Política de Privacidade do Cofre

Identidade do Responsável pelo Tratamento

Porque tratamos dados pessoais?

O Cofre armazena e trata dados pessoais para prestar serviços no âmbito de uma relação contratual com os seus clientes (art. 6.1.b do RGPD).

O Cofre pode ser obrigado a divulgar dados pessoais se assim o exigirem as leis ou os regulamentos aplicáveis, ou para dar resposta a um pedido de uma autoridade judicial ou administrativa (art. 6.1.c do RGPD).

O Cofre tem interesse legítimo no tratamento de dados pessoais com o objetivo de orientar o marketing e as vendas dos seus serviços, bem como para melhorar a qualidade dos seus produtos e serviços (art. 6.1.f do RGPD).

O tratamento também se pode basear no consentimento específico do titular (art. 6.1.a do RGPD) para operações como:

• Marketing direto.
• Utilização de imagens pessoais.

O titular tem o direito de retirar o seu consentimento a qualquer momento através das ligações incluídas nas mensagens de marketing.

Que dados pessoais tratamos?

O Cofre trata, entre outros, os seguintes dados pessoais:

• Identificação: nome e apelidos; documento de identidade (DNI, passaporte, NIE).
• Características pessoais: sexo, estado civil, nacionalidade, idade, data e local de nascimento; dados familiares e circunstâncias (casamento, divórcio, separação, regime de bens do casamento).
• Segurança Social / mutualidade: número de registo, filiação.
• Contacto: morada, telefone, e-mail.
• Informações KYC (prevenção do branqueamento de capitais); beneficiário efetivo de entidades; PRP/PEP.
• Saúde (apenas quando aplicável e sem diagnósticos): baixas por doença, acidentes de trabalho, grau de incapacidade; filiação sindical para efeitos de quotas; maternidade/paternidade; comprovativos de presença.
• Controlo de assiduidade: data/hora de entradas e saídas; motivos de ausências.
• Económico-financeiros: domicílio fiscal, recibos de vencimento, créditos, empréstimos, garantias, deduções, retenções judiciais, outras retenções.
• Bancários e contabilísticos: número de cartão/IBAN (quando aplicável), extratos de conta, declarações de impostos, balanços financeiros.
• Solvência e situação económica: receitas/despesas, dívidas, impostos, titularidade de bens, seguros, pensões, bolsas, subvenções, participações, propriedades.
• Imagens pessoais.
• Histórico do cliente: contactos e alterações nos serviços.
• Gravações de chamadas e videochamadas do serviço de apoio ao cliente.
• Credenciais de utilizador de serviços eletrónicos.
• Informações de utilização dos serviços e cookies.
• Candidaturas: habilitações, formação, experiência, referências e incompatibilidades.
• Preferências e consentimentos de marketing.
• Dados em denúncias internas apresentadas através do Canal de Denúncias (se aplicável).
• Outros dados necessários para a prestação dos serviços.

Em alguns serviços, o Cofre trata dados pessoais por conta dos seus clientes. Nesses casos, o cliente é o Responsável pelo Tratamento e o Cofre atua como Subcontratante nos termos do RGPD. As atividades são reguladas na Descrição de Atividades incluída neste documento.

Os dados solicitados são indispensáveis para a prestação dos serviços; a recusa em fornecê-los pode impedir a sua execução.

Fontes regulares de informação

Recebemos os seus dados principalmente de si em situações como:

• Quando se torna cliente e utiliza os nossos produtos/serviços.
• Participação em inquéritos, campanhas ou eventos.
• Contactos com o nosso serviço de apoio (telefone, chat, formulários, e-mail).
• Quando se candidata a trabalhar connosco.

Além disso, podemos receber informações de:

• Registos mantidos por autoridades.
• Listas de sanções nacionais e internacionais.
• Serviços com informações públicas de contacto.
• Fontes internas do Cofre e redes de contactos.

Como protegemos os dados pessoais?

Proteção técnica

Firewalls, política de palavras-passe, autenticação de dois fatores, TLS nas comunicações, cópias de segurança regulares armazenadas em local distinto e auditorias internas/externas de segurança e de RGPD.

Proteção administrativa

Políticas internas de segurança da informação e proteção de dados, formação periódica obrigatória, direitos de acesso consoante o perfil, revisão e revogação de permissões e confidencialidade contratual.

Proteção física

Processamento em centros de dados da UE/EEE (por exemplo, Espanha ou Finlândia), com redundância, controlo de acesso e monitorização certificados.

Divulgação de dados e subcontratação

• O Cofre poderá, se necessário, divulgar dados a empresas do grupo ou parceiras.
• Os dados serão divulgados às autoridades quando exigido por lei.
• Dados não confidenciais poderão ser partilhados com parceiros para desenvolvimento de serviços, controlo de qualidade e marketing.
• Se forem utilizadas APIs bancárias ou outros conectores sujeitos a regulamentação, os dados KYC poderão ser partilhados com essas entidades nos termos da legislação aplicável.
• Não vendemos nem alugamos dados pessoais a terceiros.
• Utilizamos fornecedores (videovigilância, marketing, recrutamento, operadores, desenvolvimento de software, etc.). Assinamos um DPA com cada fornecedor. Lista atualizada disponível mediante pedido.

Transferência de dados para fora da UE/EEE

Em geral, os dados pessoais tratados pelo Cofre não são transferidos para fora da UE/EEE. As informações de contacto usadas em marketing e os dados estatísticos de análise, bem como os das plataformas de recrutamento, podem ser alojados nos EUA. Essas transferências são protegidas nos termos da legislação da UE, com a aplicação de Cláusulas Contratuais-Tipo e garantias adicionais.

Subcontratantes que poderiam transferir dados para fora da UE/EEE (se utilizados): Google Analytics.

Por quanto tempo mantemos os dados?

• Durante toda a relação contratual com o cliente.
• Dados de empresas e decisores: conservação prolongada quando as informações são renovadas automaticamente a partir de sistemas de informação empresarial.
• Após o fim da relação, conservação pelo tempo necessário para interesses legítimos e cumprimento de obrigações legais.
• Marketing direto: até à revogação ou oposição.
• Gravações de chamadas: 3 meses.

Como utilizamos os cookies e a análise web?

O Cofre recolhe informações com cookies para melhorar a experiência do utilizador, avaliar padrões de utilização e apoiar o marketing.

São armazenadas informações como IP, hora, páginas visitadas, navegador, dispositivo, origem e destino.

Ao utilizar o nosso site, o utilizador aceita a utilização de cookies. Pode evitar a sua utilização através da configuração do navegador, tendo em conta que certos serviços podem ser afetados. Para gerir o consentimento utilizamos, quando aplicável, ferramentas como o Cookiebot, onde poderá configurar e revogar o seu consentimento a qualquer momento. Consulte a Política de Cookies.

Direitos dos titulares

De acordo com os arts. 15–22 do RGPD, o titular tem direito a: acesso, limitação, oposição, apagamento, portabilidade, oposição a decisões automatizadas, retificação e a reclamar junto da autoridade de controlo.

Pode opor-se ao marketing direto a qualquer momento.

Para exercer os seus direitos, envie um pedido para protecciondedatos@cofre.io. Também pode reclamar junto da AEPD: www.aepd.es.

Política de notificação de violação de dados

Notificaremos o titular se a violação representar um risco elevado para os seus direitos e liberdades, descrevendo a natureza da violação e as medidas adotadas nos termos do RGPD.

Temos a obrigação de notificar a autoridade de proteção de dados no prazo de 72 horas a partir do momento em que tomarmos conhecimento, quando aplicável.

Limitações

Esta política não se aplica a sites, aplicações ou serviços de terceiros acessíveis a partir dos nossos serviços. Ao navegar para um terceiro, este poderá recolher e tratar as suas informações ao abrigo da sua própria política de privacidade. Recomendamos que as reveja antes de permitir a recolha e a utilização dos seus dados.

Reclamações junto da autoridade de controlo

Se considerar que existe um problema com o tratamento dos seus dados, poderá recorrer à via judicial e apresentar reclamação junto da autoridade de controlo do seu país de residência, de trabalho ou do local da alegada infração. Em Espanha, a autoridade é a Agência Espanhola de Proteção de Dados (www.aepd.es).

Aceitação e alterações nesta Política

É necessário que o utilizador tenha lido e esteja de acordo com as condições desta Política de Privacidade. A utilização do site implica a sua aceitação.

O Cofre reserva-se o direito de a modificar devido a alterações legislativas, jurisprudenciais ou de critérios da AEPD. Publicaremos a data da última atualização.

Utilização da OpenAI API como subcontratante ulterior do tratamento

Descrição das Atividades de Tratamento

Porque tratamos dados pessoais?

O Cofre trata dados pessoais para prestar serviços no âmbito de uma relação contratual entre Subcontratante e Responsável (art. 6.1.b do RGPD), para cumprir obrigações legais (art. 6.1.c do RGPD) e, quando aplicável, por interesse legítimo (art. 6.1.f do RGPD).

• Desenvolvimento e operação dos serviços contratados.
• Integração de dados de trabalhadores/clientes do Responsável (p. ex., processamento salarial/RH, se aplicável).
• Assessoria contabilística/fiscal/societária (se fizer parte do serviço).
• Administração e faturação do Cliente.
• KYC e beneficiário efetivo quando exigido por lei.
• Ações de marketing e melhoria de qualidade dentro do quadro permitido.

Que dados tratamos?

Entre outros, e consoante o serviço contratado:

• KYC, beneficiário efetivo, PRP/PEP.
• Identificação, contacto, profissionais, económicos, de transações, identificadores online.

Categoria de titulares

Clientes pessoas singulares, representantes de clientes pessoas coletivas, os seus trabalhadores, fornecedores e os seus clientes; agentes envolvidos em operações administrativas/financeiras/societárias; dados de familiares dos clientes quando aplicável.

Categoria de tratamento

Recolha, registo, estruturação, modificação, conservação, extração, consulta, acesso, interconexão, cotejo, comunicação, apagamento e destruição.

Medidas de segurança

• Minimização de dados e limitação de acesso por perfis.
• Cópias de segurança e planos de restauração.
• Procedimentos para exercício de direitos e gestão de violações.
• Cláusulas informativas e base de legitimação do tratamento.
• Assinatura de DPAs com terceiros subcontratantes ulteriores.

Transferências internacionais

Em geral, não são realizadas. Se forem necessárias, serão aplicadas garantias legais adequadas (p. ex., Cláusulas Contratuais-Tipo).

Fontes regulares de informação

• Dados fornecidos pelo Cliente (pessoal, fornecedores, clientes) em suporte eletrónico/físico.
• Agência Tributária espanhola, Segurança Social, seguradoras, sindicatos, serviços de crédito, autoridades competentes e outras partes envolvidas.
• Informações técnicas de dispositivos (cookies/tecnologias similares) para melhorar os serviços e o apoio ao cliente.

Políticas de divulgação de dados pessoais

O Cofre poderá partilhar dados com o seu auditor. Para outros colaboradores do Cliente (p. ex., advogados/consultores), será exigida autorização do Cliente. Serão conservadas evidências da divulgação (data, destinatário, alcance).

Os dados serão comunicados a autoridades fiscais, instituições financeiras, entidades de moeda eletrónica, seguradoras, sindicatos, INSS ou fundos de pensões quando exigido por lei. O processamento digital é supervisionado através de logs e controlos automáticos/manuais.

O Cofre pode divulgar dados a entidades do grupo. Não vende nem aluga dados a terceiros.

Categorias de destinatários

Autoridades fiscais e de segurança social, seguradoras, sindicatos, fundos de pensões, instituições financeiras e outros consoante o contrato e a legislação aplicável. Em geral, os dados não são transferidos para fora da UE/EEE; se isso ocorrer, serão aplicadas Cláusulas Contratuais-Tipo.

Direitos e canal

Pedidos de exercício de direitos por e-mail para: protecciondedatos@cofre.io.

Notificação de violação de dados

Subcontratante → Responsável: notificação sem demora injustificada descrevendo a natureza e as medidas adotadas. Responsável → Titular/AEPD: quando o risco for elevado, notificação ao titular e à AEPD em 72 horas. O Subcontratante auxiliará o Responsável na notificação.

Dados de contacto do Subcontratante

Última atualização: 16/10/2025