Política de privacidade

1. Quem somos (o responsável pelo tratamento)

O responsável pelo tratamento dos seus dados pessoais é:

BOCEAN IMMIGRATION PORTUGAL, LDA (que atua sob as designações Blue Ocean Immigration e Reside in Portugal)
NIPC: 519 043 731
Matriculada na Conservatória do Registo Comercial de Lisboa
Sede: Avenida da Liberdade, n.º 67B, 3.º B, 1250-140 Lisboa, Portugal
Contacto geral: [email protected] · Linha gratuita dos EUA +1 888 488 8593

Pode verificar o registo da nossa empresa a qualquer momento na pesquisa online gratuita do Registo Comercial português (eportugal.gov.pt), com o NIPC 519 043 731.

Ponto de contacto para a proteção de dados

Não somos obrigados por lei a designar um Encarregado de Proteção de Dados formal nos termos do artigo 37.º do RGPD (não somos uma autoridade pública, a nossa atividade principal não é a monitorização em grande escala e não tratamos categorias especiais de dados em grande escala). Designámos, ainda assim, um Responsável pela Privacidade como ponto de contacto único para todas as questões de proteção de dados. Para qualquer assunto relativo aos seus dados pessoais, escreva para [email protected]. Procuramos acusar a receção da mensagem em 3 dias úteis e dar uma resposta de fundo em 30 dias de calendário, como exige o artigo 12.º, n.º 3, do RGPD. Quando o pedido for complexo ou tivermos recebido muitos pedidos, podemos prolongar o prazo de resposta por mais 60 dias, caso em que lhe explicaremos o motivo nos primeiros 30.

2. Que dados pessoais recolhemos

Recolhemos apenas o que precisamos para prestar os serviços que adquire. O conjunto exato depende do serviço: comprar apenas um NIF exige muito menos dados do que um Golden Visa ou a constituição de uma LDA. As categorias incluem:

Seguimos a minimização de dados (art. 5.º, n.º 1, alínea c), do RGPD): se uma categoria não for necessária para o serviço que comprou, não a recolhemos. Se não quiser fornecer uma informação, pode perguntar se o serviço ainda assim pode ser prestado sem ela: umas vezes sim (por exemplo, um segundo nome que consta do passaporte mas não do seu documento de identificação), outras não (por exemplo, a digitalização do passaporte para um pedido de NIF: a AT rejeita o pedido sem ela).

3. De onde obtemos os seus dados

Quase todos vêm diretamente de si. Um conjunto menor vem de terceiros que atuam em seu nome ou por força da lei:

• Das autoridades portuguesas: depois de submetermos o pedido em seu nome ao abrigo da procuração, a AT, a AIMA ou o IRN devolvem-nos os números relevantes (NIF, NIPC, número do cartão de residência) para concluirmos o processo
• Do banco parceiro: quando abrimos uma conta, o banco partilha connosco o seu IBAN e o resultado da integração
• Do consulado / centro VFS: quando coordenamos uma marcação de visto, o centro confirma a marcação
• Da Stripe: os resultados dos pagamentos (pago / falhado / reembolsado) chegam-nos através dos webhooks da Stripe
• Da esignatures.com: os eventos de assinatura (assinado / recusado / expirado) e o PDF assinado com o respetivo registo de auditoria

Não compramos listas de nomes, não extraímos dados de bases públicas nem enriquecemos o seu processo com corretores de dados comerciais.

4. Fundamento jurídico do tratamento

O artigo 6.º do RGPD exige que tenhamos um fundamento lícito para cada atividade de tratamento. Os nossos fundamentos estão mapeados abaixo; a maior parte do nosso trabalho assenta na alínea b) (execução de um contrato):

5. Como usamos os seus dados

• Para prestar os serviços de imigração / fiscais / societários que adquiriu
• Para preparar documentos jurídicos (procurações, declarações, contratos) para a sua assinatura
• Para atuar em seu nome ao abrigo de procuração perante a Autoridade Tributária (AT), a AIMA, o IRN, as conservatórias e os bancos, dentro do âmbito preciso autorizado por cada procuração
• Para enviar emails transacionais (criação de conta, pedidos de assinatura, entrega de documentos, atualizações do processo): não são marketing e não pode optar por não os receber sem pôr termo à prestação
• Para processar pagamentos, emitir faturas, gerir subscrições (por exemplo, a Caixa Postal Digital) e reembolsos
• Para responder às suas questões e prestar apoio ao cliente
• Para detetar e prevenir fraude, abuso e tomada de contas
• Para cumprir as nossas obrigações legais (prevenção do branqueamento, lei fiscal, ordens judiciais)
• Para defender os nossos direitos em qualquer litígio, quando um reembolso seja contestado ou seja apresentada uma contestação de pagamento (chargeback)

6. Categorias especiais de dados

Algumas submissões a autoridades portuguesas exigem categorias de dados que o RGPD trata como «especiais» nos termos do artigo 9.º (dados que revelem saúde, convicções religiosas ou filosóficas, dados biométricos, etc.). Quando isto se aplicar ao seu caso, apoiamo-nos na exceção específica que permite o tratamento:

• Dados de saúde: limitados a registos de vacinação (integração escolar de crianças) ou a uma declaração médica básica quando uma categoria de visto o exija. Fundamento: art. 9.º, n.º 2, alínea a), consentimento explícito, e art. 9.º, n.º 2, alínea g), interesse público importante quando o Estado o exija expressamente
• Dados biométricos: a imagem facial no seu passaporte ou documento de identificação é biométrica em princípio, mas é usada apenas para verificar a sua identidade e não para identificação única nos termos do art. 9.º, n.º 1. A biometria da AIMA (impressões digitais, fotografia) é recolhida pela própria AIMA à chegada: nunca recolhemos nem guardamos dados biométricos
• Convicções religiosas / filosóficas: só são recolhidas se optar por as declarar numa certidão de casamento, documento de união civil ou outro certificado que as contenha intrinsecamente. Não perguntamos, não fazemos perfis nem usamos esta informação para além do próprio documento
• Registo criminal: nos termos do art. 10.º do RGPD. Tratamos certificados de registo criminal apostilados apenas porque a autoridade portuguesa de vistos ou de autorizações de residência os exige. O certificado é transmitido à autoridade e a cópia que conservamos fica sujeita aos mesmos prazos de conservação do §11 (tipicamente os 7 anos de conservação da prevenção do branqueamento ou os 10 anos de arquivo dos documentos assinados, consoante o que terminar mais tarde), após os quais é destruída de forma permanente. Nunca usamos o registo criminal para qualquer fim além da submissão específica à autoridade para a qual o forneceu

Se o seu caso não envolver nada do que precede, não tratamos quaisquer categorias especiais de dados.

7. Prevenção do branqueamento de capitais (AML / KYC)

Alguns dos nossos serviços, mas não todos, estão abrangidos pela legislação portuguesa de prevenção do branqueamento de capitais (Lei n.º 83/2017). Em concreto, somos uma «entidade obrigada» nos termos do artigo 4.º, n.º 1, alínea f), dessa lei quando atuamos como «prestador de serviços a sociedades», isto é, quando o nosso papel no seu processo inclui:

• A constituição de uma LDA portuguesa ou de outra pessoa coletiva
• Fornecer a sede, a morada comercial ou a morada postal da sociedade (por exemplo, quando a Caixa Postal Digital é a sua caixa de correio legal)
• A representação fiscal de um não residente perante a Autoridade Tributária portuguesa
• A coordenação da abertura de conta bancária portuguesa ao abrigo de mandato nosso, quando tratamos da documentação de origem dos fundos em seu nome
• Atuar como administrador, secretário, sócio nomeado ou fiduciário equivalente de uma pessoa coletiva

Para estes serviços temos de realizar a diligência quanto ao cliente (CDD / KYC):

1. Identificação: verificar quem é através de um documento emitido por uma autoridade pública (passaporte ou documento de identificação nacional). Para perfis de risco mais elevado, podemos pedir também uma fatura recente de serviços ou um extrato bancário para confirmar a morada
2. Verificação do beneficiário efetivo: na constituição de sociedades, identificamos as pessoas singulares que, em última instância, detêm ou controlam a entidade
3. Declaração de origem dos fundos: para qualquer movimento de dinheiro (capital da LDA, taxas do IRN, abertura bancária), pedimos que declare a origem legítima dos fundos e a comprove com documentação proporcional ao montante
4. Classificação de risco: classificamos o processo como diligência normal, reforçada ou simplificada com base em critérios objetivos (estatuto de PEP, país de origem, complexidade da estrutura)
5. Acompanhamento contínuo: durante a prestação, vigiamos incoerências entre o que nos disse e o que efetivamente acontece; alterações significativas levam a uma atualização do processo

Se for uma Pessoa Politicamente Exposta (PEP), isto é, se exerce ou exerceu uma função pública proeminente, o artigo 19.º da Lei 83/2017 obriga-nos a aplicar diligência reforçada. Diga-nos no início da prestação; não é um obstáculo ao serviço, mas afeta o tempo que dedicamos à preparação do processo.

Comunicação de operações suspeitas. Se identificarmos uma operação ou tentativa de operação que razoavelmente suspeitemos estar ligada a branqueamento de capitais ou a financiamento do terrorismo, a Lei 83/2017 obriga-nos a comunicá-la à Unidade de Informação Financeira (UIF), na Polícia Judiciária. O artigo 54.º dessa lei obriga-nos a não lhe dizer que o fizemos: é a regra da «proibição de divulgação» (no tipping-off) e é um dever legal, não uma escolha de estilo.

Serviços fora do perímetro da prevenção do branqueamento

Para serviços que não envolvam constituição de sociedades, representação fiscal, serviços fiduciários nem movimentação de dinheiro em seu nome, por exemplo, um NIF isolado, um pedido apenas de visto (D7, D8, Golden Visa) ou um registo no regime fiscal NHR / IFICI, a Lei 83/2017 não nos classifica como entidade obrigada. Verificamos, ainda assim, a sua identidade com o mesmo cuidado, ao abrigo do nosso quadro geral contratual de diligência, e as autoridades portuguesas (AT, AIMA, consulados) e os bancos parceiros podem aplicar as suas próprias verificações KYC independentes antes de aceitarem as nossas submissões.

8. Dados de crianças

Alguns dos nossos serviços envolvem menores, tipicamente filhos dependentes de um requerente principal num visto de reagrupamento familiar, integração escolar ou inscrição em cuidados de saúde. Quando o processo envolve um menor (definido na lei portuguesa como pessoa com menos de 18 anos, mas com consentimento parental exigido abaixo dos 13 anos nos termos do art. 16.º da Lei 58/2019 para serviços da sociedade da informação em linha):

• Tratamos os dados da criança com base no art. 6.º, n.º 1, alínea b), do RGPD (execução de um contrato com o progenitor ou representante legal que comprou o serviço). A criança não é nossa cliente: o progenitor é
• Para qualquer tratamento que vá além do estritamente necessário à prestação, obtemos o consentimento explícito de ambos os titulares das responsabilidades parentais, quando aplicável
• Recolhemos apenas o que a autoridade portuguesa exige para o caso concreto (tipicamente: nome completo, data e local de nascimento, nacionalidade, passaporte / documento de identificação, registos escolares, registos de vacinação, certidão de nascimento apostilada)
• Não promovemos serviços junto de crianças, não fazemos perfis delas e não enriquecemos os seus dados com fontes de terceiros
• A mesma conservação, segurança e os mesmos direitos descritos nesta política aplicam-se aos dados da criança
• Os direitos são exercidos pelo progenitor ou representante legal até a criança atingir a maioridade (18 anos). Aos 18 anos, o titular dos dados (agora adulto) pode exercer os seus direitos diretamente

9. Com quem partilhamos dados

Partilhamos os seus dados apenas com entidades envolvidas na prestação do seu serviço, e apenas o mínimo necessário em cada comunicação. Nunca vendemos nem alugamos os seus dados.

Autoridades portuguesas (conforme autorizado pela sua procuração)

• Autoridade Tributária e Aduaneira (AT): para emissão de NIF, representação fiscal, registo no IFICI, declarações fiscais
• AIMA: Agência para a Integração, Migrações e Asilo: para pedidos e renovações de autorização de residência
• IRN / Conservatórias do Registo Comercial: para o registo de sociedades LDA, declarações do beneficiário efetivo (RCBE) e outros atos do registo comercial
• Segurança Social: para inscrição no NISS e quaisquer registos de segurança social ligados a uma relação laboral portuguesa
• VFS Global / consulados portugueses: para coordenar marcações de visto fora de Portugal

Bancos parceiros e intermediários financeiros (apenas quando nos der instruções)

• Novobanco, Millennium bcp, ActivoBank, BPI, ou qualquer banco parceiro que escolha, quando coordenamos a abertura da sua conta bancária portuguesa
• O prestador do serviço Caixa Postal Digital (operado pelo Estado português através da ViaCTT / IRN), quando subscreve o serviço adicional de caixa postal digital

Prestadores de serviços (subcontratantes que atuam segundo as nossas instruções)

Cada um destes subcontratantes está vinculado por um Acordo de Tratamento de Dados conforme com o artigo 28.º do RGPD e trata os seus dados apenas segundo as nossas instruções documentadas, com deveres de confidencialidade, medidas de segurança e compromissos de notificação de violações. Revemos a lista pelo menos uma vez por ano e publicamos aqui a versão atual.

Pode pedir, a qualquer momento, a lista atual e datada de subcontratantes ulteriores escrevendo para [email protected]. Avisá-lo-emos com pelo menos 30 dias de antecedência antes de acrescentar um novo subcontratante ulterior que trate uma categoria relevante dos seus dados.

10. Transferências internacionais

A maior parte da nossa infraestrutura está na UE (escritório de Lisboa, regiões GCP de Frankfurt e da Bélgica). Quando os dados pessoais têm de circular para fora do Espaço Económico Europeu, usamos uma das garantias permitidas pelo Capítulo V do RGPD:

• Decisões de adequação: quando a Comissão Europeia decidiu formalmente que um país de destino oferece um nível de proteção adequado (por exemplo, o Reino Unido, a Suíça)
• O Quadro de Privacidade de Dados UE-EUA: para transferências para os subcontratantes sediados nos EUA listados no §9 que estejam certificados no DPF (subtratamento da Stripe, Resend, Cloudflare, Google LLC para análise e medição de anúncios, Microsoft para o Clarity [confirmar certificação DPF])
• Cláusulas contratuais-tipo da Comissão Europeia (Decisão de Execução 2021/914) mais medidas técnicas e organizativas suplementares (cifragem em trânsito e em repouso, pseudonimização quando viável, chaves de acesso só do responsável para dados sensíveis), para qualquer transferência não abrangida pelas anteriores

Pode pedir uma cópia das cláusulas contratuais-tipo em que nos apoiamos (com os termos comerciais confidenciais omitidos) escrevendo para [email protected].

11. Durante quanto tempo conservamos os seus dados

Quando termina o prazo de conservação de uma categoria, apagamos os dados de forma permanente ou, quando o apagamento for tecnicamente impraticável (por exemplo, cópias de segurança arquivadas), tornamo-los inacessíveis até a própria cópia ser substituída. Agregados estatísticos pseudonimizados podem ser conservados indefinidamente, mas não contêm nada que possa ser ligado a si.

Mesmo depois de receber um reembolso e de cancelarmos a prestação (ver a Política de Reembolso e os Termos de Serviço), os registos de faturação, de documentos assinados e de prevenção do branqueamento mantêm-se guardados pelos prazos legais acima. Ficam sob «bloqueio de arquivo»: o acesso é restrito aos colaboradores que dele precisem especificamente (por exemplo, para responder a uma inspeção fiscal), e os registos não podem ser apagados, alterados nem usados para qualquer fim operacional.

12. Os seus direitos ao abrigo do RGPD

Os artigos 15.º a 22.º do RGPD conferem-lhe um conjunto de direitos sobre os dados pessoais que temos a seu respeito. Em resumo:

13. Como exercer os seus direitos

1. Escreva para [email protected] com o assunto «Pedido RGPD: <referência do seu processo ou email>». Diga-nos qual o direito que quer exercer e o que pretende que façamos.
2. Verificação de identidade: para impedir que terceiros se façam passar por si, pedimos um elemento que o ligue à conta (por exemplo, confirmação a partir do email que temos registado, ou uma fotografia do mesmo documento de identificação que já temos). Não recolhemos novos documentos de identificação para um pedido de exercício de direitos.
3. Acusação de receção: confirmamos a receção em 3 dias úteis e indicamos quem trata do pedido.
4. Resposta de fundo: em 30 dias de calendário. Para pedidos complexos ou com vários aspetos, podemos prolongar o prazo por até 60 dias, explicando os motivos por escrito nos primeiros 30.
5. Formato: as respostas de acesso e de portabilidade são entregues através do portal, num arquivo descarregável (JSON + PDF), ou por email cifrado, à sua escolha. Não enviamos cópias em papel, salvo se o pedir expressamente.
6. Custo: o primeiro pedido em qualquer período de 12 meses é gratuito. Só podemos cobrar uma taxa administrativa razoável, em linha com as orientações da CNPD e com o art. 12.º, n.º 5, do RGPD, em pedidos manifestamente excessivos ou repetitivos, e explicamo-lo previamente.
7. Recurso: se recusarmos um pedido, pode apresentar reclamação à CNPD (ver §20) ou recorrer a tutela jurisdicional nos termos do art. 79.º do RGPD.

14. Decisões automatizadas e definição de perfis

Não tomamos decisões que produzam efeitos jurídicos na sua esfera (ou que o afetem de forma significativa) baseadas exclusivamente em tratamento automatizado, na aceção do artigo 22.º do RGPD. Cada decisão com consequências sobre o seu processo, aceitar uma prestação, classificar um risco KYC, recusar um serviço, emitir ou negar um reembolso, é revista por um consultor humano.

Algumas operações são automatizadas por razões de encaminhamento ou conveniência: a plataforma sugere listas de documentos com base no serviço que comprou, o aviso de cookies regista a sua escolha de análise e de medição de anúncios, e as nossas verificações antifraude pontuam um pagamento com base nos sinais de fraude da Stripe. Nenhuma delas produz efeitos jurídicos na sua esfera, e pode sempre recorrer a uma pessoa escrevendo para [email protected].

Não usamos os seus dados para construir perfis publicitários ou de marketing, e não partilhamos os seus dados com redes publicitárias.

15. Comunicações de marketing

Podemos enviar-lhe emails de marketing (por exemplo, um resumo anual das políticas de imigração, novidades ocasionais) apenas se tiver subscrito e tivermos um interesse legítimo atual em oferecer-lhe serviços relacionados. Cada email de marketing contém uma ligação de cancelamento com um clique; também pode escrever para [email protected]. Cancelar o marketing não afeta os emails transacionais sobre os seus processos ativos.

Não fazemos anúncios pagos com definição de perfis no Facebook, Instagram, TikTok, X ou plataformas semelhantes. Se alguma vez o fizermos, atualizaremos esta secção, notificaremos os subscritores por email com pelo menos 30 dias de antecedência e pediremos novo consentimento quando exigido.

16. Cookies e rastreamento

Usamos cookies e tecnologias semelhantes (o armazenamento local e de sessão do seu navegador) em resideportugal.com e app.resideportugal.com. A lista completa, com as durações, está na Política de Cookies. Em resumo:

A sua escolha. A análise, a medição de anúncios e a gravação de sessões estão desligadas até escolher Aceitar no aviso de cookies. Rejeitar tem o mesmo peso que Aceitar. Pode alterar a escolha a qualquer momento em Definições de cookies, no rodapé de cada página; rejeitar remove os cookies e os parâmetros de campanha guardados a que conseguimos aceder.

Antes de escolher. Nenhum script da Google é carregado e nada é enviado à Google. A etiqueta da Google (medição de Analytics e Ads) só é acrescentada à página depois de escolher Aceitar. Se rejeitar, nunca é carregada, pelo que as visitas e as conversões de anúncios de quem rejeita não são medidas.

O que é enviado ao Google Ads. Nomes de eventos (início do pagamento, chamada marcada, compra com valor, moeda e número da transação) e identificadores de campanha como o gclid. Não o seu nome, email, documentos ou mensagens. Não usamos remarketing nem listas de públicos. [Confirmar que o remarketing está desligado na conta do Google Ads.]

Não usamos pixels de redes sociais nem bibliotecas de fingerprinting, e não construímos perfis publicitários a partir das suas visitas a outros sites.

17. Segurança e violações de dados

Seguimos práticas de segurança padrão da indústria, proporcionais à sensibilidade dos dados que conservamos:

Medidas técnicas

• Cifragem TLS 1.3 em trânsito em todos os pontos de acesso (HTTPS em todo o lado, HSTS pré-carregado)
• Cifragem em repouso de bases de dados, cópias de segurança e armazenamento de documentos (AES-256)
• Acesso à base de dados com privilégio mínimo; credenciais de produção guardadas no Google Secret Manager e rodadas pelo menos uma vez por ano
• Webhooks entre servidores assinados por HMAC (Stripe, esignatures.com, a administração bocean) com proteção contra repetição
• Registo de auditoria de todas as ações administrativas (mudanças de estado, carregamentos de documentos, envios de mensagens, reembolsos)
• Proteção CSRF ao nível da aplicação, limitação de pedidos nos pontos de autenticação, terminação automática de sessão ao fim de 30 dias
• Atualizações regulares de dependências e correções de segurança; acompanhamos continuamente os avisos do Composer / npm

Medidas organizativas

• Autenticação de dois fatores em todas as contas de colaboradores para o portal, email, Stripe, a administração bocean e a consola cloud
• Acesso por necessidade de conhecer: cada colaborador vê apenas os processos em que trabalha
• Todos os colaboradores assinam compromissos de confidencialidade na admissão e recebem orientações práticas de RGPD / AML antes de lhes ser dado acesso a processos de clientes
• Os subcontratantes ulteriores estão vinculados por acordos de tratamento de dados que refletem as obrigações de segurança acima

Se ocorrer uma violação de dados pessoais

Se tomarmos conhecimento de uma violação de dados pessoais suscetível de implicar um risco para os seus direitos e liberdades, iremos:

1. Notificar a CNPD no prazo de 72 horas após termos conhecimento, como exige o artigo 33.º do RGPD
2. Notificá-lo sem demora injustificada se a violação for suscetível de implicar um risco elevado para os seus direitos e liberdades, como exige o artigo 34.º do RGPD. A notificação descreverá em linguagem clara o que aconteceu, que dados foram afetados, o que estamos a fazer e o que pode fazer para se proteger
3. Investigar a causa, conter o incidente, restaurar o serviço a partir de cópias de segurança limpas quando necessário e aplicar medidas corretivas para evitar a repetição
4. Publicar um resumo público (sem expor pessoas) quando a investigação terminar, em nome da transparência

Se suspeitar que a sua conta foi comprometida ou que podemos ter sofrido uma violação, escreva de imediato para [email protected]. Tratamos os relatos de segurança com confidencialidade e não retaliamos contra quem os faça de boa-fé.

18. Pedidos de dados por governos e terceiros

Se uma autoridade portuguesa ou estrangeira nos pedir dados pessoais seus fora dos canais da sua procuração, aplicamos as seguintes regras:

• Autoridades portuguesas: cumprimos ordens judiciais portuguesas válidas, intimações judiciais e inspeções fiscais / de prevenção do branqueamento nos termos da lei portuguesa. Não divulgamos voluntariamente dados para além do que a ordem estritamente exige.
• Autoridades estrangeiras: não cumprimos diretamente pedidos de governos estrangeiros para dados pessoais, salvo se tiverem sido validados por um tribunal português ou forem encaminhados por um tratado de auxílio judiciário mútuo (MLAT) e pelo Ministério Público português. Isto inclui ordens executivas dos EUA, intimações de grand jury dos EUA, pedidos ao abrigo do US CLOUD Act e instrumentos equivalentes de países terceiros.
• Pedidos de terceiros em matéria civil (por exemplo, partes contrárias num processo privado): exigimos uma ordem de um tribunal português ou o consentimento escrito do titular dos dados.

Quando a lei nos permitir informá-lo de um pedido que envolva os seus dados, fá-lo-emos, tipicamente antes de cumprir, para que possa procurar tutela judicial por si. Quando estivermos legalmente proibidos de o informar (por exemplo, ordens de sigilo nos termos do art. 54.º da Lei 83/2017), cumprimos o mínimo estritamente exigido pela ordem. Informação agregada sobre quaisquer pedidos de dados de governos que tenhamos recebido está disponível mediante pedido escrito para [email protected].

19. Alterações a esta política

Podemos atualizar esta política de tempos a tempos. A data de «Última atualização» no topo reflete a alteração mais recente. Nas alterações que afetem materialmente os seus direitos, acrescentar um subcontratante ulterior que trate dados sensíveis, prolongar materialmente um prazo de conservação, mudar os fundamentos jurídicos invocados, notificá-lo-emos por email e através de um aviso no site pelo menos 30 dias antes de produzirem efeitos, para que tenha tempo de reagir. As alterações editoriais menores (gralhas, esclarecimentos) produzem efeitos de imediato e ficam registadas no histórico abaixo.

Histórico de alterações

• 18 de maio de 2026: publicação inicial da política.

20. Contacto e reclamações

Para qualquer questão sobre privacidade, para exercer os seus direitos ou para comunicar uma preocupação de segurança:

Procuramos resolver todas as preocupações internamente. Se não ficar satisfeito com a nossa resposta, ou se considerar que o nosso tratamento dos seus dados viola o RGPD, tem o direito de apresentar reclamação à autoridade de controlo, em Portugal:

Comissão Nacional de Proteção de Dados (CNPD)
Av. D. Carlos I, 134, 1.º, 1200-651 Lisboa
www.cnpd.pt · [email protected]

Nos termos do artigo 77.º do RGPD, os residentes na UE podem também apresentar reclamação à autoridade de controlo do país da sua residência habitual ou do seu local de trabalho.

21. Glossário

AIMA

Agência para a Integração, Migrações e Asilo, a autoridade portuguesa responsável pela imigração e pelas autorizações de residência (sucessora do SEF).

AML / KYC

Prevenção do branqueamento de capitais / conhecimento do cliente: a obrigação legal de verificar os clientes e a origem dos fundos antes de prestar serviços suscetíveis de uso indevido para crime financeiro.

AT

Autoridade Tributária e Aduaneira, a autoridade fiscal portuguesa. Emite NIF, gere o IVA e trata dos registos IFICI / NHR.

CNPD

Comissão Nacional de Proteção de Dados, a autoridade de controlo portuguesa de proteção de dados. Equivalente à CNIL francesa, à AEPD espanhola, ao BfDI alemão.

Responsável pelo tratamento

A entidade jurídica que decide porquê e como os seus dados pessoais são tratados. Nesta política, é a BOCEAN IMMIGRATION PORTUGAL, LDA.

DPA / DPF / CCT

DPA = Acordo de Tratamento de Dados (o contrato que vincula um subcontratante a um responsável pelo tratamento, nos termos do art. 28.º do RGPD). DPF = o Quadro de Privacidade de Dados UE-EUA, um regime de adequação para transferir dados para empresas norte-americanas certificadas. CCT = cláusulas contratuais-tipo, contratos-modelo emitidos pela Comissão Europeia para transferências para países terceiros.

RGPD

Regulamento Geral sobre a Proteção de Dados, Regulamento (UE) 2016/679, a principal lei de proteção de dados da UE. Complementado em Portugal pela Lei n.º 58/2019.

IRN

Instituto dos Registos e do Notariado, a autoridade portuguesa responsável pelos registos civil, comercial e predial. Emite NIPC e gere a Caixa Postal Digital.

Lei 83/2017

Lei portuguesa de prevenção do branqueamento de capitais e do financiamento do terrorismo (Lei n.º 83/2017, de 18 de agosto).

NIF / NIPC

NIF = Número de Identificação Fiscal, o número fiscal português de pessoas singulares. NIPC = Número de Identificação de Pessoa Coletiva, o número fiscal português de sociedades.

PEP

Pessoa Politicamente Exposta: quem exerce ou exerceu recentemente uma função pública proeminente, bem como familiares próximos e pessoas conhecidas como associadas. Desencadeia diligência reforçada nos termos do art. 19.º da Lei 83/2017.

Subcontratante

Um terceiro que trata os seus dados pessoais por conta e segundo as instruções do responsável pelo tratamento (por exemplo, a Stripe a processar pagamentos para nós).

UIF

Unidade de Informação Financeira, a unidade de informação financeira de Portugal, integrada na Polícia Judiciária. Recebe as comunicações de operações suspeitas.