Política de Privacidade e Proteção de Dados Pessoais

Esta Política explica que dados pessoais tratamos, com que finalidades e com que base legal, durante quanto tempo os conservamos e que direitos lhe assistem. Recolhemos apenas o necessário, tratamos os seus dados com transparência e segurança, e exigimos o mesmo cuidado a quem trabalha connosco. Pode, a qualquer momento, aceder aos seus dados, corrigi-los, opor-se a determinados tratamentos ou apresentar reclamação à autoridade de controlo. Os contactos para o fazer constam do Artigo 12.º.

Capítulo I · Disposições gerais

Artigo 1.º · Objeto

A presente Política de Privacidade estabelece os princípios, direitos, regras e responsabilidades aplicáveis ao tratamento de dados pessoais de pessoas singulares, enquanto titulares dos seus dados, pela Advance Station, no exercício da sua atividade formativa e administrativa, em conformidade com o Regulamento (UE) 2016/679 (RGPD), a Lei n.º 58/2019, de 8 de agosto, a Lei n.º 41/2004, de 18 de agosto, e demais legislação e orientações da Comissão Nacional de Proteção de Dados (CNPD).

Artigo 2.º · Âmbito de aplicação

Esta Política aplica-se a todos os tratamentos de dados pessoais realizados pela Advance Station, por meios automatizados ou não, no exercício da sua atividade. Esta abrange a formação profissional, em qualquer modalidade (presencial, b-learning, e-learning, live training e formação em contexto de trabalho), a prestação de serviços de consultoria e de gestão empresarial, e a edição e comercialização de livros didáticos, bem como a gestão interna, em todas as fases do ciclo de atividade.

Aplica-se à atividade desenvolvida sob qualquer marca comercial do ecossistema, designadamente Instituto Unicenter, Pro Unicenter, ACT Academy, Skillsgym, Campus Digital e Direct English, todas tituladas pela Advance Station, sendo esta a única entidade responsável pelo tratamento.

A Advance Station mantém ainda parcerias e protocolos com entidades terceiras juridicamente distintas, designadamente o Linguaphone Group e a AILE, entre outras. Estas não são marcas da Advance Station, e a sua relação é qualificada caso a caso, por tratamento. Há responsabilidade conjunta, nos termos do artigo 26.º do RGPD, quando a Advance Station e a entidade parceira determinem em conjunto as finalidades e os meios, sendo então disponibilizado aos titulares o essencial do acordo de corresponsabilidade. Há responsáveis independentes quando cada entidade determine as suas próprias finalidades e a Advance Station se limite a transmitir dados, figurando a parceira como destinatária. Há subcontratação, nos termos do artigo 28.º, quando uma trate dados por conta da outra. A qualificação de cada tratamento, e a base de licitude da partilha, constam do registo de atividades de tratamento.

Vincula a equipa interna, o corpo formativo e as entidades subcontratantes e parceiras que tratem dados pessoais por conta da Advance Station.

Artigo 3.º · Definições

Para efeitos desta Política, aplicam-se as definições do artigo 4.º do RGPD, designadamente:

• «Dados pessoais»: informação relativa a uma pessoa singular identificada ou identificável.
• «Tratamento»: qualquer operação sobre dados pessoais, da recolha à eliminação.
• «Responsável pelo tratamento»: a Advance Station, que determina as finalidades e os meios do tratamento.
• «Subcontratante»: quem trata dados por conta do responsável, mediante contrato.
• «Titular»: a pessoa singular a quem os dados respeitam.
• «Consentimento»: manifestação de vontade livre, específica, informada e inequívoca, mediante ato positivo claro, pela qual o titular aceita o tratamento dos seus dados.
• «Definição de perfis»: tratamento automatizado de dados que avalia aspetos pessoais de uma pessoa singular, designadamente para analisar ou prever interesses ou comportamentos.
• «Instrumentos de recolha e interação»: formulários, questionários, testes e diagnósticos, em qualquer canal, através dos quais a entidade recolhe dados ou interage com os titulares.
• «Encarregado de Proteção de Dados (EPD)»: quem informa, aconselha e fiscaliza o cumprimento do RGPD na entidade.
• «Violação de dados pessoais»: violação de segurança que provoque a destruição, perda, alteração, divulgação ou acesso não autorizados a dados pessoais.
• «Autoridade de controlo»: a Comissão Nacional de Proteção de Dados (CNPD), em Portugal.

Artigo 4.º · Responsável pelo tratamento e contactos

4.1 · Responsável pelo tratamento. O responsável pelo tratamento de dados pessoais é a Advance Station, Individual Development, Lda., NIF 503 102 318, com sede na Rua Sampaio e Pina, n.º 58, 3.º Esq., 1070-250 Lisboa.

4.2 · Contactos e Encarregado de Proteção de Dados. Os titulares podem contactar o Encarregado de Proteção de Dados, para o exercício de direitos ou para esclarecimentos, função assegurada externamente por Aprovarelatório, Lda., na pessoa do Dr. José António Rajani Oliveira Dias, através do endereço dpo.advancestation@aprovarelatorio.pt, publicado nos portais e nos instrumentos contratuais.

Capítulo II · Princípios e licitude do tratamento

Artigo 5.º · Princípios

Todo o tratamento observa os princípios do artigo 5.º do RGPD:

• Licitude, lealdade e transparência perante o titular;
• Limitação das finalidades a fins determinados, explícitos e legítimos;
• Minimização, recolhendo apenas os dados adequados e necessários;
• Exatidão e atualização dos dados;
• Limitação da conservação ao período necessário;
• Integridade e confidencialidade, com segurança adequada;
• Responsabilidade, com capacidade de demonstrar a conformidade.

Artigo 6.º · Bases de licitude

Cada tratamento assenta numa base de licitude do artigo 6.º do RGPD, identificada no registo de atividades de tratamento (Anexo A) e sintetizada, quanto às finalidades principais, no presente artigo.

A execução de contrato, designadamente o contrato de formação, o contrato com o corpo formativo, o contrato de trabalho e os contratos de prestação de serviços de consultoria e de gestão, de edição e com autores, e com fornecedores e parceiros, fundamenta os tratamentos necessários à relação, não dependendo de consentimento.

O cumprimento de obrigações legais, designadamente o dossier técnico-pedagógico, o registo no Sistema de Informação e Gestão da Oferta Educativa e Formativa (SIGO), a certificação e as obrigações fiscais, fundamenta os tratamentos correspondentes.

O interesse legítimo fundamenta tratamentos como a avaliação do corpo formativo, a segurança das instalações e o acompanhamento pós-formativo, sempre com ponderação documentada, mantida pelo Encarregado de Proteção de Dados e referenciada no registo de atividades, que salvaguarda os direitos dos titulares.

O consentimento, livre, específico, informado e inequívoco, fundamenta apenas os tratamentos que dele dependam, designadamente o marketing por meios eletrónicos e a gravação de sessões que não seja exigida por requisitos de certificação. O consentimento é revogável a todo o tempo, sem afetar a licitude do tratamento anterior.

O envio de comunicações comerciais por via eletrónica observa ainda o artigo 13.º-A da Lei n.º 41/2004: a regra é o consentimento prévio e expresso e, relativamente a quem já é cliente, admite-se o envio de comunicações sobre produtos ou serviços análogos sem novo consentimento, desde que tenha sido dada, no momento da recolha, a possibilidade de oposição, renovada de forma simples em cada comunicação. O interesse legítimo, quando invocado, respeita ao tratamento subjacente dos contactos e não dispensa este regime quanto ao envio.

Quando o tratamento assente no consentimento, a Advance Station conserva o registo que permite demonstrar que o consentimento foi dado, o seu âmbito, as finalidades aceites e a informação prestada no momento da recolha, nos termos do artigo 7.º, n.º 1, do RGPD.

Artigo 7.º · Categorias de titulares e de dados

A entidade trata, em regra, dados de identificação e contacto, dados de habilitações e percurso formativo, dados contratuais e financeiros, e dados de utilização das plataformas. Trata igualmente dados de identificação, contacto e contratuais de clientes dos serviços de consultoria e de gestão, de autores das obras editadas, e de fornecedores e parceiros, quando pessoas singulares ou pontos de contacto de organizações.

O tratamento de categorias especiais de dados é evitado. Quando seja indispensável, designadamente dados de saúde necessários a medidas de acessibilidade ou de adaptação da formação a necessidades específicas, ou informação sobre alergias em eventos presenciais, assenta numa condição do artigo 9.º, n.º 2, do RGPD, em regra o consentimento explícito do titular, e em medidas de proteção acrescidas.

Artigo 8.º · Dados de menores

1. Nas ofertas dirigidas a crianças e jovens, designadamente através das marcas ACT Academy e Skillsgym, o tratamento de dados de menores observa salvaguardas reforçadas.

2. Quando o tratamento assente no consentimento, no contexto da oferta direta de serviços da sociedade da informação, o consentimento do próprio menor só é válido a partir dos 13 anos, nos termos do artigo 16.º da Lei n.º 58/2019. Abaixo dessa idade, o consentimento é dado ou autorizado por quem exerce as responsabilidades parentais, de preferência com recurso a meios de autenticação segura, realizando a entidade esforços razoáveis para verificar essa autorização.

3. Quando a base de licitude não seja o consentimento, designadamente a execução de contrato celebrado com quem exerce as responsabilidades parentais, tal é identificado no registo de atividades de tratamento.

4. A informação é prestada em linguagem clara e adequada à idade, aplica-se minimização reforçada e não se realiza marketing dirigido a menores.

Artigo 9.º · Instrumentos de recolha e interação digital: formulários, questionários e diagnósticos

1. A entidade utiliza de forma recorrente instrumentos digitais de recolha e interação com os titulares, designadamente formulários de contacto e de pedido de informação, formulários de inscrição em serviços, questionários, testes de posicionamento e diagnósticos, qualquer que seja a marca, o canal ou a designação comercial do instrumento. O presente artigo fixa o regime geral aplicável a toda esta categoria; cada instrumento concreto é documentado no registo de atividades de tratamento (Artigo 20.º), sem necessidade de revisão desta Política a cada novo instrumento.

2. Independentemente do instrumento, observam-se: a recolha do mínimo de dados necessário à finalidade; a prestação, no momento da recolha, de informação clara e em camadas, com a identidade do responsável, as finalidades, a base de licitude, os prazos e os direitos, e a ligação para a presente Política; a distinção visível entre campos necessários e opcionais; e a proibição de incluir dados pessoais em ligações ou endereços de partilha.

3. Quando o titular submete um formulário por sua iniciativa, para obter informação ou para se inscrever num serviço promovido, o tratamento necessário à resposta e ao contacto subsequente assenta nas diligências pré-contratuais ou no interesse legítimo em dar resposta ao pedido, nos termos do artigo 6.º, n.º 1, alíneas b) e f), do RGPD. O envio posterior de comunicações comerciais depende de consentimento, recolhido de forma separada, granular e opcional, nos termos do Artigo 6.º e do artigo 13.º-A da Lei n.º 41/2004.

4. Os questionários, testes e diagnósticos que avaliem aspetos pessoais constituem definição de perfis e regem-se pelo Artigo 24.º. A sua base é o consentimento ou o interesse legítimo com ponderação documentada, consoante a finalidade; o resultado e qualquer proposta subsequente são claramente informados, e não se tomam decisões com efeitos jurídicos ou significativos com base apenas no resultado.

5. O regime aplica-se a três públicos, com as salvaguardas próprias: a) adultos, com informação e consentimento diretos; b) profissionais em contexto de trabalho, em que os dados tratados são, em regra, dados profissionais e a relação pode ser estabelecida com a entidade empregadora ou cliente, identificando-se no registo de atividades os papéis de cada interveniente e a eventual responsabilidade conjunta; c) jovens estudantes e demais menores, aplicando-se as salvaguardas do Artigo 8.º, com mediação por quem exerce as responsabilidades parentais, informação adaptada à idade, conversão comercial dirigida apenas ao adulto e ausência de solicitação comercial direta ao menor.

6. A introdução de um instrumento que envolva definição de perfis em larga escala, dados de menores ou categorias especiais é precedida de avaliação de impacto, nos termos do Artigo 21.º, e de parecer do Encarregado de Proteção de Dados.

7. A título de exemplo, e sem prejuízo do carácter geral deste artigo, integram esta categoria instrumentos como a campanha «Liga dos Heróis do Conhecimento», do Campus Digital. A lista completa e atualizada dos instrumentos em utilização consta do registo de atividades de tratamento (Artigo 20.º), que prevalece e dispensa a revisão desta Política a cada novo instrumento.

Capítulo III · Direitos dos titulares

Artigo 10.º · Direitos

Nos termos dos artigos 15.º a 22.º do RGPD, o titular tem direito de:

• Acesso: saber que dados tratamos e obter uma cópia, com a informação sobre o tratamento;
• Retificação: corrigir dados inexatos ou completar dados incompletos;
• Apagamento, incluindo o chamado «direito a ser esquecido», nos termos do artigo 17.º;
• Limitação do tratamento, nas situações previstas;
• Portabilidade dos dados que tenha fornecido, quando aplicável;
• Oposição ao tratamento fundado em interesse legítimo ou para marketing;
• Não sujeição a decisões exclusivamente automatizadas com efeitos significativos, nos termos do Artigo 24.º.

Artigo 11.º · Exercício de direitos

Os direitos exercem-se mediante pedido ao Encarregado de Proteção de Dados, através do endereço dpo.advancestation@aprovarelatorio.pt, com verificação da identidade de quem os exerce.

A entidade responde sem demora injustificada e no prazo máximo de um mês, prorrogável por dois meses em casos complexos, com comunicação fundamentada ao titular.

O exercício de direitos é gratuito, salvo pedidos manifestamente infundados ou excessivos, nos termos do artigo 12.º do RGPD.

Artigo 12.º · Reclamação à autoridade de controlo

Sem prejuízo de outros meios e do recurso à via judicial, o titular tem direito a apresentar reclamação à Comissão Nacional de Proteção de Dados (CNPD), preferencialmente após contacto com o Encarregado de Proteção de Dados:

• Morada: Av. D. Carlos I, n.º 134, 1.º, 1200-651 Lisboa;
• Telefone: (+351) 213 928 400;
• Correio eletrónico: geral@cnpd.pt;
• Portal e reclamações em linha: www.cnpd.pt.

Capítulo IV · Conservação e segurança

Artigo 13.º · Prazos de conservação

Os dados pessoais são conservados apenas durante o período necessário às finalidades para que são tratados ou, quando aplicável, durante o período imposto por obrigação legal, nos termos da Política de Arquivo (POL-04), que constitui a tabela autoritativa de prazos do sistema documental, e da síntese constante do Anexo C. Findos os prazos, os dados são eliminados de forma segura ou anonimizados.

Artigo 14.º · Medidas técnicas e organizativas

A entidade adota medidas adequadas ao risco, alinhadas com a referência ISO/IEC 27001, designadamente controlo de acessos por perfil, autenticação, registo de acessos, cifragem de dados sensíveis em trânsito e em repouso quando aplicável, cópias de segurança, segregação de ambientes, e políticas de palavra-passe e de dispositivos. A segurança é verificada em auditoria interna.

Artigo 15.º · Plataformas de aprendizagem e gravação de sessões

Os registos de acesso e de atividade nas plataformas de aprendizagem (LMS) constituem dados pessoais, com prazo de conservação definido e proporcional, informado aos titulares.

A gravação de sessões de formação a distância ocorre quando exigida pelos requisitos das entidades certificadoras, para efeitos de controlo de qualidade e de prova da execução da formação, assentando em interesse legítimo e no cumprimento desses requisitos, com ponderação documentada e informação prévia aos titulares sobre a finalidade e a conservação. Quando a gravação não decorra de requisito de certificação, assenta em consentimento específico e revogável.

Artigo 16.º · Videovigilância e meios de controlo

A entidade não opera, neste momento, qualquer sistema de videovigilância ativo, encontrando-se os equipamentos existentes desativados e inoperacionais. A eventual reativação destina-se exclusivamente à segurança de pessoas e bens, com sinalização visível, sem finalidade de controlo do desempenho, com acesso restrito e conservação limitada a 30 dias salvo necessidade de prova, e é precedida de inscrição no registo de atividades de tratamento e de avaliação prévia, em coerência com o Regulamento Interno (REG-02) e com as orientações da CNPD.

Capítulo V · Subcontratação e transferências internacionais

Artigo 17.º · Subcontratantes

O recurso a subcontratantes, designadamente prestadores de plataformas, alojamento, contabilidade ou comunicação, observa o artigo 28.º do RGPD, mediante contrato que imponha confidencialidade, instruções documentadas, medidas de segurança e a eliminação ou devolução dos dados no termo da prestação.

Artigo 18.º · Transferências internacionais

1. A atividade da Advance Station não envolve, em regra, a transferência de dados pessoais para fora do Espaço Económico Europeu. Quando a relação com entidades parceiras o implique, designadamente com o Linguaphone Group, estabelecido no Reino Unido, a transferência assenta na decisão de adequação relativa ao Reino Unido. Relativamente a outras entidades parceiras, o mecanismo aplicável depende do país de estabelecimento e é identificado no registo de atividades de tratamento.

2. Pode, ainda assim, ocorrer transferência para os Estados Unidos quando os portais recorram a ferramentas de medição, de comunicação ou de carregamento de recursos fornecidas por entidades aí sediadas, designadamente a Google e a Meta. Essas transferências, quando existam, realizam-se apenas ao abrigo das garantias do Capítulo V do RGPD: para os destinatários certificados, ao abrigo da decisão de adequação relativa ao EU-US Data Privacy Framework, a Decisão de Execução (UE) 2023/1795 da Comissão, de 10 de julho de 2023; para os demais, mediante cláusulas contratuais-tipo, nos termos do artigo 46.º. A situação concreta é descrita na Política de Cookies (POL-CK-01) e no respetivo inventário.

3. Qualquer nova transferência é precedida da verificação do mecanismo aplicável, é informada aos titulares e inscrita no registo de atividades de tratamento.

Capítulo VI · Governação, violação de dados e responsabilidade

Artigo 19.º · Encarregado de Proteção de Dados

A entidade designou como Encarregado de Proteção de Dados uma entidade externa especializada, Aprovarelatório, Lda., representada pelo Dr. José António Rajani Oliveira Dias, contactável através de dpo.advancestation@aprovarelatorio.pt. O EPD informa e aconselha a organização, fiscaliza a conformidade, coopera com a CNPD e é o ponto de contacto dos titulares. Exerce as suas funções com autonomia, sem instruções quanto ao seu exercício, e reporta diretamente à Direção Geral, nos termos dos artigos 37.º a 39.º do RGPD.

Artigo 20.º · Registo de atividades de tratamento

A entidade mantém e atualiza um registo de atividades de tratamento, nos termos do artigo 30.º do RGPD, cuja síntese consta do Anexo A e cuja versão completa, com categorias de dados, destinatários, prazos e medidas de segurança por atividade, é mantida pelo Encarregado de Proteção de Dados e disponibilizada à CNPD quando solicitada.

Artigo 21.º · Avaliação de impacto sobre a proteção de dados

Quando um tratamento seja suscetível de implicar risco elevado, designadamente o tratamento em grande escala, a monitorização sistemática, o tratamento de dados de menores em escala ou o recurso a novas tecnologias, a entidade realiza uma avaliação de impacto (AIPD), nos termos do artigo 35.º do RGPD, com parecer do Encarregado de Proteção de Dados e, se necessário, consulta prévia à CNPD.

Artigo 22.º · Violação de dados pessoais

Qualquer violação de dados é registada e avaliada quanto ao risco para os direitos e liberdades dos titulares, segundo o procedimento do Anexo D.

Quando exista risco, a entidade notifica a CNPD no prazo de 72 horas a contar do conhecimento, nos termos do artigo 33.º, e, havendo risco elevado, comunica aos titulares sem demora injustificada, nos termos do artigo 34.º.

Artigo 23.º · Formação e sensibilização

A equipa recebe formação e sensibilização periódica em proteção de dados, integrada no acolhimento e em atualização anual, com registo no sistema da qualidade.

Artigo 24.º · Decisões automatizadas e definição de perfis

1. A Advance Station não toma decisões baseadas exclusivamente no tratamento automatizado, incluindo a definição de perfis, que produzam efeitos jurídicos na esfera dos titulares ou que os afetem significativamente de forma similar, nos termos do artigo 22.º do RGPD.

2. Quando utilize a definição de perfis para fins de comunicação e marketing, designadamente a segmentação de destinatários da oferta formativa, fá-lo com base no consentimento, com informação prévia clara, podendo o titular opor-se a todo o tempo, sem prejuízo da licitude do tratamento anterior.

3. A definição de perfis que envolva menores é objeto de avaliação de impacto e de salvaguardas reforçadas, não produzindo decisões com efeitos jurídicos ou significativos sobre o menor.

4. A introdução de qualquer tratamento que envolva decisões exclusivamente automatizadas com os efeitos referidos no n.º 1 é precedida de avaliação de impacto e de parecer do Encarregado de Proteção de Dados.

Capítulo VII · Disposições finais

Artigo 25.º · Proteção de dados desde a conceção e por defeito

Novos tratamentos, plataformas e instrumentos incorporam a proteção de dados desde a conceção e por defeito, nos termos do artigo 25.º do RGPD, com minimização e configurações restritivas por defeito.

Artigo 26.º · Articulação documental

Esta Política articula-se com o Manual da Qualidade (MQ-01), a Política da Qualidade (POL-01), a Política de Recursos Humanos (POL-03), a Política de Arquivo (POL-04), a Política de Incentivos (POL-05), a Política de Ética Digital (POL-06), a Política de Cookies (POL-CK-01), o Regulamento de Formação (REG-01) e o Regulamento Interno (REG-02). Dela deriva o aviso de privacidade publicado nos portais. Em caso de divergência, prevalece a norma imperativa e, na sua ausência, a hierarquia documental do Capítulo 5 do MQ-01. As disposições de proteção de dados constantes de outros instrumentos remetem para esta Política, e a tabela de prazos de conservação remete para a Política de Arquivo (POL-04).

Artigo 27.º · Entrada em vigor e revisão

A Política entra em vigor com a aprovação pela Direção Geral e é revista anualmente, em ciclo de maio, ou por alteração regulamentar relevante, recomendação de auditoria ou decisão estratégica. Toda a revisão é registada na ficha de controlo de revisões.

Nota de continuidade institucional. Sempre que documentos anteriores à alteração de denominação social refiram a designação Joviform, ou identifiquem o Instituto Unicenter como entidade formadora, deve ler-se Advance Station, na qualidade de única entidade jurídica certificada pela DGERT no perímetro do grupo.

Anexo A · Registo de atividades de tratamento (síntese)

Síntese das principais atividades de tratamento. A versão completa, com categorias de dados, destinatários, prazos e medidas de segurança por atividade, é mantida pelo Encarregado de Proteção de Dados, nos termos do artigo 30.º do RGPD.

Nota: a videovigilância das instalações não constitui, neste momento, atividade de tratamento ativa, encontrando-se os equipamentos desativados. A eventual reativação será inscrita no registo e precedida de avaliação, nos termos do Artigo 16.º.

Anexo C · Prazos de conservação

Síntese dos prazos mínimos de conservação. A tabela autoritativa é a constante do Anexo A da Política de Arquivo (POL-04), para a qual esta síntese remete; prevalece sempre o prazo legal mais longo aplicável.