Política de privacidade

1. Responsável pelo tratamento

1.1. O responsável pelo tratamento dos dados pessoais recolhidos através do sítio www.hugorosa.pt é Hugo Rosa, contactável para todos os efeitos relacionados com a proteção de dados através do endereço de correio eletrónico contacto@hugorosa.pt.

1.2. O tratamento é efetuado em conformidade com o Regulamento (UE) 2016/679, do Parlamento Europeu e do Conselho, de 27 de abril de 2016 (Regulamento Geral sobre a Proteção de Dados, doravante «RGPD»), e com a Lei n.º 58/2019, de 8 de agosto.

2. Categorias de dados tratados

2.1. Formulário de contacto: nome, endereço de correio eletrónico, número de telefone, conteúdo da mensagem remetida pelo titular dos dados e o texto das respostas trocadas.

2.2. Área de Cliente: nome, endereço de correio eletrónico e a data em que foi confirmado, palavra-passe armazenada sob a forma de resumo criptográfico (hash), data do último acesso, fotografia de perfil caso o titular carregue uma, a chave da verificação em dois passos e os respetivos códigos de recuperação caso o titular a ative (estes sob a forma de resumo criptográfico), os códigos de confirmação enviados por correio eletrónico (sob a forma de resumo criptográfico, apagados pouco depois de expirarem) e, quando é pedida uma marcação ou uma encomenda de impressões, o número de telefone e a morada ou o ponto de entrega indicados para esse efeito.

2.3. Dados de navegação: endereço IP, data e hora do pedido e informação técnica equivalente, registados automaticamente pelo servidor de alojamento para efeitos de segurança e diagnóstico.

2.4. Não são utilizadas ferramentas de análise estatística, de publicidade comportamental ou de monitorização de terceiros.

2.5. Identificação nas fotografias: para entregar a cada família apenas as fotografias em que a sua criança aparece, registo quem aparece em cada fotografia, através de uma etiqueta (por exemplo, um número de camisola) e, só quando é necessário, do nome. Esta identificação é feita por mim, à mão. Não é usado reconhecimento facial automático, e não é calculado nem guardado qualquer modelo, medida ou característica do rosto de ninguém. Estes registos são apagados quando a pessoa é removida ou quando o titular, ou o seu representante legal, o pede. Em alguns álbuns, escolhidos por mim, quem vê o álbum pode ver só as fotografias de uma pessoa, escolhendo-a por um recorte de uma fotografia que eu escolhi à mão como referência. Esse recorte só é mostrado quando a fotografia de onde vem já é visível para quem vê o álbum, e é tirado da mesma versão dessa fotografia (sem as marcas de água): na página pública, com os rostos desfocados onde foram desfocados. Não é mostrado o nome nem a etiqueta.

2.6. Cartões de resgate: quando entrego um cartão com um código, guardo apenas um resumo criptográfico desse código (nunca o código em si), a pessoa a que se destina, a sua validade e, quando é usado, a conta que o usou e a data.

3. Finalidades e fundamentos de licitude

3.1. Resposta a pedidos de informação e elaboração de propostas: diligências pré-contratuais a pedido do titular dos dados [artigo 6.º, n.º 1, alínea b), do RGPD] e, quando aplicável, consentimento [artigo 6.º, n.º 1, alínea a)].

3.2. Gestão da Área de Cliente e disponibilização dos conteúdos contratados: execução do contrato [artigo 6.º, n.º 1, alínea b), do RGPD].

3.3. Garantia da segurança do Website e prevenção de acessos indevidos: interesse legítimo do responsável pelo tratamento [artigo 6.º, n.º 1, alínea f), do RGPD].

3.4. Cumprimento de obrigações legais a que o responsável esteja sujeito [artigo 6.º, n.º 1, alínea c), do RGPD].

4. Prazos de conservação

4.1. Mensagens recebidas através do formulário de contacto: até 12 meses após a última comunicação trocada, salvo se der origem a relação contratual. As conversas na Área de Cliente são eliminadas 12 meses após a última mensagem, ou com a conta a que pertencem. Este prazo aplica-se só ao texto das conversas: fotografias, álbuns e outros ficheiros não são eliminados por esta via. As respostas a uma mensagem do formulário são enviadas por correio eletrónico para o endereço indicado, com o texto, e com um endereço privado para continuar a conversa, válido até 90 dias após a última mensagem.

4.2. Dados associados a contas de cliente: durante a vigência da relação contratual e, subsequentemente, pelos prazos legais de conservação aplicáveis, ou até que seja exercido o direito ao apagamento.

4.3. Registos técnicos do servidor: pelo período definido pelo prestador de serviços de alojamento, tipicamente não superior a seis meses.

5. Destinatários e subcontratantes

5.1. Os dados não são cedidos, vendidos ou de outra forma transmitidos a terceiros para finalidades de marketing.

5.2. Os dados são alojados na infraestrutura do prestador de serviços de alojamento web, que atua na qualidade de subcontratante, nos termos do artigo 28.º do RGPD, com servidores localizados na União Europeia.

5.3. Os tipos de letra e demais recursos gráficos são servidos a partir da própria infraestrutura do Website, não ocorrendo comunicação de dados a fornecedores externos em virtude da simples visita.

5.4. Caso o titular dos dados opte por reproduzir conteúdos audiovisuais integrados no Website, poderá ocorrer comunicação de dados à plataforma que os aloja, sujeita à respetiva política de privacidade.

6. Transferências internacionais

6.1. Não se encontram previstas transferências de dados pessoais para países terceiros ou organizações internacionais fora do Espaço Económico Europeu.

7. Direitos do titular dos dados

7.1. Nos termos dos artigos 15.º a 22.º do RGPD, assistem ao titular dos dados os direitos de acesso, retificação, apagamento, limitação do tratamento, portabilidade e oposição, bem como o direito de retirar o consentimento a todo o tempo, sem que tal comprometa a licitude do tratamento efetuado com base no consentimento previamente prestado.

7.2. O exercício destes direitos é efetuado mediante comunicação dirigida a contacto@hugorosa.pt, sendo respondido no prazo máximo de um mês, prorrogável nos termos do artigo 12.º, n.º 3, do RGPD.

7.3. O titular dos dados tem ainda o direito de apresentar reclamação junto da Comissão Nacional de Proteção de Dados, autoridade de controlo competente em território nacional (www.cnpd.pt).

8. Medidas de segurança

8.1. O responsável adota as medidas técnicas e organizativas adequadas ao risco, nos termos do artigo 32.º do RGPD, designadamente o armazenamento de palavras-passe sob a forma de resumo criptográfico, a proteção das áreas privadas por autenticação com bloqueio temporário após tentativas sucessivas falhadas, a verificação opcional em dois passos, a recuperação de acesso apenas para endereços de correio eletrónico confirmados ou, numa conta ainda sem qualquer conteúdo, para o próprio endereço registado, a transmissão cifrada de dados e o armazenamento dos ficheiros originais fora da diretoria publicamente acessível, sendo o respetivo acesso mediado por verificação de permissões.

9. Decisões automatizadas

9.1. Não são adotadas decisões exclusivamente automatizadas, incluindo a definição de perfis, que produzam efeitos na esfera jurídica do titular dos dados.

10. Menores

10.1. Quando a prestação de serviços envolva a captação de imagem de menores, a mesma é precedida de autorização de quem exerça as responsabilidades parentais, a quem compete igualmente autorizar a eventual divulgação pública das imagens.

11. Alterações à presente política

11.1. A presente política pode ser objeto de atualização, sendo a versão vigente a publicada no Website, com indicação da respetiva data de atualização.