Política de privacidad

1. Quiénes somos (el responsable del tratamiento)

El responsable del tratamiento de sus datos personales es:

BOCEAN IMMIGRATION PORTUGAL, LDA (que opera bajo los nombres comerciales Blue Ocean Immigration y Reside in Portugal)
NIPC (número de IVA portugués): 519 043 731
Inscrita en la Conservatória do Registo Comercial de Lisboa (Registro Mercantil de Lisboa)
Domicilio social: Avenida da Liberdade, n.º 67B, 3.º B, 1250-140 Lisboa, Portugal
Contacto general: [email protected] · Línea gratuita en EE. UU. +1 888 488 8593

Puede verificar el registro de nuestra empresa en cualquier momento mediante la búsqueda en línea gratuita del Registro Mercantil portugués (eportugal.gov.pt) usando el NIPC 519 043 731.

Punto de contacto para la protección de datos

No estamos legalmente obligados a designar un Delegado de Protección de Datos formal conforme al artículo 37 del RGPD (no somos una autoridad pública, nuestra actividad principal no consiste en una observación a gran escala y no tratamos categorías especiales de datos a gran escala). No obstante, hemos designado a un Responsable de Privacidad como punto de contacto único para todas las cuestiones de protección de datos. Para cualquier asunto relacionado con sus datos personales, escriba a [email protected]. Procuramos acusar recibo de su mensaje en un plazo de 3 días hábiles y dar una respuesta de fondo en un plazo de 30 días naturales, como exige el artículo 12, apartado 3, del RGPD. Cuando una solicitud sea compleja o hayamos recibido muchas solicitudes, podemos ampliar el plazo de respuesta hasta otros 60 días, en cuyo caso le explicaremos el motivo dentro de los primeros 30.

2. Qué datos personales recogemos

Recogemos solo lo que necesitamos para prestar los servicios que usted adquiere. El conjunto exacto depende del servicio: comprar solo un NIF requiere muchos menos datos que la Golden Visa o la constitución de una LDA. Las categorías incluyen:

Seguimos el principio de minimización de datos (art. 5, apartado 1, letra c, del RGPD): si una categoría no es necesaria para el servicio que compró, no la recogemos. Si no desea facilitar un dato concreto, puede preguntarnos si el servicio puede prestarse igualmente sin él: a veces sí (por ejemplo, un segundo nombre del pasaporte que no aparece en su documento de identidad), a veces no (por ejemplo, la copia del pasaporte para una solicitud de NIF, pues la AT rechazará el expediente sin ella).

3. De dónde obtenemos sus datos

Casi todos proceden directamente de usted. Un conjunto más reducido procede de terceros que actúan en su nombre o por imperativo legal:

• De las autoridades portuguesas: una vez que presentamos una solicitud en su nombre en virtud de su procuração, la AT, la AIMA o el IRN nos devuelven los números correspondientes (NIF, NIPC, número de tarjeta de residencia) para que podamos completar el caso
• Del banco asociado: cuando abrimos una cuenta, el banco nos comunica su IBAN y el resultado del alta
• Del consulado / centro VFS: cuando coordinamos una cita para la visa, el centro nos confirma la reserva
• De Stripe: los resultados de los pagos (pagado / fallido / reembolsado) nos llegan a través de los webhooks de Stripe
• De esignatures.com: los eventos de firma (firmado / rechazado / caducado) y el PDF firmado resultante junto con el registro de auditoría

No compramos listas de nombres, no extraemos datos de bases de datos públicas ni enriquecemos su expediente con intermediarios comerciales de datos.

4. Base jurídica del tratamiento

El artículo 6 del RGPD nos exige contar con una base jurídica para cada actividad de tratamiento. Nuestras bases se detallan a continuación; la mayor parte de nuestro trabajo se apoya en la base (b) (ejecución de un contrato):

5. Cómo usamos sus datos

• Para prestar los servicios de inmigración / fiscales / societarios que usted compró
• Para preparar documentos legales (poderes, declaraciones, contratos) para que usted los firme
• Para actuar en su nombre en virtud de un poder ante la autoridad tributaria portuguesa (AT), la AIMA, el IRN, las Conservatórias y los bancos, dentro del alcance preciso autorizado por cada procuração
• Para enviar correos electrónicos transaccionales (creación de cuenta, solicitudes de firma, entrega de documentos, novedades del caso); no son marketing y no puede darse de baja de ellos sin poner fin al encargo
• Para procesar pagos, emitir facturas, gestionar suscripciones (por ejemplo, Caixa Postal Digital) y reembolsos
• Para responder a sus preguntas y prestar atención al cliente
• Para detectar y prevenir el fraude, el abuso y la usurpación de cuentas
• Para cumplir nuestras obligaciones legales (prevención del blanqueo de capitales, legislación fiscal, órdenes judiciales)
• Para defender nuestros derechos en cualquier litigio, cuando se impugne un reembolso o se presente un contracargo (chargeback)

6. Categorías especiales de datos

Algunas presentaciones ante las autoridades portuguesas requieren categorías de datos que el RGPD considera «especiales» conforme al artículo 9 (datos que revelan la salud, las convicciones religiosas o filosóficas, datos biométricos, etc.). Cuando esto se aplique a su caso, nos amparamos en la excepción específica que permite el tratamiento:

• Datos de salud: limitados a los registros de vacunación (escolarización de los hijos) o a una declaración médica básica cuando una categoría de visa lo exige. Base: art. 9, apartado 2, letra a, consentimiento explícito, más art. 9, apartado 2, letra g, interés público esencial cuando el Estado lo exige expresamente
• Datos biométricos: la imagen facial de su pasaporte o documento de identidad es biométrica en principio, pero se usa solo para verificar su identidad y no para una identificación unívoca en el sentido del art. 9, apartado 1. Los datos biométricos de la AIMA (huellas dactilares, fotografía) los toma la propia AIMA a su llegada: nosotros nunca recogemos ni almacenamos datos biométricos
• Convicciones religiosas / filosóficas: solo se recogen si usted decide declararlas en un acta de matrimonio, un documento de unión de hecho u otro certificado que las contenga de forma intrínseca. No preguntamos por esta información, no elaboramos perfiles con ella ni la usamos más allá del propio documento
• Antecedentes penales: conforme al art. 10 del RGPD. Tratamos certificados de antecedentes penales apostillados únicamente porque la autoridad portuguesa de visas o de permisos de residencia los exige. El certificado se transmite a la autoridad y la copia que conservamos se rige por los mismos plazos de conservación establecidos en el §11 (normalmente los 7 años de conservación por prevención del blanqueo o los 10 años de archivo de los documentos firmados, el que termine más tarde), tras lo cual se destruye de forma permanente. Nunca usamos los antecedentes penales para ningún fin distinto de la presentación concreta ante la autoridad para la que usted los facilitó

Si su caso no implica ninguna de las situaciones anteriores, no tratamos ninguna categoría especial de datos en absoluto.

7. Prevención del blanqueo de capitales (AML / KYC)

Algunos de nuestros servicios, aunque no todos, entran en el ámbito de la legislación portuguesa de prevención del blanqueo de capitales (Lei n.º 83/2017, ley portuguesa de prevención del blanqueo de capitales y de la financiación del terrorismo). En concreto, somos una «entidade obrigada» (sujeto obligado) conforme al artículo 4, apartado 1, letra f, de dicha ley cuando actuamos como «prestador de serviços a sociedades» (proveedor de servicios a sociedades), es decir, cuando nuestra función en su caso incluye:

• La constitución de una LDA portuguesa u otra entidad jurídica
• Proporcionar el domicilio social, la dirección comercial o la dirección postal de la sociedad (por ejemplo, cuando la Caixa Postal Digital es su buzón postal legal)
• La representación fiscal de un no residente ante la autoridad tributaria portuguesa
• La coordinación de la apertura de una cuenta bancaria portuguesa bajo nuestro mandato, cuando gestionamos en su nombre la documentación sobre el origen de los fondos
• Actuar como administrador, secretario, socio fiduciario (nominee) o figura fiduciaria equiparable en una entidad jurídica

Para estos servicios debemos aplicar la diligencia debida del cliente (CDD / KYC):

1. Identificación: verificar quién es usted mediante un documento expedido por una administración pública (pasaporte o documento nacional de identidad). Para los perfiles de mayor riesgo también podemos pedir una factura reciente de suministros o un extracto bancario para confirmar su dirección
2. Comprobación de la titularidad real: en la constitución de sociedades, identificamos a las personas físicas que en última instancia poseen o controlan la entidad (beneficiarios finales)
3. Declaración de origen de los fondos: para cualquier movimiento de dinero (capital de la LDA, tasas del IRN, alta bancaria), le pedimos que declare el origen legítimo de los fondos y que lo justifique con documentación proporcional al importe
4. Clasificación del riesgo: clasificamos el caso como diligencia debida estándar, reforzada o simplificada según criterios objetivos (condición de PEP, país de origen, complejidad de la estructura)
5. Seguimiento continuo: durante todo el encargo estamos atentos a las incoherencias entre lo que usted nos dijo y lo que realmente ocurre; los cambios significativos dan lugar a una actualización del expediente

Si usted es una Persona Políticamente Expuesta (PEP), es decir, si desempeña o ha desempeñado una función pública relevante, el artículo 19 de la Lei 83/2017 nos obliga a aplicar una diligencia debida reforzada. Le rogamos que nos lo comunique al inicio del encargo; no es un impedimento para el servicio, pero sí afecta al tiempo que dedicamos a la preparación del expediente.

Comunicación de operaciones sospechosas. Si detectamos una operación o un intento de operación que razonablemente sospechamos vinculada al blanqueo de capitales o a la financiación del terrorismo, la Lei 83/2017 nos obliga a comunicarla a la Unidade de Informação Financeira (UIF) de la Polícia Judiciária. El artículo 54 de dicha ley nos exige no informarle de que lo hemos hecho: es la llamada regla de «prohibición de revelación» (no tipping-off), y es un deber legal, no una elección de estilo.

Servicios fuera del perímetro de prevención del blanqueo

En los servicios que no implican la constitución de sociedades, la representación fiscal, servicios fiduciarios ni el movimiento de dinero en su nombre, por ejemplo, un NIF Express por sí solo, una solicitud únicamente de visa (D7, D8, Golden Visa) o la inscripción en el régimen fiscal NHR / IFICI, la Lei 83/2017 no nos clasifica como sujeto obligado. No obstante, verificamos su identidad con el mismo cuidado conforme a nuestro marco general de diligencia debida contractual, y las autoridades portuguesas (AT, AIMA, consulados) y los bancos asociados pueden aplicar sus propias comprobaciones KYC independientes antes de aceptar nuestras solicitudes.

8. Datos de menores

Algunos de nuestros servicios afectan a menores, normalmente los hijos a cargo de un solicitante principal de una visa de reagrupación familiar, la escolarización o la inscripción en el sistema de salud. Cuando el caso implica a un menor (definido en el Derecho portugués como una persona menor de 18 años, aunque con consentimiento parental obligatorio por debajo de los 13 años conforme al art. 16 de la Lei 58/2019 para los servicios en línea de la sociedad de la información):

• Tratamos los datos del menor sobre la base del art. 6, apartado 1, letra b, del RGPD (ejecución de un contrato con el progenitor o tutor legal que compró el servicio). El menor no es nuestro cliente: lo es el progenitor
• Para cualquier tratamiento que vaya más allá de lo estrictamente necesario para el encargo, obtenemos el consentimiento explícito de ambos titulares de la patria potestad (responsabilidad parental), cuando proceda
• Recogemos solo lo que la autoridad portuguesa exige para el caso concreto (normalmente: nombre completo, fecha y lugar de nacimiento, nacionalidad, pasaporte / documento de identidad, expedientes escolares, registros de vacunación, certificado de nacimiento apostillado)
• No dirigimos acciones de marketing a los menores, no elaboramos perfiles sobre ellos y no enriquecemos sus datos con fuentes de terceros
• A los datos del menor se aplican los mismos plazos de conservación, medidas de seguridad y derechos descritos en el resto de esta política
• Los derechos los ejerce el progenitor o tutor legal hasta que el menor alcanza la mayoría de edad (18 años). Al cumplir los 18, el interesado (ya adulto) puede ejercer sus derechos directamente

9. Con quién compartimos los datos

Compartimos sus datos solo con las partes que intervienen en la prestación de su servicio, y solo el mínimo necesario para cada comunicación. Nunca vendemos ni alquilamos sus datos.

Autoridades portuguesas (en la medida autorizada por su poder)

• Autoridade Tributária e Aduaneira (AT): para la expedición del NIF, la representación fiscal, la inscripción en el IFICI, las declaraciones fiscales
• AIMA: Agência para a Integração, Migrações e Asilo: para las solicitudes y renovaciones de permisos de residencia
• IRN / Conservatórias do Registo Comercial: para el registro de sociedades LDA, las declaraciones de titularidad real (RCBE) y otras inscripciones en el registro mercantil
• Segurança Social: para la obtención del NISS y cualquier inscripción en la seguridad social vinculada a una relación laboral portuguesa
• VFS Global / consulados portugueses: para coordinar citas de visa fuera de Portugal

Bancos asociados & intermediarios financieros (solo cuando usted nos lo indica)

• Novobanco, Millennium bcp, ActivoBank, BPI o cualquier banco asociado que usted elija, cuando coordinamos la apertura de su cuenta bancaria portuguesa
• El proveedor del servicio Caixa Postal Digital (gestionado por el Estado portugués a través de ViaCTT / IRN), cuando usted contrata el complemento de buzón digital

Proveedores de servicios (encargados del tratamiento que actúan siguiendo nuestras instrucciones)

Cada uno de estos encargados está vinculado por un acuerdo de encargo del tratamiento (DPA) conforme al artículo 28 del RGPD y trata sus datos únicamente siguiendo nuestras instrucciones documentadas, con obligaciones de confidencialidad, medidas de seguridad y compromisos de notificación de violaciones de seguridad. Revisamos la lista al menos una vez al año y publicamos aquí la versión vigente.

Puede solicitar en cualquier momento la lista vigente y fechada de subencargados escribiendo a [email protected]. Le avisaremos con al menos 30 días de antelación antes de incorporar un nuevo subencargado que trate una categoría relevante de sus datos.

10. Transferencias internacionales

La mayor parte de nuestra infraestructura se encuentra en la UE (oficina de Lisboa, regiones de GCP en Fráncfort y Bélgica). Cuando los datos personales deben salir del Espacio Económico Europeo, usamos una de las garantías permitidas por el capítulo V del RGPD:

• Decisiones de adecuación: cuando la Comisión Europea ha decidido formalmente que un país de destino ofrece un nivel de protección adecuado (por ejemplo, Reino Unido, Suiza)
• El Marco de Privacidad de Datos UE-EE. UU. (DPF): para las transferencias a los encargados establecidos en EE. UU. indicados en el §9 que están certificados en el DPF (subtratamiento de Stripe, Resend, Cloudflare, Google LLC para analítica y medición de anuncios, Microsoft para Clarity [confirmar la certificación DPF])
• Las cláusulas contractuales tipo (CCT) de la Comisión Europea (Decisión de Ejecución 2021/914), más medidas técnicas y organizativas complementarias (cifrado en tránsito y en reposo, seudonimización cuando es viable, claves de acceso reservadas al responsable para los datos sensibles), para cualquier transferencia no cubierta por lo anterior

Puede solicitar una copia de las CCT en las que nos basamos (con las condiciones comerciales confidenciales ocultas) escribiendo a [email protected].

11. Durante cuánto tiempo conservamos sus datos

Cuando termina el plazo de conservación de una categoría, eliminamos los datos de forma permanente o, cuando la eliminación es técnicamente impracticable (por ejemplo, copias de seguridad archivadas), los hacemos inaccesibles hasta que la propia copia de seguridad se sobrescribe. Los agregados estadísticos seudonimizados pueden conservarse indefinidamente, pero no contienen nada que pueda vincularse con usted.

Incluso después de que usted reciba un reembolso y cancelemos el encargo (véanse la Política de reembolsos y los Términos del servicio), los registros de facturación, los documentos firmados y los registros de prevención del blanqueo siguen almacenados durante los plazos legales indicados arriba. Quedan bajo «bloqueo de archivo»: el acceso se restringe al personal que lo necesita específicamente (por ejemplo, para responder a una inspección fiscal), y los registros no pueden eliminarse, editarse ni usarse para ningún fin operativo.

12. Sus derechos conforme al RGPD

Los artículos 15 a 22 del RGPD le otorgan un conjunto de derechos sobre los datos personales que tenemos sobre usted. En resumen:

13. Cómo ejercer sus derechos

1. Escriba a [email protected] con el asunto «Solicitud RGPD: <su referencia de caso o correo electrónico>». Indíquenos qué derecho desea ejercer y qué quiere que hagamos.
2. Verificación de identidad: para evitar que terceros se hagan pasar por usted, le pedimos una prueba que le vincule con la cuenta (por ejemplo, una confirmación desde el correo electrónico que tenemos registrado, o una fotografía del mismo documento de identidad que ya conservamos). No recogemos nuevos documentos de identificación para una solicitud de derechos.
3. Acuse de recibo: confirmamos la recepción en un plazo de 3 días hábiles y le indicamos quién se ocupa de la solicitud.
4. Respuesta de fondo: en un plazo de 30 días naturales. En el caso de solicitudes complejas o con múltiples vertientes, podemos ampliar el plazo hasta 60 días, explicando los motivos por escrito dentro de los primeros 30.
5. Formato: las respuestas a las solicitudes de acceso y de portabilidad se entregan a través del portal como un archivo descargable (JSON + PDF) o por correo electrónico cifrado, a su elección. No enviamos copias en papel salvo que usted lo pida expresamente.
6. Coste: la primera solicitud en cualquier periodo de 12 meses es gratuita. Podemos cobrar una tasa administrativa razonable, en línea con las orientaciones de la CNPD y el artículo 12, apartado 5, del RGPD, solo para las solicitudes manifiestamente excesivas o repetitivas, y lo explicamos de antemano.
7. Recurso: si rechazamos una solicitud, puede presentar una reclamación ante la CNPD (véase el §20) o acudir a la tutela judicial conforme al art. 79 del RGPD.

14. Decisiones automatizadas & elaboración de perfiles

No tomamos decisiones que produzcan efectos jurídicos sobre usted (o que le afecten significativamente de modo similar) basadas únicamente en el tratamiento automatizado en el sentido del artículo 22 del RGPD. Toda decisión relevante sobre su caso, aceptar un encargo, clasificar un riesgo KYC, rechazar un servicio, conceder o denegar un reembolso, es revisada por un consultor humano.

Algunas operaciones están automatizadas por razones de enrutamiento o comodidad: la plataforma sugiere listas de documentos según el servicio que compró, el aviso de cookies registra su elección sobre analítica y medición de anuncios, y nuestras comprobaciones antifraude puntúan un pago a partir de las señales de fraude de Stripe. Ninguna de ellas produce efectos jurídicos sobre usted, y siempre puede pedir la intervención de una persona escribiendo a [email protected].

No usamos sus datos para elaborar perfiles publicitarios o de marketing, y no compartimos sus datos con redes publicitarias.

15. Comunicaciones de marketing

Podemos enviarle correos electrónicos de marketing (por ejemplo, un resumen anual de la política de inmigración, novedades ocasionales sobre productos) solo si usted se ha suscrito y tenemos un interés legítimo vigente en ofrecerle servicios relacionados. Todos los correos de marketing incluyen un enlace para darse de baja con un solo clic; también puede escribir a [email protected]. Darse de baja del marketing no afecta a los correos transaccionales sobre sus casos activos.

No hacemos publicidad de pago con elaboración de perfiles en Facebook, Instagram, TikTok, X ni plataformas comparables. Si alguna vez lo hacemos, actualizaremos esta sección, avisaremos a los suscriptores por correo electrónico con al menos 30 días de antelación y solicitaremos un nuevo consentimiento cuando sea necesario.

16. Cookies y seguimiento

Usamos cookies y tecnologías similares (el almacenamiento local y de sesión de su navegador) en resideportugal.com y app.resideportugal.com. La lista completa, con sus duraciones, está en la Política de cookies. En resumen:

Su elección. La analítica, la medición de anuncios y la grabación de sesiones están desactivadas hasta que usted elige Aceptar en el aviso de cookies. Rechazar tiene el mismo peso que Aceptar. Puede cambiar su elección en cualquier momento en Configuración de cookies, en el pie de página de todas las páginas; al rechazar se eliminan las cookies y los parámetros de campaña almacenados a los que podemos acceder.

Antes de que usted elija. La etiqueta de Google (medición de Analytics y Ads) se carga en modo de consentimiento denegado: no establece cookies y envía solo solicitudes sin identificadores, que Google usa para recuentos agregados y modelados. Las cookies y los identificadores se usan solo después de que usted elija Aceptar. Si rechaza, permanece en ese modo, de modo que las personas que rechazan se contabilizan solo de forma agregada, sin identificadores.

Qué se envía a Google Ads. Nombres de eventos (inicio del pago, llamada reservada, compra con importe, moneda y número de transacción) e identificadores de campaña como gclid. No su nombre, correo electrónico, documentos ni mensajes. No usamos remarketing ni listas de audiencias. [Confirmar que el remarketing está desactivado en la cuenta de Google Ads.]

No usamos píxeles de redes sociales ni bibliotecas de fingerprinting, y no elaboramos perfiles publicitarios a partir de sus visitas a otros sitios.

17. Seguridad & violaciones de la seguridad de los datos

Seguimos prácticas de seguridad estándar del sector, proporcionales a la sensibilidad de los datos que conservamos:

Medidas técnicas

• Cifrado TLS 1.3 en tránsito en todos los puntos de acceso (HTTPS en todo el sitio, HSTS precargado)
• Cifrado en reposo de las bases de datos, las copias de seguridad y el almacenamiento de documentos (AES-256)
• Acceso a la base de datos con privilegios mínimos; credenciales de producción almacenadas en Google Secret Manager y renovadas al menos una vez al año
• Webhooks de servidor a servidor firmados con HMAC (Stripe, esignatures.com, el panel de administración bocean) con protección contra repetición
• Registro de auditoría que captura cada acción administrativa (cambios de estado, subida de documentos, envío de mensajes, reembolsos)
• Protección CSRF a nivel de aplicación, limitación de frecuencia en los puntos de autenticación, cierre de sesión automático a los 30 días
• Actualizaciones periódicas de dependencias y parches de seguridad; supervisamos continuamente los avisos de seguridad de Composer / npm

Medidas organizativas

• Autenticación de dos factores en todas las cuentas del personal para el portal, el correo electrónico, Stripe, el panel de administración bocean y la consola en la nube
• Acceso por necesidad de conocer: cada miembro del personal ve solo los casos en los que trabaja
• Todo el personal firma compromisos de confidencialidad al incorporarse y recibe orientación práctica sobre el RGPD / la prevención del blanqueo antes de obtener acceso a los expedientes de los clientes
• Los subencargados están vinculados por DPA que reflejan las obligaciones de seguridad anteriores

Si se produce una violación de la seguridad de los datos personales

Si tenemos conocimiento de una violación de la seguridad de los datos personales que pueda entrañar un riesgo para sus derechos y libertades:

1. Notificaremos a la CNPD en un plazo de 72 horas desde que tengamos conocimiento, como exige el artículo 33 del RGPD
2. Le notificaremos sin dilación indebida si la violación puede entrañar un alto riesgo para sus derechos y libertades, como exige el artículo 34 del RGPD. La notificación describirá en lenguaje claro qué ocurrió, qué datos se vieron afectados, qué estamos haciendo al respecto y qué puede hacer usted para protegerse
3. Investigaremos la causa raíz, contendremos el incidente, restauraremos el servicio desde copias de seguridad limpias cuando sea necesario y aplicaremos medidas correctivas para evitar que se repita
4. Publicaremos un resumen público (sin exponer a personas concretas) una vez concluida la investigación, en aras de la transparencia

Si sospecha que su cuenta ha sido comprometida o que hemos podido sufrir una violación de seguridad, escriba de inmediato a [email protected]. Tratamos los avisos de seguridad de forma confidencial y no tomamos represalias contra quienes informan de buena fe.

18. Solicitudes de datos de gobiernos & terceros

Si una autoridad portuguesa o extranjera nos pide datos personales sobre usted fuera de los cauces de su poder, aplicamos las siguientes reglas:

• Autoridades portuguesas: cumplimos las órdenes judiciales portuguesas válidas, los requerimientos judiciales y las inspecciones fiscales / de prevención del blanqueo conforme al Derecho portugués. No revelamos voluntariamente datos más allá de lo que la orden exige estrictamente.
• Autoridades extranjeras: no atendemos directamente las solicitudes de datos personales de gobiernos extranjeros salvo que hayan sido validadas por un tribunal portugués o se canalicen a través de un tratado de asistencia judicial mutua (MLAT) y del Ministério Público portugués (Fiscalía). Esto incluye las órdenes ejecutivas de EE. UU., las citaciones de un gran jurado de EE. UU., las solicitudes al amparo de la CLOUD Act de EE. UU. e instrumentos equivalentes de terceros países.
• Solicitudes civiles de terceros (por ejemplo, la parte contraria en un litigio privado): exigimos una orden de un tribunal portugués o el consentimiento por escrito del interesado.

Cuando la ley nos permita informarle de una solicitud que afecte a sus datos, lo haremos, normalmente antes de atenderla, para que tenga la oportunidad de solicitar usted mismo la tutela judicial. Cuando la ley nos prohíba informarle (por ejemplo, órdenes de confidencialidad conforme al art. 54 de la Lei 83/2017), cumplimos el mínimo estrictamente exigido por la orden. La información agregada sobre las solicitudes gubernamentales de datos que hayamos recibido está disponible previa solicitud por escrito a [email protected].

19. Cambios en esta política

Podemos actualizar esta política de vez en cuando. La fecha de «Última actualización» que figura al principio refleja el cambio más reciente. En el caso de cambios que afecten sustancialmente a sus derechos (incorporar un subencargado que trate datos sensibles, ampliar sustancialmente un plazo de conservación, cambiar las bases jurídicas invocadas), se lo notificaremos por correo electrónico y mediante un aviso en el sitio web al menos 30 días antes de que surtan efecto, para que tenga tiempo de reaccionar. Los cambios editoriales menores (erratas, aclaraciones) surten efecto de inmediato y se enumeran en el registro de cambios siguiente.

Registro de cambios

• 18 de mayo de 2026: publicación inicial de la política.

20. Contacto & reclamaciones

Para cualquier pregunta sobre privacidad, para ejercer sus derechos o para comunicar un problema de seguridad:

Procuramos resolver todas las cuestiones internamente. Si no está satisfecho con nuestra respuesta, o si considera que nuestro tratamiento de sus datos infringe el RGPD, tiene derecho a presentar una reclamación ante la autoridad de control, que en Portugal es:

Comissão Nacional de Proteção de Dados (CNPD)
Av. D. Carlos I, 134: 1.º, 1200-651 Lisboa
www.cnpd.pt · [email protected]

Conforme al artículo 77 del RGPD, los residentes en la UE también pueden presentar una reclamación ante la autoridad de control de su país de residencia habitual o de su lugar de trabajo.

21. Glosario de términos

AIMA

Agência para a Integração, Migrações e Asilo, la autoridad portuguesa responsable de la inmigración y los permisos de residencia (sucesora del SEF).

AML / KYC

Anti-Money Laundering / Know-Your-Customer (prevención del blanqueo de capitales, también llamado lavado de dinero / conocimiento del cliente), la obligación legal de verificar a los clientes y el origen de los fondos antes de prestar servicios que puedan usarse indebidamente para delitos financieros.

AT

Autoridade Tributária e Aduaneira, la autoridad tributaria portuguesa. Expide los NIF, gestiona el IVA y tramita las inscripciones en el IFICI / NHR.

CNPD

Comissão Nacional de Proteção de Dados, la autoridad de control portuguesa en materia de protección de datos. Equivalente de la CNIL francesa, la AEPD española o la BfDI alemana.

Responsable del tratamiento

La entidad jurídica que decide por qué y cómo se tratan sus datos personales. En esta política, el responsable del tratamiento es BOCEAN IMMIGRATION PORTUGAL, LDA.

DPA / DPF / CCT

DPA = Data Processing Agreement (acuerdo de encargo del tratamiento, el contrato que vincula a un encargado con un responsable conforme al art. 28 del RGPD). DPF = el Marco de Privacidad de Datos UE-EE. UU., un régimen de adecuación para transferir datos a empresas estadounidenses certificadas. CCT = cláusulas contractuales tipo (SCCs), contratos modelo emitidos por la Comisión Europea para las transferencias a terceros países.

RGPD

Reglamento General de Protección de Datos, Reglamento (UE) 2016/679, la principal norma de protección de datos de la UE. Complementado en Portugal por la Lei n.º 58/2019.

IRN

Instituto dos Registos e do Notariado, la autoridad portuguesa responsable de los registros civil, mercantil y de la propiedad. Expide los NIPC y gestiona la Caixa Postal Digital.

Lei 83/2017

Ley portuguesa de prevención del blanqueo de capitales y de la financiación del terrorismo (Lei n.º 83/2017 de 18 de agosto).

NIF / NIPC

NIF = Número de Identificação Fiscal, el número de contribuyente portugués de las personas físicas. NIPC = Número de Identificação de Pessoa Coletiva, el número de contribuyente portugués de las empresas.

PEP

Persona Políticamente Expuesta: alguien que desempeña o ha desempeñado recientemente una función pública relevante, así como sus familiares cercanos y allegados conocidos. Da lugar a una diligencia debida reforzada conforme al art. 19 de la Lei 83/2017.

Encargado del tratamiento

Un tercero que trata sus datos personales por cuenta y siguiendo las instrucciones del responsable (por ejemplo, Stripe procesando los pagos por nosotros).

UIF

Unidade de Informação Financeira, la unidad de inteligencia financiera de Portugal, integrada en la Polícia Judiciária. Recibe las comunicaciones de operaciones sospechosas.