Politique de confidentialité

1. Qui nous sommes (le responsable du traitement)

Le responsable du traitement de vos données personnelles est :

BOCEAN IMMIGRATION PORTUGAL, LDA (exerçant sous les noms Blue Ocean Immigration et Reside in Portugal)
NIPC (numéro de TVA portugais) : 519 043 731
Immatriculée auprès de la Conservatória do Registo Comercial de Lisboa (registre du commerce de Lisbonne)
Siège social : Avenida da Liberdade, n.º 67B, 3.º B, 1250-140 Lisboa, Portugal
Contact général : [email protected] · numéro gratuit depuis les États-Unis +1 888 488 8593

Vous pouvez vérifier à tout moment l'immatriculation de notre société grâce à la recherche en ligne gratuite du registre du commerce portugais (eportugal.gov.pt), à partir du NIPC 519 043 731.

Point de contact pour la protection des données

Nous ne sommes pas légalement tenus de désigner un délégué à la protection des données (DPO) au titre de l'article 37 du RGPD (nous ne sommes pas une autorité publique, notre activité principale ne consiste pas en un suivi à grande échelle, et nous ne traitons pas de catégories particulières de données à grande échelle). Nous avons néanmoins désigné un Privacy Lead (responsable vie privée) comme interlocuteur unique pour toutes les questions de protection des données. Pour toute question relative à vos données personnelles, écrivez à [email protected]. Nous nous efforçons d'accuser réception de votre message sous 3 jours ouvrés et d'y apporter une réponse sur le fond sous 30 jours calendaires, comme l'exige l'article 12, paragraphe 3, du RGPD. Lorsqu'une demande est complexe ou que nous avons reçu de nombreuses demandes, nous pouvons prolonger ce délai de réponse de 60 jours supplémentaires au maximum ; dans ce cas, nous vous en indiquerons les raisons dans les 30 premiers jours.

2. Les données personnelles que nous collectons

Nous ne collectons que ce dont nous avons besoin pour fournir les services que vous achetez. L'ensemble exact dépend du service : acheter un simple NIF exige beaucoup moins de données qu'un Golden Visa ou la constitution d'une LDA. Les catégories comprennent :

Nous appliquons la minimisation des données (art. 5, par. 1, point c), du RGPD) : si une catégorie n'est pas nécessaire au service que vous avez acheté, nous ne la collectons pas. Si vous ne souhaitez pas fournir une information, vous pouvez demander si le service peut tout de même être fourni sans elle : parfois oui (par exemple un deuxième prénom figurant sur un passeport mais pas sur votre pièce d'identité), parfois non (par exemple une copie du passeport pour une demande de NIF : l'AT rejettera le dossier sans elle).

3. D'où proviennent vos données

La quasi-totalité provient directement de vous. Un ensemble plus restreint provient de tiers agissant pour votre compte ou en vertu de la loi :

• Des autorités portugaises : une fois que nous effectuons un dépôt en votre nom en vertu de votre procuration, l'AT, l'AIMA ou l'IRN nous renvoient les numéros pertinents (NIF, NIPC, numéro de carte de séjour) afin que nous puissions mener le dossier à terme
• De la banque partenaire : lorsque nous ouvrons un compte, la banque nous communique votre IBAN et l'issue de la procédure d'ouverture
• Du consulat / centre VFS : lorsque nous coordonnons un rendez-vous de visa, le centre nous confirme la réservation
• De Stripe : les résultats des paiements (payé / échoué / remboursé) nous reviennent via les webhooks de Stripe
• De esignatures.com : les événements de signature (signé / refusé / expiré) ainsi que le PDF signé et la piste d'audit qui en résultent

Nous n'achetons pas de listes de noms, nous n'extrayons pas de bases de données publiques et nous n'enrichissons pas votre dossier au moyen de courtiers en données commerciaux.

4. Base juridique du traitement

L'article 6 du RGPD nous impose de disposer d'une base licite pour chaque activité de traitement. Nos bases sont présentées ci-dessous ; l'essentiel de notre travail repose sur la base (b) (exécution d'un contrat) :

5. Comment nous utilisons vos données

• Fournir les services d'immigration, fiscaux ou de droit des sociétés que vous avez achetés
• Préparer les documents juridiques (procurations, déclarations, contrats) que vous devez signer
• Agir en votre nom en vertu d'une procuration auprès de l'autorité fiscale portugaise (AT), de l'AIMA, de l'IRN, des Conservatórias et des banques, dans les limites précises autorisées par chaque procuração
• Envoyer des e-mails transactionnels (création de compte, demandes de signature, remise de documents, suivi du dossier) : il ne s'agit pas de marketing et vous ne pouvez pas vous y opposer sans mettre fin à la mission
• Traiter les paiements, émettre les factures, gérer les abonnements (par exemple la Caixa Postal Digital) et les remboursements
• Répondre à vos questions et assurer l'assistance client
• Détecter et prévenir la fraude, les abus et les prises de contrôle de compte
• Respecter nos obligations légales (lutte contre le blanchiment de capitaux, droit fiscal, décisions de justice)
• Défendre nos droits dans tout litige, lorsqu'un remboursement est contesté ou qu'une rétrofacturation (chargeback) est déposée

6. Catégories particulières de données

Certains dépôts auprès des autorités portugaises exigent des catégories de données que le RGPD qualifie de « particulières » à l'article 9 (données révélant l'état de santé, les convictions religieuses ou philosophiques, données biométriques, etc.). Lorsque cela concerne votre dossier, nous nous appuyons sur l'exception spécifique qui permet le traitement :

• Données de santé : limitées aux carnets de vaccination (inscription scolaire des enfants) ou à une déclaration médicale de base lorsqu'une catégorie de visa l'exige. Base : art. 9, par. 2, point a) (consentement explicite), ainsi que l'art. 9, par. 2, point g) (motif d'intérêt public important) lorsque l'État l'exige expressément
• Données biométriques : l'image du visage figurant sur votre passeport ou votre pièce d'identité est en principe biométrique, mais elle sert uniquement à vérifier votre identité et non à vous identifier de manière unique au sens de l'art. 9, par. 1. Les données biométriques de l'AIMA (empreintes digitales, photo) sont recueillies par l'AIMA elle-même à votre arrivée : nous ne collectons ni ne conservons jamais de données biométriques
• Convictions religieuses / philosophiques : collectées uniquement si vous choisissez de les déclarer dans un acte de mariage, un document d'union civile ou un autre certificat qui les contient intrinsèquement. Nous ne demandons pas ces informations, ne les profilons pas et ne les utilisons pas au-delà du document lui-même
• Casier judiciaire : au titre de l'art. 10 du RGPD. Nous ne traitons les extraits de casier judiciaire apostillés que parce que l'autorité portugaise compétente en matière de visas ou de titres de séjour les exige. Le certificat est transmis à l'autorité et notre copie conservée est soumise aux mêmes durées de conservation que celles exposées au §11 (en général la conservation de 7 ans prévue en matière de LCB-FT ou la conservation d'archivage de 10 ans des documents signés, la plus tardive des deux), après quoi elle est détruite définitivement. Nous n'utilisons jamais le casier judiciaire à d'autres fins que le dépôt précis auprès de l'autorité pour lequel vous l'avez fourni

Si votre dossier n'implique rien de ce qui précède, nous ne traitons aucune catégorie particulière de données.

7. Lutte contre le blanchiment de capitaux (LCB-FT / KYC)

Certains de nos services, mais pas tous, relèvent de la législation portugaise sur la lutte contre le blanchiment de capitaux (Lei n.º 83/2017). Plus précisément, nous sommes une « entidade obrigada » (entité assujettie) au titre de l'article 4, paragraphe 1, point f) de cette loi lorsque nous agissons en tant que « prestador de serviços a sociedades » (prestataire de services aux sociétés), c'est-à-dire lorsque notre rôle dans votre dossier comprend :

• La constitution d'une LDA portugaise ou d'une autre personne morale
• La fourniture du siège social, de l'adresse commerciale ou de l'adresse postale de la société (par exemple lorsque la Caixa Postal Digital est votre boîte aux lettres légale)
• La représentation fiscale d'un non-résident auprès de l'autorité fiscale portugaise
• La coordination de l'ouverture d'un compte bancaire portugais en exécution de notre mandat, lorsque nous traitons pour votre compte la documentation relative à l'origine des fonds
• L'exercice des fonctions d'administrateur, de secrétaire, d'associé prête-nom (nominee) ou de fiduciaire comparable au sein d'une personne morale

Pour ces services, nous devons appliquer des mesures de vigilance à l'égard de la clientèle (CDD / KYC) :

1. Identification : vérifier qui vous êtes au moyen d'un document délivré par une autorité publique (passeport ou pièce d'identité nationale). Pour les profils à risque plus élevé, nous pouvons également demander une facture de services publics ou un relevé bancaire récent afin de confirmer votre adresse
2. Vérification du bénéficiaire effectif : pour la constitution d'une société, nous identifions les personnes physiques qui détiennent ou contrôlent in fine l'entité
3. Déclaration d'origine des fonds : pour tout mouvement d'argent (capital de la LDA, frais de l'IRN, ouverture de compte bancaire), nous vous demandons de déclarer l'origine légitime des fonds et de l'étayer par des justificatifs proportionnés au montant
4. Classification des risques : nous classons le dossier en vigilance standard, renforcée ou simplifiée selon des critères objectifs (statut de PPE, pays d'origine, complexité de la structure)
5. Suivi continu : pendant toute la durée de la mission, nous restons attentifs aux incohérences entre ce que vous nous avez dit et ce qui se passe réellement ; des changements significatifs entraînent une mise à jour du dossier

Si vous êtes une personne politiquement exposée (PPE) : c'est-à-dire si vous exercez ou avez exercé une fonction publique importante, l'article 19 de la Lei 83/2017 nous impose d'appliquer une vigilance renforcée. Veuillez nous en informer dès le début de la mission ; ce n'est pas un obstacle au service, mais cela influe sur le temps que nous consacrons à la préparation du dossier.

Déclaration des opérations suspectes. Si nous identifions une opération ou une tentative d'opération que nous avons des raisons raisonnables de soupçonner d'être liée au blanchiment de capitaux ou au financement du terrorisme, la Lei 83/2017 nous oblige à la déclarer à l'Unidade de Informação Financeira (UIF) (cellule de renseignement financier) de la Polícia Judiciária. L'article 54 de cette loi nous impose de ne pas vous informer que nous l'avons fait : c'est ce que l'on appelle la règle d'interdiction de divulgation (« no tipping-off »), qui est une obligation légale et non un choix de style.

Services hors du périmètre LCB-FT

Pour les services qui n'impliquent ni constitution de société, ni représentation fiscale, ni services fiduciaires, ni mouvement d'argent pour votre compte, par exemple un NIF Express autonome, un dépôt de visa seul (D7, D8, Golden Visa) ou une inscription au régime fiscal NHR / IFICI, la Lei 83/2017 ne nous qualifie pas d'entité assujettie. Nous vérifions néanmoins votre identité avec le même soin dans le cadre de notre dispositif général de vigilance contractuelle, et les autorités portugaises (AT, AIMA, consulats) ainsi que les banques partenaires peuvent appliquer leurs propres contrôles KYC indépendants avant d'accepter nos dépôts.

8. Données relatives aux enfants

Certains de nos services concernent des mineurs, généralement les enfants à charge du demandeur principal d'un visa de regroupement familial, d'une inscription scolaire ou d'une affiliation aux soins de santé. Lorsque le dossier concerne un mineur (défini en droit portugais comme une personne de moins de 18 ans, mais avec un consentement parental requis en dessous de 13 ans au titre de l'art. 16 de la Lei 58/2019 pour les services de la société de l'information en ligne) :

• Nous traitons les données de l'enfant sur le fondement de l'art. 6, par. 1, point b), du RGPD (exécution d'un contrat avec le parent ou le représentant légal qui a acheté le service). L'enfant n'est pas notre client : c'est le parent
• Pour tout traitement allant au-delà de ce qui est strictement nécessaire à la mission, nous obtenons le consentement explicite des deux titulaires de l'autorité parentale le cas échéant
• Nous ne collectons que ce que l'autorité portugaise exige pour le dossier concerné (en général : nom complet, date et lieu de naissance, nationalité, passeport / pièce d'identité, dossier scolaire, carnet de vaccination, acte de naissance apostillé)
• Nous ne faisons pas de marketing à destination des enfants, nous ne les profilons pas et nous n'enrichissons pas leurs données avec des sources tierces
• Les mêmes règles de conservation, de sécurité et de droits décrites ailleurs dans cette politique s'appliquent aux données de l'enfant
• Les droits sont exercés par le parent ou le représentant légal jusqu'à la majorité de l'enfant (18 ans). À 18 ans, la personne concernée (désormais adulte) peut exercer directement ses droits

9. Avec qui nous partageons vos données

Nous ne partageons vos données qu'avec les parties impliquées dans la fourniture de votre service, et uniquement le minimum nécessaire pour chaque communication. Nous ne vendons ni ne louons jamais vos données.

Autorités portugaises (dans les limites autorisées par votre procuration)

• Autoridade Tributária e Aduaneira (AT) : pour l'attribution du NIF, la représentation fiscale, l'inscription à l'IFICI, les déclarations fiscales
• AIMA : Agência para a Integração, Migrações e Asilo : pour les demandes et renouvellements de titre de séjour
• IRN / Conservatórias do Registo Comercial : pour l'immatriculation des LDA, les déclarations de bénéficiaires effectifs (RCBE) et les autres dépôts au registre du commerce
• Segurança Social : pour l'affiliation au NISS et toute inscription à la sécurité sociale liée à une relation de travail au Portugal
• VFS Global / consulats portugais : pour coordonner les rendez-vous de visa hors du Portugal

Banques partenaires et intermédiaires financiers (uniquement sur votre instruction)

• Novobanco, Millennium bcp, ActivoBank, BPI, ou toute banque partenaire que vous choisissez, lorsque nous coordonnons l'ouverture de votre compte bancaire portugais
• Le prestataire du service Caixa Postal Digital (exploité par l'État portugais via ViaCTT / IRN), lorsque vous souscrivez l'option de boîte aux lettres numérique

Prestataires de services (sous-traitants agissant sur nos instructions)

Chacun de ces sous-traitants est lié par un accord de traitement des données conforme à l'article 28 du RGPD et ne traite vos données que sur nos instructions documentées, avec des obligations de confidentialité, des mesures de sécurité et des engagements de notification des violations. Nous révisons cette liste au moins une fois par an et publions ici la version en vigueur.

Vous pouvez demander à tout moment la liste datée et à jour des sous-traitants ultérieurs en écrivant à [email protected]. Nous vous préviendrons au moins 30 jours à l'avance avant d'ajouter un nouveau sous-traitant ultérieur qui traite une catégorie importante de vos données.

10. Transferts internationaux

L'essentiel de notre infrastructure se trouve dans l'UE (bureau de Lisbonne, régions GCP de Francfort et de Belgique). Lorsque des données personnelles doivent circuler en dehors de l'Espace économique européen, nous recourons à l'une des garanties prévues par le chapitre V du RGPD :

• Décisions d'adéquation : lorsque la Commission européenne a formellement décidé qu'un pays de destination offre un niveau de protection adéquat (par exemple le Royaume-Uni, la Suisse)
• Le cadre de protection des données UE–États-Unis (DPF) : pour les transferts vers les sous-traitants établis aux États-Unis et listés au §9 qui sont certifiés DPF (sous-traitance ultérieure de Stripe, Resend, Cloudflare, Google LLC pour l'analyse et la mesure publicitaire, Microsoft pour Clarity [confirmer la certification DPF])
• Clauses contractuelles types de la Commission européenne (décision d'exécution 2021/914) assorties de mesures techniques et organisationnelles supplémentaires (chiffrement en transit et au repos, pseudonymisation lorsque c'est possible, clés d'accès réservées au responsable du traitement pour les données sensibles), pour tout transfert non couvert par ce qui précède

Vous pouvez demander une copie des CCT sur lesquelles nous nous appuyons (les conditions commerciales confidentielles étant occultées) en écrivant à [email protected].

11. Durée de conservation de vos données

Une fois la durée de conservation d'une catégorie écoulée, nous supprimons définitivement les données ou, lorsque la suppression est techniquement impraticable (par exemple pour les sauvegardes archivées), nous les rendons inaccessibles jusqu'à ce que la sauvegarde elle-même soit écrasée. Des agrégats statistiques pseudonymisés peuvent être conservés indéfiniment, mais ne contiennent rien qui puisse être rattaché à vous.

Même après que vous avez reçu un remboursement et que nous avons mis fin à la mission (voir la Politique de remboursement et les Conditions de service), les dossiers de facturation, de documents signés et de LCB-FT restent conservés pendant les durées légales indiquées ci-dessus. Ils sont placés sous « verrouillage d'archivage » : l'accès est restreint au personnel qui en a spécifiquement besoin (par exemple pour répondre à un contrôle fiscal), et les dossiers ne peuvent être ni supprimés, ni modifiés, ni utilisés à des fins opérationnelles.

12. Vos droits au titre du RGPD

Les articles 15 à 22 du RGPD vous confèrent un ensemble de droits sur les données personnelles que nous détenons à votre sujet. En résumé :

13. Comment exercer vos droits

1. Envoyez un e-mail à [email protected] avec pour objet « Demande RGPD : <la référence de votre dossier ou votre e-mail> ». Indiquez-nous quel droit vous souhaitez exercer et ce que vous souhaitez que nous fassions.
2. Vérification d'identité : pour éviter qu'un tiers usurpe votre identité, nous demandons un élément de preuve vous reliant au compte (par exemple une confirmation depuis l'adresse e-mail que nous avons au dossier, ou la photographie de la même pièce d'identité que celle que nous détenons déjà). Nous ne collectons pas de nouveaux documents d'identification pour une demande d'exercice de droits.
3. Accusé de réception : nous confirmons la réception sous 3 jours ouvrés et vous indiquons qui traite la demande.
4. Réponse sur le fond : sous 30 jours calendaires. Pour les demandes complexes ou à multiples volets, nous pouvons prolonger ce délai de 60 jours au maximum, en en expliquant les raisons par écrit dans les 30 premiers jours.
5. Format : les réponses aux demandes d'accès et de portabilité sont remises par le portail sous forme d'archive téléchargeable (JSON + PDF) ou par e-mail chiffré, à votre choix. Nous n'envoyons pas de copies papier par la poste, sauf demande expresse de votre part.
6. Coût : la première demande sur toute période de 12 mois est gratuite. Nous pouvons facturer des frais administratifs raisonnables, conformément aux orientations de la CNPD et à l'article 12, paragraphe 5, du RGPD, uniquement pour les demandes manifestement excessives ou répétitives, et nous vous les expliquons au préalable.
7. Recours : si nous refusons une demande, vous pouvez introduire une réclamation auprès de la CNPD (voir §20) ou former un recours juridictionnel au titre de l'art. 79 du RGPD.

14. Décisions automatisées et profilage

Nous ne prenons pas de décisions produisant des effets juridiques à votre égard (ou vous affectant de manière significative de façon similaire) fondées exclusivement sur un traitement automatisé au sens de l'article 22 du RGPD. Toute décision importante concernant votre dossier (accepter une mission, classer un risque KYC, refuser un service, accorder ou refuser un remboursement) est examinée par un consultant humain.

Certaines opérations sont automatisées à des fins d'orientation ou de commodité : la plateforme propose des listes de documents selon le service que vous avez acheté, le bandeau de cookies enregistre votre choix en matière d'analyse et de mesure publicitaire, et nos contrôles antifraude attribuent un score à un paiement à partir des signaux de fraude de Stripe. Aucune de ces opérations ne produit d'effets juridiques à votre égard, et vous pouvez toujours demander l'intervention d'une personne en écrivant à [email protected].

Nous n'utilisons pas vos données pour constituer des profils publicitaires ou marketing, et nous ne partageons pas vos données avec des réseaux publicitaires.

15. Communications marketing

Nous pouvons vous envoyer des e-mails marketing (par exemple une synthèse annuelle de la politique d'immigration, des annonces occasionnelles de produits) uniquement si vous avez donné votre accord à cet effet et que nous avons un intérêt légitime actuel à vous proposer des services connexes. Chaque e-mail marketing contient un lien de désinscription en un clic ; vous pouvez aussi écrire à [email protected]. La désinscription du marketing n'affecte pas les e-mails transactionnels relatifs à vos dossiers actifs.

Nous ne diffusons pas de publicités payantes avec profilage sur Facebook, Instagram, TikTok, X ou des plateformes comparables. Si nous le faisions un jour, nous mettrions à jour cette section, préviendrions les abonnés par e-mail au moins 30 jours à l'avance et demanderions un nouveau consentement lorsque cela est requis.

16. Cookies et traceurs

Nous utilisons des cookies et des technologies similaires (le stockage local et le stockage de session de votre navigateur) sur resideportugal.com et app.resideportugal.com. La liste complète, avec les durées, figure dans la Politique de cookies. En bref :

Votre choix. L'analyse, la mesure publicitaire et l'enregistrement de session sont désactivés tant que vous n'avez pas choisi Accepter dans le bandeau de cookies. Refuser a le même poids qu'Accepter. Vous pouvez modifier votre choix à tout moment avec Paramètres des cookies dans le pied de page de chaque page ; un refus supprime les cookies et les paramètres de campagne stockés auxquels nous avons accès.

Avant votre choix. La balise Google (mesure Analytics et Ads) est chargée en mode consentement refusé : elle ne dépose aucun cookie et n'envoie que des requêtes sans identifiants, que Google utilise pour des décomptes agrégés et modélisés. Les cookies et identifiants ne sont utilisés qu'après que vous avez choisi Accepter. Si vous refusez, elle reste dans ce mode, de sorte que les personnes qui refusent ne sont comptées qu'en agrégat, sans identifiants.

Ce qui est envoyé à Google Ads. Les noms d'événements (début du paiement, appel réservé, achat avec valeur, devise et numéro de transaction) et des identifiants de campagne tels que gclid. Pas votre nom, votre e-mail, vos documents ni vos messages. Nous n'utilisons ni remarketing ni listes d'audience. [Confirmer que le remarketing est désactivé dans le compte Google Ads.]

Nous n'utilisons pas de pixels de réseaux sociaux ni de bibliothèques de prise d'empreinte numérique (fingerprinting), et nous ne constituons pas de profils publicitaires à partir de vos visites sur d'autres sites.

17. Sécurité et violations de données

Nous suivons les pratiques de sécurité standard du secteur, proportionnées à la sensibilité des données que nous détenons :

Mesures techniques

• Chiffrement TLS 1.3 en transit sur tous les points d'accès (HTTPS partout, HSTS préchargé)
• Chiffrement au repos des bases de données, des sauvegardes et du stockage des documents (AES-256)
• Accès à la base de données selon le principe du moindre privilège ; identifiants de production stockés dans Google Secret Manager et renouvelés au moins une fois par an
• Webhooks de serveur à serveur signés par HMAC (Stripe, esignatures.com, l'administration bocean) avec protection contre le rejeu
• Journal d'audit enregistrant chaque action administrative (changements de statut, téléversements de documents, envois de messages, remboursements)
• Protection CSRF au niveau applicatif, limitation du débit sur les points d'authentification, déconnexion automatique après 30 jours
• Mises à jour régulières des dépendances et correctifs de sécurité ; nous surveillons en continu les avis de sécurité Composer / npm

Mesures organisationnelles

• Authentification à deux facteurs sur tous les comptes du personnel pour le portail, la messagerie, Stripe, l'administration bocean et la console cloud
• Accès selon le besoin d'en connaître : chaque membre du personnel ne voit que les dossiers sur lesquels il travaille
• Tout le personnel signe des engagements de confidentialité à l'embauche et reçoit des consignes pratiques RGPD / LCB-FT avant d'avoir accès aux dossiers des clients
• Les sous-traitants ultérieurs sont liés par des DPA qui reprennent les obligations de sécurité ci-dessus

En cas de violation de données personnelles

Si nous avons connaissance d'une violation de données personnelles susceptible d'engendrer un risque pour vos droits et libertés, nous procéderons comme suit :

1. Notifier la CNPD dans un délai de 72 heures après en avoir pris connaissance, comme l'exige l'article 33 du RGPD
2. Vous en informer dans les meilleurs délais si la violation est susceptible d'engendrer un risque élevé pour vos droits et libertés, comme l'exige l'article 34 du RGPD. La notification décrira en termes clairs ce qui s'est passé, quelles données ont été touchées, ce que nous faisons à ce sujet et ce que vous pouvez faire pour vous protéger
3. Rechercher la cause profonde, circonscrire l'incident, rétablir le service à partir de sauvegardes saines si nécessaire et appliquer des mesures correctives pour éviter toute récidive
4. Publier un résumé public (sans exposer les personnes) une fois l'enquête terminée, dans un esprit de transparence

Si vous soupçonnez que votre compte a été compromis ou que nous avons pu subir une violation, écrivez immédiatement à [email protected]. Nous traitons les signalements de sécurité de manière confidentielle et n'exerçons aucune mesure de représailles à l'encontre des personnes qui signalent de bonne foi.

18. Demandes de données émanant de gouvernements et de tiers

Si une autorité portugaise ou étrangère nous demande des données personnelles vous concernant en dehors des canaux de votre procuration, nous appliquons les règles suivantes :

• Autorités portugaises : nous nous conformons aux décisions de justice portugaises valables, aux citations judiciaires et aux contrôles fiscaux ou LCB-FT prévus par le droit portugais. Nous ne divulguons pas volontairement de données au-delà de ce que la décision exige strictement.
• Autorités étrangères : nous ne donnons pas directement suite aux demandes de données personnelles émanant de gouvernements étrangers, sauf si elles ont été validées par un tribunal portugais ou si elles transitent par un traité d'entraide judiciaire (MLAT) et par le Ministério Público portugais. Cela comprend les décrets présidentiels américains (executive orders), les citations à comparaître d'un grand jury américain (grand-jury subpoenas), les demandes fondées sur le CLOUD Act américain et les instruments équivalents de pays tiers.
• Demandes civiles de tiers (par exemple les parties adverses dans un litige privé) : nous exigeons une décision d'un tribunal portugais ou le consentement écrit de la personne concernée.

Lorsque la loi nous autorise à vous informer d'une demande qui porte sur vos données, nous le ferons, en général avant de nous y conformer, afin que vous puissiez former vous-même un recours judiciaire. Lorsqu'il nous est légalement interdit de vous en informer (par exemple les ordonnances de non-divulgation au titre de l'art. 54 de la Lei 83/2017), nous nous conformons au strict minimum exigé par la décision. Des informations agrégées sur les demandes gouvernementales de données que nous avons reçues sont disponibles sur demande écrite à [email protected].

19. Modifications de la présente politique

Nous pouvons mettre à jour cette politique de temps à autre. La date de « Dernière mise à jour » figurant en haut reflète la modification la plus récente. Pour les modifications qui affectent de manière substantielle vos droits (ajout d'un sous-traitant ultérieur qui traite des données sensibles, prolongation substantielle d'une durée de conservation, changement des bases juridiques invoquées), nous vous en informerons par e-mail et par un bandeau sur le site au moins 30 jours avant leur entrée en vigueur, afin que vous ayez le temps de réagir. Les modifications rédactionnelles mineures (coquilles, clarifications) prennent effet immédiatement et sont consignées dans le journal des modifications ci-dessous.

Journal des modifications

• 18 mai 2026 : première publication de la politique.

20. Contact et réclamations

Pour toute question relative à la vie privée, pour exercer vos droits ou pour signaler un problème de sécurité :

Nous nous efforçons de régler toute préoccupation en interne. Si notre réponse ne vous donne pas satisfaction, ou si vous estimez que notre traitement de vos données enfreint le RGPD, vous avez le droit d'introduire une réclamation auprès de l'autorité de contrôle, au Portugal :

Comissão Nacional de Proteção de Dados (CNPD)
Av. D. Carlos I, 134: 1.º, 1200-651 Lisboa
www.cnpd.pt · [email protected]

En vertu de l'article 77 du RGPD, les résidents de l'UE peuvent également introduire une réclamation auprès de l'autorité de contrôle de leur pays de résidence habituelle ou de leur lieu de travail.

21. Glossaire

AIMA

Agência para a Integração, Migrações e Asilo, l'autorité portugaise chargée de l'immigration et des titres de séjour (successeur du SEF).

LCB-FT / KYC

Lutte contre le blanchiment de capitaux et le financement du terrorisme / Know Your Customer (connaissance du client), l'obligation légale de vérifier les clients et l'origine des fonds avant de fournir des services pouvant être détournés à des fins de criminalité financière.

AT

Autoridade Tributária e Aduaneira, l'administration fiscale portugaise. Attribue les NIF, gère la TVA, administre les inscriptions IFICI / NHR.

CNPD

Comissão Nacional de Proteção de Dados, l'autorité portugaise de contrôle en matière de protection des données. Équivalent de la CNIL en France, de l'AEPD en Espagne et du BfDI en Allemagne.

Responsable du traitement

L'entité juridique qui décide des finalités et des moyens du traitement de vos données personnelles. Dans la présente politique, le responsable du traitement est BOCEAN IMMIGRATION PORTUGAL, LDA.

DPA / DPF / CCT

DPA = Data Processing Agreement (accord de traitement des données, le contrat qui lie un sous-traitant à un responsable du traitement au titre de l'art. 28 du RGPD). DPF = le cadre de protection des données UE–États-Unis (EU–US Data Privacy Framework), un régime d'adéquation pour le transfert de données vers des entreprises américaines certifiées. CCT = clauses contractuelles types, contrats types établis par la Commission européenne pour les transferts vers des pays tiers.

RGPD

Règlement général sur la protection des données, règlement (UE) 2016/679, principal texte de l'UE en matière de protection des données. Complété au Portugal par la Lei n.º 58/2019.

IRN

Instituto dos Registos e do Notariado, l'autorité portugaise chargée des registres d'état civil, du commerce et de la propriété. Attribue les NIPC et exploite la Caixa Postal Digital.

Lei 83/2017

Loi portugaise relative à la lutte contre le blanchiment de capitaux et le financement du terrorisme (Lei n.º 83/2017 de 18 de agosto).

NIF / NIPC

NIF = Número de Identificação Fiscal, le numéro de contribuable portugais des personnes physiques. NIPC = Número de Identificação de Pessoa Coletiva, le numéro de contribuable portugais des sociétés.

PPE

Personne politiquement exposée : toute personne qui exerce ou a récemment exercé une fonction publique importante, ainsi que les membres proches de sa famille et ses proches associés connus. Déclenche une vigilance renforcée au titre de l'art. 19 de la Lei 83/2017.

Sous-traitant

Un tiers qui traite vos données personnelles pour le compte et sur instruction du responsable du traitement (par exemple Stripe, qui traite les paiements pour nous).

UIF

Unidade de Informação Financeira, la cellule de renseignement financier du Portugal, rattachée à la Polícia Judiciária. Reçoit les déclarations d'opérations suspectes.