Política de Privacidade

Em cumprimento do Regulamento (UE) 2016/679 (RGPD) e da Lei Orgânica 3/2018 (LOPDGDD), informa-se que o responsável pelo tratamento de dados pessoais é:

Doravante, «Zynvio» ou o «Responsável».

A PIXELARIS S.L. compromete-se a proteger a privacidade de todas as pessoas com as quais se relaciona. A presente política descreve as práticas de privacidade da Zynvio e é aplicável a:

• Utilizadores que contratam e utilizam a plataforma Zynvio («Clientes» ou «Utilizadores»).
• Visitantes do sítio web público www.zynvio.com («Visitantes»).
• Fornecedores e parceiros comerciais da PIXELARIS S.L. («Fornecedores»).
• Funcionários e colaboradores internos da PIXELARIS S.L. («Funcionários»).

A Zynvio desempenha dois papéis diferenciados em matéria de proteção de dados:

• Responsável pelo tratamento: relativamente aos dados de Utilizadores, Visitantes, Fornecedores e Funcionários da PIXELARIS S.L., bem como aos dados técnicos e de segurança gerados pela plataforma.
• Subcontratante: relativamente aos dados que os Utilizadores introduzem na plataforma sobre os seus próprios clientes, fornecedores, funcionários ou outros terceiros no âmbito da sua atividade profissional.

A seguir detalham-se as categorias de dados pessoais que a Zynvio trata como responsável, juntamente com as suas finalidades e bases de legitimação.

3.1 Dados de Clientes e Utilizadores da plataforma

Dados tratados:

• Nome e apelidos, correio eletrónico, telefone, país, imagem de perfil
• Palavra-passe (armazenada em formato hash, nunca em texto simples)
• Dados de autenticação: tokens de sessão, códigos de verificação, dados de Google OAuth (nome e e-mail)
• Dados empresariais do utilizador: denominação social, NIF, morada fiscal, tipo de atividade
• Dados de pagamento da subscrição da Zynvio (tokens fornecidos pelo Stripe/PayPal)

Finalidades:

• Gestão do registo, autenticação e verificação da conta de utilizador
• Prestação dos serviços contratados (acesso à plataforma)
• Faturação da subscrição e gestão de cobranças
• Comunicações estritamente necessárias para o serviço (verificação de e-mail, notificações do sistema)

3.2 Dados de Visitantes do sítio web

Dados tratados:

• Dados de navegação recolhidos através do Google Analytics (páginas visitadas, duração da sessão, dispositivo, localização aproximada)
• Dados do formulário de contacto (nome, e-mail, mensagem)

Finalidades:

• Análise estatística da utilização do sítio web www.zynvio.com para melhorar a experiência do utilizador
• Atendimento de consultas realizadas através de formulários

3.3 Dados de Fornecedores da PIXELARIS S.L.

Dados tratados:

• Nome e apelidos da pessoa de contacto, cargo
• Correio eletrónico e telefone profissional
• Denominação social, NIF, morada fiscal
• Dados bancários para a gestão de pagamentos (IBAN, titular da conta)

Finalidades:

• Gestão da relação comercial (contratos, encomendas, pagamentos)
• Cumprimento de obrigações fiscais e contabilísticas decorrentes da relação mercantil

3.4 Dados de Funcionários da PIXELARIS S.L.

Dados tratados:

• Dados identificativos: nome, DNI/NIE, morada, e-mail, telefone
• Dados contratuais: tipo de contrato, data de início/fim, categoria profissional
• Dados salariais: salário base, complementos, deduções, IRPF, contribuições para a Segurança Social
• Registos de jornada de trabalho (registos de entrada, saída e pausas)

Finalidades:

• Gestão da relação laboral (contratação, processamento salarial, Segurança Social)
• Cumprimento do registo de jornada (Art. 34.9 Estatuto de los Trabajadores)
• Cumprimento de obrigações fiscais (retenções IRPF) e laborais

3.5 Dados técnicos e de segurança

Dados tratados:

• Endereço IP de ligação
• User-Agent (navegador e sistema operativo)
• Registos de atividade (logs de auditoria): ação realizada, módulo, entidade, data e hora

Finalidades:

• Garantir a segurança, integridade e disponibilidade do sistema
• Prevenção de fraude, deteção de acessos não autorizados e comportamentos anómalos
• Rastreabilidade de operações e cumprimento normativo (RD 1007/2023 VERI*FACTU)

A Zynvio realizou uma ponderação entre os seus interesses legítimos e os direitos dos titulares dos dados, concluindo que o tratamento é proporcionado e que não prevalecem os direitos do titular dos dados.

Informa-se que:

• Para o registo como Utilizador: correio eletrónico, nome e palavra-passe são obrigatórios. Sem estes dados não é possível criar uma conta.
• Para a faturação da subscrição: NIF, denominação social e morada fiscal do Utilizador são necessários.
• Telefone, país e imagem de perfil são dados facultativos; a sua não indicação não impede a utilização do serviço.
• Os dados de Fornecedores e Funcionários da PIXELARIS S.L. são necessários para a gestão das respetivas relações contratuais ou laborais.

Os dados tratados pela Zynvio como responsável poderão ser comunicados a:

5.1 Administrações públicas

Agencia Estatal de Administración Tributaria (AEAT), Tesorería General de la Seguridad Social e outros organismos, quando tal seja necessário para o cumprimento de obrigações legais da PIXELARIS S.L.

5.2 Prestadores de serviços (subcontratantes)

A Zynvio recorre aos seguintes prestadores de serviços para a prestação do serviço, todos eles vinculados por contratos em conformidade com o Art. 28 do RGPD:

Estes prestadores tratam dados exclusivamente por conta da PIXELARIS S.L. e em conformidade com as suas instruções. Não são efetuadas cessões de dados a terceiros com finalidades distintas das indicadas.

Os dados são armazenados e tratados principalmente em servidores localizados no Espaço Económico Europeu (EEE).

Quando determinados prestadores estejam localizados fora do EEE (Google, Stripe, PayPal), a Zynvio garante um nível de proteção adequado mediante:

• Decisões de adequação da Comissão Europeia: em particular, o EU-US Data Privacy Framework (Decisão de Execução da Comissão de 10 de julho de 2023).
• Cláusulas Contratuais-Tipo (SCC) aprovadas pela Comissão Europeia (Decisão de Execução 2021/914), complementadas com medidas suplementares quando necessário.
• Avaliação de Impacto de Transferências (TIA) em conformidade com a jurisprudência do TJUE (Acórdão Schrems II, C-311/18).

O titular dos dados poderá solicitar informações detalhadas escrevendo para: privacy@zynvio.com

Em conformidade com os artigos 15 a 22 do RGPD, os Utilizadores, Visitantes, Fornecedores e Funcionários da PIXELARIS S.L. poderão exercer os seguintes direitos relativamente aos dados que a Zynvio trata como responsável:

Como exercer os direitos

Mediante pedido dirigido a:

• Correio eletrónico: privacy@zynvio.com
• Correio postal: PIXELARIS S.L., Carrer Penyagolosa, Nº 8 - Pl. 5 - Prta. D, 12540 Vila-real (Castellón, España)

O pedido deverá incluir nome e apelidos, cópia de documento de identificação e descrição do direito que se pretende exercer.

Prazos e gratuitidade

• Prazo de resposta: um (1) mês, prorrogável até dois (2) meses adicionais por complexidade.
• O exercício é gratuito, salvo pedidos manifestamente infundados ou excessivos (Art. 12.5 RGPD).

Limitações ao direito de apagamento

O direito de apagamento poderá ser limitado quando o tratamento seja necessário para o cumprimento de obrigações legais (conservação de documentação fiscal e contabilística) ou para a defesa de reclamações.

Reclamação junto da autoridade de controlo

O titular dos dados poderá apresentar reclamação junto da Agência Espanhola de Proteção de Dados (AEPD):

Quando os Utilizadores utilizam a plataforma Zynvio para gerir a sua atividade profissional, introduzem dados de terceiros (os seus próprios clientes, fornecedores, funcionários, etc.). Relativamente a estes dados, o Utilizador é o responsável pelo tratamento e a Zynvio atua unicamente como subcontratante, tratando os dados exclusivamente em conformidade com as instruções do Utilizador.

Categorias de dados que o Utilizador pode introduzir na plataforma:

• Dados dos clientes do Utilizador (identificação fiscal, contacto, dados comerciais)
• Dados dos fornecedores do Utilizador (identificação fiscal, contacto, dados de pagamento)
• Dados dos funcionários do Utilizador (identificação, dados contratuais, salariais, registos de jornada)
• Faturas emitidas e recebidas pelo Utilizador, registos contabilísticos, inventário
• Certificados digitais do Utilizador para assinatura eletrónica e cumprimento fiscal (VERI*FACTU)
• Quaisquer outros dados que o Utilizador introduza no âmbito da sua atividade empresarial

Serviços prestados pela Zynvio como subcontratante:

• Faturação emitida e recebida (incluindo sistemas compatíveis com VERI*FACTU)
• Contabilidade (plano de contas, lançamentos contabilísticos, ativos fixos)
• Gestão de clientes, fornecedores e projetos
• Inventário e armazéns
• Recursos humanos (processamento salarial, controlo horário, gestão de funcionários)
• Comunicação de dados à AEAT no âmbito do VERI*FACTU por conta do Utilizador

O Utilizador, como responsável pelo tratamento dos dados que introduz na plataforma, compromete-se a:

• Dispor de base jurídica suficiente para o tratamento dos dados (Art. 6 RGPD).
• Informar os titulares dos dados cujos dados introduz, em conformidade com os artigos 13 e 14 do RGPD.
• Aplicar o princípio da minimização dos dados (Art. 5.1.c RGPD).
• Não introduzir categorias especiais de dados (Art. 9 RGPD) salvo se dispuser de uma exceção legal.
• Cumprir a normativa de proteção de dados aplicável na sua jurisdição.
• Determinar, documentar e comunicar aos titulares dos dados os prazos de conservação dos seus dados.

Relativamente aos dados que o Utilizador introduz na plataforma:

• Os prazos de conservação serão os que o próprio Utilizador defina e comunique aos titulares dos dados em conformidade com a normativa aplicável.
• Na ausência de instruções específicas do Utilizador, a Zynvio aplicará os prazos legais por defeito: 6 anos para documentação mercantil e fiscal (Art. 30 Código de Comercio), 4 anos para dados laborais (LISOS).
• Após o término da relação contratual com o Utilizador, e salvo instruções em contrário, os dados serão devolvidos ou eliminados em conformidade com o Acordo de Subcontratação (DPA).

A relação entre a Zynvio como subcontratante e o Utilizador como responsável é regulada por um Acordo de Subcontratação (DPA) em conformidade com o Art. 28 do RGPD, que inclui:

• Objeto, duração, natureza e finalidade do tratamento
• Tipos de dados pessoais e categorias de titulares dos dados
• Obrigações e direitos do responsável
• Instruções documentadas do responsável
• Obrigações de confidencialidade do pessoal da Zynvio
• Medidas de segurança aplicadas (Art. 32 RGPD)
• Condições para a subcontratação de subcontratantes ulteriores
• Assistência no exercício de direitos dos titulares dos dados
• Notificação de violações de dados pessoais
• Devolução ou eliminação de dados no término da relação contratual
• Direito de auditoria por parte do responsável

Para a prestação do serviço como subcontratante, a Zynvio utiliza os seguintes subcontratantes ulteriores, que também tratam dados do Utilizador:

A Zynvio informará o Utilizador com antecedência razoável de qualquer alteração na incorporação ou substituição de subcontratantes ulteriores (Art. 28.2 RGPD).

A Zynvio aplica medidas técnicas e organizativas adequadas em conformidade com o Art. 32 do RGPD, tanto para os dados que trata como responsável como para os que trata como subcontratante:

Medidas técnicas

• Cifragem de dados em repouso e em trânsito (TLS/SSL, AES-256)
• Armazenamento de palavras-passe mediante funções hash com salt
• Tokens de sessão gerados criptograficamente
• Prevenção de injeção SQL mediante consultas parametrizadas
• Validação e saneamento de ficheiros carregados
• Controlo de acesso baseado em funções e permissões granulares
• Isolamento lógico de dados entre empresas (arquitetura multi-tenant)
• Cópias de segurança periódicas
• Proteção contra ataques automatizados

Medidas organizativas

• Princípio do mínimo privilégio no acesso a dados
• Registo de auditoria com rastreabilidade de operações
• Avaliação periódica das medidas de segurança
• Obrigações de confidencialidade para todo o pessoal
• Procedimentos de gestão de incidentes de segurança

Em cumprimento dos artigos 33 e 34 do RGPD:

Como responsável

• A Zynvio notificará a Agência Espanhola de Proteção de Dados (AEPD) num prazo máximo de 72 horas qualquer violação de dados pessoais que constitua um risco para os direitos e liberdades dos titulares dos dados.
• Quando a violação implique um risco elevado, será comunicada diretamente aos titulares dos dados afetados.

Como subcontratante

• A Zynvio notificará o Utilizador (responsável) sem demora injustificada qualquer violação de dados pessoais que afete os dados tratados por sua conta.
• Cabe ao Utilizador, como responsável, determinar se deve notificar a Agência Espanhola de Proteção de Dados (AEPD) e os titulares dos dados afetados. A Zynvio fornecerá toda a informação necessária para facilitar essa notificação.

Em cumprimento do Art. 22 da LSSI-CE:

Cookies técnicos da plataforma

A Zynvio utiliza exclusivamente cookies técnicos e estritamente necessários, isentos de consentimento (Art. 22.2 LSSI-CE):

Cookies de terceiros

Armazenamento local

A plataforma utiliza localStorage exclusivamente para a preferência de tema visual (modo claro/escuro), sem armazenar dados pessoais.

A Zynvio destina-se exclusivamente a utilizadores profissionais. Não são recolhidos dados de menores de 14 anos (Art. 7 LOPDGDD). Se for detetada a recolha de dados de um menor, proceder-se-á à sua eliminação imediata.

A Zynvio não toma decisões baseadas unicamente no tratamento automatizado de dados, incluindo a definição de perfis, que produzam efeitos jurídicos sobre o titular dos dados (Art. 22 RGPD). Os processos automatizados da plataforma (cálculos salariais, geração de faturas, amortizações) são ferramentas de apoio que requerem supervisão humana.

A presente política rege-se por:

• Regulamento (UE) 2016/679 (RGPD)
• Ley Orgánica 3/2018 (LOPDGDD)
• Ley 34/2002 (LSSI-CE)
• Legislação fiscal, contabilística e laboral espanhola aplicável

Para qualquer litígio, as partes submetem-se aos Tribunais de Castellón de la Plana, salvo se o titular dos dados for consumidor (tribunais do seu domicílio).

Autoridade de controlo competente: Agência Espanhola de Proteção de Dados (AEPD).

A Zynvio reserva-se o direito de alterar a presente política para a adaptar a novidades legislativas ou técnicas.

As alterações substanciais serão comunicadas aos utilizadores mediante aviso na plataforma ou por correio eletrónico com antecedência razoável.

A versão atualizada será publicada neste mesmo endereço.

A presente política de privacidade (versão 2.0) entra em vigor a 2 de abril de 2026.