CAPÍTULO I
Disposições gerais

Artigo 1.º – Objeto

A presente Política de Privacidade estabelece os princípios, direitos, regras e responsabilidades aplicáveis ao tratamento de dados pessoais de pessoas singulares, enquanto titulares dos seus dados, pela Advance Station, no exercício da sua atividade formativa e administrativa, em conformidade com o Regulamento (UE) 2016/679 (RGPD), a Lei n.º 58/2019, de 8 de agosto, a Lei n.º 41/2004, de 18 de agosto, e demais legislação e orientações da Comissão Nacional de Proteção de Dados (CNPD).

Artigo 2.º – Âmbito de aplicação

Esta Política de Privacidade aplica-se a todos os tratamentos de dados pessoais realizados pela Advance Station, por meios automatizados ou não, em qualquer modalidade de formação (presencial, b-learning, e-learning, live training e formação em contexto de trabalho) e em todas as fases do ciclo formativo e da gestão interna.

Aplica-se à atividade desenvolvida sob qualquer marca comercial do ecossistema, designadamente: Instituto Unicenter, Pro Unicenter, Act Academy, Skillsgym, Campus Digital e Direct English, todas tituladas pela Advance Station, sendo esta a única entidade responsável pelo tratamento.

Vincula a equipa interna, o corpo formativo e as entidades subcontratantes e parceiras que tratem dados pessoais por conta da Advance Station.

Artigo 3.º – Definições

Para efeitos desta Política de Privacidade, aplicam-se as definições do artigo 4.º do RGPD, designadamente:

• «Dados pessoais»: informação relativa a uma pessoa singular identificada ou identificável.
• «Tratamento de Dados»: qualquer operação sobre dados pessoais, da recolha à eliminação.
• «Responsável pelo tratamento (RTD)»: a Advance Station, que determina as finalidades e os meios do tratamento.
• «Subcontratante»: quem trata dados por conta do responsável, mediante contrato.
• «Titular dos Dados»: a pessoa singular a quem os dados respeitam.
• «Consentimento»: manifestação de vontade livre, específica, informada e inequívoca, mediante ato positivo claro, pela qual o titular dá o seu consentimento para o tratamento dos seus dados.
• «Definição de perfis»: tratamento automatizado de dados que avalia aspetos pessoais de uma pessoa singular, designadamente para analisar ou prever interesses ou comportamentos.
• «Instrumentos de recolha e interação»: formulários, questionários, testes e diagnósticos, em qualquer canal, através dos quais a entidade recolhe dados ou interage com os titulares.
• «Encarregado de Proteção de Dados (EPD)»: quem informa, aconselha e fiscaliza o cumprimento do RGPD na entidade.
• «Violação de dados pessoais»: violação de segurança que provoque a destruição, perda, alteração, divulgação ou acesso não autorizados a dados pessoais.
• «Autoridade de controlo»: a Comissão Nacional de Proteção de Dados (CNPD), em Portugal.

Artigo 4.º – Responsáveis no âmbito do RGPD

4.1 – Pelo Tratamento de Dados (RTD)

O responsável pelo tratamento de dados pessoais é a Advance Station, Individual Development, Lda., NIF 503 102 318, com sede na Rua Sampaio e Pina, n.º 58, 3.º Esq., 1070-250 Lisboa, e delegação na Rua Nossa Senhora de Fátima, 4050-426 Porto, telefone rede fixa 226 083 500, e-mail info@advancestation.pt, sítio institucional https://advancestation.pt.

4.2 – Pela Proteção de Dados (Encarregado de Proteção de Dados – EPD/DPO)

O responsável pela conformidade, do tratamento, e da proteção de dados pessoais singulares, é a Aprovarelatorio, Consultoria e Formação, Unipessoal Lda, especialmente contratada para o efeito, e devidamente registada junto da autoridade nacional para a proteção de dados (Comissão Nacional de Proteção de Dados), tendo indicado o seu especialista José António Rajani Oliveira Dias, estando disponível para os titulares dos dados pessoais, para o exercício de direitos e assuntos relacionados com os tratamento dos seus dados pessoais, através do endereço exclusivo – dpo.advancestation@aprovarelatorio.pt, publicado nos portais e nos instrumentos contratuais e os de recolha de dados, ou por via epistolar, ou protocolo, em envelope fechado especialmente dirigido ao DPO/EPD, para Rua Sampaio e Pina n.º 58, 3.º Esq., 1070-250 Lisboa, ou Rua Nossa Senhora de Fátima, 4050-426 Porto.

CAPÍTULO II
Princípios e fonte de licitude do tratamento

Artigo 5.º – Princípios

Todo o tratamento observa os princípios do artigo 5.º do RGPD:

• Licitude, lealdade e transparência perante o titular;
• Limitação das finalidades a fins determinados, explícitos e legítimos;
• Minimização, recolhendo apenas os dados adequados e necessários;
• Exatidão e atualização dos dados;
• Limitação da conservação ao período necessário;
• Integridade e confidencialidade, com segurança adequada;
• Responsabilidade, com capacidade de demonstrar a conformidade.

Artigo 6.º – Fontes de licitude

Cada tratamento assenta numa fonte de licitude plasmada no artigo 6.º do RGPD, identificada no registo de atividades de tratamento (Anexo A) e sintetizada, quanto às finalidades principais, no presente artigo, como infra se indica.

Nos termos da alínea b), do artigo 6.º do RGPD, aplica-se a licitude do tratamento escorada na execução do contrato de formação, avaliação do corpo formativo, acompanhamento pós-formativo, do contrato com o corpo formativo e do contrato de trabalho, protocolos, parcerias e outros instrumentos obrigacionais que se venham a estabelecer com terceiros.

Nos termos da alínea c), do artigo 6.º do RGPD, aplica-se a licitude do tratamento escorada no cumprimento de obrigações legais, designadamente o dossier técnico-pedagógico, o registo no SIGO, a certificação, as obrigações fiscais e a segurança interna das instalações.

Nos termos da alínea a), do artigo 6.º do RGPD, aplica-se a licitude do tratamento escorada no consentimento, livre, específico, informado e inequívoco, aqueles tratamentos que dele dependam, designadamente o marketing por meios eletrónicos e a gravação de sessões que não seja exigida por requisitos de certificação. O consentimento é revogável a todo o tempo, sem afetar a licitude do tratamento anterior.

Quando o tratamento assente no consentimento, a Advance Station conserva o registo que permite demonstrar que o consentimento foi dado, o seu âmbito, as finalidades aceites e a informação prestada no momento da recolha, nos termos do artigo 7.º, n.º 1, do RGPD.

Artigo 7.º – Categorias de titulares e de dados

A Advance Station trata, em regra, dados de identificação e contacto, dados de habilitações e percurso formativo, dados contratuais e financeiros, e dados de utilização das plataformas.

O tratamento de categorias especiais de dados, quando seja indispensável, designadamente dados de saúde necessários a medidas de acessibilidade ou de adaptação da formação a necessidades específicas, ou informação sobre alergias em eventos presenciais, assenta no artigo 9.º, n.º 2, do RGPD – o consentimento explícito do titular.

Artigo 8.º – Dados de menores

1. Nas ofertas dirigidas a crianças e jovens, designadamente através das marcas Act Academy e Skillsgym, o tratamento de dados de menores observa salvaguardas reforçadas.

2. Quando o tratamento assente no consentimento, no contexto da oferta direta de serviços da sociedade da informação, o consentimento do próprio menor só é válido a partir dos 13 anos, nos termos do artigo 16.º da Lei n.º 58/2019. Abaixo dessa idade, o consentimento é dado ou autorizado por quem exerce as responsabilidades parentais, de preferência com recurso a meios de autenticação segura, realizando a entidade esforços razoáveis para verificar essa autorização.

3. Quando a base de licitude não seja o consentimento, designadamente a execução de contrato celebrado com quem exerce as responsabilidades parentais, tal é identificado no registo de atividades de tratamento.

4. A informação é prestada em linguagem clara e adequada à idade, aplica-se minimização reforçada e não se realiza marketing dirigido a menores.

Artigo 9.º – Instrumentos de recolha e interação digital: formulários, questionários e diagnósticos

1. A Advance Station utiliza de forma recorrente instrumentos digitais de recolha e interação com os titulares dos dados pessoais, designadamente formulários de contacto e de pedido de informação, formulários de inscrição em serviços, questionários, testes de posicionamento e diagnósticos, qualquer que seja a marca, o canal ou a designação comercial do instrumento. O presente artigo fixa o regime geral aplicável a toda esta categoria.

2. Independentemente do instrumento, respeita-se: a recolha do mínimo de dados necessário à finalidade; a prestação, no momento da recolha, de informação clara e em camadas, com a identidade do responsável, as finalidades, a base de licitude, os prazos e os direitos, e a ligação para a presente Política; a distinção visível entre campos necessários e opcionais; e a proibição de incluir dados pessoais em ligações ou endereços de partilha.

3. Quando o titular submete um formulário por sua iniciativa, para obter informação ou para se inscrever num serviço promovido, o tratamento necessário à resposta e ao contacto subsequente assenta nas diligências pré-contratuais nos termos do artigo 6.º, n.º 1, alínea b), do RGPD.

4. Os questionários, testes e diagnósticos que avaliem aspetos pessoais constituem definição de perfis e regem-se pelo Artigo 24.º. A sua base é o consentimento. Os perfis destinam-se apenas a orientar propostas formativas ou diagnósticos pedagógicos e não produzem efeitos jurídicos nem decisões vinculativas.

5. O regime aplica-se a todos os públicos.

6. A introdução de um instrumento que envolva definição de perfis em larga escala, dados de menores ou categorias especiais é precedida de avaliação de impacto, nos termos do Artigo 21.º, e de parecer do Encarregado de Proteção de Dados.

CAPÍTULO III
Direitos dos titulares

Artigo 10.º – Direitos

Nos termos dos artigos 15.º a 22.º do RGPD, o titular tem direito de:

• Acesso aos seus dados e à informação sobre o tratamento;
• Retificação de dados inexatos ou incompletos;
• Apagamento, por eliminação dos dados que a identifiquem após alcançada a finalidade;
• Esquecimento, por abstenção de divulgação ou publicitação após alcançada a finalidade;
• Limitação do tratamento, nas situações previstas;
• Portabilidade dos dados que tenha fornecido, quando aplicável;
• Oposição ao tratamento;
• Não sujeição a decisões exclusivamente automatizadas com efeitos significativos, nos termos do Artigo 24.º.
• Artigo 11.º – Exercício de direitos

Os direitos são exercidos pelo titular dos dados pessoais, ou por quem o represente nos termos do artigo 80.º do RGPD, atendendo a:

11.1 Os direitos exercem-se mediante pedido, por qualquer meio, ao Responsável pelo Tratamento – Advance Station – através do endereço constante em 4.1 desta Política de Privacidade.

11.2 Ao DPO, no caso de recusa de exercício de direitos ou que o titular dos dados requerente percecione como insuficiente acatamento do pedido para o exercício daqueles direitos, por parte da Advance Station, requerendo, neste caso, através do email dpo.advancestation@aprovarelatorio.pt, a sua intervenção em razão de matéria.

A Advance Station responde sem demora injustificada e no prazo máximo de um mês, prorrogável por dois meses em casos complexos, com comunicação fundamentada ao titular.

O exercício de direitos é gratuito, salvo pedidos manifestamente infundados ou excessivos, nos termos do artigo 12.º do RGPD.

Artigo 12.º – Reclamação à autoridade de controlo

Sem prejuízo de outros meios, o titular tem direito a apresentar reclamação à Comissão Nacional de Proteção de Dados (CNPD), com sede em Lisboa (www.cnpd.pt), sem prejuízo do recurso à via judicial.

CAPÍTULO IV
Conservação e segurança

Artigo 13.º – Prazos de conservação

Após o tratamento para o qual foram recolhidos os dados pessoais, os dados pessoais, caso não exista obrigação legal de os manter, observam a Política de Arquivo (POL-04), que constitui a tabela autoritativa de prazos do sistema documental, e da síntese constante do Anexo C. Findos os prazos, os dados são anonimizados.

Artigo 14.º – Medidas técnicas e organizativas

A Advance Station adota medidas adequadas ao risco, alinhadas com a referência ISO/IEC 27001, designadamente controlo de acessos por perfil, autenticação, registo de acessos, cifragem de dados sensíveis em trânsito e em repouso quando aplicável, cópias de segurança, segregação de ambientes, e políticas de palavra-passe e de dispositivos. A segurança é verificada em auditoria interna.

Artigo 15.º – Plataformas de aprendizagem e gravação de sessões

Os registos de acesso e de atividade nas plataformas de aprendizagem (LMS) constituem dados pessoais, com prazo de conservação definido e proporcional, informado aos titulares.

A gravação de sessões de formação a distância ocorre quando exigida pelos requisitos das entidades certificadoras, para efeitos de controlo de qualidade e de prova da execução da formação, assentando em obrigação de cumprimento de regra jurídica, e no cumprimento desses requisitos, com ponderação documentada e informação prévia aos titulares sobre a finalidade e a conservação. Quando a gravação não decorra de requisito de certificação, assenta em consentimento específico e revogável.

Artigo 16.º – Videovigilância e meios de controlo

A Advance Station não promove a recolha de dados pessoais, neste momento, por recurso a qualquer sistema de videovigilância ativo, encontrando-se os equipamentos existentes desativados e inoperacionais, de acordo com informação e sinalética existente nos locais. Numa eventual reativação comunicada pelos mesmos meios e formas, destinar-se-á exclusivamente à segurança de pessoas e bens, com sinalização visível, sem finalidade de controlo do desempenho, com acesso restrito e conservação limitada a 30 dias salvo necessidade de prova, e é precedida de inscrição no registo de atividades de tratamento e de avaliação prévia, em coerência com o Regulamento Interno (REG-02) e com as orientações da CNPD.

CAPÍTULO V
Subcontratação e transferências internacionais

Artigo 17.º – Subcontratantes

O recurso a subcontratantes, designadamente prestadores de plataformas, alojamento, contabilidade ou comunicação, observa o artigo 28.º do RGPD, mediante contrato que imponha confidencialidade, instruções documentadas, medidas de segurança e a eliminação ou devolução dos dados no termo da prestação.

Artigo 18.º – Transferências internacionais

A Advance Station não realiza, neste momento, transferências de dados pessoais para fora do Espaço Económico Europeu, não existindo, designadamente, fluxos de dados associados à marca Direct English para o Linguaphone Group.

Caso venham a ocorrer transferências internacionais, apenas se realizam ao abrigo das garantias do Capítulo V do RGPD, designadamente uma decisão de adequação, como a aplicável ao Reino Unido, ou cláusulas contratuais-tipo, com informação prévia aos titulares e inscrição no registo de atividades de tratamento.

CAPÍTULO VI
Governação, violação de dados e responsabilidade

Artigo 19.º – Encarregado de Proteção de Dados

A Advance Station designou como Encarregado de Proteção de Dados uma entidade externa especializada, Aprovarelatório, Lda., representada pelo Dr. José António Rajani Oliveira Dias, contactável através de dpo.advancestation@aprovarelatorio.pt. O EPD informa e aconselha a organização, fiscaliza a conformidade, coopera com a CNPD e é o ponto de contacto dos titulares. Exerce as suas funções com autonomia, sem instruções quanto ao seu exercício, e reporta diretamente à Direção Geral, nos termos dos artigos 37.º a 39.º do RGPD.

Artigo 20.º – Registo de atividades de tratamento

A Advance Station mantém e atualiza um registo de atividades de tratamento, nos termos do artigo 30.º do RGPD, cuja síntese consta do Anexo A e cuja versão completa, com categorias de dados, destinatários, prazos e medidas de segurança por atividade, é mantida, pela Advance Station, com cópia para o Encarregado de Proteção de Dados e disponibilizada à CNPD quando solicitada.

Artigo 21.º – Avaliação de impacto sobre a proteção de dados

Quando um tratamento seja suscetível de implicar risco elevado, designadamente o tratamento em grande escala, a monitorização sistemática, o tratamento de dados de menores em escala ou o recurso a novas tecnologias, a Advance Station realiza uma avaliação de impacto (AIPD), nos termos do artigo 35.º do RGPD, com parecer do Encarregado de Proteção de Dados e, se necessário, consulta prévia à CNPD.

Artigo 22.º – Violação de dados pessoais

Qualquer violação de dados é registada e avaliada quanto ao risco para os direitos e liberdades dos titulares, segundo o procedimento do Anexo D.

Quando exista risco, a Advance Station notifica a CNPD no prazo de 72 horas a contar do conhecimento, nos termos do artigo 33.º, e, havendo risco elevado, comunica aos titulares sem demora injustificada, nos termos do artigo 34.º.

Artigo 23.º – Formação e sensibilização

Os recursos humanos da Advance Station, e respetivos parceiros, recebem formação e sensibilização periódica em proteção de dados, integrada no acolhimento e em atualização anual, com registo no sistema da qualidade.

Artigo 24.º – Decisões automatizadas e definição de perfis

1. A Advance Station não toma decisões baseadas exclusivamente no tratamento automatizado, incluindo a definição de perfis, que produzam efeitos jurídicos na esfera dos titulares ou que os afetem significativamente de forma similar, nos termos do artigo 22.º do RGPD.

2. Quando utilize a definição de perfis para fins de comunicação e marketing, designadamente a segmentação de destinatários da oferta formativa, fá-lo com base no consentimento, com informação prévia clara, podendo o titular opor-se a todo o tempo, sem prejuízo da licitude do tratamento anterior.

3. A introdução de qualquer tratamento que envolva decisões exclusivamente automatizadas com os efeitos referidos no n.º 1 é precedida, de consentimento do titular dos dados, de avaliação de impacto e de parecer do Encarregado de Proteção de Dados.

4. A definição de perfis que envolva menores é objeto de avaliação de impacto e de salvaguardas reforçadas, não produzindo decisões com efeitos jurídicos ou significativos sobre o menor.

Artigo 25.º – Proteção de dados desde a conceção e por defeito

Novos tratamentos, plataformas e instrumentos incorporam a proteção de dados desde a conceção e por defeito, nos termos do artigo 25.º do RGPD, com minimização e configurações restritivas por defeito.

CAPÍTULO VII
Disposições finais

Artigo 26.º – Articulação documental

Com esta Política de Privacidade articulam-se o Manual da Qualidade (MQ-01), a Política da Qualidade (POL-01), a Política de Recursos Humanos (POL-03), a Política de Arquivo (POL-04), a Política de Incentivos (POL-05), a Política de Ética Digital (POL-06), o Regulamento de Formação (REG-01) e o Regulamento Interno (REG-02). Em caso de divergência, prevalece a norma imperativa – no caso a Política de Privacidade -, e abaixo dela, a hierarquia documental do Capítulo 5 do MQ-01. As disposições de proteção de dados constantes de outros instrumentos remetem para esta Política, e a tabela de prazos de conservação remete para a Política de Arquivo (POL-04).

Artigo 27.º – Entrada em vigor e revisão

A Política de Privacidade entra em vigor com a sua publicação, após aprovação pela Direção Geral, e é revista anualmente, em ciclo de maio, ou por alteração regulamentar relevante, recomendação de auditoria ou decisão estratégica. Toda a revisão é registada na ficha de controlo de revisões.

ANEXO A
Registo de atividades de tratamento (síntese)

Síntese das principais atividades de tratamento. A versão completa, com categorias de dados, destinatários, prazos e medidas de segurança por atividade, é mantida pelo Encarregado de Proteção de Dados, nos termos do artigo 30.º do RGPD.

1. Gestão de candidaturas e seleção
Categorias de titulares/dados: Nome, telefone, email, morada, NIF, CC e habilitações académicas.
Base de licitude: Diligências pré-contratuais, art. 6.º, n.º 1, alínea b).

2. Execução da formação e dossier técnico-pedagógico
Categorias de titulares/dados: Nome, telefone, email, morada, NIF, CC e habilitações académicas.
Base de licitude: Execução de contrato e obrigação legal, art. 6.º, n.º 1, alíneas b) e c).

3. Emissão e registo de certificados (SIGO)
Categorias de titulares/dados: Nome, telefone, email, morada, NIF e CC.
Base de licitude: Obrigação legal, art. 6.º, n.º 1, alínea c).

4. Seleção, contratação e avaliação do corpo formativo
Categorias de titulares/dados: Nome, telefone, email, morada, NIF, CC e habilitações académicas.
Base de licitude: Execução de contrato e interesse legítimo, art. 6.º, n.º 1, alíneas b) e f).

5. Gestão da relação laboral da equipa
Categorias de titulares/dados: Nome, telefone, email, morada, NIF, CC e habilitações académicas.
Base de licitude: Execução de contrato e obrigação legal, art. 6.º, n.º 1, alíneas b) e c).

6. Gestão de clientes B2B e faturação
Categorias de titulares/dados: Nome, telefone, email, morada e NIF.
Base de licitude: Execução de contrato e obrigação legal, art. 6.º, n.º 1, alíneas b) e c).

7. Comunicação e marketing da oferta formativa
Categorias de titulares/dados: Nome, telefone, email, morada, NIF e CC.
Base de licitude: Consentimento, art. 6.º, n.º 1, alínea a); envio nos termos do art. 13.º-A da Lei 41/2004.

8. Plataforma de aprendizagem (LMS) e logs de acesso
Categorias de titulares/dados: Nome, telefone e email.
Base de licitude: Execução de contrato e interesse legítimo, art. 6.º, n.º 1, alíneas b) e f).

9. Gravação de sessões de formação a distância
Categorias de titulares/dados: Nome, telefone e email.
Base de licitude: Interesse legítimo e requisito de certificação, art. 6.º, n.º 1, alínea f); consentimento quando não exigida.

10. Acompanhamento pós-formativo e avaliação de impacto
Categorias de titulares/dados: Nome, telefone e email.
Base de licitude: Interesse legítimo e gestão da qualidade, art. 6.º, n.º 1, alínea f).

Nota: a videovigilância das instalações não constitui, neste momento, atividade de tratamento ativa, encontrando-se os equipamentos desativados. A eventual reativação será inscrita no registo e precedida de avaliação, nos termos do Artigo 16.º.

ANEXO B
Fonte de licitude por finalidade

Correspondência entre as finalidades principais e a base de licitude do artigo 6.º do RGPD, para demonstração do princípio da responsabilidade.

Seleção e inscrição na formação
Base de licitude: Diligências pré-contratuais [b)].
Observação: Não depende de consentimento.

Execução da formação e DTP
Base de licitude: Contrato e obrigação legal [b) e c)].
Observação: A DGERT exige a conservação do DTP.

Certificação e registo SIGO
Base de licitude: Obrigação legal [c)].
Observação: Portaria n.º 474/2010.

Faturação e obrigações fiscais
Base de licitude: Obrigação legal [c)].
Observação: Conservação de 10 anos.

Avaliação do corpo formativo
Base de licitude: Execução de contrato [b)].
Observação: Com ponderação documentada.

Marketing por meios eletrónicos
Base de licitude: Consentimento [a)].
Observação: Alínea a) n.º 1 do art. 6.º do RGPD.

Gravação de sessões a distância
Base de licitude: Requisito legal de certificação [f)].
Observação: –

Definição de perfis para marketing
Base de licitude: Consentimento [a)].
Observação: Direito de oposição; sem decisões exclusivamente automatizadas com efeitos significativos (Art. 24.º).

Videovigilância (inativa)
Base de licitude: Requisito legal.
Observação: Sistema desativado; base aplicável se reativada.

ANEXO C
Prazos de conservação

Síntese dos prazos mínimos de conservação. A tabela autoritativa é a constante do Anexo A da Política de Arquivo (POL-04), para a qual esta síntese remete, prevalecendo sempre o prazo legal mais longo aplicável.

Dossier técnico-pedagógico de cada ação
Prazo mínimo de conservação: 10 anos após o termo da ação.
Fundamento: Referencial DGERT.

Contratos de formação e com o corpo formativo
Prazo mínimo de conservação: 5 anos após o termo, ou prazo maior se exigido por financiador.
Fundamento: Código Civil; legislação financiadora.

Registos SIGO e certificados emitidos
Prazo mínimo de conservação: Conservação da cópia do certificado, limitada ao estritamente necessário.
Fundamento: Portaria n.º 474/2010, conciliada com a limitação da conservação (art. 5.º, n.º 1, alínea e), com pseudonimização quando possível.

Documentos contabilísticos e fiscais
Prazo mínimo de conservação: 10 anos.
Fundamento: Código Comercial; legislação fiscal.

Logs de acesso ao LMS
Prazo mínimo de conservação: Prazo proporcional definido no registo de tratamento.
Fundamento: Minimização, RGPD.

Imagens de videovigilância (quando ativa)
Prazo mínimo de conservação: 30 dias, salvo necessidade de prova.
Fundamento: Orientações da CNPD.

Dados sem prazo legal específico
Prazo mínimo de conservação: Período fixado na avaliação de impacto e no registo de tratamento.
Fundamento: Limitação da conservação, RGPD.

ANEXO D
Procedimento de notificação de violação de dados

Fluxo interno de resposta a violações de dados pessoais, com os prazos críticos do RGPD.

1. Deteção e registo imediato da violação, com data, natureza e dados afetados.

2. Avaliação do risco para os titulares, segundo matriz de severidade e probabilidade, com parecer do EPD.

3. Contenção e remediação técnica e organizativa.

4. Decisão de notificação: à CNPD em 72 horas se houver risco; aos titulares sem demora se o risco for elevado.

5. Documentação no registo de violações, independentemente de notificação.

6. Lições aprendidas e medidas preventivas, integradas no ciclo de melhoria contínua.