Política de Proteção de Dados

1. Objetivo e Âmbito da Política de Proteção de Dados

A presente política aplica-se às operações de tratamento de dados pessoais realizadas pela WebDig Host, de João Manuel da Silva Costa, no âmbito da sua atividade profissional.

A WebDig Host pode atuar em duas qualidades distintas:

• Responsável pelo tratamento: quando determina as finalidades e os meios do tratamento, nomeadamente na gestão de clientes, faturação, comunicações comerciais e administração dos seus serviços.
• Subcontratante: quando trata dados pessoais por conta de clientes que utilizam os serviços de alojamento, correio eletrónico ou infraestrutura.

A qualificação depende das operações concretamente realizadas e das responsabilidades de cada interveniente.

1.1. Objetivos da política

Esta política tem como objetivos:

• Explicar os princípios aplicáveis ao tratamento de dados pessoais;
• Identificar os direitos reconhecidos aos titulares;
• Disponibilizar os canais de contacto para questões de proteção de dados;
• Descrever o procedimento geral de receção e análise de pedidos;
• Esclarecer os prazos de resposta previstos no RGPD;
• Explicar a abordagem à gestão de violações de dados pessoais;
• Informar sobre a possibilidade de apresentar reclamação à autoridade de controlo;
• Identificar os documentos complementares relevantes.

2. Encarregado de Proteção de Dados (EPD)

A WebDig Host designou um Encarregado de Proteção de Dados (EPD), também designado pela expressão inglesa Data Protection Officer (DPO), para desempenhar as funções previstas nos artigos 37.º a 39.º do RGPD.

O EPD constitui um ponto de contacto para os titulares dos dados e para a Comissão Nacional de Proteção de Dados (CNPD), no âmbito das questões relacionadas com o tratamento de dados pessoais.

As suas funções incluem:

• Informar e aconselhar a WebDig Host relativamente às obrigações de proteção de dados;
• Acompanhar o cumprimento do RGPD e das políticas aplicáveis;
• Prestar aconselhamento sobre avaliações de impacto relativas à proteção de dados, quando solicitado;
• Cooperar com a autoridade de controlo;
• Atuar como ponto de contacto para questões relacionadas com o tratamento de dados pessoais;
• Acompanhar questões de proteção de dados associadas a incidentes e pedidos dos titulares.

A responsabilidade pelo cumprimento das obrigações legais pertence à entidade responsável pelo tratamento ou ao subcontratante, conforme aplicável, não sendo transferida para o EPD pelo exercício das suas funções.

2.1. Contactar o Encarregado de Proteção de Dados

As comunicações dirigidas ao EPD devem ser tratadas de forma confidencial e encaminhadas sem acesso indiscriminado por outros departamentos.

3. Princípios de Tratamento e Responsabilidades Internas

A WebDig Host orienta o tratamento de dados pessoais pelos princípios estabelecidos no artigo 5.º do RGPD.

3.1. Licitude, Lealdade e Transparência

Os dados pessoais devem ser tratados com fundamento jurídico adequado, de forma leal e com informação clara sobre as finalidades e condições do tratamento.

3.2. Limitação das Finalidades

Os dados devem ser recolhidos para finalidades determinadas, explícitas e legítimas, não podendo ser posteriormente tratados de forma incompatível com essas finalidades, salvo nos casos legalmente permitidos.

3.3. Minimização dos Dados

O tratamento deve limitar-se aos dados adequados, pertinentes e necessários para as finalidades identificadas.

3.4. Exatidão

Devem ser adotadas medidas razoáveis para manter os dados atualizados e corrigir ou eliminar informações inexatas, quando necessário.

3.5. Limitação da Conservação

Os dados pessoais devem ser conservados durante o período necessário às finalidades do tratamento, sem prejuízo dos prazos legais aplicáveis.

3.6. Integridade e Confidencialidade

Devem ser aplicadas medidas técnicas e organizativas adequadas para proteger os dados contra acessos não autorizados, perda, alteração ou divulgação indevida.

3.7. Responsabilidade

A WebDig Host deve estar em condições de demonstrar o cumprimento das obrigações que lhe sejam aplicáveis, nos termos do princípio da responsabilidade previsto no RGPD.

Os procedimentos de proteção de dados são considerados em articulação com a gestão de acessos, a segurança dos sistemas, a administração dos serviços e a resposta a incidentes.

4. Direitos dos Titulares dos Dados

Os titulares de dados pessoais podem exercer os direitos previstos nos artigos 12.º a 22.º do RGPD, de acordo com os requisitos e limitações legalmente aplicáveis.

4.1. Direito de Acesso

Permite obter confirmação sobre a existência de tratamento de dados pessoais e, quando aplicável, aceder aos dados e às informações previstas no artigo 15.º do RGPD.

4.2. Direito de Retificação

Permite solicitar a correção de dados pessoais inexatos ou o completamento de informações incompletas.

4.3. Direito ao Apagamento

Permite solicitar a eliminação dos dados pessoais nas situações previstas no artigo 17.º do RGPD, sem prejuízo das exceções legais, nomeadamente quando exista obrigação de conservação.

4.4. Direito à Limitação do Tratamento

Permite solicitar a restrição de determinadas operações de tratamento nas circunstâncias previstas na legislação.

4.5. Direito de Oposição

Permite opor-se a determinados tratamentos, incluindo os baseados em interesses legítimos, nos termos do artigo 21.º do RGPD.

Quando estejam em causa tratamentos para marketing direto, o titular pode exercer o direito de oposição a qualquer momento.

4.6. Direito à Portabilidade

Permite receber determinados dados pessoais num formato estruturado, de uso corrente e de leitura automática, quando estejam preenchidos os requisitos do artigo 20.º do RGPD.

4.7. Direito de Retirar o Consentimento

Quando o tratamento se baseie no consentimento, este pode ser retirado a qualquer momento, sem comprometer a licitude do tratamento anteriormente realizado.

4.8. Decisões Automatizadas

Os titulares beneficiam das garantias previstas no artigo 22.º do RGPD relativamente a determinadas decisões exclusivamente automatizadas que produzam efeitos jurídicos ou os afetem significativamente de forma similar.

4.9. Direito de Reclamação

Os titulares podem apresentar reclamação junto da Comissão Nacional de Proteção de Dados ou de outra autoridade de controlo competente, nos termos legais.

5. Como Apresentar Pedidos Relacionados com Dados Pessoais

Os pedidos relacionados com o exercício de direitos ou esclarecimentos sobre o tratamento de dados pessoais podem ser apresentados através do canal dedicado:

O pedido deve identificar, de forma clara, a questão apresentada ou o direito que se pretende exercer.

Quando necessário, poderá ser solicitada informação adicional para identificar os dados envolvidos ou confirmar a identidade do requerente.

Não devem ser enviados documentos de identificação, palavras-passe ou outros dados sensíveis sem necessidade ou sem indicação de um procedimento adequado e seguro.

5.1. Pedidos Relacionados com Dados Alojados por Clientes

Quando os dados pessoais sejam tratados pela WebDig Host exclusivamente por conta de um cliente, esse cliente poderá ser o responsável pelo tratamento.

Nessas situações, o exercício dos direitos deverá, em regra, ser dirigido ao responsável pelo tratamento, cabendo à WebDig Host prestar a assistência legal e contratualmente exigível.

A WebDig Host poderá encaminhar o pedido para o responsável competente, quando apropriado e permitido.

6. Prazos de Resposta e Verificação de Identidade

Nos termos do artigo 12.º, n.º 3, do RGPD, a WebDig Host presta informações sobre as medidas tomadas na sequência de pedidos dos titulares sem demora injustificada e, em regra, no prazo de um mês após a receção do pedido.

Este prazo pode ser prorrogado por mais dois meses, quando necessário, tendo em conta a complexidade e o número de pedidos.

Quando seja necessária uma prorrogação, o titular será informado no prazo inicial de um mês, com indicação dos motivos.

Se existirem dúvidas razoáveis sobre a identidade do requerente, poderão ser solicitadas informações adicionais estritamente necessárias para confirmar a sua identidade.

Quando não seja possível dar seguimento ao pedido, serão comunicados os motivos e as possibilidades de reclamação ou recurso judicial, nos termos legalmente previstos.

O exercício dos direitos é, em regra, gratuito, sem prejuízo das situações excecionais previstas no artigo 12.º, n.º 5, do RGPD.

7. Registo e Arquivo de Pedidos

A WebDig Host pode conservar registos dos pedidos relacionados com proteção de dados, na medida necessária para documentar a sua receção, análise, resposta e cumprimento das obrigações legais aplicáveis.

Os registos podem incluir:

• Data de receção do pedido;
• Identificação do requerente, quando necessária;
• Natureza do pedido;
• Informações relevantes para a respetiva análise;
• Decisão adotada e respetiva fundamentação;
• Data da resposta;
• Eventuais comunicações com autoridades competentes.

O acesso aos registos deve ser limitado às pessoas autorizadas que necessitem da informação para o desempenho das suas funções.

Os períodos de conservação são determinados em função das finalidades de documentação, demonstração de conformidade e defesa de direitos, sem prejuízo de obrigações legais específicas.

Os dados que deixem de ser necessários devem ser eliminados ou sujeitos a medidas adequadas de restrição ou anonimização.

8. Incidentes e Violações de Dados Pessoais

Uma violação de dados pessoais corresponde a uma violação de segurança que provoque, de modo acidental ou ilícito, a destruição, perda, alteração, divulgação não autorizada ou acesso não autorizado a dados pessoais transmitidos, conservados ou sujeitos a qualquer outro tipo de tratamento.

A gestão de incidentes deve incluir, conforme a natureza e gravidade da ocorrência:

• Identificação e registo do incidente;
• Contenção e mitigação dos efeitos;
• Avaliação dos sistemas e dados envolvidos;
• Análise dos riscos para os titulares;
• Preservação de informação relevante para investigação;
• Aplicação de medidas corretivas;
• Documentação das decisões e comunicações efetuadas.

8.1. Notificação à CNPD

Quando a WebDig Host atua como responsável pelo tratamento e uma violação de dados pessoais seja suscetível de resultar num risco para os direitos e liberdades das pessoas singulares, procede à notificação da autoridade de controlo competente, sem demora injustificada e, sempre que possível, no prazo de 72 horas após ter tomado conhecimento da violação.

Se a notificação ocorrer após esse prazo, devem ser indicados os motivos do atraso, nos termos do artigo 33.º do RGPD.

8.2. Comunicação aos Titulares

Quando uma violação de dados pessoais seja suscetível de implicar um elevado risco para os direitos e liberdades das pessoas singulares, os titulares afetados serão informados sem demora injustificada, salvo quando se verifiquem as exceções previstas no artigo 34.º do RGPD.

8.3. Incidentes em Serviços Prestados a Clientes

Quando atua como subcontratante, a WebDig Host informa o responsável pelo tratamento sem demora injustificada após tomar conhecimento de uma violação de dados pessoais, nos termos do artigo 33.º, n.º 2, do RGPD e do Acordo de Tratamento de Dados aplicável.

8.4. Comunicação de Incidentes de Segurança

Os incidentes que envolvam a segurança das redes e dos sistemas de informação são igualmente avaliados à luz das obrigações específicas de cibersegurança aplicáveis à WebDig Host.

Os requisitos de comunicação previstos no regime jurídico nacional de cibersegurança são distintos dos requisitos de notificação de violações de dados pessoais previstos no RGPD.

Para mais informações, consulta também os Procedimentos de Incidentes.

9. Comunicação com a CNPD e Outras Autoridades

A WebDig Host coopera com a Comissão Nacional de Proteção de Dados (CNPD), nos termos das obrigações legais aplicáveis.

Os titulares podem apresentar reclamação diretamente à autoridade de controlo, sem necessidade de contactar previamente a WebDig Host.

Website oficial: Comissão Nacional de Proteção de Dados.

O contacto prévio com a WebDig Host pode permitir esclarecer ou resolver determinadas situações, mas não constitui uma condição para apresentar reclamação à CNPD.

Quando existam pedidos de autoridades judiciais, administrativas ou reguladoras, a WebDig Host avalia a sua legitimidade e o respetivo fundamento jurídico antes de proceder à comunicação de dados pessoais.

10. Subcontratantes e Transferências Internacionais

A WebDig Host pode recorrer a fornecedores externos para a prestação de serviços de infraestrutura, DNS, distribuição de conteúdos, segurança, faturação, pagamentos e outras funcionalidades técnicas.

Nem todos estes fornecedores assumem a qualidade de subcontratantes ou subprocessadores para efeitos do RGPD.

A qualificação depende das operações concretamente realizadas e das responsabilidades de cada entidade.

10.1. Recurso a Subcontratantes

Quando exista uma relação de subcontratação abrangida pelo artigo 28.º do RGPD, devem ser observadas as obrigações contratuais e as garantias de proteção de dados legalmente exigíveis.

10.2. Transferências Internacionais

Quando existam transferências internacionais sujeitas ao capítulo V do RGPD, devem ser aplicados os mecanismos adequados, incluindo decisões de adequação, Cláusulas Contratuais-Tipo ou outros instrumentos legalmente previstos, conforme o caso.

10.3. Documentação Complementar

Para mais informações, consulta:

• Lista de Subprocessadores;
• Acordo de Tratamento de Dados;
• Política de Privacidade.

11. Relação com Outras Políticas e Documentos

A presente Política de Proteção de Dados deve ser interpretada em conjunto com os restantes documentos legais e informativos da WebDig Host.

• Política de Privacidade — informação sobre finalidades, fundamentos jurídicos e conservação dos dados pessoais;
• Política de Cookies — informação sobre cookies, tecnologias semelhantes e preferências de consentimento;
• Acordo de Tratamento de Dados — condições aplicáveis ao tratamento de dados pessoais por conta dos clientes;
• Lista de Subprocessadores — identificação dos fornecedores e serviços relevantes;
• NIS2 e Cibersegurança — informação sobre segurança e obrigações de cibersegurança aplicáveis.

11.1. Cookies e Gestão de Consentimento

A WebDig Host utiliza o WebDig.DEV Consent Manager para disponibilizar mecanismos de gestão das preferências relativas a cookies e tecnologias semelhantes no website WordPress.

O consentimento para cookies opcionais é distinto dos fundamentos jurídicos aplicáveis à execução de contratos, ao cumprimento de obrigações legais e a outros tratamentos de dados pessoais.

11.2. Identificador de Consentimento

Quando disponível, o identificador de consentimento associado ao visitante pode ser consultado abaixo:

O inventário de cookies e serviços identificados encontra-se disponível na Política de Cookies.

A integração do Consent Manager no website WordPress não significa necessariamente que este controle os cookies de aplicações distintas, incluindo a área de cliente WHMCS, sem configuração específica.

12. Atualizações da Política de Proteção de Dados

A WebDig Host poderá atualizar esta política para refletir alterações legislativas, recomendações das autoridades competentes, modificações técnicas ou mudanças nos procedimentos de tratamento de dados pessoais.

Quando as alterações sejam relevantes, poderá ser disponibilizada informação adicional no website ou através de comunicações aos titulares afetados, quando apropriado ou legalmente exigido.

As atualizações desta política não substituem a necessidade de obter consentimento quando este seja exigido para uma determinada operação de tratamento.