Política de Privacidade

1. Responsável pelo Tratamento

pH7x Systems® (P7CO® EcoResupply)
Rua Pulido Valente, 24, 2910-642 Setúbal, Portugal • NIF/NIPC: 198690851
Email: privacy@ph7x.com

Encarregado de Proteção de Dados (DPO): quando aplicável, disponibilizaremos contacto dedicado.

2. Âmbito

Aplica-se a websites, aplicações, backoffice e APIs relacionados com a P7CO® EcoResupply.

3. Princípios e Minimização

• Licitude, lealdade e transparência (art. 5.º RGPD).
• Limitação de finalidades e minimização — apenas dados estritamente necessários.
• Exatidão e limitação da conservação.
• Integridade e confidencialidade — medidas técnicas e organizativas adequadas.
• Privacy by design & by default.

4. Dados Pessoais Recolhidos

• Identificação/Contacto: nome, email, telefone, NIF (quando necessário).
• Conta/Autenticação: credenciais cifradas, histórico de acesso, preferências.
• Técnicos: IP, agente de utilizador, registos de auditoria (ver Secção 9).
• Conteúdos submetidos: excedentes, denúncias, mensagens, anexos.
• Transações: dados de faturação; não armazenamos dados completos de cartões.
• Localização opcional: apenas com consentimento explícito e de forma pontual (sem rastreamento contínuo).

5. Finalidades e Bases Legais

6. Mapas e Dados Geoespaciais

Integramos camadas de dados públicos e oficiais para disponibilizar informação ambiental e de circularidade. Os dados exibidos referem-se, por regra, a entidades jurídicas (instalações/operadores) e a indicadores ambientais agregados, não contendo dados pessoais.

6.1 Prestadores/Operadores (SILOGR/APA)

Fonte e licença. «Operadores de Gestão de Resíduos (SILOGR) – CDG INSPIRE» (APA/INSPIRE), publicado no dados.gov.pt sob Creative Commons Attribution 4.0 (CC BY 4.0).

Natureza. Localização e atributos de operadores licenciados (entidades jurídicas). Sem dados de pessoas singulares. Caso surjam operadores registados como ENI (empresário em nome individual), os mesmos são tratados como operadores económicos licenciados no contexto da sua atividade profissional, não como dados pessoais privados.

Como exibimos. Os pontos são mostrados tal como publicados pela APA, sem contactos pessoais adicionais nem enriquecimento com dados de terceiros.

Atualização/correções. Sincronização periódica. Pedidos fundamentados para correção, ocultação ou remoção podem ser enviados para privacy@ph7x.com. Para exatidão do dataset público, poderemos encaminhar o pedido para a APA.

Base jurídica. Execução de contrato (art. 6.º/1-b RGPD) e interesse legítimo (art. 6.º/1-f RGPD), respeitando a atribuição da licença CC BY 4.0.

Nota final. Este serviço é redistribuído pelo P7CO® EcoResupply (pH7x Systems) sob a mesma licença CC BY 4.0, com atribuição à APA como fonte original.

6.3 PRTR — Registo Europeu de Emissões e Transferência de Poluentes

Fonte. Serviço WMS público da APA/INSPIRE (capabilities oficiais). Conteúdo de estabelecimentos PRTR, sem dados pessoais.

Uso. Carregamento de camadas cartográficas para consulta e sobreposição no mapa, com indicação de fonte/licença.

6.4 Geolocalização do Utilizador

• Solicitada apenas com consentimento para centrar o mapa.
• Não fazemos rastreamento contínuo; não guardamos coordenadas do utilizador salvo logs técnicos mínimos e temporários.

6.5 Atribuição CC BY 4.0

Indicamos, junto de cada visualização/camada, a fonte, a licença e, quando aplicável, o identificador/URL estável do recurso. Exemplo: “Fonte: APA/SNIAMB · Licença: CC BY 4.0 · Recurso estável: dados.gov.pt (ID/URL)”.

7. Prazos de Retenção

• Conta ativa: enquanto necessário ou até eliminação a pedido (salvas obrigações legais).
• Faturação: 10 anos (obrigações fiscais).
• Logs de segurança: até 12 meses (poderá prolongar-se se houver incidente).
• Denúncias: até 2 anos após encerramento, salvo obrigação legal.
• Backups: janelas de retenção limitadas, cifradas.

8. Denúncias (Lei n.º 93/2021)

As denúncias podem ser anónimas ou identificadas. Restringimos o acesso e tratamos o mínimo indispensável. Evite incluir dados pessoais sensíveis desnecessários.

9. Cookies, Logs e Analytics

Utilizamos cookies estritamente necessários e, mediante consentimento, cookies analíticos. O banner permite gerir preferências, incluindo “Rejeitar tudo”. Consulte a Política de Cookies.

10. Medidas de Segurança

Aplicamos medidas técnicas e organizativas adequadas ao risco, seguindo normas e boas práticas de mercado.

10.1 Governação & Políticas

• Políticas formais de segurança, privacidade e classificação de informação.
• Formação periódica de colaboradores e cláusulas de confidencialidade.

10.2 Controlo de Acessos

• RBAC (princípio do least privilege) e revisões de acesso regulares.
• MFA para contas administrativas; segregação de ambientes (dev/test/prod).
• Gestão de sessões e bloqueio após tentativas falhadas.

10.3 Cifra & Gestão de Chaves

• Cifra em trânsito (TLS 1.2+) e em repouso (armazenamento cifrado).
• Gestão segura de chaves/segredos (rotatividade e acesso restrito).

10.4 Segurança de Aplicação

• Revisões de código focadas em OWASP Top 10 e validação de entradas.
• Proteções anti-CSRF, rate limiting e cabeçalhos de segurança (HSTS, CSP sempre que aplicável).

10.5 Segurança de Infraestrutura

• Firewall/WAF, segmentação de rede, hardening de sistemas.
• Monitorização, EDR/antimalware e gestão de vulnerabilidades (patching).

10.6 Backup & Continuidade

• Backups cifrados, testados periodicamente; objetivos RPO/RTO adequados.
• Planos de Continuidade de Negócio e de Recuperação de Desastre.

10.7 Registos & Auditoria

• Logs de segurança e auditoria com retenção limitada.
• Alertas para eventos críticos e rastreabilidade de ações administrativas.

11. Notificação de Incidentes

11.1 Deteção & Resposta

• Plano de resposta a incidentes com equipa e responsabilidades definidas.
• Registo, triagem e contenção célere; preservação de evidências.

11.2 Comunicação

• Se houver violação de dados pessoais relevante, notificamos a CNPD em tempo legal e os titulares afetados quando aplicável.
• Transparência sobre natureza do incidente, impacto e medidas mitigadoras.

11.3 Melhoria Contínua

• Relatório pós-incidente e plano de ações (lições aprendidas).

12. Subcontratados e Partilhas

Podemos recorrer a prestadores para alojamento, email, CDN, analytics, suporte, entre outros.

12.1 Enquadramento

• Contratos de tratamento de dados (art. 28.º RGPD) e instruções documentadas.
• Avaliação de segurança e confidencialidade; auditorias quando aplicável.

12.2 Partilhas

• Não vendemos dados pessoais.
• Partilhas limitadas ao necessário para a prestação do serviço ou obrigações legais.

Lista detalhada de subcontratados disponível mediante pedido para privacy@ph7x.com.

13. Transferências Internacionais

13.1 Princípios

• Preferência por processamento na UE/EEE.
• Fora do EEE, usamos decisões de adequação ou Standard Contractual Clauses (SCC) com medidas adicionais.

13.2 Medidas Complementares

• Cifra forte, minimização, pseudonymization e controlos de acesso.
• Avaliações de transferência (TIA) quando aplicável.

14. Direitos dos Titulares

14.1 Direitos

• Acesso, retificação, apagamento, limitação, oposição e portabilidade.
• Retirar consentimento quando o tratamento se baseie nele.

14.2 Como exercer

• Pedido via privacy@ph7x.com; resposta até 30 dias.
• Podemos solicitar prova de identidade para proteger a conta.
• Reclamação à CNPD.

15. Menores

• Sem registo de menores de 13 anos sem consentimento parental verificável.
• Pedidos de eliminação são priorizados após validação.

16. Decisões Automatizadas

• Não realizamos decisões exclusivamente automatizadas com efeitos legais ou similares significativos.
• Quando utilizarmos algoritmos de apoio, asseguramos transparência e possibilidade de revisão humana.

17. Moderação e DSA

17.1 Procedimentos

• Mecanismos de notice-and-action para sinalização de conteúdos.
• Remoção de conteúdos ilegais/abusivos conforme Termos e lei aplicável.

17.2 Recursos

• Canal de recurso e revisão de decisões de moderação.
• Relatórios de transparência quando aplicável.

18. Alterações

• Atualizaremos esta política quando necessário.
• Alterações materiais serão comunicadas por canais visíveis; poderemos recolher novo consentimento para cookies.

19. Contactos e Reclamações

Email: privacy@ph7x.com • Autoridade: CNPD — www.cnpd.pt

20. Aviso

Este documento não substitui assessoria jurídica. Em caso de dúvida, recomenda-se aconselhamento especializado.

Base legal: RGPD (Reg. (UE) 2016/679), Lei n.º 58/2019, Lei n.º 41/2004, Lei n.º 93/2021, Reg. (UE) 2022/2065 (DSA), Diretiva 2000/31/CE.