Aviso de Privacidade

1. Responsável pelo tratamento

Grig Kochedykov, a operar como Provenance Diligence, empresário em nome individual, Torres Vedras, Portugal (identificação no Aviso legal). Contacto: o formulário na página inicial.

2. O que eu recolho

• Do formulário: o seu nome, e-mail, o link/detalhes do anúncio, e qualquer coisa que você escolha escrever.
• Da ferramenta gratuita de números: os valores que você insere são processados no seu navegador e só chegam até mim se você clicar em "enviar" — preço pedido, renda, faturação declarada e ganhos do proprietário, número de funcionários, cidade, setor, e o seu e-mail.
• Da ferramenta gratuita de autoanálise do anúncio: a mesma regra — tudo é processado no seu navegador, e as suas respostas (país, como o anúncio descreve a empresa, precisão do endereço, canal de contacto, cidade, e quais padrões você assinalou) só chegam até mim se você clicar em "enviar", juntamente com o seu e-mail. Por favor, não inclua dados pessoais do vendedor.
• Do portal de casos (case.provenancediligence.com): o seu nome, e-mail, o link ou a descrição do anúncio, as suas notas, e os ficheiros que você optar por carregar — ver secção 3.
• Durante uma contratação: documentos que você envia sobre o negócio-alvo (que podem conter dados de terceiros — ver secção 6).
• Do pagamento: confirmação de pagamento da Stripe. Eu nunca vejo nem armazeno o número do seu cartão.
• Do próprio site: sem rastreadores publicitários, sem fingerprinting, sem cookies definidos no seu navegador. O site mantém uma contagem de visitas própria (first-party) e respeitadora da privacidade, para ver quais páginas são lidas e se motores de resposta (answer-engines) citam o site. É cookieless (sem cookies): o seu endereço IP é transformado num hash unidirecional com um salt que muda todos os dias (para que um visitante não possa ser reidentificado ou seguido ao longo dos dias), e apenas o caminho da página, o site de origem (referring site), qualquer etiqueta de campanha utm_source e esse hash diário são armazenados — nunca um IP em bruto, nunca um nome. Este registo analítico próprio não é partilhado com terceiros, e não há publicidade nem perfilamento. O fornecedor de alojamento também mantém registos de segurança padrão e de curta duração, como qualquer fornecedor de alojamento faz.

3. O portal de casos (case.provenancediligence.com)

As contratações pagas começam no portal de casos. Quando você submete um negócio ali, eu recolho o seu nome, e-mail, o link ou a descrição do anúncio, quaisquer notas que escreva, e os ficheiros que optar por carregar. Você recebe um ID de negócio e uma página de caso privada, acedida através de um link de acesso. Não há contas nem palavras-passe. Qualquer pessoa que tenha o link pode abrir essa página, por isso trate-a como um documento confidencial: não a publique, e reencaminhe-a apenas a pessoas que o estejam a ajudar com o negócio.

Os registos de casos e os ficheiros carregados são armazenados com a Cloudflare. Os ficheiros carregados são armazenados num bucket Cloudflare R2 configurado para jurisdição da UE. Os registos de casos — o seu nome, e-mail, linha do anúncio, notas, ID do negócio e metadados do link de acesso — são armazenados separadamente no Cloudflare KV e não estão cobertos por essa configuração de jurisdição da UE do R2.

A notificação que me avisa de que chegou um novo caso é entregue através da Formspree, um subcontratante nos Estados Unidos. Ela inclui o seu nome, e-mail, linha do anúncio e o link de acesso ao caso, mas não os ficheiros anexados. O pagamento, quando fica disponível na sua página de caso após a confirmação de adequação, ocorre dentro da Stripe. Se você chegar ao portal a partir de um relatório gratuito de primeira leitura, um código de referência opaco pode acompanhar a sua submissão para que eu consiga associar os dois registos. O código não contém o seu nome, e-mail ou o conteúdo do relatório.

Antes de carregar, oculte (redija) os dados pessoais de terceiros que os seus ficheiros não precisem de conter. Para funcionários, funções, datas de início e faixas salariais são suficientes; não inclua nomes, documentos de identificação pessoal ou moradas residenciais, a menos que sejam necessários para a análise.

4. Porquê, e a base legal

Para avaliar se o seu negócio é adequado e responder-lhe (diligências pré-contratuais a seu pedido, Art. 6(1)(b) GDPR); para entregar o memorando que você comprou (execução de um contrato, Art. 6(1)(b)); para manter faturas e registos fiscais (obrigação legal, Art. 6(1)(c)); e para conservar os memorandos entregues para defesa de reclamações judiciais (interesse legítimo, Art. 6(1)(f)). Sem uso para marketing, sem perfilamento, sem decisões automatizadas sobre você.

5. Subcontratantes e destinatários

Tratamento do formulário e notificações de casos (Formspree, subcontratante nos Estados Unidos), e-mail transacional relativo ao serviço (Brevo), pagamento (Stripe), e alojamento do site e armazenamento de ficheiros de caso (Cloudflare; ficheiros de caso sob jurisdição da UE) — cada um ao abrigo dos seus próprios termos de tratamento de dados. A Formspree, a Brevo e a Stripe podem tratar dados fora do EEE (Espaço Económico Europeu) ao abrigo dos seus próprios termos de tratamento de dados, incluindo cláusulas contratuais-tipo quando exigido. A tipografia das páginas é atualmente obtida através do Google Fonts e do Fontshare; quando o seu navegador solicita esses recursos tipográficos, esses fornecedores recebem metadados normais do pedido, como o seu endereço IP e o user-agent do navegador. Eu não vendo nem partilho dados pessoais para marketing, e não existem serviços terceiros de publicidade ou análise (analytics) neste site.

6. Dados de terceiros na pesquisa (aviso ao abrigo do Art. 14 GDPR)

Uma triagem de risco processa necessariamente informação sobre o negócio-alvo e as pessoas publicamente associadas a ele (proprietários, administradores) — obtida exclusivamente de registos públicos oficiais e fontes públicas (registos comerciais, registos de insolvência, decisões judiciais publicadas, cadastros de licenças), com base legal no interesse legítimo (Art. 6(1)(f)), avaliado e documentado. Como informar cada pessoa individualmente seria desproporcionado para um relatório confidencial e pontual, e poderia prejudicar a sua finalidade, esta secção serve como o aviso de informação pública nos termos do Art. 14(5)(b) GDPR: categorias = dados de identificação e função tal como publicados nos registos acima indicados; destinatários = apenas o cliente que encomendou o serviço; conservação = conforme a secção 7; direitos = conforme a secção 8, exercíveis por qualquer pessoa através do formulário. Não são recolhidos dados sobre condenações penais; as referências a registos de insolvência ou judiciais limitam-se ao que o próprio registo público oficial publica, citado com a respetiva fonte. A informação permanece dentro do memorando do cliente, nunca é publicada, e as amostras públicas são anonimizadas de forma que nenhum negócio ou pessoa seja identificável.

7. Conservação

Consultas que não se tornam contratações: eliminadas dentro de 6 meses — a mesma regra abrange os casos do portal que nunca se tornam contratações. Ficheiros carregados no portal de casos: eliminados o mais tardar 90 dias após a entrega. Memorandos entregues e os respetivos ficheiros de trabalho: conservados pelo prazo de prescrição legal aplicável a reclamações sobre serviços profissionais, depois eliminados. Faturas: conservadas pelo período exigido pela lei fiscal portuguesa. Nada é conservado "por precaução" para além desses prazos.

8. Os seus direitos

Acesso, retificação, apagamento, limitação, portabilidade e oposição — exercidos através do formulário, com resposta dentro de um mês. Você também pode apresentar uma reclamação junto da autoridade de controlo portuguesa, a CNPD (Comissão Nacional de Proteção de Dados, cnpd.pt), ou junto da autoridade do seu próprio país.