Política de Privacidade

Esta Política de Privacidade explica, de forma clara e transparente, que dados pessoais recolhemos, porque os recolhemos, como os tratamos e protegemos, com quem os partilhamos e quais são os teus direitos. A OffMarket foi concebida segundo os princípios da minimização de dados e da confidencialidade: recolhemos apenas a informação estritamente necessária para operar a plataforma, prestar os serviços e cumprir as obrigações legais aplicáveis.

A OffMarket é uma plataforma tecnológica privada de acesso e de verificação. O nosso papel é qualificar e verificar utilizadores, para que apenas membros idóneos acedam a um ambiente reservado. Não somos mediadores imobiliários, não representamos nenhuma das partes e não intervimos nos negócios que os utilizadores decidam celebrar entre si. Este enquadramento ajuda a compreender porque tratamos cada categoria de dados.

1. Responsável pelo Tratamento e Encarregado de Proteção de Dados

O responsável pelo tratamento dos teus dados pessoais é a [[RAZAO_SOCIAL]], sociedade por quotas com sede em [[SEDE]], titular do número único de matrícula e de pessoa coletiva [[NIPC]], matriculada na [[CONSERVATORIA_RC]] sob o número [[NUM_MATRICULA]], com o capital social de [[CAPITAL_SOCIAL]].

Para qualquer questão relacionada com privacidade e proteção de dados, ou para exerceres os teus direitos, nomeámos um Encarregado de Proteção de Dados (EPD), que podes contactar em [[EPD_NOME_OU_FUNCAO]] através de privacy@offmarket.pt.

2. A quem se aplica esta Política

Esta Política aplica-se a todos os utilizadores da plataforma OffMarket, acessível em offmarket.pt e subdomínios, independentemente de acederem como Vendedor, Comprador ou Investidor, e a qualquer pessoa que interaja connosco por email ou através dos nossos canais de suporte.

3. Que dados pessoais recolhemos e como

Recolhemos apenas os dados necessários para prestar o serviço (princípio da minimização, Art.5 nº1 c do RGPD). Os dados são recolhidos diretamente de ti, no registo e na utilização da plataforma, gerados por nós no âmbito da verificação e da segurança, ou recebidos dos nossos prestadores de verificação e pagamento.

• ▸Dados de identificação: Nome completo, endereço de email, data de nascimento, telefone, país, distrito e cidade.
• ▸Credenciais de autenticação: A tua palavra-passe é guardada apenas de forma cifrada (hash bcrypt), nunca em texto simples, e não é acessível a ninguém.
• ▸Documentos de identidade (categoria especial de dados): Imagens do teu documento de identificação e uma selfie, bem como os dados deles extraídos (nome, tipo e validade do documento). São tratados com salvaguardas reforçadas, descritas na secção 4.
• ▸Dados de capacidade e provas: Documentos de prova de propriedade ou de capacidade financeira que carregues para efeitos de qualificação.
• ▸Dados financeiros e de faturação: Elementos do método de pagamento, informação da subscrição, morada de faturação e, se aplicável, NIF.
• ▸Dados profissionais: Quando aplicável: nome da empresa, LinkedIn, website, foco e intervalo de investimento.
• ▸Dados de imóveis e de utilização: Anúncios que publiques (título, descrição, imagens, preço, localização) e interesses ou pesquisas que realizes.
• ▸Dados de comunicação: Mensagens trocadas com outros utilizadores na plataforma e pedidos de suporte.
• ▸Dados de verificação e de risco: Estados de verificação e pontuações de confiança e de risco de fraude geradas de forma automatizada (secção 5).
• ▸Dados de consentimento e de auditoria: Registo, com data e hora, da aceitação dos Termos e desta Política, e do estado de verificação de email (Art.7 nº1 RGPD).
• ▸Dados técnicos e de segurança: Endereços IP nos registos, identificação do navegador e registos de atividade necessários à segurança da plataforma.

Alguns dados não são recolhidos diretamente de ti: o resultado da verificação de identidade e os dados extraídos do documento provêm da Stripe Identity, o estado dos pagamentos provém da Stripe, e as pontuações de confiança e de risco são geradas pelos nossos sistemas a partir dos documentos que carregas. Não recebemos dados teus de fontes públicas nem de corretores de dados.

O fornecimento dos dados de identificação, do documento de identidade e das provas de qualificação é necessário para celebrar e executar o contrato de acesso à plataforma. Não és obrigado a fornecê-los, mas sem eles não conseguimos verificar-te nem dar-te acesso, pelo que a conta não poderá ser ativada. Os restantes dados, como os de marketing, são facultativos e a sua não indicação não te prejudica o acesso.

4. Verificação de identidade e análise por inteligência artificial

Para te dar acesso à plataforma e assegurar um ambiente de confiança, tratamos os teus documentos de identidade e as tuas provas. Queremos ser totalmente transparentes sobre o percurso desses ficheiros, porque envolvem dados sensíveis.

5. Pontuações de confiança e decisões automatizadas (Art.22 RGPD)

Utilizamos sistemas automáticos para nos ajudar a verificar contas e a detetar fraude. Explicamos aqui, de forma explícita, o que fazem, a sua importância e os teus direitos.

• ▸O que a IA avalia: A partir dos documentos que carregas, a IA extrai o nome e avalia a autenticidade e a coerência dos dados; a correspondência entre o nome extraído e o teu registo é calculada pelos nossos sistemas. Deste conjunto resulta uma pontuação de confiança. Em paralelo, analisamos sinais de risco e geramos uma pontuação de risco de fraude, com um nível de gravidade associado.
• ▸Importância e consequências: Estas pontuações servem apenas para triar o acesso à plataforma. Podem conduzir à aprovação, à necessidade de revisão manual adicional, ou a que a nossa equipa coloque a conta em análise reforçada antes de decidir, em casos de risco elevado.
• ▸Intervenção humana efetiva: As decisões que afetam de forma significativa o teu acesso são tomadas ou confirmadas por uma pessoa da nossa equipa, com poder para rever e para decidir de forma diferente do que a IA sugere. Não tomamos decisões exclusivamente automatizadas com efeitos significativos sem essa intervenção.
• ▸Perímetro do tratamento: As pontuações são utilizadas unicamente no contexto desta plataforma. Não te avaliamos nem classificamos para fins alheios à OffMarket.
• ▸Os teus direitos: Tens o direito de obter informação sobre a lógica desta análise, de exprimir o teu ponto de vista, de pedir uma revisão humana e de contestar a decisão, escrevendo para privacy@offmarket.pt.

6. Finalidades e fundamentos de licitude (Art.6 RGPD)

Tratamos os teus dados apenas quando existe um fundamento de licitude válido:

7. Prevenção de branqueamento de capitais

Dada a natureza do setor imobiliário, e por precaução, aplicamos medidas de prevenção de branqueamento de capitais e de financiamento do terrorismo alinhadas com a Lei nº 83/2017. Estas medidas podem implicar recolher elementos adicionais, identificar o beneficiário efetivo de utilizadores que atuem como empresa, e conservar os registos de verificação necessários durante um período mais longo, como se detalha na secção sobre conservação. Na medida em que estejamos sujeitos a estes deveres, o tratamento assenta no cumprimento de obrigações legais; caso contrário, assenta no interesse legítimo em prevenir fraude e proteger a plataforma. Em qualquer caso, minimizamos os dados ao estritamente exigido.

8. A quem recorremos para tratar os teus dados (Art.28 RGPD)

Não vendemos nem cedemos os teus dados a terceiros para fins de marketing. Partilhamos dados apenas com os seguintes prestadores, que os tratam por nossa conta e ao abrigo de contratos de subcontratação que asseguram o cumprimento do RGPD:

Mantemos um registo atualizado dos nossos subprocessadores. Sempre que acrescentarmos ou substituirmos algum, atualizamos esta lista.

9. Transferências internacionais de dados (Arts. 44-49 RGPD)

Alguns dos nossos prestadores tratam dados fora do Espaço Económico Europeu, nomeadamente nos Estados Unidos. Estas transferências assentam nos seguintes mecanismos: a Stripe, Inc. ao abrigo da Data Privacy Framework UE-EUA e de Cláusulas Contratuais-Tipo; a Anthropic ao abrigo de Cláusulas Contratuais-Tipo, com avaliação de impacto da transferência; e a Resend ao abrigo de Cláusulas Contratuais-Tipo. O armazenamento dos documentos (AWS S3) e a base de dados são mantidos na União Europeia. Confirmamos e atualizamos o mecanismo aplicável a cada prestador de acordo com a respetiva certificação em vigor.

Podes pedir-nos mais informação sobre o mecanismo aplicável a cada prestador através de privacy@offmarket.pt.

10. Durante quanto tempo conservamos os teus dados (Art.5 nº1 e RGPD)

Quando um prazo legal de conservação nos obriga a manter dados, o apagamento só ocorre depois de esse prazo terminar.

11. Os Teus Direitos (Arts. 15-22 RGPD)

Para exercer qualquer direito, contacta privacy@offmarket.pt. Responderemos no prazo máximo de 30 dias (Art.12 nº3 RGPD). Tens ainda o direito de apresentar reclamação à Comissão Nacional de Proteção de Dados (cnpd.pt).

12. Segurança dos Dados (Art.32 RGPD)

Implementamos medidas técnicas e organizativas adequadas ao risco:

• ▸Palavras-passe protegidas com hash bcrypt (12 rounds)
• ▸Transmissão cifrada via HTTPS/TLS e documentos cifrados em repouso
• ▸Autenticação por token com expiração
• ▸Verificação de identidade via Stripe Identity (certificada PCI DSS Level 1 e ISO 27001)
• ▸Princípio do menor privilégio: acesso a dados de produção restrito a pessoal autorizado e apenas quando necessário

13. Violações de Dados (Arts. 33-34 RGPD)

Dispomos de procedimentos de deteção e resposta a incidentes. Em caso de violação de dados pessoais suscetível de implicar risco para os teus direitos, notificamos a Comissão Nacional de Proteção de Dados no prazo de 72 horas e, quando o risco for elevado, comunicamos-te diretamente sem demora injustificada.

15. Menores

A OffMarket destina-se exclusivamente a maiores de 18 anos. Não recolhemos conscientemente dados de menores. Se tomarmos conhecimento de que recolhemos dados de um menor, eliminamo-los.

16. Alterações a esta Política

Em caso de alterações materiais a esta Política de Privacidade, notificamos os utilizadores por email e/ou através da própria plataforma, com uma antecedência razoável. A data de entrada em vigor da versão atual consta no topo desta página.