Política de privacidade

Versão de trabalho 0.1 para revisão jurídica, ainda não em vigor. Os pontos em aberto estão assinalados com [A CONFIRMAR].

Esta política explica que dados pessoais o Brotelo recolhe sobre os pais e as crianças, por que razão os recolhemos, quem os recebe, durante quanto tempo os conservamos e que direitos lhe assistem. As crianças podem ler uma versão curta, escrita para elas, na nossa página «Privacidade para miúdos».

1 Em resumo

• Só os adultos têm contas. As crianças utilizam um perfil criado pelos pais, com uma alcunha, uma idade e um avatar predefinido.
• As crianças nunca nos fornecem um endereço de e-mail, uma fotografia, um número de telefone nem a sua localização.
• Utilizamos os dados para disponibilizar os cursos, guardar o progresso, emitir certificados, receber pagamentos e manter o Brotelo seguro.
• Sem publicidade, sem rastreadores publicitários, sem venda de dados, sem chat e sem perfis públicos.
• As nossas estatísticas de visitas não utilizam cookies e nunca funcionam na área das crianças.
• Pode consultar, corrigir, descarregar e eliminar os seus dados e os dados das crianças.

2 Quem é responsável pelos seus dados

O responsável pelo tratamento dos seus dados pessoais é a TOPFED WEB S.R.L., uma sociedade registada na República da Moldávia, IDNO 1026023125543, com sede em s. Pepeni, r-nul Sîngerei, MD-6234, República da Moldávia. Pode escrever-nos para [email protected] sobre qualquer assunto desta política.

2.1 Representante na União Europeia

Uma vez que estamos estabelecidos fora da União Europeia, temos de designar um representante na UE (artigo 27.º do RGPD). [A CONFIRMAR: o nome e os contactos do representante na UE.]

2.2 Representante no Reino Unido

[A CONFIRMAR: se o Brotelo for disponibilizado no Reino Unido, o nome e os contactos do representante no Reino Unido nos termos do artigo 27.º do UK GDPR.]

2.3 Encarregado da proteção de dados

[A CONFIRMAR: se tem de ser designado um encarregado da proteção de dados nos termos do artigo 37.º do RGPD ou da Lei moldava n.º 195/2024; até lá, escreva para [email protected].]

3 Que dados recolhemos

3.1 Sobre si, enquanto pai ou mãe

• Dados da conta: o seu endereço de e-mail e a forma como inicia sessão. Se iniciar sessão com a Google, recebemos os identificadores que a Google nos envia. [A CONFIRMAR: que dados do perfil Google são guardados; recomendamos apenas o identificador da conta e o endereço de e-mail.] A sua palavra-passe é gerida pelo Firebase Authentication, um serviço da Google, e nunca a vemos.
• Dados da encomenda: o seu nome completo, o seu país, a confirmação de que tem 18 anos ou mais, os cursos que compra, os preços, os impostos, a moeda, a data e o número da encomenda, o estado do pagamento e a referência da transação do nosso banco. Não recebemos nem guardamos o número completo do seu cartão. [A CONFIRMAR: se o banco nos envia dados mascarados do cartão, como os últimos quatro dígitos.]
• Registos das suas escolhas: os seus consentimentos (perfis de crianças, certificados públicos, newsletter), o seu consentimento para o início imediato do acesso e o seu reconhecimento, as suas declarações de livre resolução e os seus pedidos ao abrigo da garantia, com as respetivas datas.
• Mensagens: o que nos escreve (perguntas, reclamações, comunicações de segurança, pedidos relativos aos seus direitos) e as nossas respostas.
• Newsletter e lista de espera: o seu endereço de e-mail, o seu idioma, e a data e a prova do seu consentimento e da sua confirmação (dupla confirmação).
• Dados técnicos: endereço IP, tipo de navegador e de dispositivo, páginas solicitadas, e a data e a hora, nos registos de segurança dos nossos servidores e da Cloudflare.

3.2 Sobre a criança

Só guardamos o que introduz e o que a criança cria enquanto aprende:

• Perfil: alcunha, idade ou ano de nascimento, e o avatar escolhido da nossa lista predefinida.
• PIN: o PIN opcional de 4 dígitos, guardado de forma protegida (sob a forma de hash). [A CONFIRMAR: a forma como o PIN é guardado.]
• Dados de aprendizagem: os cursos disponíveis para o perfil, os diapositivos concluídos, as respostas às perguntas de verificação e ao questionário final, as tentativas e as pontuações nos questionários, e as datas de atividade. [A CONFIRMAR: se as respostas às perguntas de verificação dentro da apresentação de diapositivos são guardadas.]
• Certificados: o nome que escolheu para o certificado (por predefinição, o nome próprio e a inicial do apelido), o curso, a data, o código do certificado e a indicação de se tornou o certificado verificável publicamente.

3.3 O que nunca recolhemos das crianças

• Nenhum endereço de e-mail, número de telefone ou endereço postal.
• Nenhuma fotografia, vídeo, gravação de voz ou carregamento de ficheiros de qualquer tipo.
• Nenhuma mensagem nem chat.
• Nenhuma localização.
• Nenhum identificador publicitário, nenhum rastreamento para fins publicitários e nenhuma estatística de visitas na área das crianças.

4 Para que utilizamos os dados e com que fundamento jurídico

[A CONFIRMAR: o fundamento jurídico para os dados das crianças (consentimento parental, o nosso contrato com os pais ou interesses legítimos), e o fundamento para os registos exigidos pela lei moldava, uma vez que o artigo 6.º, n.º 1, alínea c), do RGPD só abrange obrigações decorrentes do direito da União ou de um Estado-Membro.]

Não utilizamos quaisquer dados para publicidade ou para perfis de marketing, e não tomamos, a seu respeito ou a respeito da criança, decisões exclusivamente baseadas no tratamento automatizado que produzam efeitos jurídicos ou efeitos similarmente significativos. Quando nos baseamos em interesses legítimos, pode opor-se (secção 9).

5 Dados das crianças e consentimento parental

O Brotelo foi criado para crianças dos 8 aos 14 anos, mas só os adultos são titulares de contas, e as crianças nunca se registam sozinhas.

Nos termos do RGPD, quando um serviço online se baseia no consentimento, uma criança abaixo da idade do consentimento digital precisa do consentimento do titular das responsabilidades parentais. Essa idade situa-se entre os 13 e os 16 anos, consoante o país, por exemplo 16 anos na Roménia. Uma vez que todas as crianças no Brotelo têm 14 anos ou menos e nunca se registam sozinhas, pedimos sempre o consentimento aos pais, independentemente da idade e do país da criança.

Ao criar um perfil de criança, confirma que é o pai, a mãe ou o tutor da criança, ou que tem a autorização do titular das responsabilidades parentais, e dá o seu consentimento à utilização dos dados da criança nos termos aqui descritos. [A CONFIRMAR: como envidamos esforços adequados para verificar que o consentimento é dado pelo titular das responsabilidades parentais (artigo 8.º, n.º 2, do RGPD) e, se os Estados Unidos forem servidos, o método de consentimento parental verificável nos termos da COPPA.]

• Recolhemos o mínimo possível: uma alcunha em vez de um nome completo, uma idade ou um ano de nascimento em vez de uma data de nascimento, avatares predefinidos em vez de fotografias.
• Mantém-se informado: vê o progresso e os certificados da criança na área dos pais, e a nossa página «Privacidade para miúdos» explica à criança que os pode ver.
• Pode mudar de ideias: retira o seu consentimento eliminando o perfil da criança, o que elimina os dados da criança (secção 8). A retirada do consentimento não afeta o que fizemos antes.
• Nunca utilizamos os dados das crianças para marketing, publicidade ou definição de perfis, e nunca os vendemos.
• Se uma criança se tiver registado sozinha: se tivermos conhecimento de que uma criança criou uma conta sozinha, eliminamos essa conta.

Avaliamos os riscos do nosso tratamento para as crianças numa avaliação de impacto sobre a proteção de dados. [A CONFIRMAR: concluir a avaliação de impacto sobre a proteção de dados (AIPD) antes do lançamento.]

6 Quem recebe os dados

Não vendemos dados pessoais. Só os partilhamos com prestadores de serviços que os tratam por nossa conta, segundo as nossas instruções e ao abrigo de um contrato (artigo 28.º do RGPD), e com os poucos destinatários independentes indicados abaixo.

[A CONFIRMAR: a entidade contratante e o acordo de tratamento de dados de cada fornecedor.]

Destinatários independentes, ao abrigo das respetivas políticas de privacidade:

• MAIB (Moldova Agroindbank), República da Moldávia, que processa os pagamentos com cartão e trata os dados do cartão que introduz na respetiva página de pagamento. [A CONFIRMAR: se o MAIB atua como responsável pelo tratamento independente ou como nosso subcontratante.]
• Google, se optar por iniciar sessão com a sua conta Google, enquanto fornecedor dessa conta.
• Consultores profissionais, como advogados e contabilistas, que estão sujeitos a um dever de sigilo.
• Autoridades e tribunais, apenas quando a lei o exige, ou para proteger uma criança que possa estar em perigo.

Se a nossa empresa, ou parte dela, vier a ser vendida, o comprador poderá receber os dados necessários para continuar o serviço, nos termos desta política. Nesse caso, informá-lo-íamos com antecedência.

7 Transferências internacionais

Estamos sediados na República da Moldávia, e a nossa equipa acede aos dados a partir daí. A Comissão Europeia não adotou uma decisão de adequação relativamente à República da Moldávia. [A CONFIRMAR: as garantias para o acesso a partir da Moldávia, de acordo com as Diretrizes 05/2021 do Comité Europeu para a Proteção de Dados (CEPD) sobre a interação entre o artigo 3.º e o capítulo V do RGPD.]

Os nossos servidores estão na Alemanha, e a Brevo opera na UE. A Cloudflare e a Google podem tratar dados nos Estados Unidos. Para estas transferências, baseamo-nos no Quadro de Privacidade de Dados UE-EUA, quando a empresa está certificada ao abrigo deste, e, caso contrário, nas cláusulas contratuais-tipo da Comissão Europeia. Para os utilizadores no Reino Unido, baseamo-nos na extensão do Reino Unido a esse quadro ou na adenda do Reino Unido a essas cláusulas. [A CONFIRMAR: a certificação e as garantias de cada fornecedor à data da publicação.]

Os pagamentos com cartão são processados pelo MAIB na República da Moldávia.

Pode pedir-nos uma cópia das garantias que utilizamos escrevendo para [email protected].

8 Durante quanto tempo conservamos os dados

Só conservamos os dados durante o tempo de que precisamos deles. Os prazos abaixo são propostas. [A CONFIRMAR: cada um dos prazos abaixo, à luz da lei contabilística moldava, das regras de IVA da UE e dos prazos de prescrição.]

9 Os seus direitos

Tem o direito de:

• aceder aos seus dados e obter uma cópia;
• retificar dados inexatos ou incompletos;
• apagar os seus dados;
• limitar a utilização que fazemos dos seus dados em determinados casos;
• receber os dados que nos forneceu num formato de uso corrente e pedir que sejam transmitidos a outro serviço (portabilidade);
• opor-se à utilização dos seus dados com base em interesses legítimos e, a qualquer momento, à comercialização direta;
• retirar o seu consentimento a qualquer momento, sem afetar o que fizemos antes;
• não ficar sujeito a decisões exclusivamente baseadas no tratamento automatizado; não tomamos decisões deste tipo.

Exerce estes direitos em nome da criança. Quando uma criança tem idade suficiente para compreender, tomamos em consideração a sua opinião e o seu superior interesse.

9.1 Como exercer os seus direitos

Na área dos pais, pode alterar ou eliminar perfis de crianças, ativar ou desativar a verificação pública de um certificado, alterar as suas preferências de e-mail e encerrar a sua conta. [A CONFIRMAR: as funcionalidades de autosserviço disponíveis no lançamento, incluindo o descarregamento dos seus dados.]

Pode também escrever para [email protected] a partir do endereço de e-mail da sua conta. Podemos pedir-lhe que confirme a sua identidade. Respondemos no prazo de um mês. Para pedidos complexos ou numerosos, podemos prorrogar este prazo por mais dois meses, indicando-lhe o motivo. O exercício dos seus direitos é gratuito, exceto se um pedido for manifestamente infundado ou excessivo.

10 Reclamações junto de uma autoridade de controlo

Pode apresentar uma reclamação junto de uma autoridade de proteção de dados:

• na República da Moldávia, o Centro Nacional para a Proteção dos Dados Pessoais (NCPDP), www.datepersonale.md;
• na União Europeia, a autoridade do país onde reside, onde trabalha ou onde ocorreu o problema; o Comité Europeu para a Proteção de Dados enumera-as todas em edpb.europa.eu; na Roménia, é a ANSPDCP, www.dataprotection.ro;
• no Reino Unido, o Information Commissioner's Office (ICO), ico.org.uk.

Ficaríamos gratos se nos desse a oportunidade de tratar primeiro a sua preocupação, por isso, escreva-nos para [email protected].

11 Segurança

Protegemos os dados com medidas técnicas e organizativas adequadas aos riscos, em especial no caso dos dados das crianças:

• todas as ligações ao Brotelo são cifradas (HTTPS);
• os nossos servidores estão na Alemanha, e só têm acesso as pessoas que dele precisam;
• as palavras-passe são geridas pelo Firebase Authentication e nunca são guardadas por nós;
• os códigos PIN são guardados de forma protegida (sob a forma de hash);
• os dados do cartão são tratados pelo banco, nunca por nós;
• mantemos os nossos sistemas atualizados e fazemos cópias de segurança regulares.

[A CONFIRMAR: as medidas técnicas e organizativas, tal como documentadas na AIPD e nos registos das atividades de tratamento.]

Se ocorrer uma violação de dados pessoais, notificamos a autoridade competente no prazo de 72 horas, quando a lei o exige, e informamo-lo sem demora injustificada se a violação for suscetível de implicar um elevado risco para si ou para a criança.

12 E-mails de marketing

Só enviamos a newsletter e as novidades da lista de espera aos pais que as pedem. A inscrição faz-se através de uma caixa separada que nunca está assinalada previamente, e confirma a inscrição clicando na ligação que lhe enviamos (dupla confirmação). Nunca enviamos e-mails de marketing a crianças. Todos os e-mails têm uma ligação para cancelar a subscrição, e o cancelamento não afeta a sua conta nem os seus e-mails de serviço. [A CONFIRMAR: que o rastreamento de aberturas e de cliques está desativado na Brevo.]

13 Cookies e tecnologias semelhantes

Só guardamos no seu dispositivo o que o Brotelo precisa para funcionar. Não utilizamos cookies analíticos nem cookies publicitários. A nossa Política de cookies enumera tudo.

14 Utilizadores em determinados países

14.1 Reino Unido

Se residir no Reino Unido, aplicam-se o UK GDPR e o Data Protection Act 2018. Seguimos o Age Appropriate Design Code (o Children's Code) do ICO: elevado nível de privacidade por predefinição, minimização dos dados, ausência de definição de perfis, nenhum incentivo para partilhar mais dados e informações sobre privacidade que as crianças possam compreender.

14.2 Estados Unidos

[A CONFIRMAR: se o Brotelo é disponibilizado nos Estados Unidos no lançamento. Em caso afirmativo, é necessário cumprir a COPPA antes do lançamento: aviso direto aos pais, consentimento parental verificável antes de recolher informações pessoais de crianças com menos de 13 anos, uma política escrita de conservação de dados, um programa de segurança da informação e um aviso online que inclua um número de telefone.] Os pais nos Estados Unidos podem consultar as informações pessoais da criança, pedir-nos que as eliminemos e recusar a continuação da sua recolha ou utilização. Não pedimos a uma criança mais informações do que as razoavelmente necessárias para participar numa atividade.

14.3 República da Moldávia

O nosso tratamento está também sujeito à Lei n.º 195/2024 sobre a proteção dos dados pessoais da República da Moldávia. [A CONFIRMAR: as disposições aplicáveis, a sua entrada em vigor e eventuais obrigações de registo ou de notificação perante o NCPDP.]

15 Alterações a esta política

Podemos atualizar esta política. A data no topo indica a versão atual. Informá-lo-emos por e-mail antes de as alterações importantes produzirem efeitos, e voltaremos a pedir o seu consentimento se uma alteração o exigir.

16 Contacto

TOPFED WEB S.R.L., s. Pepeni, r-nul Sîngerei, MD-6234, República da Moldávia. E-mail: [email protected].