SAFTCheck: Política de Privacidade

Quem somos

O SAFTCheck é um produto de software explorado por OCmods (Portugal). Contacto principal: [email protected].

OCmods é o responsável pelo tratamento dos dados pessoais tratados através de saftcheck.com. Os dados completos de registo são disponibilizados, mediante pedido, a qualquer titular dos dados que exerça os direitos previstos nos artigos 15.º a 21.º do RGPD: escreva para o endereço acima e responderemos no prazo de 30 dias. Esta política explica que dados recolhemos, porquê, e quais são os seus direitos ao abrigo do RGPD (Regulamento (UE) 2016/679) e da Lei n.º 58/2019, que assegura a execução do RGPD em Portugal.

Que dados recolhemos

1. Ficheiros que carrega

Ficheiros SAF-T XML carregados para validação. Estes ficheiros contêm dados de clientes, dados de fornecedores, faturas e números de identificação fiscal. Tratamos o seu conteúdo como confidencial.
Edições que aplica: se utilizar o editor integrado (funcionalidade paga) para corrigir um NIF, um ATCUD ou uma data do cabeçalho, o novo valor é gravado no mesmo ficheiro carregado, no nosso armazenamento temporário. A versão original, anterior à edição, é substituída e não é conservada. As edições não prolongam o prazo de eliminação.
Conservação: os ficheiros carregados são eliminados automaticamente no prazo de 60 minutos após o carregamento por uma tarefa de limpeza agendada. Há duas exceções em que o ficheiro é conservado um pouco mais, para que possa utilizar aquilo por que pagou: enquanto um pagamento relativo ao ficheiro estiver em curso (até 60 minutos após abrir o checkout) e durante 60 minutos após a confirmação do pagamento. Se a validação falhar devido a um erro interno, o ficheiro é eliminado de imediato.
Verificação do registo para efeitos de IVA: para verificar se a empresa que emitiu o ficheiro está registada para efeitos de IVA, enviamos o NIF do cabeçalho do ficheiro (e apenas esse número) para o serviço VIES da Comissão Europeia. A resposta (válido ou não, e o nome registado) é guardada em cache no nosso servidor durante um período máximo de 24 horas.
O que conservamos após a eliminação: para utilizadores com sessão iniciada, um resumo de cada verificação para o histórico do painel: nome do ficheiro, nome da empresa e NIF do cabeçalho do ficheiro, ano fiscal, número de erros, hash SHA-256 do ficheiro e tamanho do ficheiro. Estes registos são eliminados automaticamente ao fim de 90 dias, ou antes, se eliminar a sua conta. Para visitantes sem sessão iniciada, conservamos um hash do endereço IP juntamente com os hashes SHA-256 dos ficheiros verificados, durante 24 horas, para aplicar o limite diário gratuito. O conteúdo XML nunca é conservado.

2. Dados da conta

Endereço de email (necessário para receber a ligação mágica de início de sessão).
Datas e horas de início de sessão e endereço IP (para prevenção de fraude e de utilização abusiva).
Registos do histórico de validações (conforme descrito acima) para o painel, conservados durante 90 dias.

3. Dados de faturação

Os pagamentos são processados pela Paddle, o nosso comerciante registado (Merchant of Record). Não guardamos dados de cartões de crédito. Aos dados de pagamento aplica-se o aviso de privacidade da Paddle: paddle.com/legal/privacy.
Conservamos os identificadores de transação, as referências de fatura e o estado da subscrição recebidos da Paddle.
Compra sem sessão iniciada: se comprar uma Single Fix sem conta, recebemos o endereço de email que introduziu na Paddle e criamos uma conta associada a esse endereço (ou acrescentamos a compra à sua conta existente com esse email), para que a compra fique no seu histórico e possa iniciar sessão mais tarde para a consultar. Pode eliminar essa conta a qualquer momento, conforme descrito em "Os seus direitos".

4. Dados técnicos

Registos do servidor: endereço IP, agente de utilizador (user agent), caminhos dos pedidos, códigos de resposta. Conservados durante 30 dias.
Cookies essenciais: um cookie de sessão (também utilizado para o início de sessão e para memorizar um checkout que tenha iniciado) e uma preferência de idioma. São necessários para o funcionamento do site e são sempre definidos.
Cookies opcionais: Google Analytics e o chat em direto tawk.to. Nenhum deles é carregado a menos que clique em OK no aviso de cookies. Se clicar em Rejeitar, não são carregados de todo. A sua escolha é guardada no localStorage deste navegador (saftcheck_cookie_consent) e pode alterá-la a qualquer momento através da ligação Definições de cookies no rodapé da página. Não utilizamos rastreadores publicitários.
Google Analytics 4 para estatísticas agregadas de tráfego (visualizações de páginas, origem da visita, país, tipo de dispositivo e quais as perguntas frequentes da página inicial que são abertas). O script da Google não é sequer pedido à Google enquanto não aceitar. Os tokens de carregamento presentes nos endereços das páginas são removidos antes de qualquer envio. Os endereços IP são anonimizados. O período de conservação dos dados está definido no mínimo oferecido pela Google (atualmente 2 meses para os dados de eventos). Pode também instalar o extra oficial do navegador para desativação do Google Analytics.
Recursos da página: o seu navegador carrega os estilos e os scripts da página a partir de redes públicas de distribuição de conteúdos (cdn.tailwindcss.com e unpkg.com). Como em qualquer pedido web, estes fornecedores veem o seu endereço IP e os dados do seu navegador. Não definem quaisquer cookies.

Por que razão tratamos os seus dados: fundamentos jurídicos

Execução de contrato (art. 6.º, n.º 1, alínea b)): para validar o ficheiro SAF-T que submete e para fornecer as funcionalidades pagas.
Interesse legítimo (art. 6.º, n.º 1, alínea f)): para manter registos do servidor por razões de segurança, prevenir utilizações abusivas e melhorar o serviço.
Obrigação jurídica (art. 6.º, n.º 1, alínea c)): para conservar os registos de faturação durante o período exigido pela legislação fiscal portuguesa.
Consentimento (art. 6.º, n.º 1, alínea a)): para o Google Analytics e o chat em direto, que só são carregados depois de os aceitar no aviso de cookies.

Subcontratantes

A nossa infraestrutura:

Hetzner Online GmbH (Alemanha): alojamento da aplicação e da base de dados.
Cloudflare, Inc. (EUA, com centros de dados na UE): fica à frente do site para cifragem TLS, cache e proteção contra ataques. Os ficheiros carregados passam pela Cloudflare cifrados em trânsito; a Cloudflare não os armazena. Vinculada pelo Quadro de Privacidade de Dados UE–EUA e por Cláusulas Contratuais-Tipo.
Paddle.com Market Limited (Reino Unido): pagamentos e comerciante registado (Merchant of Record).
Fornecedor de envio de email: envia emails transacionais (ligações de início de sessão, recibos). Trata o seu endereço de email e o conteúdo das mensagens. Para saber qual é o fornecedor atual, contacte-nos através do endereço acima.
tawk.to LLC (EUA): widget de apoio por chat em direto. Só é carregado depois de aceitar os cookies opcionais; define os seus próprios cookies e trata o endereço IP, o agente de utilizador e quaisquer mensagens que escreva no chat. Vinculada pelo Quadro de Privacidade de Dados UE–EUA.
Google Ireland Ltd. (Irlanda, com tratamento subsequente nos EUA): Google Analytics 4 para medição agregada de tráfego, carregado apenas depois de aceitar os cookies opcionais. Vinculada pelo Quadro de Privacidade de Dados UE–EUA e por Cláusulas Contratuais-Tipo.
Comissão Europeia (VIES): recebe o NIF do cabeçalho de um ficheiro carregado para confirmar o respetivo registo para efeitos de IVA, conforme descrito acima. Trata-se de um serviço público e não de um subcontratante que atue por nossa conta.
Redes públicas de distribuição de conteúdos (Tailwind Labs para cdn.tailwindcss.com, e unpkg.com): fornecem ao seu navegador os estilos e os scripts da página.

Todos os subcontratantes estão vinculados pelos seus próprios termos, em conformidade com o RGPD.

Os seus direitos

Ao abrigo do RGPD, tem o direito de:

Aceder aos dados pessoais que conservamos sobre si.
Retificar dados inexatos.
Eliminar a sua conta e todos os dados associados ("direito ao apagamento").
Exportar os seus dados num formato portável.
Retirar o consentimento para qualquer tratamento baseado no consentimento.
Apresentar reclamação junto da Comissão Nacional de Proteção de Dados (CNPD): cnpd.pt.

Pode exercer o direito ao apagamento diretamente na sua conta, em https://saftcheck.com/account. Para todos os outros pedidos, envie um email para [email protected]. Respondemos no prazo de 30 dias.

Transferências internacionais

O nosso alojamento (Hetzner) situa-se na UE. Alguns subcontratantes (Cloudflare, tawk.to, Google) estão sediados nos EUA ou transferem dados para os EUA, e baseiam essas transferências no Quadro de Privacidade de Dados UE–EUA ou em Cláusulas Contratuais-Tipo.

Alterações a esta política

Se fizermos alterações substanciais, atualizamos a data de "Última atualização" e notificamos por email os utilizadores com conta.