Política de Privacidade
Versão 1.0 · Em vigor: abril de 2026
1. Introdução
Esta Política de Privacidade descreve como nós, Stichting Xconea, enquanto únicos responsáveis pelo tratamento, tratamos dados pessoais no contexto do sítio Web ColorAptitude, da plataforma de avaliação ColorAptitude, do programa de revendedores e dos serviços relacionados. Aplica-se a todos os dados pessoais que tratamos na qualidade de responsável pelo tratamento, na aceção do artigo 4.º, n.º 7, do Regulamento Geral sobre a Proteção de Dados (Regulamento (UE) 2016/679, o "RGPD").
Redigimos esta política de forma a ser facilmente legível. Sempre que as informações são de natureza técnica, explicamos primeiro o efeito prático.
2. Quem somos
O responsável pelo tratamento dos seus dados pessoais é:
Stichting Xconea
A operar sob a designação: ColorAptitude
Operadora do produto: ColorAptitude
Allenstraat 110, Krommenie, Países Baixos
Contacto de privacidade: privacy@coloraptitude.com
Contacto geral: sales@coloraptitude.com
Não estamos legalmente obrigados a designar um Encarregado da Proteção de Dados, mas o contacto de privacidade acima indicado responde a todas as questões relativas a privacidade.
3. De quem tratamos os dados
Tratamos dados pessoais de quatro grandes grupos de pessoas. O restante desta política descreve como tratamos cada um.
- Visitantes do sítio Web — qualquer pessoa que visite coloraptitude.com ou páginas relacionadas.
- Clientes e utilizadores finais — pessoas que realizam uma avaliação ColorAptitude, concluem uma formação ou possuem uma conta na plataforma, através de subscrição pessoal ou de uma conta empresarial.
- Contactos empresariais — administradores, contactos de faturação e outros contactos comerciais nas organizações clientes.
- Contactos de revendedores — contactos primários, de faturação e comerciais em organizações que participam no programa de revendedores ColorAptitude.
4. Que dados tratamos e porquê
4.1 Visitantes do sítio Web
Categorias de dados
- Endereço IP, tipo de dispositivo, navegador, sistema operativo, página de origem, páginas visitadas, marcas temporais.
- Informações que fornece através de formulários de contacto (nome, e-mail, mensagem).
- Entradas e resultados do mini-scan (caso preencha o mini-scan gratuito).
Finalidades
- Disponibilização do sítio Web e garantia da sua segurança e bom funcionamento.
- Compreender a utilização agregada do sítio Web para melhorar conteúdos e estrutura.
- Resposta a pedidos através de formulários de contacto.
- Operação do mini-scan gratuito e apresentação de resultados indicativos.
Fundamento jurídico
- Interesse legítimo nos termos do artigo 6.º, n.º 1, alínea f), do RGPD para segurança, operação e análise agregada.
- Consentimento nos termos do artigo 6.º, n.º 1, alínea a), para cookies não essenciais e tracking — consulte a nossa Política de Cookies.
4.2 Clientes e utilizadores finais (plataforma paga)
Categorias de dados
- Identificação: nome, endereço de e-mail.
- Dado demográfico para normalização: idade (utilizada para comparar a sua pontuação com a norma profissional corrigida pela idade).
- Contexto profissional opcional: setor, função, organização.
- Dados da conta: identificador de início de sessão, palavra-passe com hash, marcas temporais de início de sessão.
- Dados da avaliação: respostas, pontuações, síntese da matriz de competências 3×3, certificados emitidos, progresso na formação.
- Dados de subscrição e pagamento: nível de subscrição, datas, estado, tokens do método de pagamento (os dados completos do cartão são detidos pela Stripe, não por nós).
- Comunicações: tickets de apoio, correspondência, conteúdo de e-mails quando nos contacta.
- Estado do consentimento de marketing (sempre que aplicável).
Finalidades
- Operação da sua conta e prestação dos serviços de avaliação, certificação e formação.
- Cálculo, apresentação e armazenamento das suas pontuações e certificados.
- Processamento dos pagamentos e renovações da subscrição.
- Manutenção de documentação de auditoria em conformidade com as referências ASTM E1499-16 e ISO/IEC 17025.
- Prestação de apoio ao cliente.
- Envio de comunicações de serviço (lembretes de renovação, emissão de certificados, avisos de segurança).
- Envio de comunicações de marketing, sempre que tiver dado consentimento.
Fundamento jurídico
- Execução do contrato nos termos do artigo 6.º, n.º 1, alínea b), do RGPD para conta, avaliação, certificação e processamento de pagamentos.
- Obrigação legal nos termos do artigo 6.º, n.º 1, alínea c), para fins fiscais, contabilísticos e de conservação legal de registos.
- Interesse legítimo nos termos do artigo 6.º, n.º 1, alínea f), para segurança, prevenção de fraude, melhoria do serviço e documentação de auditoria.
- Consentimento nos termos do artigo 6.º, n.º 1, alínea a), para comunicações de marketing, podendo ser retirado a qualquer momento.
4.3 Contactos empresariais
Categorias de dados
- Nome, endereço de e-mail profissional, função, telefone.
- Organização, morada, número de registo comercial, número de IVA.
- Registos de comunicações e de acesso — conta.
Finalidades
- Gestão da conta empresarial em nome da organização cliente.
- Faturação, pagamento e administração fiscal.
- Comunicações comerciais relativas — subscrição.
Fundamento jurídico
- Execução do contrato nos termos do artigo 6.º, n.º 1, alínea b), do RGPD com a organização cliente.
- Obrigação legal nos termos do artigo 6.º, n.º 1, alínea c), para faturação e registos fiscais.
- Interesse legítimo nos termos do artigo 6.º, n.º 1, alínea f), para a gestão da relação com contactos empresariais.
4.4 Contactos de revendedores
Categorias de dados
- Nome, função, e-mail profissional, telefone dos contactos primários, de faturação e comerciais na organização do revendedor.
- Dados da organização do revendedor: denominação legal, morada, número de registo comercial, número de IVA, IBAN.
- Dados de atividade do revendedor: atribuição de códigos, registos de cálculo de comissões, registos de utilização do painel.
Finalidades
- Operação do programa de revendedores e do painel de revendedor.
- Cálculo e pagamento de comissões.
- Comunicações relativas — relação de revenda.
Fundamento jurídico
- Execução do contrato nos termos do artigo 6.º, n.º 1, alínea b), do RGPD com a organização revendedora.
- Obrigação legal nos termos do artigo 6.º, n.º 1, alínea c), para fins fiscais e contabilísticos.
- Interesse legítimo nos termos do artigo 6.º, n.º 1, alínea f), para administração do programa.
4.5 Partilha de dados comerciais com revendedores
Quando um cliente adquire uma subscrição utilizando um código de revendedor, partilhamos um conjunto limitado de dados comerciais (nome e morada da organização; dados de contacto comerciais e de faturação; nível de subscrição, número de lugares, datas, estado, valor do contrato; registos de fatura e pagamento relevantes para a comissão; dados de atribuição) com o revendedor em causa, através do painel de revendedor.
Baseamos esta partilha no interesse legítimo, nos termos do artigo 6.º, n.º 1, alínea f), do RGPD. Os revendedores agem como responsáveis pelo tratamento independentes em relação aos dados comerciais limitados (Categoria A) que recebem — não são subcontratantes na aceção do artigo 28.º do RGPD e não é exigido nenhum acordo de tratamento de dados entre a Stichting Xconea e os seus revendedores. Estão contratualmente proibidos de aceder a dados de avaliação, certificados, progresso de formação ou qualquer informação individual de utilizadores.
5. Decisões automatizadas e profiling
O assessment ColorAptitude gera pontuações e um perfil de competência através de cálculo automatizado em relação a métricas estabelecidas de diferença de cor (CIE L*a*b* ΔE) utilizando uma estrutura de pontuação de três camadas (PCC-D para discriminação, PCC-A para atribuição, PCC-C para comunicação) e normas profissionais corrigidas pela idade. O resultado é um perfil descritivo, não uma decisão com efeitos jurídicos ou de forma similar significativa nos termos do artigo 22.º do RGPD.
Quando utiliza a avaliação num contexto de emprego, qualificação ou conformidade (por exemplo, qualificação de observador segundo a ASTM E1499-16), a utilização da sua pontuação pelo seu empregador ou organização é da responsabilidade dessa organização e não do ColorAptitude. Não tomamos decisões de contratação, promoção ou outras decisões laborais em seu nome.
Não realizamos profiling para fins publicitários ou de previsão comportamental fora do próprio serviço de avaliação.
6. Quem recebe os seus dados
6.1 No seio da Stichting Xconea
Os dados pessoais são acedidos na nossa organização apenas pelo pessoal para o qual esse acesso seja necessário — sua função, com base no princípio do conhecimento estritamente necessário.
6.2 Prestadores de serviços (subcontratantes)
Recorremos a um número limitado de prestadores de serviços reconhecidos, cada um vinculado por condições adequadas de proteção de dados. A lista atual de subcontratantes é:
| Prestador | Finalidade | Local de tratamento |
|---|---|---|
| Stripe | Processamento de pagamentos e faturação de subscrições | EEE / Estados Unidos (ao abrigo das CCT) |
| Alojamento de e-mail (SMTP) | Envio de e-mails transacionais através do servidor SMTP do fornecedor de alojamento | Países Baixos (EEE) |
| ActiveCampaign | Automação de marketing e CRM | EEE / Estados Unidos (ao abrigo das CCT) |
| Moneybird | Faturação e administração contabilística | Países Baixos (EEE) |
| Alojamento web e de aplicação | Alojamento do sítio Web e da plataforma ColorAptitude | Países Baixos (EEE) |
| Alojamento de base de dados | Base de dados PostgreSQL autogerida | Países Baixos (EEE) |
| GLS | Envio de encomendas para hardware Tier 2 (Datacolor SpyderPro) | EEE |
| Anthropic | Análise de tickets de suporte assistida por IA (apenas conteúdo do ticket, a pedido do gestor) | EEE / Estados Unidos (ao abrigo das CCT) |
Uma lista atualizada está disponível mediante pedido a privacy@coloraptitude.com.
6.3 Revendedores (responsáveis pelo tratamento independentes, dados limitados)
Conforme descrito na secção 4.5, quando adquire um produto através de um código de revendedor, um conjunto limitado de dados comerciais é disponibilizado a esse revendedor na sua qualidade de responsável pelo tratamento independente para fins de administração do programa. Os revendedores estão contratualmente proibidos de aceder a resultados de avaliação, certificados ou qualquer informação individual de utilizadores e estão vinculados a obrigações de confidencialidade, segurança e restrições de utilização, em conformidade com o nosso contrato de revenda.
6.4 Outros destinatários
Podemos divulgar dados pessoais a autoridades competentes quando legalmente obrigados a fazê-lo. Não vendemos dados pessoais nem os partilhamos para fins de marketing de terceiros não relacionados.
7. Transferências internacionais
Tratamos dados pessoais essencialmente no Espaço Económico Europeu (EEE). Quando é necessária a transferência para um país fora do EEE — tipicamente porque um prestador de serviços opera fora do EEE — baseamo-nos em garantias adequadas previstas no Capítulo V do RGPD.
Na prática, as transferências para prestadores de serviços fora do EEE estão cobertas por Cláusulas Contratuais Tipo (CCT) adotadas pela Comissão Europeia, complementadas, sempre que necessário, por medidas técnicas e contratuais adicionais. Pode solicitar uma cópia das garantias relevantes em privacy@coloraptitude.com.
8. Quanto tempo conservamos os seus dados
Conservamos os dados pessoais apenas pelo tempo necessário para as finalidades descritas nesta política, acrescido dos prazos legais de conservação que nos são aplicáveis.
| Categoria de dados | Prazo de conservação |
|---|---|
| Dados de conta (subscrições ativas) | Durante a vigência da subscrição e da conta. |
| Dados de conta após cancelamento | Até 24 meses após o termo da subscrição, sendo depois eliminados ou anonimizados, exceto quando seja exigida conservação mais longa por lei. |
| Resultados de avaliação e certificados | Durante a vigência da subscrição. Após o cancelamento, conservados em forma anonimizada para comparação normativa; os registos identificáveis são eliminados em 24 meses, salvo se forem necessários para reclamações legais ou obrigações de auditoria. |
| Faturas, registos de pagamento, dados contabilísticos | Sete (7) anos a contar do final do exercício fiscal aplicável, em conformidade com a legislação fiscal neerlandesa. |
| Dados comerciais de revendedor | Durante a vigência do contrato de revenda. Os registos relevantes para faturação e comissão são conservados durante 7 anos. |
| Dados de marketing (com consentimento) | Até — retirada do consentimento ou — inexistência de interação durante 24 meses, consoante o que ocorrer primeiro. |
| Apoio e correspondência | Três (3) anos após a última interação. |
| Analítica do sítio Web (agregada) | Até 26 meses sob forma identificável; agregados depois disso. |
| Registos de servidor (segurança e operação) | Até 12 meses. |
9. Os seus direitos
Ao abrigo do RGPD, o titular dos dados beneficia dos direitos abaixo indicados. Para exercer qualquer destes direitos, contacte-nos em privacy@coloraptitude.com. Respondemos no prazo de um mês após pedido verificável, prorrogável por mais dois meses em caso de pedidos complexos.
- Direito de acesso
- Pode obter a confirmação sobre se tratamos os seus dados pessoais e uma cópia dos dados que conservamos.
- Direito de retificação
- Pode solicitar a correção de dados inexatos ou incompletos.
- Direito ao apagamento
- Pode solicitar o apagamento dos seus dados pessoais quando se verifiquem os fundamentos legais previstos no artigo 17.º do RGPD, em particular quando os dados deixem de ser necessários para as finalidades para que foram recolhidos.
- Direito — limitação do tratamento
- Pode solicitar a limitação do tratamento nos casos previstos no artigo 18.º do RGPD.
- Direito — portabilidade dos dados
- Quanto aos dados que tratamos com base no seu consentimento ou em execução de um contrato, pode obter uma cópia em formato estruturado, de uso corrente e de leitura automática e solicitar a respetiva transmissão a outro responsável pelo tratamento, sempre que tecnicamente possível.
- Direito de oposição
- Por motivos relacionados com a sua situação particular, pode opor-se ao tratamento baseado em interesse legítimo, incluindo profiling. Em caso de oposição, cessamos o tratamento, salvo se demonstrarmos motivos legítimos imperiosos que prevaleçam sobre os seus interesses, direitos e liberdades, ou para efeitos de declaração, exercício ou defesa de direitos em processos judiciais.
- Direito de retirar o consentimento
- Quando o tratamento se basear no consentimento, pode retirá-lo a qualquer momento, sem comprometer a licitude do tratamento efetuado antes da retirada.
- Direito de apresentar reclamação
- Tem o direito de apresentar reclamação junto de uma autoridade de controlo em matéria de proteção de dados. Em Portugal, esta é a Comissão Nacional de Proteção de Dados (cnpd.pt). Pode também apresentar reclamação junto da autoridade de controlo do Estado-Membro da UE onde reside ou trabalha.
Para verificar a sua identidade antes de respondermos a um pedido de exercício de direitos, podemos solicitar-lhe a confirmação de elementos que correspondam aos que conservamos, em conformidade com o artigo 12.º, n.º 6, do RGPD. Não cobramos pelo tratamento dos pedidos, salvo quando estes se mostrem manifestamente infundados ou excessivos.
10. Segurança
Aplicamos medidas técnicas e organizativas adequadas para proteger os dados pessoais contra acesso não autorizado, perda acidental, alteração ou divulgação, em conformidade com o artigo 32.º do RGPD. Estas medidas incluem controlo de acesso com permissões baseadas em funções, autenticação multifator no acesso administrativo, encriptação dos dados em trânsito (TLS) e em repouso, sempre que aplicável, cópias de segurança regulares, aplicação de patches de segurança, registos e um procedimento documentado de resposta a incidentes.
Em caso de violação de dados pessoais suscetível de implicar um risco para os seus direitos e liberdades, notificamos a CNPD no prazo de 72 horas, em conformidade com o artigo 33.º do RGPD. Em caso de risco elevado, notificá-lo-emos também diretamente, em conformidade com o artigo 34.º do RGPD.
11. Crianças
ColorAptitude é um serviço profissional destinado a adultos. Não recolhemos conscientemente dados pessoais de pessoas com menos de 16 anos. Caso tomemos conhecimento de que foram recolhidos dados de uma pessoa com menos de 16 anos sem fundamento jurídico adequado, eliminá-los-emos sem demora indevida.
12. Cookies e tecnologias semelhantes
Utilizamos cookies e tecnologias semelhantes para o funcionamento essencial do site, segurança e (com o seu consentimento) para análise. Informações detalhadas sobre os cookies que utilizamos, a sua finalidade e as suas opções estão disponíveis na nossa Política de Cookies.
13. Alterações a esta política
Podemos atualizar esta Política de Privacidade periodicamente, por exemplo, para refletir alterações nos nossos serviços, nos nossos prestadores de serviços ou na lei aplicável. A data da versão no topo desta política indica quando foi alterada pela última vez.
Alterações substanciais — aquelas que afetam significativamente a forma como os seus dados são tratados ou os seus direitos — serão comunicadas por e-mail aos clientes ativos e revendedores com pelo menos 30 dias de antecedência em relação — data de produção de efeitos. Alterações não substanciais (clarificações, correções, aditamentos — lista de subcontratantes) produzem efeitos com a publicação.
14. Contact
Para qualquer questão, pedido ou preocupação em matéria de privacidade, contacte-nos em:
Stichting Xconea
Responsável pelo tratamento ao abrigo do RGPD
Opera a plataforma de avaliação da perceção da cor
Allenstraat 110, Krommenie, Países Baixos