Política de Privacidade

Quem é o responsável

O responsável pelo tratamento dos dados pessoais aqui descritos é a OnwardTrust S.a.r.l., Rue du puits Romain 33-39, 8070 Bertrange, Luxembourg. Os dados de identificação completos constam do nosso aviso legal.

Para qualquer assunto relativo aos seus dados, incluindo qualquer dos pedidos da secção 11, escreva para help@onwardtrust.com.

Esta política abrange o nosso site, as páginas de pagamento em onwardtrust.com/pay/ e a correspondência que trocamos consigo. Não abrange a agência de viagens com quem reservou, que decide por si própria o que fazer com os dados que conserva e é, quanto a esses dados, um responsável pelo tratamento distinto.

De onde vêm os seus dados

A maior parte do que conservamos sobre um viajante não veio do próprio viajante. Veio de uma de três origens:

• Da agência, quando cria um pagamento: o nome do viajante, o endereço de e-mail, o idioma preferido, a reserva a que respeita e o montante a pagar.
• Do banco, quando chega uma transferência: o nome do titular da conta de origem, o respetivo IBAN, o montante, a data-valor e a linha de texto livre que o remetente escreveu na referência.
• De si, se nos escrever, utilizar a página de pagamento ou nos enviar elementos de prova para fundamentar um pedido ou uma contestação.

O que conservamos

• Dados de identificação e de contacto — nome, endereço de e-mail e qualquer morada ou número de telefone que opte por nos dar em correspondência.
• Dados de pagamento — a referência de pagamento, o montante, a moeda, o estado em que o pagamento se encontra, os momentos em que mudou de estado e os dados bancários da conta de onde veio o dinheiro.
• Dados da reserva — o identificador de reserva da própria agência e, no comprovativo de emissão que a agência apresenta, o número do bilhete e o nome do passageiro da reserva.
• Correspondência — as mensagens que nos envia e as nossas respostas, incluindo tudo o que anexar.
• Dados técnicos — o nosso servidor web regista o endereço IP, o pedido, a hora e a cadeia de identificação do navegador de cada pedido, como fazem quase todos os servidores web. Em separado, os nossos próprios registos da aplicação registam o processamento de um pagamento, que inclui a respetiva referência.

Não pedimos nem queremos um número de cartão, um código de segurança de cartão, uma palavra-passe de banca online ou um código de utilização única. Não aceitamos cartões de espécie alguma, pelo que não há circunstância em que precisássemos de algum. Se alguém lhe pedir isto em nosso nome, consulte a secção 9 dos nossos Termos e Condições.

Porquê, e com que fundamento jurídico

Para operar o depósito em garantia: receber o dinheiro, associá-lo a uma reserva, informar a agência de que está retido e libertá-lo ou devolvê-lo

Execução de um contrato (Artigo 6(1)(b) do RGPD) e o nosso interesse legítimo em executar o contrato que temos com a agência quando o viajante não é diretamente a nossa contraparte (Artigo 6(1)(f)).

Para lhe dizer o que está a acontecer ao seu dinheiro

Execução de um contrato e o nosso interesse legítimo em que um viajante não fique sem informação sobre dinheiro que enviou (Artigo 6(1)(f)).

Para prevenir, detetar e investigar fraude, usurpação de identidade e utilização abusiva do serviço

O nosso interesse legítimo, e o interesse legítimo de todos os outros utilizadores do serviço, em que um sistema de pagamentos não seja usado para defraudar pessoas (Artigo 6(1)(f)).

Para cumprir as nossas obrigações de combate ao branqueamento de capitais e ao financiamento do terrorismo e para efetuar verificações em listas de sanções

Cumprimento de uma obrigação jurídica (Artigo 6(1)(c)).

Para manter registos contabilísticos e fiscais

Cumprimento de uma obrigação jurídica (Artigo 6(1)(c)).

Para declarar, exercer ou defender direitos em processos judiciais, incluindo num litígio sobre uma reserva

O nosso interesse legítimo em poder comprovar o que aconteceu (Artigo 6(1)(f)) e o cumprimento de uma obrigação jurídica quando um tribunal ou uma autoridade o exija.

Para manter o serviço seguro e disponível

O nosso interesse legítimo em operar o serviço com segurança (Artigo 6(1)(f)).

Não vendemos dados pessoais, não os partilhamos para marketing de quem quer que seja e não enviamos e-mails de marketing a viajantes.

Cookies e rastreio

Este site não coloca cookies, e as páginas de pagamento não colocam cookies. Não há analítica, nem pixel publicitário, nem script de terceiros de espécie alguma em nenhum deles. É por isso que não lhe está a ser pedido que concorde com seja o que for.

É também uma decisão de conceção e não uma omissão. O seu idioma vem do endereço da página em que está, e não de algo guardado no seu dispositivo — é por isso que cada idioma tem um endereço web próprio — e uma página de pagamento não transporta qualquer estado entre visitantes, pelo que o idioma ou a reserva de um viajante não podem ser revelados à pessoa seguinte a usar um computador partilhado.

O nosso servidor web guarda registos dos pedidos, conforme descrito na secção 3. Esses registos não são cookies e não o seguem para nenhum outro site.

Com quem os partilhamos

• O nosso banco, necessariamente, para receber e enviar o dinheiro.
• A agência de viagens da sua reserva: que um pagamento foi recebido e retido, que foi libertado ou devolvido, e a referência a que respeita. Não transmitimos à agência os dados bancários da conta a partir da qual pagou.
• Os nossos prestadores de serviços, principalmente de alojamento e de envio de e-mail, ao abrigo de contratos escritos que apenas lhes permitem atuar segundo as nossas instruções.
• Os nossos consultores profissionais — contabilistas, auditores e advogados — quando deles necessitem e estejam vinculados a dever de confidencialidade.
• As autoridades públicas, quando a lei o exige, incluindo em matéria de branqueamento de capitais, sanções, impostos ou por decisão judicial.

Onde são armazenados

Os nossos servidores estão localizados na União Europeia e os dados pessoais descritos nesta política são aí armazenados. Não os transferimos por rotina para fora do Espaço Económico Europeu. Se isso alguma vez mudar, utilizaremos um mecanismo de transferência reconhecido ao abrigo do Capítulo V do RGPD, como as cláusulas contratuais-tipo da Comissão Europeia, e dizê-lo-emos aqui primeiro.

Durante quanto tempo os conservamos

• O registo de um pagamento e a respetiva página de estado — 24 meses a contar da data em que o pagamento foi concluído ou devolvido, para que ambas as partes de uma reserva possam ainda consultar o mesmo registo se algo for questionado mais tarde.
• Os registos contabilísticos, incluindo os dados das transações subjacentes — dez anos, que é o período durante o qual a lei comercial luxemburguesa nos obriga a conservá-los.
• Os registos conservados para cumprir obrigações de combate ao branqueamento de capitais — cinco anos após o fim da relação de negócio ou da transação, conforme essa legislação exige.
• Correspondência — 24 meses, ou mais quando disser respeito a uma contestação ainda em aberto ou a uma ação judicial.
• Os registos de pedidos do servidor web — 14 dias.
• Os registos da aplicação, que registam o tratamento de um pagamento e não de um pedido web — 8 semanas.

Quando dois destes prazos se apliquem aos mesmos dados, prevalece o mais longo, porque não podemos apagar algo que a lei nos obriga a conservar.

Decisões automatizadas

Nenhuma decisão sobre o seu dinheiro é tomada automaticamente. Associar uma transferência a uma reserva, verificar o comprovativo de emissão, libertar fundos e devolver fundos são decisões tomadas, cada uma delas, por um membro da nossa equipa, e acima de um determinado valor uma libertação exige ainda uma segunda pessoa. Não existe definição de perfis automatizada nem qualquer decisão com efeitos jurídicos que seja tomada sem um ser humano.

Como os protegemos

As ligações a este site e às páginas de pagamento são cifradas em trânsito. O acesso aos registos de pagamento está limitado a membros da equipa identificados pelo nome, cada um com a sua própria conta, e a permissão para libertar dinheiro é detida por menos pessoas do que a permissão para ler um registo.

Cada alteração a um pagamento é escrita num registo de auditoria ao qual só é possível acrescentar entradas, que regista o que mudou, quando e quem o causou. Esse registo não pode ser editado nem apagado pelas pessoas cujas ações regista.

Qualquer pessoa que tenha o endereço de uma página de pagamento pode aceder-lhe, e é assim que um viajante lhe acede sem se registar. O endereço contém uma referência aleatória longa que não pode ser adivinhada nem enumerada, e a página está excluída dos motores de busca. Trate a ligação como trataria os próprios dados de pagamento.

Os seus direitos

Ao abrigo do RGPD, pode pedir-nos que:

• lhe forneçamos uma cópia dos dados pessoais que conservamos sobre si, e que lhe digamos o que fazemos com eles;
• corrijamos tudo o que esteja errado ou incompleto;
• apaguemos os dados, quando já não tenhamos motivo para os conservar;
• limitemos o que fazemos com eles enquanto se resolve uma contestação sobre a sua exatidão ou sobre os nossos fundamentos;
• forneçamos, a si ou a outro responsável pelo tratamento, uma cópia portátil dos dados que nos forneceu, quando os conservamos com base num contrato; e
• cessemos o tratamento quando nos baseamos em interesses legítimos — fá-lo-emos, salvo se tivermos fundamentos que prevaleçam sobre os seus, e explicaremos quais.

Escreva para help@onwardtrust.com. Respondemos no prazo de um mês. Poderemos ter de confirmar a sua identidade antes de agirmos, sobretudo quando um pedido diz respeito a dinheiro — pediremos o mínimo com que consigamos trabalhar.

Alguns destes direitos têm limites. Não podemos apagar um registo que a lei nos obriga a conservar e não podemos limitar o tratamento ao ponto de ficarmos impossibilitados de devolver dinheiro que retemos por sua conta.

Reclamar junto da autoridade de controlo

Preferíamos que nos dissesse primeiro a nós, escrevendo para help@onwardtrust.com, para que possamos corrigir a situação. Não tem de o fazer.

Pode apresentar reclamação junto da autoridade de controlo luxemburguesa em matéria de proteção de dados, a Commission nationale pour la protection des données (CNPD), cujos contactos estão publicados em cnpd.lu. Pode também apresentar reclamação junto da autoridade de controlo do país onde vive ou trabalha.

Alterações a esta política

A data no topo desta página é a data da versão que está a ler. Quando uma alteração afetar materialmente a forma como usamos dados que já conservamos, informaremos diretamente as pessoas afetadas, em vez de contarmos com uma nova leitura desta página.