um tem uma razão de ser:

• Hetzner (Alemanha, UE): alojamento da plataforma e dos dados.
• Brevo (União Europeia): envio dos emails transacionais e das respostas às suas mensagens.
• Cloudflare (Estados Unidos, cláusulas contratuais-tipo): proteção do serviço e filtragem anti-robôs dos formulários.
• Stripe (Estados Unidos, cláusulas contratuais-tipo): processamento dos pagamentos. Não guardamos qualquer dado de cartão bancário.

O site parcelrush.com usa ainda o DataFa.st para medição de audiência, mediante consentimento. Essa ferramenta não vê nada dos seus envios: diz respeito apenas à navegação no site público.

Acrescente este parágrafo à secção «Subcontratantes» ou «Destinatários dos dados» da sua política de privacidade. Informa os seus compradores de que os dados de entrega passam por um prestador de expedição, o que o RGPD lhe exige.

Se expede por conta dos seus próprios clientes, a cadeia ganha mais um elo: o seu cliente é o responsável pelo tratamento, você é o subcontratante dele, e o ParcelRush passa a ser subcontratante subsequente.

Aceitamos ser designados como tal no contrato que o liga aos seus clientes, e damos-lhe os elementos para juntar ao seu dossiê: o contrato de subcontratação, a lista de subcontratantes acima, o local de alojamento e os prazos de conservação. É o que um cliente pede quando audita o seu operador logístico, e está pensado para caber num anexo.

Se o seu cliente exigir uma cláusula específica ou o seu próprio modelo de contrato, escreva-nos: analisamos.

O que acontece em caso de violação de dados?
Notificamos a autoridade de controlo competente no prazo de 72 horas, e avisamo-lo sem demora injustificada se os seus dados forem afetados. O procedimento completo está na nossa política de segurança.

O que acontece se a CNPD fizer um pedido?
Enquanto subcontratante, damos-lhe apoio para responder, bem como para qualquer auditoria ou pedido de acesso, retificação, apagamento ou portabilidade vindo de um dos seus compradores.

As regras de encaminhamento são uma decisão automatizada proibida?
Não. As regras escolhem uma transportadora para uma encomenda, em função do peso, do destino e do serviço pedido. Não incidem sobre nenhuma pessoa, não produzem qualquer efeito jurídico e não tomam qualquer decisão na aceção do artigo 22.º. Pode aliás impor a transportadora a qualquer momento.

Preciso de uma avaliação de impacto (AIPD)?
Na grande maioria dos casos, não. Expedir encomendas não implica definição de perfis em larga escala, nem dados sensíveis na aceção do artigo 9.º, nem avaliação sistemática de pessoas. Se ainda assim a sua atividade o exigir, fornecemos gratuitamente os elementos técnicos de que precisa.

Posso recuperar os meus dados se sair?
Sim, enquanto a sua conta estiver ativa: o seu histórico de envios é seu e exporta-se num formato utilizável. Faça-o antes de sair, porque no fim do contrato tudo é apagado. Já os seus contratos de transporte estão em seu nome, portanto saem consigo.

Para obter o contrato de subcontratação, colocar uma questão de conformidade ou exercer um direito: [email protected].

O ParcelRush é um serviço operado pela Navescale, Lda, NIF 518556719, Praça Duque de Saldanha 1, 2º andar, 1050-094 Lisboa, Portugal.