O presente documento pretende apresentar a política, sistema e procedimentos a adotar pela Carregosa – Sociedade Gestora de Organismos de Investimento Coletivo S.A. (“Carregosa SGOIC”) para assegurar o cumprimento dos requisitos em matéria de proteção de dados das pessoas singulares, respetivo tratamento e livre circulação dos mesmos, previstos no Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016 (Regulamento Geral sobre a Proteção de Dados, adiante “RGPD”) e demais legislação aplicável, nomeadamente, a Lei n.º 58/2019, de 08 de agosto (Lei da proteção dos dados pessoais).

As expressões seguintes terão o significado que lhes é atribuído nas alíneas infra, em conformidade com o Regulamento supracitado:

• “Dados pessoais”, informação relativa a uma pessoa singular identificada ou identificável (“titular dos dados”); é considerada identificável uma pessoa singular que possa ser identificada, direta ou indiretamente, em especial por referência a um identificador, como por exemplo um nome, um número de identificação, dados de localização, identificadores por via eletrónica ou a um ou mais elementos específicos da identidade física, fisiológica, genética, mental, económica, cultural ou social dessa pessoa singular;

• “Tratamento”, uma operação ou um conjunto de operações efetuadas sobre dados pessoais ou sobre conjuntos de dados pessoais, por meios automatizados ou não automatizados, tais como a recolha, o registo, a organização, a estruturação, a conservação, a adaptação ou alteração, a recuperação, a consulta, a utilização, a divulgação por transmissão, difusão ou qualquer outra forma de disponibilização, a comparação ou interconexão, a limitação, o apagamento ou a destruição;

• “Limitação do tratamento”, a inserção de uma marca nos dados pessoais conservados com o objetivo de limitar o seu tratamento no futuro;

• “Definição de perfis”, qualquer forma de tratamento automatizado de dados pessoais que consista em utilizar esses dados pessoais para avaliar certos aspetos pessoais de uma pessoa singular, nomeadamente para analisar ou prever aspetos relacionados com o seu desempenho profissional, a sua situação económica, saúde, preferências pessoais, interesses, fiabilidade, comportamento, localização ou deslocações;

• “Ficheiro”, qualquer conjunto estruturado de dados pessoais, acessível segundo critérios específicos, quer seja centralizado, descentralizado ou repartido de modo funcional ou geográfico;

• “Responsável pelo tratamento”, a pessoa singular ou coletiva, a autoridade pública, a agência ou outro organismo que, individualmente ou em conjunto com outras, determina as finalidades e os meios de tratamento de dados pessoais; sempre que as finalidades e os meios desse tratamento sejam determinados pelo direito da União ou de um Estado-Membro, o responsável pelo tratamento ou os critérios específicos aplicáveis à sua nomeação podem ser previstos pelo direito da União ou de um Estado-Membro;

• “Subcontratante”, uma pessoa singular ou coletiva, a autoridade pública, agência ou outro organismo que trate os dados pessoais por conta do responsável pelo tratamento destes;

• “Destinatário”, uma pessoa singular ou coletiva, a autoridade pública, agência ou outro organismo que recebem comunicações de dados pessoais, independentemente de se tratar ou não de um terceiro. Contudo, as autoridades públicas que possam receber dados pessoais no âmbito de inquéritos específicos nos termos do direito da União ou dos Estados-Membros não são consideradas destinatários; o tratamento desses dados por essas autoridades públicas deve cumprir as regras de proteção de dados aplicáveis em função das finalidades do tratamento;

• “Terceiro”, a pessoa singular ou coletiva, a autoridade pública, o serviço ou organismo que não seja o titular dos dados, o responsável pelo tratamento, o subcontratante e as pessoas que, sob a autoridade direta do responsável pelo tratamento ou do subcontratante, estão autorizadas a tratar os dados pessoais;

• “Consentimento” do titular dos dados, uma manifestação de vontade, livre, específica, informada e explícita, pela qual o titular dos dados aceita, mediante declaração ou ato positivo inequívoco, que os dados pessoais que lhe dizem respeito sejam objeto de tratamento;

• “Violação de dados pessoais”, uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso, não autorizados, a dados pessoais transmitidos, conservados ou sujeitos a qualquer outro tipo de tratamento;

• “Empresa”, uma pessoa singular ou coletiva que, independentemente da sua forma jurídica, exerce uma atividade económica, incluindo as sociedades ou associações que exercem regularmente uma atividade económica;

• “Grupo empresarial”, um grupo composto pela empresa que exerce o controlo e pelas empresas controladas;

• “Regras vinculativas aplicáveis às empresas”, as regras internas de proteção de dados pessoais aplicadas por um responsável pelo tratamento ou um subcontratante estabelecido no território de um Estado-Membro para as transferências ou conjuntos de transferências de dados pessoais para um responsável ou subcontratante num ou mais países terceiros, dentro de um grupo empresarial ou de um grupo de empresas envolvidas numa atividade económica conjunta;

• “Autoridade de controlo”, uma autoridade pública independente criada por um Estado-Membro nos termos do artigo 51.º do RGPD;

Identidade

Nome completo, assinatura, género, data de nascimento, número de identificação fiscal ou número equivalente emitido por autoridade estrangeira competente, número de identificação civil (cartão de cidadão, bilhete de identidade, passaporte ou autorização de residência), respetiva entidade emissora e datas de emissão/validade, nacionalidade(s), naturalidade, fotografia, estado civil, regime de matrimónio, estatuto de Pessoa Politicamente Exposta ou titular de cargo político ou público.

Contactos

Telefone, telemóvel, endereço de e-mail, morada de residência permanente, morada fiscal.

Dados financeiros e dados relativos à relação comercial

Conhecimentos e experiência sobre serviços de investimento e instrumentos financeiros, identificação da conta bancária, situação financeira, correspondência comercial, histórico de transações de instrumentos financeiros, histórico de contactos com os serviços de apoio.

Informações profissionais

Habilitações e percurso académico, profissão e entidade patronal, morada profissional.

Dados recolhidos indiretamente através do website da Carregosa SGOIC

Data, duração e localização da visita ao website, tipo de browser, sistema operativo e detalhes sobre o dispositivo, idioma do browser.

A Carregosa SGOIC recolhe os seus dados pessoais através da adesão ou potencial adesão aos serviços que provisionamos, das formas abaixo descritas e com as finalidades infra enunciadas.

Promovemos o tratamento lícito e transparente dos seus dados pessoais, recorrendo a formas de legitimação validadas e utilizando-os apenas para as finalidades que abaixo se descrevem.

3.1. Tratamento de dados pessoais no âmbito da execução de um contrato

Certos dados pessoais são tratados pela Carregosa SGOIC por se revelarem necessários à execução de um contrato ou à concretização de diligências pré-contratuais:

– Registo e conservação da informação necessária à prestação de serviços a fornecer;

– Prestação de informação no âmbito da comercialização dos produtos e serviços prestados pela Carregosa SGOIC e averiguação da sua adequação ao perfil do cliente;

– Apreciação e resposta a reclamações, pedidos de esclarecimento e sugestões.

3.2. Tratamento dos dados pessoais baseados numa obrigação legal

A atividade da Carregosa SGOIC encontra-se sujeita a um conjunto de imperativos legais que a obrigam à recolha e tratamento de um conjunto de dados, a saber:

– Legislação relativa à prevenção do branqueamento de capitais e do financiamento do terrorismo;

– Regulamentos e outros diplomas emanados pela Comissão do Mercado de Valores Mobiliários e pelo Instituto dos Mercados Públicos do Imobiliário e da Construção;

– Outra legislação, europeia e nacional, que vincule a Carregosa SGOIC no exercício da sua atividade;

– Determinação de perfis de risco e averiguação de conhecimentos, experiência e objetivos de investimento para a subscrição dos produtos comercializados;

– Recurso a ferramentas de screening e filtragem de entidades no âmbito da prevenção de crimes ligados ao branqueamento de capitais e financiamento do terrorismo;

– Resposta às solicitações das entidades de supervisão – Comissão do Mercado de Valores Mobiliários e Instituto dos Mercados Públicos do Imobiliário e da Construção – e de outras autoridades públicas;

– Cumprimento de obrigações fiscais e contabilísticas;

– Registo das comunicações mantidas no âmbito da colocação de ordens sobre a subscrição de produtos;

– Constituição de um arquivo documental.

3.3. Tratamento dos dados pessoais baseados no interesse legítimo da Carregosa SGOIC

O tratamento de dados pessoais executados com base no interesse legítimo da Carregosa SGOIC visa, sobretudo, melhorar continuamente a relação de negócio e a experiência do cliente, exceto se prevalecerem os interesses ou direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais, em especial se o titular for um menor. Neste âmbito, os dados pessoais serão sujeitos a tratamento para os seguintes propósitos:

– Averiguação dos níveis de satisfação e da qualidade dos serviços prestados;

– Gestão de incumprimentos (contencioso) ou exercício/defesa de um direito, independentemente de se tratar de um processo judicial ou de um processo administrativo ou extrajudicial;

– Conservação e gestão dos sistemas de informação, com vista à proteção da integridade dos mesmos, através, nomeadamente, do controlo e monitorização de acessos.

3.4 Tratamento de dados pessoais baseados no consentimento do titular

O titular pode habilitar a Carregosa SGOIC a tratar determinados dados mediante a prestação do seu consentimento livre, expresso, informado, específico e através de um ato explícito (oral ou mediante outro meio comprovável).

A adaptação da experiência de navegação no website da Carregosa SGOIC é baseada:

– Na contagem do número de visitas, na sua origem, no tempo de consulta e nas páginas consultadas dentro do site;

– Na otimização da navegação, com base nos dispositivos utilizados (computador, tablet, telemóvel).

Adicionalmente, poderá ser solicitado o consentimento do titular, para os seguintes tratamentos:

– Utilização dos dados históricos das interações com clientes e as informações financeiras recolhidas para definição de perfis e categorias que permitam aumentar a qualidade das comunicações e dos serviços prestados; e

– Prestação de informação a clientes, por iniciativa da Carregosa SGOIC, relativa aos mercados financeiros, análises técnicas, etc.

3.5. Outros fundamentos jurídicos para o tratamento de dados pessoais

O RGPD invoca, ainda, os seguintes fundamentos para o tratamento de dados pessoais:

– Quando o tratamento dos dados é necessário à salvaguarda de um interesse vital do titular ou de outra qualquer pessoa; e

– Quando o tratamento visa acautelar o interesse público e é levado a cabo por um responsável pelo cumprimento investido com autoridade pública.

A Carregosa SGOIC é responsável pelo tratamento dos dados dos seus clientes e/ou potenciais clientes. Poderá contactar-nos pelos seguintes meios:

Morada: Avenida da Boavista, 1057, 4100-129, Porto

Telefone: +351 220 105 790

A Carregosa SGOIC garantirá as funções de controlo de cumprimento da legislação, de gestão das interações com os titulares dos dados recolhidos e de cooperação com a Comissão Nacional de Proteção de Dados (“CNPD”), a autoridade nacional de controlo. Quaisquer questões relativas ao tratamento dos seus dados devem ser remetidas para o seguinte endereço de e-mail:

[email protected]

A Carregosa SGOIC poderá ter de comunicar os seus dados ou dar acesso aos mesmos a outras entidades para que estas os tratem, em seu nome e por sua conta. No entanto, a Sociedade Gestora apenas transmitirá os seus dados aos seguintes destinatários:

– Empresas pertencentes ao mesmo grupo empresarial, nomeadamente quando atuem como entidades prestadoras de serviços;

– Entidades e autoridades a quem os dados pessoais devam ser comunicados por força de obrigação legal (como, por exemplo, a Comissão do Mercado de Valores Mobiliários, o Instituto dos Mercados Públicos do Imobiliário e da Construção, a Autoridade Tributária e autoridades públicas);

– Subcontratantes da Carregosa SGOIC (por exemplo, entidades depositárias e entidades comercializadoras) – nestes casos, adotaremos as medidas contratuais necessárias para garantir que os subcontratantes respeitam e protegem os dados transmitidos, nos termos exigidos pelo RGPD.

A Carregosa SGOIC adota as medidas técnicas e organizativas adequadas para proteger os dados pessoais contra a sua perda, destruição ou danificação, acidental ou ilícita, bem como para assegurar que os dados facultados sejam protegidos contra o acesso ou utilização por parte de terceiros não autorizados ou qualquer outra violação de dados pessoais.

Em situações de ocorrência de violação de dados pessoais, notificaremos a CNPD e o titular dos dados nos termos dos artigos 33.º e 34.º do RGPD.

No caso dos tratamentos baseados no consentimento, os dados serão eliminados assim que o titular retire o consentimento ou exerça o direito de apagamento. Já no que concerne aos dados recolhidos em virtude de imposição legal, a Carregosa vê-se obrigada pelo n.º 1 do artigo 51.º da Lei n.º 83/2017 a reter, por um período de 7 anos após a cessação da relação de negócio, os seguintes elementos:

– As cópias, registos ou dados eletrónicos extraídos de todos os documentos obtidos ou disponibilizados pelos clientes ou quaisquer outras pessoas, no âmbito dos procedimentos de identificação e diligência previstos naquela lei;

– A documentação integrante dos processos ou ficheiros relativos aos clientes, incluindo a correspondência comercial enviada;

– Quaisquer documentos, registos e análises, de foro interno ou externo, que formalizem o cumprimento do disposto na referida lei.

Adicionalmente, nos termos da alínea f) do n.º 1 do artigo 6.º do RGPD, os dados acima indicados podem ser armazenados até ao prazo de prescrição da responsabilidade contratual que, nos termos da lei civil, se fixa nos 20 anos.

Se for cliente da Carregosa SGOIC, pode retirar o consentimento para o tratamento dos dados pessoais recolhidos com base nessa forma de legitimação através dos contactos indicados no separador “Responsável pelo tratamento dos dados pessoais”.

Não sendo nosso cliente, poderá gerir os assuntos de interesse subscritos e respetivos consentimentos através dos mesmos meios.

O RGPD reforça ainda garantias já previstas por legislação anterior e concede novos direitos aos titulares. Assim, pode, junto da Carregosa SGOIC, exercer os seguintes direitos:

– Requerer informação adicional relativamente aos tipos de dados retidos, as finalidades dos respetivos tratamentos e a quem são transmitidos;

– Requerer cópias dos dados;

– Pedir a portabilidade dos dados fornecidos no âmbito da execução do contrato;

– Exigir a correção de algum dado incorreto ou inexato;

– Requerer o apagamento de dados cujo tratamento passou a ser ilegítimo porque, por exemplo, retirou o consentimento ou cessou o prazo de retenção imposto por legislação imperativa;

– Opor-se ao tratamento sempre que este seja levado a cabo com base no interesse público ou no interesse do responsável pelo tratamento e não se conheçam razões imperiosas e legítimas que prevaleçam sobre os interesses, direitos e liberdades do titular ou esses dados não se revelem necessários à declaração, exercício ou defesa de um direito num processo judicial;

– Exigir a limitação do tratamento dos dados nos seguintes casos:

– – Quando contesta a exatidão dos seus dados;

– – Quando o tratamento se tornou ilegítimo, mas não pretende requerer o apagamento;

– – Quando o tratamento já tenha cessado, mas a Carregosa SGOIC necessite dos dados para efeitos de declaração, exercício ou defesa de um direito num processo judicial.

Sempre que exerça qualquer um destes direitos, a Carregosa SGOIC responder-lhe-á no prazo de um mês. Nos casos em que o pedido se revele de especial complexidade, esse prazo será prorrogado por mais um mês e a resposta será acompanhada de uma nota justificativa desse facto.

Se a resposta da Carregosa SGOIC não estiver de acordo com as suas expetativas ou se as operações de tratamento levadas a cabo o deixarem insatisfeito, deverá apresentar uma reclamação junto da Comissão Nacional de Proteção de Dados, a autoridade de controlo competente, através dos seguintes contactos:

Morada: Rua de São Bento, n.º 148, 3º, 1200-821, Lisboa

Telefone: +351 213 928 400

E-mail: [email protected]