Política de Privacidade

Tradução de cortesia. Em caso de discrepância, prevalece a versão inglesa.

A Altovar S.r.l. (P.IVA IT03086750993) ("Altovar", "nós" ou "nosso") é a responsável pelo tratamento dos dados pessoais recolhidos através dos sítios Web, produtos de software, API e serviços da Altovar (designados coletivamente, os "Serviços").

Sede social: Itália (União Europeia)
Pedidos de informação sobre privacidade: [email protected]
Contacto geral: [email protected]

Enquanto empresa constituída e a operar na UE, a Altovar está integralmente sujeita ao Regulamento (UE) 2016/679 (Regulamento Geral sobre a Proteção de Dados). A autoridade de controlo competente é o Garante per la protezione dei dati personali (Itália).

A Altovar designou um Encarregado de Proteção de Dados (EPD), conforme exigido pelo artigo 37.º do RGPD, atendendo à natureza e ao âmbito das suas atividades de tratamento.

Contacto do EPD: [email protected]

O EPD atua de forma independente, sendo responsável por:
— Monitorizar o cumprimento do RGPD e da legislação nacional aplicável em matéria de proteção de dados
— Prestar aconselhamento sobre as Avaliações de Impacto sobre a Proteção de Dados (AIPD) nos termos do artigo 35.º
— Atuar como ponto de contacto junto da autoridade de controlo
— Tratar os pedidos dos titulares dos dados e o exercício dos respetivos direitos

O EPD pode ser contactado diretamente para qualquer questão relacionada com o tratamento de dados pessoais. Todas as comunicações são tratadas de forma confidencial, sendo respondidas no prazo de 30 dias de calendário.

Apenas são recolhidos os dados pessoais necessários para as finalidades descritas nesta Política (princípio da minimização dos dados, art. 5.º, n.º 1, al. c), RGPD).

Dados de conta e identidade: Nome, endereço de correio eletrónico, nome de utilizador, nome da organização, cargo, NIF/número de IVA para efeitos de faturação e qualquer informação voluntariamente adicionada ao perfil.

Dados de utilização e interação: Funcionalidades utilizadas, páginas visitadas, cliques, duração da sessão, consultas de pesquisa dentro do produto e eventos de erro. Estes dados são recolhidos de forma agregada sempre que possível e pseudonimizados no momento da ingestão.

Dados técnicos e do dispositivo: Endereço IP (truncado ao prefixo /24 e anonimizado no prazo de 24 horas), tipo e versão do navegador, sistema operativo, tipo de dispositivo, resolução de ecrã, URL de referência e identificadores de sessão atribuídos pela nossa infraestrutura.

Dados de comunicações: Conteúdo das mensagens enviadas por correio eletrónico, formulários de contacto ou pedidos de suporte; metadados relativos a essas comunicações (marcas temporais, assuntos).

Dados de pagamento e faturação: Nome, morada de faturação e NIF/número de IVA. Os números de cartão e as credenciais de pagamento são tratados exclusivamente pelo nosso processador de pagamentos certificado PCI-DSS Nível 1 (Stripe, alojado na UE) e nunca são armazenados nem tratados pelos sistemas da Altovar.

Dados contratuais e de serviço: Nível de subscrição, configuração do serviço, quotas de utilização, chaves API (com hash) e quaisquer dados carregados ou criados durante a utilização dos Serviços.

Não são recolhidos dados de corretores de dados de terceiros, plataformas de redes sociais ou redes publicitárias. Não são elaborados perfis publicitários.

Os nossos Serviços não foram concebidos para recolher ou tratar categorias especiais de dados pessoais, tal como definidas no artigo 9.º, n.º 1, do RGPD — incluindo dados que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas, a filiação sindical, dados genéticos, dados biométricos destinados a identificar de forma inequívoca uma pessoa singular, dados relativos à saúde ou dados relativos à vida sexual ou orientação sexual de uma pessoa.

Desaconselha-se vivamente o carregamento ou tratamento de categorias especiais de dados através dos nossos Serviços, salvo se tiverem sido implementadas as garantias adequadas e existir uma base jurídica válida nos termos do artigo 9.º, n.º 2, do RGPD.

Caso sejam inadvertidamente recebidas categorias especiais de dados (por exemplo, através de um pedido de suporte), estas serão eliminadas de forma segura, sendo o remetente informado. Caso seja necessário tratar categorias especiais de dados no âmbito de um acordo empresarial específico, deve contactar-se [email protected] para discutir as garantias contratuais e técnicas adequadas.

Os dados pessoais só são tratados quando exista uma base jurídica válida nos termos do artigo 6.º do RGPD. A base aplicável depende da atividade de tratamento em causa:

Execução de um contrato (art. 6.º, n.º 1, al. b)): Disponibilização dos Serviços subscritos, gestão da conta, processamento de pagamentos, emissão de faturas e cumprimento de todas as obrigações contratuais. Esta é a base principal para a maior parte do tratamento relativo a contas ativas.

Obrigação legal (art. 6.º, n.º 1, al. c)): Cumprimento da legislação aplicável — incluindo as obrigações fiscais e contabilísticas previstas no direito italiano (D.P.R. 633/1972, D.P.R. 600/1973), os requisitos de prevenção do branqueamento de capitais e as respostas a pedidos lícitos de autoridades públicas competentes (tribunais, reguladores).

Interesses legítimos (art. 6.º, n.º 1, al. f)): Monitorização de segurança, prevenção de abusos, deteção de fraude, análise para melhoria do produto e marketing direto a clientes existentes para serviços substancialmente semelhantes. Foi realizada uma avaliação de ponderação de interesses (API) para cada uma destas finalidades, tendo-se concluído que os nossos interesses não prevalecem sobre os direitos e liberdades fundamentais dos titulares dos dados.

Consentimento (art. 6.º, n.º 1, al. a)): Cookies analíticos e de desempenho opcionais, comunicações de marketing dirigidas a não clientes e qualquer atividade de tratamento para a qual tenha sido expressamente solicitado o consentimento prévio. O consentimento pode ser retirado a qualquer momento — a retirada não afeta a licitude do tratamento efetuado antes da retirada. Ver a Secção 9 sobre a forma de retirar o consentimento.

Os dados pessoais são conservados apenas durante o tempo necessário para a finalidade indicada e em conformidade com as obrigações legais aplicáveis (princípio da limitação da conservação).


Decorrido o prazo de conservação aplicável, os dados são eliminados de forma segura ou anonimizados de forma irreversível, utilizando métodos conformes às normas do setor, de modo a que deixem de poder ser atribuídos a uma pessoa singular identificada ou identificável.

Recorremos a subcontratantes terceiros de confiança, sujeitos a acordos de tratamento de dados vinculativos que cumprem o artigo 28.º do RGPD. Somos responsáveis pela conformidade dos nossos subcontratantes com o RGPD e realizamos periodicamente ações de diligência prévia.


Não vendemos, alugamos nem comercializamos dados pessoais a terceiros. Não partilhamos dados com redes publicitárias ou corretores de dados. Os dados só são partilhados com autoridades públicas quando exigido por lei ou por um processo legal válido, sendo os utilizadores afetados notificados sempre que legalmente permitido.

Uma lista atualizada de subcontratantes está disponível mediante pedido em [email protected]. É prestado um pré-aviso de 30 dias antes da adição de novos subcontratantes.

Compromisso de residência dos dados na UE: Todo o armazenamento e tratamento principal de dados ocorre em infraestrutura localizada no Espaço Económico Europeu (EEE). A Altovar não transfere dados pessoais para países terceiros como prática operacional padrão.

Nos casos limitados em que um subcontratante opere infraestrutura ou funções de suporte fora do EEE (por exemplo, nós de periferia de CDN globais ou pessoal de suporte), é assegurado que estão implementadas as garantias adequadas nos termos do Capítulo V do RGPD antes de ocorrer qualquer transferência:

— Decisões de adequação (art. 45.º): Sempre que a Comissão Europeia tenha reconhecido que o país de destino assegura um nível de proteção adequado (por exemplo, IDTA do Reino Unido, decisão de adequação relativa à Suíça).
— Cláusulas Contratuais-Tipo (art. 46.º, n.º 2, al. c)): As Cláusulas Contratuais-Tipo da UE de 2021, aprovadas pela Decisão de Execução (UE) 2021/914 da Comissão, estão incorporadas em todos os contratos relevantes com subcontratantes.
— Garantias técnicas: É aplicada cifragem de extremo a extremo aos dados em trânsito, garantindo que o pessoal de infraestrutura do subcontratante não tem acesso significativo aos dados pessoais.

São monitorizadas as decisões do Comité Europeu para a Proteção de Dados (CEPD) e do Garante italiano, sendo os mecanismos de transferência atualizados sempre que necessário. Foi concluída uma Avaliação de Impacto da Transferência (TIA) para cada transferência para países terceiros.

Enquanto titular dos dados, são conferidos os seguintes direitos nos termos do RGPD, exercíveis gratuitamente e sem restrições indevidas:

Direito de acesso (art. 15.º): Obter confirmação sobre se os dados pessoais estão a ser tratados e receber uma cópia dos mesmos, juntamente com informação complementar (finalidades, categorias, destinatários, prazos de conservação, garantias aplicáveis a eventuais transferências para países terceiros).

Direito de retificação (art. 16.º): Solicitar a correção de dados pessoais inexatos e a conclusão de dados incompletos, sem demora injustificada.

Direito ao apagamento / "direito a ser esquecido" (art. 17.º): Solicitar o apagamento dos dados pessoais quando estes deixem de ser necessários para a finalidade original, quando o consentimento seja retirado, quando exista oposição ao tratamento, quando o tratamento seja ilícito, ou quando o apagamento seja exigido pelo direito da União ou de um Estado-Membro — sujeito a motivos legítimos imperiosos (por exemplo, obrigações legais de conservação).

Direito à limitação do tratamento (art. 18.º): Solicitar que o tratamento seja limitado apenas à conservação enquanto se resolve um litígio sobre a exatidão, a licitude ou uma oposição baseada em motivos de interesse legítimo.

Direito à portabilidade dos dados (art. 20.º): Quando o tratamento se baseie no consentimento ou num contrato e seja realizado por meios automatizados, receber os dados num formato estruturado, de uso corrente e de leitura automática (JSON ou CSV) e transmiti-los a outro responsável.

Direito de oposição (art. 21.º): Opor-se a qualquer momento ao tratamento baseado em interesses legítimos (art. 6.º, n.º 1, al. f)), incluindo a definição de perfis, por motivos relacionados com a situação particular do titular. Opor-se incondicionalmente ao tratamento para fins de marketing direto — esse tratamento cessará de imediato.

Direitos relativos a decisões individuais automatizadas (art. 22.º): Não são tomadas decisões baseadas exclusivamente no tratamento automatizado que produzam efeitos jurídicos ou afetem significativamente o titular dos dados de forma similar. Qualquer pontuação de risco ou filtragem automatizada utilizada nos Serviços é revista por operadores humanos antes de decisões relevantes serem tomadas.

Direito de retirar o consentimento (art. 7.º, n.º 3): Quando o tratamento se baseie no consentimento, este pode ser retirado a qualquer momento. Ver a Secção 10 sobre os métodos de retirada.

Como apresentar um pedido: Enviar um e-mail para [email protected] com o assunto "Pedido do Titular dos Dados — [Tipo de Direito]" (por exemplo, "Pedido do Titular dos Dados — Acesso"). Os pedidos também podem ser submetidos através das definições da conta na plataforma, sempre que estejam disponíveis opções de autoatendimento.

Verificação de identidade: Para proteger os dados, será solicitada a verificação da identidade antes do tratamento do pedido. A verificação é efetuada através do endereço de e-mail registado ou, quando necessário, através de documentação adicional.

Prazos de resposta: Todos os pedidos são respondidos no prazo de 30 dias de calendário após a receção. Em pedidos complexos ou múltiplos, este prazo pode ser prorrogado por mais 2 meses — será dada notificação dentro dos primeiros 30 dias caso seja necessária uma prorrogação, com indicação dos respetivos motivos.

Retirada do consentimento: Para retirar o consentimento relativo a cookies analíticos, deve utilizar-se o gestor de preferências de cookies acessível no rodapé. Para retirar o consentimento relativo a comunicações de marketing, deve clicar-se em "Cancelar subscrição" em qualquer e-mail de marketing ou escrever para [email protected].

Sem custos: Todos os pedidos dos titulares dos dados são tratados gratuitamente. Caso os pedidos sejam manifestamente infundados, excessivos ou repetitivos, poderá ser cobrada uma taxa administrativa razoável, ou o pedido poderá ser recusado, sendo os motivos explicados.

Direito de apresentar reclamação: Caso se considere que a Altovar violou os direitos previstos no RGPD, existe o direito de apresentar reclamação junto da autoridade de controlo competente:

— Garante per la protezione dei dati personali (Itália) — garanteprivacy.it
— A autoridade de controlo do Estado-Membro da UE de residência habitual ou de trabalho do titular dos dados
— A autoridade de controlo do Estado-Membro em que tenha ocorrido a alegada infração

São utilizados cookies e tecnologias semelhantes (armazenamento Web, pixel tags) para operar os sítios Web e melhorar a experiência do utilizador. A utilização de cookies rege-se pela Diretiva ePrivacy (2002/58/CE, na sua redação atual), transposta em Itália pelo D.lgs. 69/2012, e pelas orientações do Garante de julho de 2021.

Os cookies essenciais são estritamente necessários para a segurança, a autenticação e o funcionamento do serviço. São instalados sem consentimento, com base no artigo 5.º, n.º 3, da Diretiva ePrivacy, por serem tecnicamente necessários para um serviço expressamente solicitado. Não é possível recusar estes cookies sem comprometer a funcionalidade do serviço.

Os cookies analíticos de ferramentas de terceiros só são instalados mediante consentimento prévio, livre, específico, informado e inequívoco. Não é utilizado o Google Analytics.

A nossa própria análise Web (Plausible Analytics, alojada de forma autónoma nos nossos servidores na Alemanha) não instala cookies nem lê ou armazena o que quer que seja no dispositivo do utilizador. Regista visualizações de página, sítios de referência, navegador, sistema operativo, tipo de dispositivo e país de forma agregada; o endereço IP é utilizado apenas de forma transitória para derivar um identificador anónimo que muda diariamente, nunca sendo armazenado. Uma vez que nada é lido ou escrito no dispositivo do utilizador, esta medição funciona de forma independente do banner de cookies, com base no nosso interesse legítimo em compreender o modo como os sítios Web são utilizados (art. 6.º, n.º 1, al. f), RGPD). É possível opor-se a qualquer momento, escrevendo para [email protected].

Uma medição que não gerimos. A rede de distribuição de conteúdos situada à frente dos nossos sítios Web insere o seu próprio script de medição em cada página HTML que serve. É carregado antes de qualquer escolha feita no banner de cookies e independentemente dela, e não instala cookies no dispositivo do utilizador; não é nosso e não é gerido por nós. O fornecedor consta da tabela de subcontratantes acima.

Os cookies de marketing não estão atualmente instalados no nosso sítio de marketing. Caso isto se altere, será solicitado um consentimento separado e granular.

Para consultar a lista completa dos cookies utilizados, os respetivos nomes, finalidades, durações e fornecedores, e para gerir as preferências de cookies, consulte a nossa Política de Cookies →

São aplicadas medidas técnicas e organizativas (MTO) adequadas para assegurar um nível de segurança adequado ao risco, em conformidade com o artigo 32.º do RGPD. O nosso programa de segurança inclui:

— Cifragem: Todos os dados em trânsito são cifrados com TLS 1.2 ou superior. Os dados em repouso são cifrados com AES-256. As cópias de segurança das bases de dados são cifradas de extremo a extremo.
— Controlos de acesso: Controlo de acesso baseado em funções (RBAC), princípio do menor privilégio, autenticação multifator (MFA) para todos os sistemas internos e gestão de acessos privilegiados (PAM) para o acesso à infraestrutura.
— Segurança de rede: Segmentação de rede, firewall de aplicações Web (WAF), mitigação de DDoS e sistemas de deteção/prevenção de intrusões (IDS/IPS).
— Gestão de vulnerabilidades: Testes de penetração regulares, análise automatizada SAST/DAST, monitorização de vulnerabilidades de dependências e um programa de divulgação responsável.
— Avaliações de Impacto sobre a Proteção de Dados (AIPD): São realizadas AIPD para novas atividades de tratamento suscetíveis de originar um elevado risco para as pessoas, conforme exigido pelo artigo 35.º do RGPD.
— Formação do pessoal: Todo o pessoal com acesso a dados pessoais conclui formação obrigatória em RGPD e segurança da informação no momento da integração e, posteriormente, numa base anual.

Violações de dados pessoais: Em caso de violação suscetível de originar um risco para os direitos e liberdades dos titulares dos dados, o Garante será notificado no prazo de 72 horas após o conhecimento da violação (art. 33.º). Sempre que a violação seja suscetível de originar um risco elevado, os titulares dos dados serão informados diretamente, sem demora injustificada (art. 34.º), indicando-se a natureza da violação, as prováveis consequências e as medidas adotadas ou propostas.

Os nossos Serviços têm natureza profissional e empresarial e não se destinam nem se pretendem dirigidos a pessoas com idade inferior a 16 anos (ou à idade digital de consentimento superior aplicável em determinados Estados-Membros da UE, como 13 anos na Finlândia, ou 16 anos nos Países Baixos e na Irlanda).

Não são recolhidos, com conhecimento, dados pessoais de menores. O registo de conta exige que os utilizadores confirmem possuir a idade necessária. Caso se apure que foram inadvertidamente recolhidos dados pessoais de um menor, esses dados serão imediatamente eliminados e a conta associada será encerrada.

Caso exista a suspeita de que um menor criou uma conta ou forneceu dados pessoais, deve contactar-se [email protected], indicando os respetivos detalhes. Será realizada uma investigação e adotadas medidas corretivas no prazo de 5 dias úteis.

Esta Política de Privacidade poderá ser atualizada periodicamente para refletir alterações nas atividades de tratamento, alterações na legislação aplicável ou a introdução de novos produtos e serviços. Todas as atualizações são revistas pelo EPD antes da publicação.

As alterações substanciais — aquelas que afetem de forma significativa os direitos dos titulares dos dados ou a forma como os seus dados são utilizados — serão comunicadas através de:
— Notificação por correio eletrónico para o endereço registado (no caso de titulares de conta), com um pré-aviso de, pelo menos, 30 dias antes da entrada em vigor da alteração
— Um aviso bem visível no sítio Web, durante o mesmo período de 30 dias
— Notificação dentro do próprio produto, no caso de alterações que afetem a plataforma

As alterações menores (correções, formatação, esclarecimentos que não alterem a substância) podem ser efetuadas sem aviso prévio. A data de "Última atualização" indicada no início desta Política reflete sempre a data da revisão mais recente.

A utilização continuada dos Serviços após a entrada em vigor de alterações substanciais constitui aceitação da Política revista. Caso a Política revista não seja aceite, a utilização dos Serviços afetados deve ser interrompida, podendo ser solicitado o apagamento dos dados nos termos da Secção 09.