Proteção de dados — conformidade RGPD para programas merch em Portugal
Welcome kits e gifting tratam dados pessoais: nome, morada, tamanho, preferências. Eis como os mantemos RGPD-conformes sob Portuguese CNPD (Comissão Nacional de Proteção de Dados, Lei 58/2019 GDPR national execution).
Que dados pessoais tratamos e porquê
Quando carrega uma lista de destinatários tratamos: nome completo, morada, email, telefone, tamanho. Base jurídica: contrato (Art. 6(1)(b) RGPD) — é responsável pelo tratamento, nós subcontratante. DPA assinado em cada contrato-quadro.
Conservação, eliminação e direito de acesso
Dados conservados 90 dias pós-entrega para garantia/devoluções, depois eliminados. Arquivo encriptado 24 meses para faturas/auditoria. Direitos acesso (Art. 15), eliminação (Art. 17), portabilidade (Art. 20) em 30 dias. Pedidos via DPO (dpo [at] corp-merch [dot] eu.eu).
Subcontratantes e transferências internacionais
Subcontratantes no DPA: transportadoras (DHL, UPS, FedEx, BRT, SDA), gateway email (transacional), alojamento cloud UE (Frankfurt/Dublin). Sem transferência fora EEE sem CCT. Lista nunca usada para marketing, enriquecida, revendida.
Portugal — autoridade local de proteção de dados
IVA 23% via Portal das Finanças (AT). Conformes com Portuguese CNPD (Comissão Nacional de Proteção de Dados, Lei 58/2019 GDPR national execution). Aviso de privacidade em Portugal e inglês. Dados em etiquetas de envio impressos no hub Lisboa a pedido e descartados em segurança.
Perguntas frequentes
São responsável ou subcontratante?
Subcontratante — mantêm-se responsável pela lista. DPA assinado em contrato-quadro.
Onde estão alojados os dados?
Datacenters UE (Frankfurt e Dublin). Sem transferência fora EEE.
Lista de subcontratantes?
Sim — em anexo DPA, 30 dias de pré-aviso para alterações.
Notificação de violação?
Notificamos em 24 horas após conhecimento, com detalhes para a vossa notificação 72 horas.
Direito ao esquecimento?
Sim — destinatário envia para dpo [at] corp-merch [dot] eu.eu; dados eliminados em 30 dias.