Política de Privacidade

1. Introdução

A presente Política de Privacidade (“Política”) pretende dar nota da forma como o Bison Bank, S.A. e a Bison Digital Assets, S.A. (doravante “Grupo” ou “Entidades”) trata os dados pessoais, de acordo com o Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016 (“RGPD”), a Lei n.º 58/2019, de 8 de agosto de 2019, que assegura a execução do RGPD, e a restante legislação de proteção de dados pessoais.

Os dados pessoais objeto de tratamento reportam-se aos dados pessoais dos clientes do Grupo (incluindo representantes e beneficiários efetivos, se aplicável) e dos utilizadores dos websites ou aplicações móveis do Grupo (“Clientes”).

2. Responsável pelo Tratamento de Dados Pessoais

O responsável pelo tratamento dos dados é a entidade do Grupo que lhe presta o serviço ou produto, ambas com sede na Rua Barata Salgueiro, 33, Piso 0, 1250-042, Lisboa.

3. Dados Pessoais

Dados pessoais são toda a informação relativa a uma pessoa singular identificada ou identificável, direta ou indiretamente, como sejam, entre outros, o nome, o número de identificação civil ou fiscal, dados de localização, ou outros elementos específicos da sua identidade física, fisiológica, genética, mental, económica, cultural ou social.

Na prestação dos serviços e na oferta de produtos, o Grupo procede ou poderá proceder ao tratamento de várias categorias de dados pessoais, incluindo, mas não limitando, a:

Dados de identificação e contactos (e.g., nome, números e datas de validade de documentos de identificação civil, fiscal);
Dados de contactos (e.g., morada, telefone, endereço de correio eletrónico);
Dados biográficos (e.g., data de nascimento, género, nacionalidade, naturalidade, estado civil, informação sobre o agregado familiar, habilitações académicas, ou dados sobre a profissão (nome de entidade empregadora, tipo de contrato, remuneração));
Dados contratuais (e.g., número de conta, IBAN);
Dados de Transação (e.g., data, hora, descrição e valor de operações bancárias e/ou serviços de ativos virtuais (e.g. depósitos, levantamentos, transferências, pagamentos));
Dados de crédito e solvabilidade (e.g., dados de conta bancária, valor dos seus bens, dados fiscais);
Dados biométricos (e.g., impressão digital);
Dados de registo de voz e imagem (e.g., gravações de chamadas telefónicas, de videochamadas e fotografia);
Dados referentes à utilização de websites e aplicações (e.g., páginas visitadas, ou informação sobre os equipamentos utilizados – endereço IP, localização geográfica, browser utilizado).

4. Meios de Recolha

O Grupo obtém os dados pessoais dos Clientes através dos seguintes meios de recolha ou produção:

Dados fornecidos diretamente pelos Clientes (e.g., dados ou conteúdos fornecidos diretamente pelos titulares (i) no processo de subscrição ou aquisição de produtos e serviços, (ii) mensagens de correio eletrónicas, (iii) participação em ações promocionais, ou (iv) na resposta a inquéritos de satisfação ou surveys das entidades do Grupo);
Dados recolhidos no contexto da prestação dos serviços e na oferta de produtos (e.g., dados relativos às operações e transações bancárias e/ou às operações e transações com ativos virtuais realizadas pelos titulares (e.g. depósitos, transferências, pagamentos));
Perfilagem (e.g., dados produzidos através da aplicação de modelos analíticos aos dados dos titulares e aos dados relativos à utilização de produtos e serviços pelos titulares);
Cookies (e.g., dados relativos à utilização dos sites e aplicações das Entidades (e.g. páginas visitadas; preferências do utilizador), obtidos através de cookies de sites do Grupo ou de entidades terceiras);
Dados obtidos de entidades terceiras (e.g., dados obtidos pelo Grupo junto de entidades terceiras com as quais trabalha, incluindo (i) Banco de Portugal, (ii) autoridades públicas, (iii) agentes a trabalhar em nome do Grupo, ou (iv) parceiros do Grupo );

No contexto das relações comerciais e contratuais, o Grupo tem a obrigação de recolha dos dados pessoais dos Clientes, potenciais Clientes e outros titulares (e.g. representantes, beneficiários efetivos) necessários para cumprimento das obrigações e diligências pré-contratuais e contratuais, ou mesmo regulamentares.

5. Finalidades do Tratamento

Um tratamento de dados designa-se como uma operação ou conjunto de operações efetuadas sobre dados pessoais, executada por meios manuais ou automatizados, incluindo a recolha, armazenamento, utilização, cópia e transferência.

Os dados pessoais dos Clientes do Grupo são utilizados de forma lícita e transparente e com finalidades específicas, tendo por referência as respetivas bases de licitude:

Execução de contrato ou diligências pré-contratuais

Onboarding de clientes e sua gestão (e.g., recolha e registo de dados dos titulares ou representantes, abertura de contas à ordem, alteração de titulares e respetivos dados, ou emissão de extratos bancários).
Gestão de operações e serviços bancários (e.g., processamento de débitos diretos, transferências nacionais e internacionais, cobrança de comissões bancárias, ou execução de ordens do Cliente, como exemplo, compra e venda de títulos e/ou ativos virtuais).
Gestão de produtos financeiros (e.g., adesão, produção, simulação, constituição e gestão de produtos de poupança e investimento, ou prestação de informação sobre produtos e serviços adquiridos ou subscritos pelo Cliente).
Adesão e gestão de serviços relacionados com canais eletrónicos (e.g., adesão a canais eletrónicos, como exemplo, Internet banking, mobile banking, gestão de credenciais de acesso, personalização dos canais, ou ativação e desativação de serviços relacionados.
Gestão de reclamações (e.g., receção, análise e resposta a pedidos de informação e reclamações de Clientes).

Cumprimento de obrigação jurídica

Gestão administrativa (e.g., recolha, classificação e armazenamento de documentos físicos com dados pessoais no arquivo documental, que constituem evidência obrigatória no contexto da atividade das Entidades).
Prevenção do branqueamento de capitais e do financiamento do terrorismo (e.g., verificação de listas de pessoas e entidades sujeitas a sanções financeiras ou comerciais, ou identificação e reporte de operações suspeitas).
Reportes obrigatórios às entidades reguladoras (e.g., prestação de informação obrigatória (prudencial e outras) e a pedidos diversos dos reguladores sectoriais, como exemplo, Banco de Portugal, Banco Central Europeu, CMVM, autoridades públicas, como exemplo, Tribunais, Polícias, AT, auditores externos e entidades internacionais.
Prevenção de fraudes (e.g., deteção, análise e resposta a potenciais eventos de fraude, em particular os relacionados com operações remotas, como exemplo, Internet Banking).
Gestão de risco (e.g., análise do risco, ou verificação da identidade e idade, dos conhecimentos e experiência, perfil de risco, e objetivos de investimento de um Cliente).
Vídeo vigilância (e.g., videovigilância das instalações físicas das Entidades do Grupo para recolha de provas em caso de invasão ou burla).

Interesse legítimo

Gestão administrativa (e.g., recolha, classificação e armazenamento de documentos físicos com dados pessoais no arquivo documental, que constituem evidência obrigatória no contexto da atividade das Entidades).
Exercício de funções de auditoria interna (e.g., exercício de funções de auditoria interna Recolha e análise de dados no contexto da auditoria interna dos processos e operações das Entidades).
Gestão de eventos (e.g., recolha e tratamento de dados no contexto de eventos realizados pelo Grupo).
Prestação de informação (e.g., envio de material informativo diverso, como exemplo, segurança da informação tendências nos mercados financeiros e/ou mercados de ativos virtuais, ou no contexto da aquisição ou subscrição de produtos ou serviços pelos Clientes).
Marketing (e.g., prestação de informação ou realização de campanhas sobre produtos ou serviços análogos aos transacionados pelas Entidades, através de telefone, SMS ou correio eletrónico, para estimular a utilização ou promover a aquisição ou subscrição de produtos e serviços financeiros para Clientes).
Perfilagem e segmentação de clientes (e.g., caracterização e segmentação de Clientes, para melhor dirigir e adequar a oferta comercial de produtos e serviços do Grupo às características específicas dos Clientes e definir o seu perfil de utilização dos nossos produtos e serviços e avaliar a sua propensão relativamente aos mesmos).
Gestão e segurança dos sistemas de informação e instalações (e.g., processos de gestão e monitorização dos sistemas de informação e infraestruturas tecnológicas, registo de eventos de acesso e utilização dos sistemas, processos de deteção, análise e resposta a potenciais incidentes de segurança de informação, controlo das identidades e acessos aos sistemas de informação das Entidades, ou controlo de acessos físicos às instalações).

Consentimento do titular dos dados

Marketing (e.g., prestação de informação ou realização de campanhas sobre produtos ou serviços transacionados pelas Entidades ou por entidades parceiras, através de telefone, SMS ou correio eletrónico, para estimular a utilização ou promover a aquisição ou subscrição de produtos e serviços financeiros para Clientes).
Prova de instruções e informação transmitidos por via telefónica (e.g., gravação de chamadas/videochamadas como meio de prova de informações ou instruções transmitidas no contexto de uma relação pré- contractual, como exemplo, prova de identidade do titular ou instruções transmitidas no contexto de uma relação contratual, como exemplo, ordens de bolsa).
Personalização da experiência do utilizador no website e mobile App (e.g., utilização de cookies persistentes para registo da atividade e preferências dos Clientes nos sites e aplicações das Entidades).

6. Cookies

i) O que são cookies

Os cookies são pequenos ficheiros de texto com informação relevante que o seu dispositivo de acesso carrega (computador, telemóvel / smartphone ou tablet), através do navegador de internet (browser), quando um site é visitado pelo utilizador.

O uso de cookies não só permite ao site reconhecer o dispositivo do utilizador na próxima vez que este o visita, como também melhora o funcionamento e experiência do mesmo.

Os cookies usados pelas Entidades nos seus sítios da internet (sites do Bison Bank ou Bison Digital Assets) não recolhem informações pessoais que permitam identificar o utilizador, apenas procedendo ao processamento e guarda de informações genéricas, designadamente a forma ou proveniência do acesso dos utilizadores e o modo como usam os sites do Grupo, entre outros.

Os cookies retêm apenas informação demográfica e informação relacionada com as preferências dos utilizadores.

O utilizador pode, a qualquer momento e através do seu navegador de internet (browser), decidir ser notificado sobre a receção de cookies, bem como bloquear a respetiva entrada no seu sistema. Salienta-se, no entanto, que a recusa de uso de cookies nos sites do Grupo pode resultar na impossibilidade de acesso a algumas das suas áreas e não permitir toda a experiência de navegação nos sites do Grupo.

ii) Para que servem os cookies

Os cookies são usados para ajudar a determinar a utilidade, interesse e o número de utilizações dos websites, permitindo uma navegação mais rápida e eficiente e eliminando a necessidade de introduzir repetidamente as mesmas informações.

iii) Que tipo de cookies utilizamos

Cada cookie utilizado tem uma função e uma data de validade. Relativamente à função, os cookies utilizados podem ser:

Cookies essenciais – Alguns cookies são essenciais para aceder a áreas específicas nos sites do Grupo. Estes permitem a navegação nos sites e a utilização das suas aplicações, tal como o acesso a áreas seguras nos sites do Grupo através de login. Sem estes cookies, os serviços que o exijam não podem ser disponibilizados.

Cookies funcionais – Os cookies funcionais permitem relembrar as preferências do utilizador relativamente à navegação nos sites do Grupo. Assim, não necessita de o reconfigurar e personalizar cada vez que o visita.

Nome	Tipo	Finalidade	Duração
_icl_visitor_lang_js	Cookies funcionais	Regista o último idioma usado para quando o utilizador regressa ao site do Bison Bank.	1 Mês

Cookies analíticos – Estes cookies são utilizados para analisar a forma como os utilizadores usam os sites do Grupo, permitindo destacar artigos ou serviços que podem ser do interesse dos utilizadores, e monitorizar o desempenho dos sites do Grupo, conhecendo quais as páginas mais populares, qual o método de ligação entre páginas que é mais eficaz ou para determinar a razão de algumas páginas estarem a receber mensagens de erro. Estes cookies são utilizados apenas para efeitos de criação e análise estatística, sem nunca recolher informação de carácter pessoal. Assim, o Grupo pode fornecer uma experiência de elevada qualidade ao personalizar a sua oferta e, rapidamente, identificar e corrigir quaisquer problemas que surjam.

Nome	Tipo	Finalidade	Duração
_ga	Cookies analíticos	Regista um único ID que é utilizado como dado estatístico da visita do Cliente.	2 Anos
_gid	Cookies analíticos	Regista um único ID que é utilizado como dado estatístico da visita do Cliente.	Sessão

Relativamente à data de validade, os cookies utilizados podem ser:

Cookies permanentes – Ficam armazenados nos seus dispositivos de acesso (computador, telemóvel/smartphone ou tablet), ao nível do navegador de internet (browser) e são usados sempre que o utilizador visita novamente os sites do Grupo. Em geral, são usados para direcionar a navegação de acordo com os interesses do utilizador, permitindo ao Grupo prestar um serviço mais personalizado.

Cookies de sessão – Os cookies são temporários e estão disponíveis até encerrar a sessão. Da próxima vez que o utilizador aceder ao seu navegador de internet (browser) os cookies já não estarão armazenados. A informação obtida permite gerir as sessões, identificar problemas e fornecer uma melhor experiência de navegação.

iv) Bloquear o uso de cookies

Todos os browsers permitem ao utilizador aceitar, recusar ou apagar cookies, nomeadamente através da seleção das definições apropriadas no respetivo navegador, pelo que o utilizador pode, a qualquer momento, desativar parcial ou totalmente os cookies utilizados nos sites do Grupo. Para obter mais informações consulte as instruções e manuais do próprio navegador.

Contudo, informamos que ao desativar os cookies dos sites do Grupo pode não funcionar corretamente.

Mais informação sobre cookies – www.allaboutcookies.org

7. Prazos de Conservação

Os dados pessoais recolhidos são tratados no estrito cumprimento da legislação aplicável, sendo armazenados em bases de dados próprias para o efeito.

O Grupo trata e conserva os dados pessoais de acordo com as respetivas finalidades e respeitando os prazos legais aplicáveis.

Sempre que não exista uma exigência legal específica, os dados serão armazenados e conservados apenas pelo período adequado e na medida do necessário ao âmbito das finalidades para as quais foram recolhidos, exceto se for exercido, dentro dos limites legais, o direito de oposição, direito ao apagamento ou retirado o consentimento.

Quando os dados pessoais sejam necessários para as Entidades do Grupo comprovar o cumprimento de obrigações contratuais ou de outra natureza, os mesmos podem ser conservados enquanto não decorrer o prazo de prescrição dos direitos correspetivos.

Neste sentido, e tendo em conta as regras específicas vigentes quanto a determinadas obrigações legais de conservação e reporte de informação, apresentam-se os diferentes prazos de conservação de dados pessoais consoante as categorias em que o tratamento dos mesmos se insere:

Atividade bancária & BCFT

7 anos após o termos da relação de negócio.

Escrituração mercantil

10 anos.

Fiscalidade

10 anos.

Marketing

5 anos.

Cookies

2 anos.

Videovigilância

30 dias.

8. Direitos do Titular dos Dados Pessoais

O titular dos dados pessoais, nos termos da lei aplicável, tem os seguintes direitos:

• Direito de acesso aos dados que lhe digam respeito;
• Direito à sua retificação;
• Direito de solicitar a sua portabilidade;
• Direito de se opor ao tratamento nos casos em que a lei lhe permite;
• Direito à limitação do tratamento;
• Direito ao seu apagamento;
• Direito de retirar o consentimento;
• Direito de não ficar sujeito a decisões individuais exclusivamente automatizadas;
• Direito de apresentar reclamações junto da autoridade de controlo.

Estes direitos podem ser exercidos com periodicidade razoável e sem demoras ou custos excessivos.

O titular poderá exercer qualquer um dos referidos direitos nos termos do ponto 12. infra.

Conforme referido, o titular tem o direito de apresentar reclamações relacionadas com o incumprimento pelo Grupo das disposições relativas à proteção e tratamento de dados pessoais junto da Comissão Nacional de Proteção de Dados (“CNPD”) ou outra autoridade de controlo competente.

9. Medidas de Segurança

Para garantir a proteção da segurança dos dados pessoais que lhe são disponibilizados, o Grupo adotou diversas medidas de segurança, técnicas e organizacionais, de forma a proteger os dados pessoais contra a destruição, a perda, a alteração, a divulgação ou o acesso não autorizados ou contra qualquer outra forma de tratamento ilícito.

Caso alguma Entidade do Grupo subcontrate a outras entidades a prestação de serviços que envolvam a cedência de dados pessoais (e.g., prestadores de serviços de TI, arquivo, apoio à atividade de backoffice, consultoria, segurança privada, etc.), essas entidades ficarão obrigadas a adotar as medidas técnicas e organizacionais necessárias de forma a protegerem os dados pessoais contra a destruição, a perda, a alteração, a divulgação, o acesso não autorizado ou qualquer outro tipo de tratamento ilícito.

10. Comunicação a Entidades Terceiras

Quando necessário ou adequado (i) à luz da lei aplicável, (ii) ao cumprimento de obrigações legais/ordens judiciais, (iii) para resposta a solicitações de autoridades públicas ou governamentais, ou (iv) quando o titular dos dados pessoais tiver dado o seu consentimento, o Grupo poderá comunicar dados pessoais dos seus Clientes às seguintes entidades terceiras:

• Empresas do Grupo (empresas dominadas ou participadas pelo Bison Bank, S.A.) ou empresas parceiras (designadamente no âmbito de divulgação de serviços de consultoria e serviços financeiros análogos);
• Entidades legais e judiciais ou autoridades públicas (designadamente, autoridades de supervisão);
• Entidades gestoras de centrais de risco de crédito, agências de análise de crédito e prevenção de fraude, entidades que prestem serviços de solvabilidade (designadamente, entidades adquirentes de créditos), entidades de cobranças de créditos;
• Subcontratantes e fornecedores (designadamente, entidades prestadoras de serviços de pagamento, serviços bancários ou financeiros, serviços postais, serviços de TI, serviços de arquivo).

Caso algumas das entidades estejam estabelecidas em países terceiros que não garantam um nível de proteção adequado dos dados pessoais, o Grupo compromete-se a assegurar que essas entidades implementam as necessárias medidas técnicas e organizativas adequadas para proteger os dados pessoais nos termos constantes do ponto 9. supra.

11. Transferência de Dados

O Grupo procederá à transferência de dados para países terceiros que não pertençam à União Europeia ou ao Espaço Económico Europeu apenas nos casos permitidos por lei. Poderão ocorrer transferências de dados para fora da União Europeia, nomeadamente, quando tal seja necessário para (i) a execução de um contrato entre o Cliente e o Grupo; (ii) diligências prévias à formação do contrato decididas a pedido do Cliente; (iii) a celebração ou execução de um contrato, celebrado no interesse do Cliente; ou (iv) mediante uma autorização expressa do Cliente.

12. Contatos

Caso tenha alguma dúvida ou questão relacionada com a presente Política ou com o exercício dos seus direitos, poderá contactar-nos mediante comunicação para o Encarregado de Proteção de Dados (“DPO”), através do e-mail epd@bisonbank.com ou através de carta dirigida às Entidades do Grupo Bison Bank ao cuidado do DPO e enviada para a sede da Entidade do Grupo.

13. Alterações à Política

O Grupo reserva-se o direito de alterar a presente Política em qualquer momento.