Tradução; em caso de divergência prevalece a versão alemã.
Esta política aplica-se a offrano.com e a todas as suas versões linguísticas. Tem três partes:
- Parte A para quem faz um pedido através da Offrano («clientes»),
- Parte B para as empresas que compram pedidos («compradores»),
- Parte C para todos os visitantes do sítio.
As secções D a I aplicam-se a todos.
1. Responsável pelo tratamento
XARC Solutions SHPK (administrador: Xhonatan Çopani) Rruga Ali Demi, Ndërtesa P.263, Hyrja 1, Ap. 1, 1000 Tiranë, Albânia E-mail: contact@offrano.com
Offrano é uma marca da XARC Solutions SHPK («nós»).
2. Como funciona a Offrano, em cinco frases
O cliente diz-nos que trabalho quer mandar fazer e onde. Verificamos o número de telefone por SMS e o endereço de e-mail através de uma ligação de confirmação. Depois propomos o pedido às empresas — inicialmente apenas com o código postal, a localidade e os dados do trabalho, sem nome, rua, número de porta, telefone ou e-mail. Uma única empresa pode comprar o pedido, e paga-nos por ele. Antes de essa empresa ver os contactos do cliente, enviamos-lhe por e-mail o nome, a morada e o telefone da empresa.
Parte A — Clientes
A1. Que dados tratamos
- Dados de contacto: nome, apelido, endereço de e-mail, número de telefone, rua e número de porta, código postal e localidade e, no caso de empresas, a denominação.
- Dados do pedido: setor e serviço escolhidos, país, as respostas no formulário (por exemplo, área ou se é proprietário) e o texto livre eventualmente escrito.
- Registo do consentimento: versão do texto do consentimento, a indicação de que assinalou a caixa, as horas da verificação por SMS e da confirmação por e-mail, a página em que fez o pedido, o endereço IP no envio, a empresa a quem o pedido foi entregue, o momento em que lhe comunicámos o nome dela e uma eventual retirada.
- Origem do pedido: a página de origem (referrer) e os códigos de campanha na ligação (parâmetros UTM), se existirem.
- Valores de controlo: valores de controlo não reversíveis (HMAC) calculados a partir do e-mail e do telefone, que nos permitem reconhecer pedidos duplicados e abusos sem pesquisar o endereço em texto simples.
A2. Finalidades e fundamentos jurídicos
| Finalidade | Fundamento jurídico |
|---|---|
| Receber e verificar o pedido e propô-lo às empresas com código postal e localidade, mas sem nome, rua, número de porta, telefone ou e-mail | artigo 6.º, n.º 1, alínea b), do RGPD (o nosso contrato de utilização consigo, ver Condições de utilização) |
| Transmissão dos contactos e do pedido a uma única empresa e contacto desta por telefone, SMS e e-mail | artigo 6.º, n.º 1, alínea a), do RGPD (o seu consentimento expresso); subsidiariamente alínea b), porque nos pediu para transmitir o pedido |
| Verificação do telefone por SMS e confirmação do e-mail | alíneas b) e f) (o nosso interesse em transmitir apenas pedidos genuínos e em impedir o uso abusivo de números ou endereços alheios) |
| Conservação da prova do consentimento, deteção de duplicados e fraudes, tratamento de reclamações dos compradores | alínea f) (dever de demonstrar o consentimento nos termos do artigo 7.º, n.º 1, proteção contra abusos, defesa em litígios) |
| Chamada da Offrano sobre uma reclamação: se o comprador comunicar que não o consegue contactar, ou reclamar do pedido por outro motivo, a Offrano pode telefonar-lhe para analisar a reclamação e perguntar se continua interessado. Tratamos o nome, o telefone, o número do pedido e o resultado da chamada. | alínea f) (análise da reclamação, faturação correta perante o comprador) |
| Comunicar-lhe o nome, a morada e o telefone do comprador | alínea f) (mantê-lo informado e tornar rastreável a transmissão) |
A3. Verificação por SMS e confirmação por e-mail
Depois do envio do formulário, enviamos um código por SMS para o número indicado. Só quando o introduz o número é considerado verificado. Enviamos depois um e-mail com uma ligação de confirmação (double opt-in). Um pedido cujo telefone e e-mail não estejam confirmados não é proposto a nenhuma empresa. Assim ninguém pode fazer um pedido com os seus dados sem acesso ao seu telefone e à sua caixa de correio.
A4. Transmissão a uma empresa
Quem vê o pedido antes da venda: os compradores registados veem na loja apenas o setor, o país, o código postal completo e a localidade, as respostas do formulário autorizadas para pré-visualização, a antiguidade do pedido e o preço. O nome, a rua, o número de porta, o telefone e o e-mail nunca são visíveis antes da venda.
Quem recebe o pedido: uma única empresa que trabalha no setor escolhido na sua zona e compra o pedido. A empresa paga-nos pelo pedido. Depois disso, o pedido não é proposto a mais ninguém.
O que recebe a empresa: o nome, o e-mail, o telefone, a morada e os dados do pedido. Pode telefonar-lhe e contactá-lo por SMS ou e-mail sobre este pedido.
O que recebe primeiro o cliente: logo que uma empresa compra o pedido, enviamos-lhe automaticamente por e-mail o nome, a morada e o telefone dela. Só depois lhe são mostrados os seus contactos. O e-mail contém uma ligação para retirar o consentimento.
A empresa é responsável pelo tratamento por conta própria. A partir da transmissão, trata os seus dados sob a sua própria responsabilidade e segundo a sua própria política de privacidade. Está contratualmente obrigada a usar os dados apenas para responder ao pedido, a não os transmitir, a indicar-lhe no primeiro contacto onde os obteve, a não o contactar mais de cinco vezes em 14 dias, a respeitar uma retirada do consentimento no prazo de 48 horas e a apagar os dados se, em seis meses, não for celebrado qualquer contrato.
Empresas estabelecidas fora da UE/EEE: a Offrano opera também em países europeus fora da UE. Se a empresa estiver estabelecida num país relativamente ao qual nem a Comissão Europeia nem — para pedidos do Reino Unido ou da Suíça — a autoridade competente desses países tenha reconhecido um nível adequado de proteção de dados, a transmissão baseia-se nas cláusulas contratuais-tipo da Comissão Europeia (artigo 46.º, n.º 2, alínea c), do RGPD), complementadas, para pedidos do Reino Unido, pelo International Data Transfer Addendum britânico, que fazem parte do nosso contrato com a empresa. O país da empresa consta do e-mail que recebe após a venda. Pode pedir-nos uma cópia das cláusulas.
A5. Retirada do consentimento
Pode retirar o consentimento a qualquer momento, com efeitos para o futuro — através da ligação em qualquer dos nossos e-mails ou escrevendo livremente para contact@offrano.com.
- Antes da venda: o pedido é retirado de imediato da loja e os seus contactos são apagados.
- Depois da venda: comunicamos a retirada à empresa sem demora. Esta tem de a respeitar no prazo de 48 horas. Se entretanto tiver celebrado um contrato com a empresa, o tratamento posterior rege-se por esse contrato.
A retirada não afeta a licitude do tratamento anterior. Guardamos a prova de que e quando deu e retirou o consentimento (A6).
A6. Durante quanto tempo guardamos os dados
| Dados | Prazo |
|---|---|
| Pedido sem telefone e e-mail confirmados | apagado, o mais tardar, 7 dias após a receção |
| Pedido não vendido | na loja durante no máximo 21 dias, apagado 60 dias após a receção |
| Contactos e dados do pedido após a venda | apagados 14 dias após a venda (prazo de reclamação de 7 dias do comprador mais o tempo de tratamento). Depois guardamos para a contabilidade apenas o número do pedido, setor, país, região, preço e datas — sem nome nem contactos. |
| Pedido retirado antes da venda | contactos apagados de imediato |
| Prova do consentimento, incluindo os valores de controlo do e-mail e do telefone | 3 anos a contar da transmissão ou da retirada |
| Código SMS | até à introdução, no máximo até expirar |
| Resultado de uma chamada da Offrano sobre uma reclamação | como a reclamação: até ao seu encerramento; depois guarda-se apenas o resultado da reclamação, sem os seus dados |
A empresa aplica os seus próprios prazos de conservação; segundo o contrato connosco, no máximo seis meses se não for celebrado qualquer contrato (A4).
A7. É obrigado a fornecer dados?
Fazer um pedido é voluntário. Sem o nome, o e-mail, o telefone e a localidade, porém, não podemos verificá-lo nem transmiti-lo a uma empresa. Sem assinalar a caixa do consentimento, o pedido não pode ser aceite.
Parte B — Compradores (empresas)
B1. Que dados tratamos
- Conta: nome e e-mail da pessoa de contacto, horas de início de sessão e endereços IP utilizados. O acesso é feito sem palavra-passe: enviamos um código de utilização única para o seu e-mail; o código é válido por pouco tempo e depois é apagado.
- Empresa: denominação, forma jurídica, país, morada, telefone, número de IVA ou certidão do registo, setores e zonas contratados, as habilitações profissionais e empresariais que nos confirmou.
- Operações: pedidos comprados, pagamentos, faturas, reembolsos, reclamações com as respetivas provas (por exemplo, registo de chamadas), comunicações de retiradas e de violações de dados.
B2. Finalidades e fundamentos jurídicos
- Gestão da conta, venda de pedidos, faturação, tratamento de reclamações: artigo 6.º, n.º 1, alínea b), do RGPD.
- Verificação da qualidade de empresa (consulta do número de IVA no sistema VIES da Comissão Europeia ou junto do serviço nacional competente, ou verificação de uma certidão do registo): alíneas b) e f) (só empresas podem comprar; proteção dos clientes).
- Comunicação da sua denominação, morada e telefone ao cliente cujo pedido compra: alínea b) (parte do contrato com o comprador) e alínea f) (o cliente tem de saber quem recebe os seus dados). Se atuar como empresário em nome individual, trata-se também de dados pessoais seus.
- Conservação de faturas e documentos contabilísticos: alínea c).
- Deteção de abusos e revendas, exercício de direitos: alínea f).
B3. Pagamento
Paga cada compra individualmente através do prestador de serviços de pagamento Stripe (cartão, Apple Pay, Google Pay). Para isso, a Stripe cria um registo de cliente para a sua empresa. Introduz os dados do cartão e de pagamento apenas na Stripe. Se o desejar, a Stripe guarda o seu meio de pagamento para compras seguintes; nós recebemos apenas dados para mostrar na sua conta (como o tipo de cartão e os últimos quatro dígitos), nunca os dados completos do cartão. Pode remover o meio de pagamento guardado na sua conta a qualquer momento. A Stripe confirma-nos se o pagamento foi efetuado e fornece os dados necessários para o associar (montante, referência de pagamento, e-mail). Os reembolsos após uma reclamação também são feitos através da Stripe para o meio de pagamento utilizado. A Stripe trata ainda os dados para prevenção de fraude sob a sua própria responsabilidade. O fundamento jurídico é a alínea b). Mais informações: stripe.com/privacy.
B4. Durante quanto tempo guardamos os dados
| Dados | Prazo |
|---|---|
| Dados da conta e da empresa | enquanto durar a relação comercial; apagados após o seu termo, salvo se se aplicar um dos prazos seguintes |
| Prova da qualidade de empresa | até 3 anos após o fim da relação comercial |
| Que pedido comprou e quando, e quando o cliente foi informado sobre si | 3 anos a contar da compra (prova perante clientes e autoridades) |
| Meio de pagamento guardado (na Stripe) | até o remover ou a conta terminar |
| Faturas, comprovativos de reembolso, documentos contabilísticos | durante o prazo legal de conservação |
| Reclamações e provas | até ao encerramento da reclamação; depois apenas resultado e montante, sem dados do cliente |
Parte C — Todos os visitantes
C1. Disponibilização do sítio
Quando visita o sítio, tratamos os dados tecnicamente necessários: endereço IP, hora, endereço pedido, referrer, navegador e sistema operativo. Isto é necessário para disponibilizar a página e protegê-la de ataques (alínea f). O sítio é disponibilizado através da rede da Cloudflare; a Cloudflare trata endereços IP para repelir ataques e acelerar a entrega.
C2. Proteção dos formulários (Cloudflare Turnstile)
O formulário de pedido e o acesso dos compradores estão protegidos pelo Cloudflare Turnstile. O Turnstile verifica se um formulário é preenchido por uma pessoa e trata, para isso, o endereço IP, informações do navegador e do dispositivo e características da utilização da página. O Turnstile não é usado para publicidade. O fundamento jurídico é a alínea f) (proteção contra abusos automatizados).
C3. Cookies e Google Analytics
Usamos apenas os cookies estritamente necessários e o Google Analytics 4 apenas com o seu consentimento (alínea a); no Reino Unido, regulation 6 PECR). Até dar o consentimento, a etiqueta da Google está bloqueada. Os pormenores constam da nossa política de cookies. Pode alterar a sua escolha a qualquer momento em «Definições de cookies», no fundo de cada página.
C4. Contacto por e-mail
Se nos escrever, tratamos os seus dados para responder (alínea b) ou f) e apagamo-los depois de respondermos, salvo obrigação de conservação.
D. Destinatários e prestadores de serviços
Recorremos aos seguintes prestadores. Salvo indicação em contrário, tratam os dados por nossa conta e segundo as nossas instruções (artigo 28.º do RGPD).
| Prestador | Tarefa | Localização / transferência |
|---|---|---|
| Contabo GmbH, Alemanha | servidor com a base de dados dos pedidos | Alemanha (UE) |
| Cloudflare, Inc. | disponibilização do sítio, DNS, proteção contra ataques, Turnstile | EUA; EU-US Data Privacy Framework ou cláusulas contratuais-tipo |
| Resend, Inc. | envio de e-mails (ligação de confirmação, comunicação do comprador, códigos de acesso, faturas) | EUA; EU-US Data Privacy Framework ou cláusulas contratuais-tipo |
| Twilio | envio dos códigos SMS | EUA; cláusulas contratuais-tipo |
| Stripe | pagamentos e reembolsos dos compradores, meios de pagamento guardados (responsabilidade própria na prevenção de fraude) | UE ou EUA consoante a entidade contratante; cláusulas contratuais-tipo ou EU-US Data Privacy Framework |
| Google Ireland Limited | Google Analytics 4, apenas com consentimento | Irlanda; possível transferência para os EUA, EU-US Data Privacy Framework ou cláusulas contratuais-tipo |
Outros destinatários: a empresa que compra o seu pedido (A4) e — em caso de compra — o cliente, que recebe o nome, a morada e o telefone do comprador (B2). As autoridades públicas só recebem dados quando a lei nos obriga a comunicá-los.
E. A nossa sede na Albânia
Temos sede na Albânia e não temos estabelecimento na UE nem no Reino Unido. Como oferecemos serviços a pessoas na UE, aplica-se-nos o RGPD (artigo 3.º, n.º 2); para pedidos do Reino Unido aplicam-se o UK GDPR e o Data Protection Act 2018, e para pedidos da Suíça a lei federal suíça de proteção de dados (LPD/FADP). Aplica-se ainda a Lei albanesa n.º 124/2024 de proteção de dados pessoais, alinhada com o RGPD.
Não existe decisão de adequação da Comissão Europeia para a Albânia; a Suíça inclui a Albânia entre os países com nível de proteção adequado. Introduz os seus dados diretamente junto de nós. Segundo as Diretrizes 05/2021 do Comité Europeu para a Proteção de Dados, não se trata de uma transferência para um país terceiro na aceção do capítulo V do RGPD, mas de uma recolha por nós, à qual o RGPD se aplica diretamente. Os pedidos são guardados no nosso servidor na Alemanha.
F. Sem decisões automatizadas
Não tomamos decisões baseadas exclusivamente em tratamento automatizado que produzam efeitos jurídicos ou o afetem significativamente de forma similar (artigo 22.º do RGPD) nem criamos perfis. A empresa que recebe um pedido depende apenas de qual empresa o compra. As verificações automáticas (código SMS, ligação de confirmação, controlo de duplicados, Turnstile) servem apenas para distinguir pedidos genuínos de falsos; se o seu pedido for rejeitado por engano, contacte-nos.
G. Segurança
Guardamos cifrados individualmente o nome, o e-mail, o telefone, a rua e o endereço IP; a chave não fica na base de dados. Os dados são transmitidos cifrados (TLS). As notificações internas sobre novos pedidos e vendas não contêm dados pessoais.
H. Os seus direitos
Tem direito de acesso (artigo 15.º), retificação (artigo 16.º), apagamento (artigo 17.º), limitação do tratamento (artigo 18.º) e portabilidade (artigo 20.º), bem como o direito de retirar o consentimento a qualquer momento, com efeitos para o futuro (artigo 7.º, n.º 3).
Direito de oposição (artigo 21.º): quando tratamos dados com base no artigo 6.º, n.º 1, alínea f), pode opor-se a qualquer momento por motivos relacionados com a sua situação particular. Deixaremos então de os tratar, salvo se demonstrarmos razões imperiosas e legítimas ou se o tratamento servir a declaração, o exercício ou a defesa de um direito num processo judicial.
Para exercer os seus direitos, escreva para contact@offrano.com. Pode também exercê-los diretamente perante a empresa que comprou o seu pedido; os contactos dela constam do e-mail que lhe enviamos após a venda.
Reclamação junto de uma autoridade de controlo: pode apresentar reclamação a uma autoridade de proteção de dados, em especial no país onde reside ou trabalha.
- UE/EEE: a autoridade do seu país de residência; o Comité Europeu para a Proteção de Dados publica a lista em edpb.europa.eu.
- Reino Unido: Information Commissioner's Office (ICO), ico.org.uk.
- Suíça: Comissário Federal para a Proteção de Dados e a Transparência (FDPIC), edoeb.admin.ch.
- Albânia: Comissário para o Direito à Informação e a Proteção de Dados Pessoais, idp.al.
- Noutros países: a autoridade de proteção de dados competente.
I. Alterações
Se os nossos processos mudarem, atualizaremos esta política. Aplica-se a versão em vigor no momento em que fez o pedido; o respetivo código de versão fica guardado com o consentimento.