Esta Política de Privacidade explica como a Bottles trata os seus dados pessoais quando utiliza o bottles.pt e as aplicações móveis Bottles. Escrevemo-la em linguagem simples. Se algo não estiver claro, escreva-nos para info@bottles.pt e explicamos devidamente.
A Bottles é um mercado de leilões online de vinhos finos e bebidas espirituosas, sediado em Portugal e a operar em toda a União Europeia. Levamos a proteção de dados a sério, tanto porque o RGPD o exige como porque preferimos ter a sua confiança do que os seus dados de contacto.
1. Quem somos
A Bottles opera o bottles.pt. Somos o responsável pelo tratamento dos dados pessoais descritos nesta política, o que significa que decidimos que dados são recolhidos e o que lhes acontece.
- Contacto para questões de privacidade: info@bottles.pt
- Contacto postal: disponível a pedido através do email acima
- Autoridade de supervisão: Comissão Nacional de Proteção de Dados (CNPD), Portugal
Para uma área específica, a verificação de identidade de vendedores (KYC), o Stripe atua como responsável independente pelo tratamento de dados. Explicamos isto na Secção 5.
2. Que dados recolhemos
Só recolhemos o que precisamos para gerir o mercado, concluir as suas transações, manter a plataforma segura e cumprir as nossas obrigações legais.
Identidade e conta
- Nome completo e a alcunha pública apresentada nas suas licitações e anúncios
- Endereço de email e número de telefone
- Data de nascimento (usamo-la para confirmar que tem 18 anos ou mais; ver Secção 11)
- País de residência e morada de envio
Autenticação
- Uma versão da sua palavra-passe cifrada de forma segura (nunca guardamos nem vemos o texto simples)
- Tokens OAuth da Apple ou da Google, caso inicie sessão através desses fornecedores, via Firebase
- Tokens de sessão, tokens de atualização e tokens CSRF usados para manter a sua sessão iniciada
- Tokens de dispositivo do Firebase Cloud Messaging (FCM), caso ative as notificações push
Pagamento e recebimento
- O seu ID de cliente Stripe
- Referências tokenizadas do método de pagamento; nunca recebemos nem guardamos o número completo do cartão, o CVC ou a validade. Os dados do cartão vão diretamente do seu dispositivo para o Stripe. A Bottles cumpre a norma PCI DSS SAQ A.
- Para vendedores: dados da conta de pagamento, guardados pelo Stripe Connect
Verificação de vendedor (KYC)
Se vender na Bottles, o Stripe Connect recolhe e verifica os seus documentos de identidade diretamente. A Bottles não guarda os seus documentos de identidade, selfies ou comprovativos de morada. Ver Secção 5.
Atividade na plataforma
- Licitações que fez e anúncios que criou
- A sua lista de acompanhamento e pedidos de “Procura de Compra”
- Histórico de navegação na aplicação e no site, utilizado para funcionalidades como recomendações e vistos recentemente
Conteúdo que cria
- Fotos de garrafas para os seus anúncios e a sua foto de perfil
- Mensagens que envia através dos chats de apoio ou conversas de litígio
- Descrições de anúncios e qualquer texto que forneça
Dados técnicos
- Endereço IP, utilizado para prevenção de fraude e proteção contra bots (Cloudflare Turnstile)
- Dispositivo e user-agent do navegador
- Identificador de dispositivo FCM para envio de notificações push
3. Porque utilizamos os seus dados, e o nosso fundamento legal
Ao abrigo do RGPD, temos de lhe indicar tanto para que utilizamos os seus dados como o fundamento legal que nos permite fazê-lo. Aqui está o detalhe completo.
Execução de um contrato, Artigo 6.º, n.º 1, alínea b)
Precisamos destes dados para prestar o serviço a que aderiu.
- Criar e manter a sua conta
- Autenticá-lo quando inicia sessão
- Gerir leilões, aceitar licitações e processar a venda
- Cobrar o pagamento aos compradores e pagar aos vendedores
- Organizar o envio com a Eurosender
- Operar os sistemas de litígios e apoio ao cliente
Obrigação legal, Artigo 6.º, n.º 1, alínea c)
Temos de o fazer, quer o queira quer não.
- Manter registos transacionais e fiscais durante dez anos, nos termos da lei fiscal portuguesa
- Cooperar com as obrigações de KYC do Stripe ao abrigo das diretivas europeias de combate ao branqueamento de capitais
- Responder a pedidos legítimos de autoridades competentes
Interesses legítimos, Artigo 6.º, n.º 1, alínea f)
Utilizamos um pequeno conjunto de dados com base no facto de ser razoavelmente necessário para gerir a plataforma com segurança e de os seus direitos e interesses não serem prejudicados.
- Prevenção de fraude e deteção de abusos no mercado
- Proteger os fluxos de registo, início de sessão e recuperação de palavra-passe contra bots, utilizando o Cloudflare Turnstile
- Análises básicas de segurança e anti-bot
- Defender a Bottles contra reclamações legais
Pode opor-se ao tratamento baseado em interesses legítimos a qualquer momento; ver Secção 8.
Consentimento, Artigo 6.º, n.º 1, alínea a)
Só fazemos isto quando dá o seu consentimento explícito.
- Enviar-lhe emails de marketing sobre a Bottles
- Definir cookies de análise opcionais (se e quando os adicionarmos; nenhum está ativo na v1)
- Enviar-lhe notificações push
Pode retirar o consentimento a qualquer momento, facilmente, no mesmo local onde o deu (definições da conta, definições de notificações ou o aviso de cookies). Retirar o consentimento não afeta nada do que fizemos legitimamente antes de o retirar.
4. Com quem partilhamos os seus dados
Não vendemos os seus dados. Só os partilhamos com os prestadores de serviços de que precisamos para gerir a Bottles, e apenas as partes de que necessitam para o seu trabalho.
| Prestador | O que fazem por nós | Onde estão | A sua política |
|---|---|---|---|
| Stripe Payments | Processa os pagamentos dos compradores e guarda os métodos de pagamento | Estados Unidos, com residência de dados na UE quando disponível | stripe.com/privacy |
| Stripe Connect | Integra vendedores, executa o KYC, gere os pagamentos | Estados Unidos | stripe.com/connect/legal |
| Firebase / Google | Início de sessão OAuth (Apple/Google), notificações push via FCM | Estados Unidos | policies.google.com/privacy |
| Amazon Web Services | Aloja as fotos que carrega (S3) e envia emails transacionais (SES) | Região de Paris (eu-west-3) | aws.amazon.com/privacy |
| Cloudflare Turnstile | Deteção de bots no registo e na recuperação de palavra-passe | Rede global de edge | cloudflare.com/privacypolicy |
| Eurosender | Organiza o envio das garrafas vendidas | União Europeia | eurosender.com/en/privacy |
Podemos também partilhar dados com os nossos consultores profissionais (advogados, contabilistas, auditores) sempre que estritamente necessário, e com autoridades competentes sempre que a lei o exija.
5. O papel do Stripe na verificação de vendedores
Quando se regista como vendedor, o Stripe Connect recolhe diretamente os seus documentos de verificação de identidade: passaporte ou cartão de cidadão, comprovativo de morada e qualquer outra informação exigida pelas regras europeias de combate ao branqueamento de capitais.
Para esta verificação, o Stripe atua como responsável independente pelo tratamento de dados, não como subcontratante a atuar em nosso nome. A Bottles nunca recebe nem guarda esses documentos. O Stripe apenas nos informa se passou na verificação.
6. Transferências internacionais de dados
Alguns dos nossos prestadores, nomeadamente o Stripe, o Firebase e o Cloudflare, têm sede nos Estados Unidos e podem processar alguns dos seus dados aí.
Quando os dados saem do Espaço Económico Europeu, recorremos às Cláusulas Contratuais-Tipo (CCT) da Comissão Europeia com o prestador, além de quaisquer salvaguardas técnicas e organizacionais adicionais que esse prestador tenha implementadas (como a encriptação em trânsito e em repouso). Para os serviços da Google, recorremos também ao Quadro de Proteção de Dados UE-EUA, quando aplicável.
Pode pedir-nos uma cópia das salvaguardas de transferência relevantes através de info@bottles.pt.
7. Durante quanto tempo guardamos os seus dados
- Enquanto a sua conta estiver ativa: durante o tempo em que mantiver a sua conta Bottles aberta.
- Depois de eliminar a sua conta: mantemos a sua conta num estado recuperável durante 30 dias para que possa mudar de ideias. Depois disso, anonimizamo-la.
- Registos transacionais (encomendas, faturas, pagamentos): conservados durante 10 anos para cumprir a lei fiscal e contabilística portuguesa.
- Histórico de licitações: conservado de forma anonimizada; as suas licitações anteriores continuam a existir como parte do registo do leilão sob um contador genérico de licitante, sem qualquer ligação a si.
- Mensagens de apoio e de litígios: conservadas durante o tempo necessário para tratar o caso e qualquer seguimento.
- Registos e dados de segurança: conservados em janelas curtas e rotativas (normalmente dias a alguns meses), o suficiente para investigar incidentes.
8. Os seus direitos
Ao abrigo do RGPD, tem um conjunto claro de direitos sobre os seus dados pessoais. Pode exercer qualquer um deles, gratuitamente, e responderemos no prazo de um mês.
- Acesso: pedir uma cópia dos dados pessoais que temos sobre si.
- Retificação: pedir-nos que corrijamos algo que esteja errado ou desatualizado.
- Apagamento: pedir-nos que eliminemos os seus dados (sujeito às regras legais de conservação da Secção 7).
- Limitação: pedir-nos que suspendamos o tratamento enquanto resolvemos algo.
- Portabilidade: pedir os seus dados num formato estruturado e legível por máquina, ou que sejam enviados para outro prestador.
- Oposição: opor-se ao tratamento baseado em interesses legítimos, incluindo para efeitos de marketing direto.
- Retirar o consentimento: para qualquer coisa que façamos com base no seu consentimento, a qualquer momento.
- Decisões automatizadas: não tomamos decisões sobre si com efeitos jurídicos ou similarmente significativos através de tratamento totalmente automatizado.
Como exercer estes direitos
- Elimine a sua conta você mesmo na aplicação ou na web: Definições → Eliminar conta.
- Para tudo o resto, envie um email para info@bottles.pt. Para o proteger, podemos pedir prova de que é quem diz ser antes de atuarmos sobre um pedido.
Apresentar uma reclamação
Se acredita que não estamos a tratar os seus dados corretamente, preferíamos muito que nos avisasse primeiro, mas tem o direito de apresentar queixa diretamente à autoridade de supervisão portuguesa:
Comissão Nacional de Proteção de Dados (CNPD) - www.cnpd.pt
9. Como mantemos os seus dados seguros
- TLS para todo o tráfego entre o seu dispositivo e os nossos servidores
- Encriptação em repouso para os dados armazenados
- Palavras-passe cifradas (nunca guardadas em texto simples)
- Dados de pagamento tokenizados guardados pelo Stripe, nunca nos nossos servidores
- Controlos de acesso rigorosos e registo de atividade para a nossa equipa
- Cloudflare Turnstile e limitação de taxa contra bots e abusos
10. Cookies e tecnologias semelhantes
A Bottles utiliza um pequeno conjunto de cookies e itens de armazenamento do navegador para manter a sua sessão iniciada, memorizar as suas preferências e proteger o site contra abusos. Não utilizamos cookies de publicidade ou de definição de perfis.
O detalhe completo está na nossa Política de Cookies.
11. Menores
A Bottles é um mercado de vinhos finos e bebidas espirituosas destinado apenas a adultos. Tem de ter pelo menos 18 anos para criar uma conta, licitar, vender ou comprar. Aplicamos esta regra no registo através da sua data de nascimento, e encerraremos qualquer conta que identifiquemos como pertencente a um menor.
12. Alterações a esta política
Podemos atualizar esta política periodicamente, por exemplo, quando adicionamos uma funcionalidade, mudamos de prestador ou aprimoramos a redação. Quando o fizermos, atualizaremos a data de “Última atualização” no topo.
Se a alteração for significativa, avisamo-lo diretamente por email ou com um aviso na aplicação antes de entrar em vigor.
13. Como entrar em contacto
Perguntas, pedidos ou comentários sobre como tratamos os seus dados: gostaríamos genuinamente de o ouvir.