Política de privacidade

A presente política explica como a Montandor Andorra S.L.U. («Montandor», «nós») recolhe, utiliza, conserva e protege os seus dados pessoais quando visita boutique.montandor.fr, aí efetua uma encomenda, ou comunica com a sua consultora dedicada através do chat. Foi redigida no respeito pelo direito andorrano da proteção de dados (Llei Qualificada de Protecció de Dades, LQPD), pelo RGPD europeu (UE 2016/679) quando o visitante se situa na União Europeia, e pelas regras nacionais de proteção de dados francesa, espanhola, portuguesa, italiana, alemã e suíça quando estas se aplicam.

1. Responsável pelo tratamento

Montandor Andorra S.L.U., com sede em Av. de les Nacions Unides 40, Edifici Monday – Oficina 211, AD700 Escaldes-Engordany, Principado de Andorra. Para qualquer questão relativa ao tratamento dos seus dados ou para exercer os seus direitos, escreva para info@montandor.com ou utilize o chat da loja ao selecionar a categoria «Privacidade». Respondemos nos prazos previstos pela regulamentação aplicável e, o mais tardar, no prazo de trinta (30) dias.

2. Dados que recolhemos

Recolhemos quatro categorias de dados no âmbito estritamente necessário à execução da sua encomenda e à gestão da relação comercial:

• Dados de conta e de encomenda: nome e apelido, denominação social (se aplicável), endereços de faturação e de entrega, correio eletrónico, número de telefone, identificadores de encomenda, histórico de compras. Estes dados são necessários à celebração e à execução do contrato de venda.
• Dados de pagamento: nunca armazenamos os números de cartão bancário completos. O pagamento é processado pelo nosso prestador certificado PCI-DSS nível 1. Conservamos unicamente o token de transação, os quatro últimos dígitos do cartão, a rede (Visa, Mastercard, Amex), a data de validade e o estado do pagamento, para fins contabilísticos e antifraude.
• Dados de entrega: endereço de entrega, código da porta, instruções, número de seguimento da transportadora (Chronopost, DHL Express). Estes dados são transmitidos à nossa transportadora e ao nosso prestador logístico exclusivamente para a execução da entrega.
• Dados técnicos de ligação: endereço IP, agente de utilizador, país aproximado, página consultada, registo de data e hora. Estes dados alimentam os nossos registos de acesso para fins de segurança, de prevenção da fraude e de diagnóstico técnico.

Não recolhemos qualquer dado sensível na aceção do artigo 9 do RGPD (origem étnica, opiniões políticas, religião, saúde, orientação sexual, filiação sindical, dados biométricos ou genéticos).

3. Finalidades e bases legais

4. Prazos de conservação

• Dados de encomenda e faturação: duração da relação comercial mais dez (10) anos, em conformidade com as obrigações contabilísticas andorrana e francesa.
• Dados de pagamento: treze (13) meses para o token de transação e os elementos antifraude, em conformidade com as orientações da CNIL e com os requisitos PCI-DSS.
• Conta de cliente inativa: três (3) anos após a última ligação, seguida de eliminação ou anonimização (salvo obrigações contabilísticas residuais).
• Registos de acesso técnicos: doze (12) meses, seguidos de expurgo automático.
• Medição de audiência agregada: treze (13) meses móveis.
• Newsletter: até ao seu cancelamento de subscrição, imediato através da ligação presente em cada mensagem.

5. Destinatários e subcontratantes

Os dados recolhidos são tratados pela nossa equipa interna e por um número limitado de subcontratantes técnicos estritamente necessários à execução da sua encomenda:

• Alojamento de infraestrutura: Microsoft Azure, região West Europe. Dados alojados na UE.
• Pagamento: PayPal (Europe) S.à r.l. et Cie, S.C.A. (Luxemburgo), prestador de pagamento certificado PCI-DSS nível 1, autorizado enquanto instituição de crédito pela Commission de Surveillance du Secteur Financier (CSSF). A PayPal trata os dados de cartão bancário para a autorização, a captura, o 3-D Secure (PSD2 SCA) e a prevenção da fraude. Política de privacidade da PayPal: paypal.com/fr/legalhub/privacy-full.
• Logística e expedição: prestador logístico 3PL situado em França (armazém de Grisolles, 82170) e transportadoras (Chronopost, DHL Express) para a entrega do último quilómetro.
• Correio eletrónico transacional: Mailgun (UE), para encaminhar as confirmações de receção, faturas e notificações de entrega.
• Serviços Microsoft 365: correio eletrónico profissional interno, calendários, documentação. Tenant Montandor.
• Cálculo das tarifas de expedição multitransportadora: Upela (Upela SAS, França), agregador de transportadoras que consulta a Chronopost, Colissimo, DPD, MondialRelay, UPS, FedEx e DHL. Dados transmitidos no estritamente necessário ao orçamento: código postal de destino, cidade, peso e dimensões da encomenda. Nenhum dado nominativo é enviado nesta fase.
• Preenchimento automático de endereço: Google Maps Platform — Maps JavaScript API e Places API (Google Ireland Limited). O script da Google só é carregado a partir da sua primeira interação com o campo «endereço de entrega». Ver policies.google.com/privacy.
• Verificação de empresa francesa (SIRET / SIREN): diretório das empresas gerido pelo Estado francês através de recherche-entreprises.api.gouv.fr (DataGouv, Direction interministérielle du numérique). Dados públicos INSEE/Sirene reutilizados em conformidade com a licença aberta 2.0. Para as compras B2B em França, complementada pela API de societe.com (Société.com SAS, França).
• Verificação de número de IVA intracomunitário: sistema VIES da Comissão Europeia (DG TAXUD), em conformidade com o regulamento (UE) n.º 904/2010. Apenas o número de IVA introduzido é transmitido.

Cada subcontratante está vinculado por um contrato de proteção de dados (DPA) que prevê as garantias contratuais, organizacionais e técnicas exigidas, com exceção dos serviços públicos reutilizados sob licença aberta (DataGouv, VIES) que não assentam num DPA bilateral. A lista atualizada está disponível mediante pedido para info@montandor.com.

6. Transferências para fora da União Europeia

Os dados recolhidos são armazenados e tratados no Espaço Económico Europeu (Microsoft Azure West Europe, armazém logístico em França). Pode ocorrer uma transferência para o Principado de Andorra para operações administrativas internas — Andorra beneficia de uma decisão de adequação da Comissão Europeia (2010/625/UE), que garante um nível de proteção considerado equivalente. Nenhuma transferência para um país terceiro sem decisão de adequação é efetuada sem cláusulas contratuais-tipo ou garantias equivalentes.

7. Segurança

Implementamos as medidas técnicas e organizacionais razoavelmente necessárias para proteger os seus dados: cifragem TLS 1.3 de extremo a extremo, pagamento tokenizado (PCI-DSS nível 1), controlo de acesso estrito aos sistemas internos, registo dos acessos, autenticação forte (MFA) para as contas de administrador, cópias de segurança cifradas diárias, separação dos ambientes de produção e de teste, auditorias de segurança periódicas. Em caso de violação suscetível de implicar um risco para os seus direitos e liberdades, notificamos a autoridade de controlo competente no prazo de 72 horas e, se o risco for elevado, informamo-lo diretamente.

8. Decisões automatizadas e definição de perfis

Nenhuma decisão que produza efeitos jurídicos ou que afete significativamente o visitante é tomada por um tratamento inteiramente automatizado. Aplicamos regras antifraude automáticas sobre as transações de pagamento (verificação de endereço, deteção de comportamento suspeito); qualquer decisão de bloqueio ou de anulação de encomenda pode ser contestada escrevendo para info@montandor.com e dá lugar a uma revisão humana por um membro da nossa equipa.

9. Os seus direitos

Em conformidade com o RGPD e com a LQPD andorrana, dispõe dos seguintes direitos sobre os dados que lhe dizem respeito:

• Direito de acesso aos seus dados.
• Direito de retificação em caso de inexatidão.
• Direito ao apagamento («direito a ser esquecido») nas condições previstas pela lei.
• Direito à limitação do tratamento.
• Direito à portabilidade dos seus dados para outro responsável.
• Direito de oposição ao tratamento baseado no interesse legítimo.
• Direito de retirar o seu consentimento a qualquer momento para os tratamentos baseados no consentimento (newsletter, por exemplo).
• Direito de definir diretivas post mortem.
• Direito de apresentar uma reclamação junto da Agência andorrana de proteção de dados (APDA), da CNIL em França ou da sua autoridade de controlo local na UE.

Para exercer os seus direitos, escreva para info@montandor.com ou utilize o chat da loja ao selecionar «Privacidade». Pode ser solicitada uma prova de identidade razoável para prevenir a usurpação.

10. Alterações a esta política

Esta política pode evoluir. A data da última atualização é indicada no topo da página. As alterações substanciais (mudança de responsável, de finalidades, adição de um novo subcontratante importante) serão destacadas num banner informativo dedicado durante trinta (30) dias.