Política de privacidade

1. Responsável pelo tratamento

A Alastia SLU (doravante, «nós» ou «Tributs») é a responsável pelo tratamento dos dados pessoais tratados quando utiliza o serviço através de tributs.ad e dos seus subdomínios.

Identificação: sociedade de responsabilidade limitada andorrana, NRT L-720150-X, sede social em C/ Prat de la Creu 96, 4-1, AD500 Andorra la Vella (Principado de Andorra). Contacto de privacidade: hola@tributs.ad.

Duplo papel — importante. Relativamente aos dados da sua conta e à faturação da sua subscrição, a Alastia SLU é a responsável pelo tratamento e esta política aplica-se plenamente. Em contrapartida, relativamente aos dados pessoais de terceiros (os seus clientes, fornecedores e trabalhadores) que introduz ou carrega no serviço para efetuar a sua contabilidade, faturação e processamento salarial, o titular do tratamento é o utilizador e a Alastia SLU atua unicamente como subcontratante (art. 31 da Llei 29/2021), seguindo as suas instruções. Esta segunda relação rege-se pelo Acordo de Tratamento de Dados (DPA), que faz parte das condições do serviço.

2. Que dados tratamos

Dados da conta: nome completo, e-mail, palavra-passe (cifrada com bcrypt), data de registo. Origem: formulário de registo.

Dados da empresa: denominação social, NRT, paróquia, data de constituição, dados fiscais. Origem: registo + edição no painel.

Dados contabilísticos e fiscais: faturas emitidas e recebidas, movimentos bancários, declarações fiscais, contas anuais. Origem: utilização do serviço.

Imagens e documentos anexos: fotografias e PDFs de faturas que digitalize com a função de captura por IA. Origem: carregamento voluntário pelo utilizador.

Conversas com o assistente de ajuda: o texto das questões que escreve ao assistente de utilização do produto e as respostas geradas, com o seu histórico. Origem: utilização voluntária do assistente.

Dados técnicos: registos de acesso (IP, navegador, marcas temporais), cookies de sessão. Origem: navegação no serviço.

3. Finalidades do tratamento

Prestar-lhe o serviço contratado (gestão fiscal e contabilística de uma empresa andorrana).

Gerar declarações fiscais a partir dos seus dados contabilísticos.

Extrair dados estruturados das faturas que digitalize através de fornecedores de IA generativa (secção 5).

Sugerir uma categorização contabilística dos movimentos bancários (quando o solicitar) através dos mesmos fornecedores de IA (secção 5); a sugestão é orientativa e não é contabilizada sem a sua confirmação.

Disponibilizar um assistente de ajuda sobre a utilização do produto: o texto das suas questões é tratado por fornecedores de IA (secção 5) para lhe devolver orientação baseada na nossa base de conhecimento de ajuda; não é utilizado para aconselhamento fiscal nem para consultar os seus dados contabilísticos.

Enviar-lhe notificações transacionais (verificação, faturas pendentes, lembretes do calendário fiscal).

Gerir a faturação da sua subscrição da Tributs.

Cumprir as obrigações legais.

4. Fundamento jurídico

Execução do contrato: para todos os tratamentos necessários à prestação do serviço.

Obrigação legal: para a conservação da documentação contabilística e fiscal durante os prazos exigidos pela lei andorrana (base: art. 6.1.c da Llei 29/2021; obrigação de conservação da contabilidade durante seis anos nos termos do art. 7 da Llei 30/2007, de 20 de dezembro, sobre a contabilidade das empresas).

Consentimento: para comunicações comerciais não relacionadas com o serviço.

Interesse legítimo: para a melhoria do serviço, a análise anónima de utilização, a prevenção de fraude e o diagnóstico de erros técnicos (art. 6.1.f da Llei 29/2021). Pode opor-se a qualquer momento a partir de /perfil → Diagnóstico de erros sem que isso afete a prestação do serviço.

5. Subcontratantes subsequentes

Para lhe prestar o serviço, recorremos a fornecedores externos que atuam como subcontratantes subsequentes, organizados nas categorias seguintes. Com cada um mantemos um acordo de tratamento de dados (DPA) e, quando aplicável, garantias adequadas (cláusulas contratuais-tipo) para as transferências fora do EEE.

• Fornecedores de IA generativa (EUA, SCCs + Zero Data Retention) — para o scanner de faturas, a categorização de movimentos bancários e o assistente de ajuda.
• Alojamento e infraestrutura (UE) — servidores e bases de dados.
• Armazenamento de anexos (região UE, SCCs) — armazenamento cifrado dos ficheiros e imagens que carrega.
• E-mail transacional (EUA, com região de envio UE, SCCs) — verificação, notificações e faturas.
• DNS, CDN e segurança (EUA, SCCs) — disponibilidade e proteção dos nossos domínios.
• Alojamento do sítio web público (EUA, SCCs) — a landing tributs.ad e a analítica anónima.
• Diagnóstico de erros técnicos (região de ingestão UE, sociedade-mãe nos EUA, SCCs) — erros de software, sem acesso ao conteúdo dos seus documentos.

Pode consultar a lista nominal e atualizada dos subcontratantes subsequentes (com a identidade de cada fornecedor e a data da versão). Se atuar como responsável pelo tratamento, o mecanismo de notificação de alterações e o seu direito de oposição constam do Acordo de Tratamento de Dados (DPA).

6. Transferências internacionais

Alguns subcontratantes subsequentes (secção 5) estão localizados fora do Espaço Económico Europeu (Estados Unidos). Para estas transferências, baseamo-nos nas garantias adequadas previstas no art. 44 da Llei 29/2021 — em concreto as cláusulas contratuais-tipo (SCCs) — no âmbito do Capítol V (arts. 42 a 45).

Para as nossas transferências de Andorra para os nossos fornecedores de IA (scanner de faturas, categorização bancária e assistente de ajuda), a garantia aplicável são estas mesmas SCCs do art. 44, com Zero Data Retention (ZDR) ativado na gateway.

Pode solicitar uma cópia das SCCs aplicáveis escrevendo para hola@tributs.ad.

7. Prazo de conservação

Dados da conta: enquanto tiver uma conta ativa + 30 dias após o encerramento.

Documentos fiscais e contabilísticos: 6 anos a contar do último encerramento do exercício, em cumprimento da obrigação legal de conservação da contabilidade (art. 7 da Llei 30/2007). Este prazo cobre também o prazo de prescrição fiscal de 3 anos (art. 54.1 da Llei 21/2014, sobre as bases do regime fiscal) e a conservação de faturas para efeitos do IGI (art. 77.1 da Llei 11/2012). O princípio da limitação da conservação é o art. 5.2.e da Llei 29/2021.

Registos técnicos: 6 meses.

Conversas com o assistente de ajuda: 12 meses a contar da última atividade, com purga automática. Pode eliminá-las antes exercendo o seu direito de apagamento.

Cópias de segurança: 30 dias (rotação automática).

Antes do encerramento da sua conta, pode exportar todos os seus dados em formato padrão.

8. Medidas de segurança

Cifragem em trânsito: TLS 1.3 em toda a comunicação.

Cifragem em repouso: palavras-passe armazenadas com bcrypt. Os anexos (faturas digitalizadas) são armazenados cifrados em repouso (SSE AES-256) num serviço de armazenamento de objetos localizado na região UE.

Isolamento físico: cada empresa cliente tem a sua própria base de dados física (modelo multi-site).

Controlo de acesso: 2FA obrigatório para o pessoal interno.

Cópias de segurança: cópias automáticas diárias com retenção rotativa.

9. Direitos do titular dos dados

Nos termos dos artigos 18 a 25 da Llei 29/2021, dispõe dos seguintes direitos: acesso, retificação, apagamento, limitação, portabilidade, oposição e decisões automatizadas. O nosso serviço não aplica decisões automatizadas com efeitos jurídicos significativos, mas o direito existe.

Para exercer qualquer direito, escreva para hola@tributs.ad. Responderemos no prazo máximo de um mês a contar da receção do pedido (art. 15.3 da Llei 29/2021), prorrogável por mais dois meses em casos particularmente complexos.

Se for cliente, fornecedor ou trabalhador de uma empresa que utiliza a Tributs e o seu pedido disser respeito a dados que essa empresa trata com o serviço, dirija-se diretamente a ela: é a responsável pelo tratamento. Nós, como subcontratante, iremos assisti-la no tratamento do seu pedido.

Se considerar que infringimos a regulamentação, pode apresentar uma reclamação junto da Agência Andorrana de Proteção de Dados (APDA): www.apda.ad.

10. Notificação de violações

Enquanto responsável, em caso de violação da segurança dos dados que represente um risco para os seus direitos, notificaremos a APDA sem demora injustificada e, quando possível, no prazo máximo de 72 horas a contar do momento em que dela tivermos conhecimento (art. 36 da Llei 29/2021); e comunicar-lhe-emos sem demora quando a violação for suscetível de implicar um risco elevado para os seus direitos e liberdades (art. 37). Quando atuarmos como subcontratante de um cliente, informá-lo-emos sem demora injustificada (art. 36.2) para que possa cumprir estes deveres; o prazo de 72 horas aplica-se apenas à notificação do responsável à APDA, e não à nossa comunicação enquanto subcontratante.

11. Alterações a esta política

Se alterarmos esta política de forma substancial, avisá-lo-emos por e-mail com pelo menos 30 dias de antecedência.

12. Contacto

Questões de proteção de dados: hola@tributs.ad.

Quando designarmos um Encarregado da Proteção de Dados (DPO), os seus contactos serão publicados aqui.