Política de privacidade #

Data de entrada em vigor: 17 de fevereiro de 2026 Última atualização: 28 de outubro de 2026

1. Introdução #

O EthicsPortal (“nós”, “nosso”) é um nome comercial utilizado por Yaroslav Shmarov, empresário em nome individual (jednoosobowa działalność gospodarcza) registado na Polónia (NIP: 5272755790), com sede em ul. Obrzeżna 1A, 02-691 Varsóvia, Polónia. Esta Política de privacidade descreve como recolhemos, usamos, armazenamos e protegemos a sua informação pessoal quando utiliza o EthicsPortal em ethicsportal.eu (o “Serviço”).

Esta política explica o tratamento de dados pessoais; não é um pedido de consentimento. O único tratamento baseado no consentimento é o envio opcional de emails de marketing, que aceita separadamente e pode retirar a qualquer momento.

Contacto: privacy@ethicsportal.eu

Os dados de base da parte contratante estão publicados na página de confiança.

2. Informação que recolhemos #

2.1 Informação da conta #

Quando cria uma conta, recolhemos:

• Endereço de email
• Nome a apresentar (se fornecido)
• Preferência de localização

O pessoal inicia sessão sem palavra-passe — usamos links mágicos (códigos de utilização única enviados para o seu email), pelo que não recolhemos nem armazenamos palavras-passe do pessoal. Um denunciante que queira acompanhar a sua denúncia online recebe uma palavra-passe gerada pelo sistema, armazenada apenas como um digest bcrypt.

Utilizamos informações sobre a origem dos registos para compreender como os clientes descobrem o EthicsPortal e medir a eficácia do nosso marketing.

2.2 Informação de pagamento #

Os pagamentos de subscrições e faturação são tratados através do Stripe Checkout e Billing Portal, alojados pela Stripe. Fornecemos à Stripe o endereço de email da conta e os identificadores internos da organização e do cliente necessários para criar e gerir a subscrição. A Stripe recolhe diretamente o nome do pagador, a morada de faturação, o número de identificação fiscal e os dados do método de pagamento. Não recebemos nem armazenamos números completos de cartões ou contas bancárias.

Para facilitar os pagamentos, a Stripe trata dados pessoais por nossa conta. A Stripe também trata determinados dados como responsável independente para finalidades que determina, incluindo a prevenção de fraude, o cumprimento regulamentar e o funcionamento das redes de pagamento. Estas atividades são regidas pela Política de privacidade da Stripe.

2.3 Registos do servidor #

Os nossos servidores registam automaticamente informação quando acede ao Serviço, incluindo:

• Endereço IP
• Tipo e versão do navegador
• Páginas visitadas e datas/horas
• URL de referência

Os registos do servidor são usados para monitorização de segurança e depuração. Não são usados para publicidade nem para rastreio.

Especificamente para o canal de denúncia, os registos da aplicação não contêm endereços IP dos denunciantes. O proxy TLS à frente da aplicação mantém, para fins de segurança, registos de ligação de curta duração que incluem endereços IP.

2.4 Dados das denúncias #

Quando um denunciante submete uma denúncia através do canal de denúncia de uma organização, recolhemos:

• Descrição, categoria e origem da denúncia
• Nome e informação de contacto do denunciante (se fornecidos voluntariamente)
• Mensagens trocadas entre o denunciante e a organização

As descrições das denúncias, os nomes dos denunciantes, os dados de contacto dos denunciantes e o conteúdo das mensagens são cifrados na base de dados com cifragem ao nível da aplicação. Os endereços IP dos denunciantes não são armazenados com as denúncias, as mensagens ou os registos de auditoria. A limitação de débito usa um hash com chave pseudonimizado do IP, conservado apenas durante a janela de limitação. Os registos da aplicação do canal de denúncia não contêm endereços IP.

2.5 Dados pessoais de terceiros mencionados nas denúncias #

Uma denúncia pode conter dados pessoais sobre outras pessoas — por exemplo, a pessoa a quem a denúncia diz respeito, ou testemunhas. Para estes dados da denúncia, o EthicsPortal atua como subcontratante por conta da organização-cliente, que é a responsável pelo tratamento. A organização é responsável pela licitude deste tratamento e por fornecer qualquer informação exigida ao abrigo do artigo 14.º do RGPD aos indivíduos em causa.

Em conformidade com o artigo 14.º, n.º 5, alínea b), do RGPD e com os requisitos de confidencialidade da Diretiva da UE relativa à denúncia (2019/1937), a notificação de um indivíduo identificado pode ser diferida ou restringida quando tal prejudicasse uma investigação ou comprometesse a proteção da identidade do denunciante.

3. Como usamos a sua informação e o nosso fundamento jurídico #

Quando nos baseamos no interesse legítimo, pode opor-se a qualquer momento (secção 8). Não vendemos a sua informação pessoal. Não usamos os seus dados para publicidade personalizada. Não tomamos decisões automatizadas que produzam efeitos jurídicos que lhe digam respeito ou que o afetem significativamente de forma similar.

4. Serviços de terceiros #

Partilhamos dados com os seguintes serviços de terceiros, apenas na medida necessária para fornecer o Serviço:

Cada serviço de terceiros é regido pela sua própria política de privacidade. Recomendamos que as consulte.

5. Cookies e análise do site #

A aplicação (secure.ethicsportal.eu) usa apenas cookies próprios necessários para iniciar a sua sessão, mantê-la ativa e recordar as suas definições:

Não usamos cookies de rastreio de terceiros nem cookies de publicidade.

O site público não define cookies. A sua medição de audiência (Plausible, secção 4) funciona sem cookies, e pode excluir as suas visitas neste navegador:

6. Armazenamento e segurança dos dados #

• Localização do servidor: Os dados essenciais da aplicação são alojados pela Hetzner em Nuremberga, Alemanha (União Europeia)
• Cifragem em trânsito: Todas as ligações usam HTTPS/TLS
• Cifragem em repouso: Os dados das denúncias (descrições, nomes dos denunciantes, dados de contacto, mensagens) são cifrados na base de dados com o Active Record Encryption
• Início de sessão do pessoal sem palavra-passe: O pessoal usa links mágicos, pelo que não são armazenadas palavras-passe do pessoal. As palavras-passe dos denunciantes são geradas pelo sistema e armazenadas apenas como um digest bcrypt
• Controlo de acesso: O acesso à base de dados está restrito apenas a pessoal autorizado

Embora tomemos medidas razoáveis para proteger os seus dados, nenhum método de transmissão ou armazenamento é 100% seguro. Se descobrir uma vulnerabilidade de segurança, contacte-nos em security@ethicsportal.eu.

7. Conservação dos dados #

• Os dados da conta são conservados enquanto a sua conta estiver ativa
• Os dados da organização são conservados enquanto a sua organização estiver ativa
• As denúncias — as denúncias encerradas ou arquivadas são eliminadas automaticamente após o prazo de conservação configurado pela organização-cliente (12, 24, 36, 48 ou 60 meses). As denúncias ativas e em curso são conservadas até serem encerradas; uma denúncia sem qualquer atividade durante 18 meses é encerrada automaticamente, o que inicia o prazo de conservação
• Os registos de envio de email — para convites e notificações ao pessoal: o endereço do destinatário cifrado, o tipo de email e a hora de envio, nunca o assunto nem o conteúdo. Os registos ligados a uma organização são eliminados com ela; os registos não ligados a nenhuma organização são eliminados 90 dias após o envio. Os emails de início de sessão e os emails para denunciantes não são registados
• Os registos do servidor são substituídos à medida que enchem. O registo do proxy, que contém endereços IP, é atualmente substituído ao fim de cerca de dois dias. Os registos da aplicação não contêm endereços IP
• Os registos de pagamento são conservados conforme exigido pela legislação fiscal e contabilística aplicável
• Registos de auditoria — são conservados eventos definidos das denúncias e contas, incluindo que gestor consultou que denúncia (uma entrada por gestor, denúncia e 24 horas); as leituras de outras páginas não são registadas. As entradas de auditoria são conservadas enquanto a organização existir e são eliminadas com ela

Quando encerra a conta, os dados de acesso são removidos. Registos atribuídos limitados podem permanecer segundo as instruções documentadas do Responsável pelo tratamento, obrigações legais aplicáveis ou para declaração, exercício ou defesa de um direito num processo judicial. A secção 9 indica o que permanece e por que motivo.

8. Os seus direitos ao abrigo do RGPD #

Por estarmos sediados na União Europeia, aplica-se o Regulamento Geral sobre a Proteção de Dados (RGPD). Tem o direito de:

• Acesso — solicitar uma cópia dos dados pessoais que detemos sobre si
• Retificação — solicitar a correção de dados inexatos
• Apagamento — solicitar a eliminação dos seus dados (“direito a ser esquecido”)
• Limitação — solicitar que limitemos a forma como tratamos os seus dados
• Portabilidade dos dados — solicitar os seus dados num formato estruturado e legível por máquina
• Oposição — opor-se ao tratamento dos seus dados
• Retirar o consentimento — retirar o consentimento a qualquer momento quando o tratamento se baseie no consentimento
• Apresentar reclamação — apresentar reclamação junto de uma autoridade de controlo de proteção de dados, em particular no país da UE onde vive ou trabalha, ou junto da nossa autoridade de controlo principal, o Presidente do Gabinete de Proteção de Dados Pessoais da Polónia (UODO, ul. Stawki 2, 00-193 Varsóvia)

Como exercer os seus direitos: Pode gerir a maioria dos seus dados diretamente nas definições da sua conta. Para eliminar a sua conta, visite a página de definições da conta. Para qualquer outro pedido, envie-nos um email para privacy@ethicsportal.eu.

Se submeteu uma denúncia: a organização cujo canal de denúncia utilizou é o Responsável pelo tratamento e o EthicsPortal atua como seu Subcontratante. Pode aceder e descarregar uma cópia através do formulário online com o ID do caso e a palavra-passe. Para corrigir informação, acrescente uma mensagem; para outros pedidos, contacte a organização (apoiá-la-emos como Subcontratante). O apagamento pode ser limitado pela decisão documentada de conservação do Responsável e por obrigações legais ou exceções relativas a ações judiciais aplicáveis.

Contacto para proteção de dados: As questões sobre as nossas práticas de proteção de dados podem ser dirigidas a privacy@ethicsportal.eu.

9. Eliminação de conta e de dados #

Pode encerrar a sua conta a qualquer momento nas definições da conta. O seu endereço de e-mail é substituído por um endereço fictício não entregável, e as suas credenciais de dois fatores, sessões ativas, tokens de API, preferência de idioma e preferências de marketing são removidos permanentemente. Já não pode iniciar sessão e não podemos contactá-lo através do Serviço.

Se a sua conta nunca atuou dentro de uma organização, o registo é eliminado por completo. Caso contrário, as suas adesões são desativadas e as notas de caso, mensagens e entradas de auditoria atribuídas permanecem para preservar a atribuição das atividades registadas. O Responsável pelo tratamento determina o período de conservação segundo as suas instruções documentadas e a lei aplicável; o direito ao apagamento previsto no RGPD continua sujeito às exceções aplicáveis relativas a obrigações legais ou ações judiciais.

Assim, três elementos sobrevivem ao encerramento:

• A sua fotografia de perfil é eliminada quando encerra a conta. O seu nome permanece associado às atividades atribuídas enquanto a organização relevante conservar esse registo de conformidade. É conservado apenas para identificar quem tratou a atividade registada, não para autenticação ou contacto.
• As entradas de auditoria conservam o seu nome, endereço de e-mail e, para ações autenticadas, o endereço IP do pedido. Os endereços IP dos denunciantes são excluídos. Os administradores da organização não podem editar o registo apenas de acréscimo nem eliminar entradas individualmente; as entradas são eliminadas com a organização.
• As exportações de dados criadas antes do seu pedido persistem até 7 dias, sendo depois eliminadas automaticamente.

A eliminação é recusada enquanto for proprietário de uma organização, o seu único administrador ou o seu responsável de conformidade designado. Transfira ou reatribua primeiro a função.

10. Privacidade das crianças #

As contas de clientes não se destinam a crianças com idade inferior a 16 anos. O canal de denúncia de uma organização pode, contudo, receber uma denúncia de um menor quando a organização o disponibiliza. A organização é o Responsável pelo tratamento dos dados da denúncia e decide como tratar um pedido de apagamento; apoiamo-la como Subcontratante. Para dados pessoais que controlamos diretamente, contacte privacy@ethicsportal.eu; avaliaremos e trataremos o pedido segundo a lei aplicável.

11. Transferências internacionais de dados #

Mailjet e AppSignal estão estabelecidas na UE. Quando os seus próprios fornecedores tratam dados fora do EEE, essas transferências estão sujeitas às garantias do capítulo V do RGPD (ver o DPA).

Os dados essenciais das denúncias são armazenados em servidores localizados na Alemanha (UE). O site público de marketing é entregue através da Cloudflare (Estados Unidos); o canal de denúncia e o portal de gestão não. Esse tratamento do site público fica fora da cadeia de tratamento dos dados das denúncias por instrução do cliente abrangida pelo DPA. Para transferências de dados do site público do EEE para os Estados Unidos, a Cloudflare declara basear-se no Quadro de Privacidade de Dados UE—EUA e, se a certificação caducar ou se tornar inválida, em cláusulas contratuais-tipo com medidas suplementares ao abrigo do DPA para clientes da Cloudflare.

O nosso email, os registos de clientes e o calendário de marcação de demonstrações estão alojados pela Zoho nos Estados Unidos. As transferências para a Zoho estão sujeitas às garantias do capítulo V do RGPD.

A Stripe Payments Europe está estabelecida na Irlanda, mas a Stripe pode tratar dados de faturação e pagamento noutros países. A Stripe declara utilizar os mecanismos legais de transferência aplicáveis, incluindo decisões de adequação e cláusulas contratuais-tipo, conforme descrito no Acordo de Tratamento de Dados da Stripe.

12. Candidatos a emprego #

Quando se candidata a uma função connosco (por exemplo, enviando um email para careers@ethicsportal.eu), recolhemos e tratamos:

• O seu nome e dados de contacto
• O seu currículo, a mensagem de candidatura e tudo o que decidir contar-nos sobre a sua experiência
• Notas de quaisquer entrevistas ou conversas durante o processo de recrutamento

Fundamento jurídico: o tratamento é necessário para diligências a seu pedido prévias à celebração de um contrato, e o nosso interesse legítimo em avaliar candidatos e conduzir um processo de recrutamento justo. Não pedimos, e solicitamos que não envie, dados de categorias especiais (como saúde, religião ou filiação sindical) nem o seu histórico salarial de funções anteriores.

Conservação: conservamos os dados de candidatura apenas durante o tempo necessário para avaliar a sua candidatura e preencher a função. Se não for contratado, eliminamos os seus dados de candidatura após o encerramento do processo, a menos que nos peça para os manter em ficheiro para futuras funções, caso em que os conservamos até 12 meses.

Tem os mesmos direitos ao abrigo do RGPD sobre os seus dados de candidatura que os enunciados na secção 8. Para os exercer, ou para nos pedir que eliminemos a sua candidatura, envie um email para privacy@ethicsportal.eu.

13. Alterações a esta política #

Podemos atualizar esta Política de privacidade periodicamente. Quando fizermos alterações materiais, notificá-lo-emos por email ou através de uma notificação na aplicação. A data de “Última atualização” no topo desta página indica quando a política foi revista pela última vez.

Esta política é um aviso, não um contrato, e não exige aceitação. As alterações aplicam-se a partir da data de entrada em vigor ou da última atualização indicada, sem prejuízo de qualquer aviso exigido pela lei aplicável.

14. Contacte-nos #

Se tiver questões sobre esta Política de privacidade ou quiser exercer os seus direitos sobre os dados, contacte-nos:

Geral: support@ethicsportal.eu Privacidade / direitos RGPD: privacy@ethicsportal.eu Contacto para proteção de dados: privacy@ethicsportal.eu Divulgações de segurança: security@ethicsportal.eu Jurídico / DPA: legal@ethicsportal.eu Localização: Varsóvia, Polónia

Última atualização: 30 de outubro de 2026