Política de privacidade

Everplate é explorado a partir da Alemanha e utilizado em toda a Europa. A presente política explica que dados pessoais tratamos, porquê, com que fundamento jurídico, com quem os partilhamos, onde são conservados, durante quanto tempo os conservamos e quais são os seus direitos. Aplicamos o Regulamento Geral sobre a Proteção de Dados da União, a lei federal alemã de proteção de dados (BDSG) e a lei alemã de proteção de dados nas telecomunicações e nos serviços digitais (TDDDG, anteriormente TTDSG).

Se algo aqui não for claro, escreva para hello@everplate.io e uma pessoa irá lê-lo.

1. Quem é o responsável

O responsável pelo tratamento na aceção do artigo 4.º, n.º 7, do RGPD é:
Laddro Digital UG (haftungsbeschränkt)
Belziger Str. 69-71
10823 Berlin, Germany
HRB 285589 B, Amtsgericht Charlottenburg
Gerente: Oussama Bentaib
Correio eletrónico: hello@everplate.io

Não designámos um encarregado da proteção de dados. Os nossos tratamentos não atingem o limiar previsto no artigo 37.º do RGPD nem no § 38 BDSG. Se vierem a atingi-lo, designaremos um e indicá-lo-emos aqui.

2. Âmbito de aplicação da presente política

• O sítio de apresentação everplate.io, as páginas que está a ler agora.
• A aplicação app.everplate.io, onde os clientes criam uma conta, subscrevem um plano, carregam documentação e a publicam.
• As páginas publicadas para as quais remete um código QR aposto numa máquina, bem como os ficheiros a partir delas descarregados.

3. Ler um código QR numa máquina

Qualquer pessoa que esteja diante de uma máquina pode aceder à documentação desta. Não existe conta, autenticação nem registo de qualquer espécie, e isso é deliberado: a um operador que precisa de uma instrução de segurança não pode ser exigido que se identifique primeiro.

A página a que uma leitura conduz:

• não coloca qualquer cookie nem escreve seja o que for no seu dispositivo;
• não contém análises, nem pixel de rastreio, nem qualquer script;
• não carrega nada de terceiros: nenhum tipo de letra, nenhuma biblioteca, nenhuma imagem proveniente de outro local;
• não contém qualquer identificador que lhe diga respeito. O endereço codifica a versão da máquina, nunca a pessoa que a consulta, pelo que duas pessoas que leiam a mesma chapa são, para nós, indistinguíveis.

Uma vez que nada é armazenado no seu dispositivo nem a partir dele lido, o § 25 TDDDG não exige qualquer consentimento e não é apresentado qualquer aviso de cookies.

Continua, ainda assim, a ser um pedido web comum. Para lhe enviar a página e os ficheiros, o nosso servidor recebe necessariamente o seu endereço IP, o endereço solicitado e o agente do seu navegador, e estes constam dos registos de alojamento. Tratamo-los ao abrigo do artigo 6.º, n.º 1, alínea f), do RGPD, no nosso interesse legítimo em entregar a documentação, manter o serviço disponível e defendê-lo contra abusos. Não os combinamos com mais nada, não contamos nem definimos perfis a partir das leituras e não comunicamos a atividade de leitura ao cliente cuja documentação está a consultar.

4. Visitar este sítio de apresentação

Este sítio é um conjunto de ficheiros estáticos. Não tem formulários, autenticação, função de comentários nem boletim informativo. Não coloca cookies, não utiliza ferramentas de análise ou de testes A/B, não integra botões de redes sociais e não carrega tipos de letra nem scripts de terceiros. Não existe aviso de cookies porque não há nada a consentir.

Tal como na secção 3, o nosso fornecedor de alojamento recebe os dados de ligação necessários para servir uma página. Fundamento jurídico: artigo 6.º, n.º 1, alínea f), do RGPD.

5. A sua conta

Para criar uma conta Everplate pedimos um endereço de correio eletrónico, uma palavra-passe e o nome da sua empresa. A palavra-passe é conservada apenas sob a forma de resumo criptográfico, nunca de forma legível, e não pode ser recuperada por nós nem por ninguém. O nome da empresa passa a ser o nome da conta e consta das faturas.

A autenticação coloca um único cookie, everplate_session. Contém o seu testemunho de sessão, está marcado como HttpOnly e SameSite, em produção é enviado exclusivamente por HTTPS e expira ao fim de cerca de uma hora se não for renovado. É estritamente necessário para prestar um serviço que solicitou, estando por isso dispensado de consentimento nos termos do § 25 n.º 2 ponto 2 TDDDG.

Fundamento jurídico dos dados da conta: artigo 6.º, n.º 1, alínea b), do RGPD, execução do contrato que celebra connosco.

6. Pagamento e período experimental

Everplate não tem plano gratuito. O início do período experimental de 14 dias exige um cartão, pelo que os dados de pagamento são recolhidos no momento do registo e não no final do período experimental.

Os dados do cartão são introduzidos diretamente num formulário de pagamento explorado pela Stripe Payments Europe, Ltd. e nunca chegam aos nossos servidores. Criamos na Stripe um registo de cliente com o nome da sua empresa e o seu endereço de correio eletrónico e conservamos, do nosso lado, os identificadores de cliente e de subscrição da Stripe, o plano escolhido, o estado da subscrição e a data em que termina o período experimental. A Stripe trata os dados do cartão na qualidade de responsável autónomo, para os seus próprios fins de cumprimento normativo e de prevenção da fraude, ao abrigo da sua própria política de privacidade.

Fundamento jurídico: artigo 6.º, n.º 1, alínea b), do RGPD para a cobrança e artigo 6.º, n.º 1, alínea c), do RGPD para a conservação de faturas e documentos contabilísticos exigida pelo direito fiscal alemão.

7. A documentação que publica

Quando carrega manuais, declarações de conformidade ou declarações de incorporação, alojamo-los por si. Relativamente a esse conteúdo o responsável pelo tratamento é o cliente e nós somos o subcontratante, atuando de acordo com as suas instruções documentadas nos termos do artigo 28.º do RGPD. É o cliente que decide o que nele consta, nós nada decidimos a esse respeito e não abrimos os seus ficheiros para qualquer finalidade que não seja armazená-los, compô-los e servi-los.

Documentação deste tipo contém habitualmente dados pessoais de pessoas que nunca utilizaram o Everplate. Uma declaração UE de conformidade identifica uma pessoa determinada e é por ela assinada. Os manuais indicam responsáveis pela segurança, redatores técnicos e pessoas de contacto. Uma vez publicados, esses nomes constam de uma página acessível ao público enquanto durar a sua obrigação, que nos termos do Regulation (EU) 2023/1230 é de, pelo menos, dez anos após a colocação da máquina no mercado.

Trata-se de uma característica deliberada do produto e não de um acaso, e tem uma consequência com que deve contar: as revisões publicadas são escritas uma só vez. Uma correção constitui uma nova revisão, e a revisão substituída permanece acessível com a data e a soma de verificação originais, porque um manual que possa ser reescrito em silêncio não tem qualquer valor probatório. Apagar um nome de uma revisão publicada não é, por isso, algo que possamos fazer a pedido, e o artigo 17.º, n.º 3, alínea b), do RGPD visa precisamente esta situação, em que o tratamento é necessário para o cumprimento de uma obrigação jurídica. Se precisar de retirar uma pessoa da documentação, publique uma revisão corrigida. Se considerar que algo foi publicado ilicitamente, escreva-nos e trataremos do assunto consigo.

Se for identificado em documentação publicada através do Everplate e quiser saber quem a colocou aí, escreva para hello@everplate.io. Indicar-lhe-emos que cliente controla essa página e transmitir-lhe-emos o seu pedido, como o artigo 14.º do RGPD nos exige na qualidade de subcontratante.

8. Registos de publicação

Cada publicação cria um registo probatório: que conta e que utilizador autenticado publicou, quando, que ficheiros, as suas dimensões, as suas somas de verificação SHA-256, os idiomas disponibilizados e, no caso de uma correção, o que corrige e porquê. Esse registo é a própria razão de ser do serviço. É ele que permite a um cliente demonstrar, em 2037, perante uma autoridade de fiscalização do mercado, o que foi publicado em 2027, e é conservado enquanto o for a documentação que descreve.

Fundamento jurídico: artigo 6.º, n.º 1, alínea b), do RGPD, bem como o interesse legítimo nosso e dos nossos clientes, ao abrigo do artigo 6.º, n.º 1, alínea f), do RGPD, numa documentação que pode ser demonstrada e não apenas afirmada.

9. Subcontratantes que utilizamos

Estes fornecedores tratam dados pessoais por nossa conta ao abrigo de um contrato de subcontratação. Não há outros. Não utilizamos qualquer fornecedor de análises, qualquer rede publicitária ou qualquer rastreio por terceiros, em nenhuma superfície do Everplate.

Não vendemos dados pessoais, não os partilhamos com anunciantes e não utilizamos a sua documentação para treinar qualquer modelo.

10. Onde os dados são conservados e transferências para fora da União

A nossa base de dados, a nossa API e os ficheiros publicados encontram-se todos na União Europeia. Alguns dos fornecedores acima indicados estão estabelecidos fora da União ou exploram infraestruturas globais, pelo que parte do tratamento pode ocorrer fora do Espaço Económico Europeu. Para essas transferências baseamo-nos nas garantias previstas no capítulo V do RGPD:

• as cláusulas contratuais-tipo da Comissão Europeia, Decisão (UE) 2021/914, constantes do contrato de subcontratação celebrado com cada fornecedor;
• a certificação ao abrigo do Quadro de Privacidade de Dados UE-EUA, quando o fornecedor esteja certificado;
• a cifragem em trânsito, a cifragem em repouso e o controlo de acessos como medidas complementares.

Escreva-nos se pretender o detalhe das garantias aplicadas a uma transferência específica. Os clientes que necessitem de um contrato de subcontratação assinado próprio podem solicitá-lo.

11. Cookies e armazenamento local

Everplate utiliza exatamente um cookie, o cookie de sessão descrito na secção 5, e apenas depois de se autenticar. É estritamente necessário e está dispensado de consentimento nos termos do § 25 n.º 2 ponto 2 TDDDG. Nada é armazenado no dispositivo de quem visita este sítio ou de quem lê um código QR, pelo que o § 25 n.º 1 TDDDG nunca lhes é aplicável e não existe qualquer aviso de consentimento em parte alguma do Everplate.

12. Segurança

Medidas adequadas ao risco, em conformidade com o artigo 32.º do RGPD:

• TLS imposto em todos os endereços do Everplate.
• Cifragem em repouso para a base de dados e para os ficheiros armazenados.
• Palavras-passe conservadas apenas sob a forma de resumos criptográficos, nunca de forma legível.
• Testemunhos de sessão em cookies HttpOnly com os atributos Secure e SameSite em produção.
• Revisões publicadas protegidas contra sobreposição em três camadas: a aplicação recusa-a, o armazenamento de objetos recusa-a e a base de dados recusa atualizações e eliminações no histórico publicado.
• Segredos guardados num serviço gerido de segredos e nunca incluídos no código-fonte.
• Um procedimento documentado de incidentes, incluindo a notificação à autoridade de controlo no prazo de 72 horas nos termos do artigo 33.º do RGPD e aos titulares afetados nos termos do artigo 34.º do RGPD quando o risco o exigir.

Nenhum sistema é perfeitamente seguro. Se encontrar um problema de segurança, escreva para hello@everplate.io.

13. Durante quanto tempo conservamos os dados

Ainda não existe eliminação da conta em autosserviço. Escreva para hello@everplate.io e encerraremos e eliminaremos a conta, conservando apenas o que o direito fiscal nos obriga a conservar. A documentação publicada é a exceção deliberada descrita na secção 7: sair é simples, mas uma máquina em serviço não deixa de precisar do seu manual por ter terminado uma subscrição.

14. Os seus direitos

Ao abrigo do RGPD tem direito:

• de acesso, artigo 15.º. Peça uma cópia dos dados que temos a seu respeito.
• de retificação, artigo 16.º. Peça-nos que corrijamos o que estiver errado.
• ao apagamento, artigo 17.º, com os limites indicados na secção 7 e sem prejuízo dos documentos que somos legalmente obrigados a conservar.
• à limitação do tratamento, artigo 18.º. Peça-nos que suspendamos um tratamento enquanto algo é verificado.
• à portabilidade, artigo 20.º. Peça os dados que nos forneceu num formato estruturado e de leitura automática. Uma exportação completa da sua documentação está disponível para os clientes a qualquer momento e mantém-se gratuita.
• de oposição, artigo 21.º. Oponha-se a um tratamento fundado no interesse legítimo.
• de retirar o consentimento, artigo 7.º, n.º 3, sem prejuízo do que tenha sido feito antes da retirada.
• de não ficar sujeito a decisões automatizadas, artigo 22.º. Não tomamos nenhuma. Nada no Everplate define perfis de quem quer que seja nem decide automaticamente seja o que for sobre uma pessoa.
• de apresentar reclamação a uma autoridade de controlo, em especial ao Comissário de Berlim para a Proteção de Dados e a Liberdade de Informação, ou à autoridade do local onde reside ou trabalha.

Escreva para hello@everplate.io para exercer qualquer destes direitos. Poderá ser necessário confirmarmos primeiro a sua identidade. Respondemos no prazo de um mês, conforme exige o artigo 12.º, n.º 3, do RGPD, e informamo-lo se um pedido complexo necessitar de mais tempo.

15. Crianças

Everplate é um serviço para empresas destinado a importadores, mandatários e fabricantes de máquinas profissionais. Não se dirige a crianças e não tratamos conscientemente os seus dados.

16. Alterações à presente política

Podemos atualizar a presente política, e a data indicada no início altera-se quando o fazemos. Quando uma alteração afetar substancialmente a forma como tratamos dados pessoais, avisamos os clientes com, pelo menos, 30 dias de antecedência por correio eletrónico ou dentro da aplicação, antes de produzir efeitos.

17. Contacto

Laddro Digital UG (haftungsbeschränkt)
Belziger Str. 69-71
10823 Berlin, Germany
Correio eletrónico: hello@everplate.io