Política de Privacidade

Versão de 22.08.2026, versão 0.1 (rascunho)

1. Responsável pelo tratamento

O responsável pelo tratamento, na aceção do Regulamento (UE) 2016/679 (Regulamento Geral sobre a Proteção de Dados, «RGPD»), relativamente ao tratamento de dados pessoais na plataforma trademeup.eu é:

TTA Technologies {{COMPANY_ADDRESS}} Grão-Ducado do Luxemburgo RCS: {{RCS_NUMBER}}, N.º IVA: {{VAT_NUMBER}} E-mail: [email protected]

(Ponto a verificar: analisar a necessidade de designação de um encarregado da proteção de dados nos termos do artigo 37.º do RGPD; se designado, acrescentar aqui os dados de contacto.)

2. Panorâmica dos tratamentos

Tratamos dados pessoais, em especial, nos seguintes contextos:

2.1 Conta de utilizador e utilização da Plataforma

• Dados: nome, endereço de e-mail, palavra-passe (com hash), endereço(s), preferência de língua, definições da conta, dados de ofertas e encomendas, avaliações, mensagens e comunicações em litígios, dados de registo (endereço IP, carimbos temporais, dados do dispositivo).
• Finalidades: disponibilização da Plataforma, execução do contrato, intermediação dos contratos de compra e venda, segurança e prevenção de abusos.
• Fundamentos jurídicos: artigo 6.º, n.º 1, alínea b), do RGPD (contrato); artigo 6.º, n.º 1, alínea f), do RGPD (interesse legítimo na segurança e no funcionamento).

2.2 Verificação de identidade (KYC) através do Stripe Identity

• Antes da primeira oferta, os vendedores devem submeter-se a uma verificação de identidade através do Stripe Identity (documento de identificação, selfie/comparação biométrica pela Stripe, resultado da verificação).
• Repartição de papéis: para a realização da verificação, o cumprimento das suas próprias obrigações legais (por exemplo, direito em matéria de branqueamento de capitais e de supervisão financeira) e a melhoria da sua tecnologia de verificação, a Stripe trata os dados como responsável pelo tratamento autónomo; na medida em que a Stripe nos disponibilize o resultado da verificação e determinados dados comprovativos para a ativação da conta de vendedor, a Stripe atua em parte como responsável autónomo e em parte como nosso subcontratante. Em regra, recebemos apenas o resultado (aprovado/não aprovado) e as informações necessárias para efeitos de documentação, e não os dados biométricos em bruto.
• Fundamentos jurídicos: artigo 6.º, n.º 1, alínea b), do RGPD (admissão de vendedores); artigo 6.º, n.º 1, alínea c), do RGPD, em conjugação com obrigações de direito comercial e fiscal e com as obrigações do DSA em matéria de rastreabilidade dos comerciantes (artigo 30.º do DSA, «Know Your Business Customer»); artigo 6.º, n.º 1, alínea f), do RGPD (prevenção da fraude).
• Detalhes: Stripe Privacy Policy, https://stripe.com/privacy

2.3 Processamento de pagamentos através da Stripe

• O processamento de pagamentos é efetuado exclusivamente através da Stripe Payments Europe, Ltd. (Irlanda). Os dados de pagamento (dados de cartões, dados bancários) são recolhidos e armazenados diretamente pela Stripe, e não nos nossos servidores. Recebemos da Stripe informações de estado (por exemplo, pagamento efetuado, reembolso, pagamento ao vendedor) e referências token dos meios de pagamento guardados.
• Para o processamento de pagamentos, as suas próprias obrigações de conformidade e a prevenção da fraude, a Stripe é responsável pelo tratamento autónomo; para determinadas funções prestadas por nossa conta (por exemplo, guardar meios de pagamento para compras futuras na nossa Plataforma), a Stripe atua como subcontratante.
• Fundamentos jurídicos: artigo 6.º, n.º 1, alínea b), do RGPD; artigo 6.º, n.º 1, alínea c), do RGPD (obrigações da Stripe em matéria de serviços de pagamento e de branqueamento de capitais); artigo 6.º, n.º 1, alínea f), do RGPD.

2.4 Envio e seguimento de envios

• Para o processamento das encomendas, nós ou os vendedores transmitimos o nome e o endereço de entrega do comprador ao prestador de serviços de transporte escolhido (por exemplo, DHL, Mondial Relay, Hermes/Evri, Post Luxembourg, Colissimo, bpost).
• Nas encomendas com Proteção do Comprador, consultamos dados de tracking (estado do envio, data de entrega) junto do prestador de serviços de transporte ou através de serviços de tracking, para gerir os prazos da Proteção do Comprador.
• Fundamentos jurídicos: artigo 6.º, n.º 1, alínea b), do RGPD; artigo 6.º, n.º 1, alínea f), do RGPD (prova da entrega, prevenção da fraude).

2.5 Obrigações fiscais de comunicação (DAC7)

• Enquanto operadores de plataforma, estamos obrigados, nos termos da Diretiva (UE) 2021/514 («DAC7», transposta no Luxemburgo pela lei de 16 de maio de 2023), a comunicar anualmente os dados dos vendedores sujeitos a comunicação à administração fiscal luxemburguesa (Administration des contributions directes), que os troca com as autoridades fiscais dos outros Estados-Membros.
• Dados: entre outros, nome, endereço, data de nascimento ou número de registo, número de identificação fiscal, número de IVA, dados bancários/identificador da conta de receção dos pagamentos, número de transações, remunerações pagas, taxas retidas.
• A obrigação de comunicação aplica-se, em especial, a partir de 30 vendas ou de mais de 2.000 EUR de remuneração por ano civil e por vendedor. Os vendedores são informados da comunicação.
• Fundamento jurídico: artigo 6.º, n.º 1, alínea c), do RGPD (obrigação legal).

2.6 Alojamento e infraestrutura

• Alojamento: os nossos servidores são operados junto da Hetzner Online GmbH (Alemanha) (subcontratante, centros de dados na Alemanha).
• A Cloudflare, Inc. fornece content delivery, DNS e proteção contra ataques (subcontratante); neste âmbito são tratados endereços IP e dados técnicos de ligação, eventualmente também fora da UE (salvaguarda através das cláusulas contratuais-tipo da UE e do EU-US Data Privacy Framework, quando aplicável).
• Pesquisa: a pesquisa de cartas é operada com Meilisearch nos nossos próprios servidores; não são indexados dados de pagamento.
• Outros serviços de armazenamento (base de dados, armazenamento de objetos para imagens, guias de remessa e faturas) funcionam na nossa própria infraestrutura junto da Hetzner.
• Fundamento jurídico: artigo 6.º, n.º 1, alínea f), do RGPD (interesse legítimo num funcionamento seguro e eficiente); existem contratos de subcontratação nos termos do artigo 28.º do RGPD.

2.7 Envio de e-mails

• Os e-mails transacionais e de sistema (confirmações de encomenda, notificações de envio e de «Escrow», atualizações de litígios) são enviados através de um prestador de serviços de e-mail na qualidade de subcontratante (domínio de remetente trademeup.eu). (Ponto a verificar: identificar o prestador concreto e a sua localização antes da publicação.)
• Só enviamos e-mails publicitários com consentimento (artigo 6.º, n.º 1, alínea a), do RGPD) ou dentro dos limites legalmente admitidos para a publicidade a clientes existentes; a anulação da subscrição é possível a qualquer momento.

2.8 Cookies e tecnologias semelhantes

• Utilizamos cookies tecnicamente necessários (sessão, segurança, preferência de língua) com base no nosso interesse legítimo ou na necessidade para a prestação do serviço.
• Os cookies não necessários (por exemplo, estatística, marketing) só são colocados com o seu consentimento, através do banner de consentimento (artigo 6.º, n.º 1, alínea a), do RGPD; consentimento revogável a qualquer momento). Os pormenores constam do banner de consentimento, com a lista de fornecedores. (Ponto a verificar: completar a lista final de ferramentas antes do lançamento.)

2.9 Denúncias, sanções e litígios

• Para o tratamento de denúncias (DSA), litígios e sanções, tratamos a denúncia, os conteúdos em causa, as comunicações e as provas.
• Fundamentos jurídicos: artigo 6.º, n.º 1, alínea c), do RGPD (obrigações do DSA); artigo 6.º, n.º 1, alínea f), do RGPD (plataforma segura e conforme com a lei).

3. Destinatários

São destinatários de dados pessoais, em especial:

• a respetiva contraparte contratual (os vendedores recebem o nome e o endereço de entrega do comprador; os compradores recebem as informações do vendedor legalmente previstas e, no caso dos Vendedores Pro, os dados da empresa);
• a Stripe (processamento de pagamentos, verificação de identidade, pagamentos Connect);
• prestadores de serviços de transporte e serviços de tracking;
• a Hetzner (alojamento), a Cloudflare (CDN/segurança), o prestador de serviços de e-mail;
• autoridades, na medida em que a lei o exija (em especial a administração fiscal no âmbito da DAC7, autoridades de investigação criminal e de supervisão);
• consultores (advogados, consultores fiscais, revisores de contas), na medida do necessário.

4. Transferências para países terceiros

Só há transferência para países terceiros na medida em que tal seja necessário para as finalidades indicadas (por exemplo, Cloudflare, determinadas sociedades do grupo Stripe, seguimento internacional de envios). A transferência assenta em decisões de adequação (incluindo o EU-US Data Privacy Framework) ou nas cláusulas contratuais-tipo da UE, com medidas suplementares. Podem ser solicitadas cópias das garantias através de [email protected].

5. Prazos de conservação

• Dados de conta e de perfil: pela duração do contrato de utilização; após a eliminação da conta, apagamento ou limitação, na medida em que não existam obrigações de conservação.
• Dados com relevância contabilística (encomendas, faturas, relações de comissões): 10 anos, de acordo com as obrigações de conservação de direito comercial e fiscal no Luxemburgo.
• Dados de comunicação DAC7: de acordo com as regras fiscais (conservação dos registos de comunicação e de diligência devida, no Luxemburgo 10 anos).
• Resultados KYC/de verificação: pela duração da admissão do vendedor, acrescida dos prazos legais de conservação; dados de comerciantes ao abrigo do DSA (artigo 30.º) pela duração da relação contratual e 6 meses após o seu termo.
• Dados de litígios e sanções: até ao encerramento do caso, acrescido dos prazos de prescrição das pretensões civis.
• Dados de registo (logs): em regra, no máximo 90 dias, salvo se forem necessários por mais tempo para o esclarecimento de incidentes de segurança. (Ponto a verificar: consolidar o catálogo de prazos com advogado/consultor fiscal antes da publicação.)

6. Obrigação de fornecimento

O fornecimento de determinados dados é necessário para a utilização (conta: e-mail; compra: endereço de entrega; venda: verificação de identidade, conta de receção dos pagamentos e, no caso dos Vendedores Pro, comprovativos de empresa, bem como os dados obrigatórios DAC7). Sem esses dados, as respetivas funcionalidades não podem ser utilizadas.

7. Decisões automatizadas

Na Plataforma não há decisões exclusivamente automatizadas com efeitos jurídicos. As verificações automatizadas (por exemplo, deteção de fraude e de contrafações, libertação automática do pagamento da Proteção do Comprador após o termo do prazo) são revistas por pessoas, na medida em que tenham efeitos significativos; a verificação de identidade pela Stripe pode conter elementos automatizados (ver Stripe Privacy Policy).

8. Os seus direitos

Nos termos do RGPD, tem, em especial, direito a:

• acesso (artigo 15.º), retificação (artigo 16.º), apagamento (artigo 17.º), limitação do tratamento (artigo 18.º), portabilidade dos dados (artigo 20.º);
• oposição (artigo 21.º) aos tratamentos baseados no artigo 6.º, n.º 1, alínea f), do RGPD, por motivos relacionados com a sua situação particular, bem como, a todo o tempo, à publicidade direta;
• retirada dos consentimentos dados, com efeitos para o futuro (artigo 7.º, n.º 3).

Para o exercício destes direitos basta um e-mail para [email protected].

Direito de reclamação: tem o direito de apresentar reclamação junto de uma autoridade de controlo da proteção de dados, em especial junto da autoridade competente para nós:

Commission nationale pour la protection des données (CNPD) 15, Boulevard du Jazz, L-4370 Belvaux, Luxemburgo www.cnpd.lu

9. Resolução de litígios em linha e informação aos consumidores

A Comissão Europeia disponibiliza uma plataforma de resolução de litígios em linha (RLL/ODR): https://ec.europa.eu/consumers/odr. (Ponto a verificar: ter em conta a descontinuação da plataforma ODR em 2025/2026 e adaptar a menção.) O nosso endereço de e-mail encontra-se acima.

10. Alterações

Adaptamos esta Política de Privacidade quando os tratamentos ou os fundamentos jurídicos se alterarem. Aplica-se a versão publicada na Plataforma; as versões anteriores são arquivadas.