O RGPD define o responsável pelo tratamento como a pessoa, singular ou coletiva, que determina, isoladamente ou em conjunto com outras, as finalidades e os meios de um tratamento de dados pessoais. Ser responsável pelo tratamento não se limita, pois, a recolher informações: implica decidir por que motivo esses dados são recolhidos, durante quanto tempo são conservados, quem a eles pode aceder e por que meios são protegidos contra a perda, a alteração ou o acesso não autorizado. A Lendovia atua nessa qualidade relativamente a todos os tratamentos descritos na presente política: formulários de simulação, pedidos de financiamento, criação e gestão de uma área de cliente.
Esta qualificação implica um dever de prestação de contas, conhecido como princípio da responsabilização ("accountability"): o responsável pelo tratamento deve poder demonstrar, a qualquer momento e nomeadamente perante a CNIL, que os seus tratamentos respeitam os princípios do RGPD. Tal traduz-se, na prática, na manutenção de um registo das atividades de tratamento que enumera cada finalidade, na realização de avaliações de impacto sempre que o nível de risco o justifique, e na formalização de procedimentos internos de segurança e de gestão dos pedidos apresentados pelos titulares dos dados.
A presente política aplica-se a todos os visitantes, potenciais clientes e clientes da Lendovia, seja qual for o produto em causa (crédito pessoal, crédito renovável, consolidação de créditos, seguro de proteção ao crédito). O ponto de contacto para qualquer questão relativa à proteção de dados é o encarregado de proteção de dados (EPD/DPO) da Lendovia, contactável através da área de cliente, na secção "Os meus dados e a minha privacidade". O EPD tem por missão informar, aconselhar e zelar pelo cumprimento do RGPD no seio da organização, constituindo o ponto de contacto natural tanto com a CNIL como consigo próprio.
O volume de informações que a Lendovia detém a seu respeito não é fixo: cresce progressivamente, à medida que avança no seu percurso, e nunca recolhemos antecipadamente dados para os quais ainda não temos utilidade. Esta progressão ilustra concretamente o princípio da minimização consagrado no RGPD, segundo o qual apenas devem ser recolhidos os dados pertinentes para cada etapa.
Quando visita o nosso simulador de crédito de forma anónima, sem fornecer qualquer dado de contacto, não detemos qualquer dado que o identifique diretamente: os montantes, prazos e taxas testados permanecem simples parâmetros de cálculo não associados a uma pessoa, com exceção dos dados técnicos de navegação descritos na nossa política de cookies. A partir do momento em que inicia uma simulação fornecendo os seus dados de contacto para receber um resultado personalizado — nome próprio, endereço eletrónico, número de telefone — tratamos dados que o identificam, mas dentro de um perímetro limitado ao que é necessário para o recontactar e afinar a sua proposta.
A apresentação de um pedido de financiamento completo marca uma mudança de escala: passamos então a recolher um dossiê muito mais detalhado, incluindo um documento de identificação, um comprovativo de morada, os seus recibos de vencimento ou declarações de rendimentos, um comprovativo de IBAN, o detalhe dos seus encargos recorrentes (renda, outros créditos, pensões pagas) e, se aplicável, os documentos relativos ao seu projeto, como um orçamento de obras ou uma nota de encomenda de veículo — indispensáveis para instruir o seu dossiê e avaliar a sua capacidade de reembolso. Uma vez assinado o contrato, enriquecemos este dossiê ao longo de toda a vida do crédito: credenciais de acesso à sua área de cliente, histórico das suas prestações e eventuais incidentes, trocas de comunicações com o seu consultor, comprovativos atualizados em caso de renegociação.
Estas categorias de dados repartem-se do seguinte modo:
Os seus dados são tratados pela Lendovia para cinco finalidades precisas, assentando cada uma delas numa base jurídica própria, detalhada a seguir:
Não tratamos os seus dados para fins incompatíveis com estas finalidades iniciais, e limitamos a recolha exclusivamente aos dados pertinentes relativamente a cada uma delas, em conformidade com o princípio da minimização consagrado no RGPD.
A execução do contrato, ou as diligências pré-contratuais efetuadas a seu pedido antes da respetiva assinatura (artigo 6.º, n.º 1, alínea b) do RGPD), fundamenta a maioria dos nossos tratamentos: permite-nos tratar a sua simulação, instruir o seu pedido e, posteriormente, gerir o crédito assinado — planos de amortização, cobrança das prestações mensais, reembolso antecipado ou reestruturação. Sem esta base jurídica, não poderíamos simplesmente cumprir os compromissos recíprocos que o contrato impõe a nós próprios e a si.
A obrigação legal (artigo 6.º, n.º 1, alínea c)) fundamenta todos os tratamentos que a regulamentação nos impõe independentemente da sua vontade: verificação da sua identidade e da origem dos fundos no âmbito do combate ao branqueamento de capitais e ao financiamento do terrorismo, comunicação de determinadas operações atípicas à TRACFIN, inscrição no FICP em caso de incidente caracterizado, ou conservação de documentos pelos prazos impostos pelo código monetário e financeiro francês ou pelo código geral de impostos francês.
O interesse legítimo (artigo 6.º, n.º 1, alínea f)) abrange tratamentos que consideramos necessários à condução da nossa atividade, sem prejudicar de forma desproporcionada os seus direitos: deteção de fraude, proteção da sua área de cliente contra acessos fraudulentos, prospeção dirigida aos nossos clientes e antigos clientes relativa a produtos semelhantes aos já subscritos. Esta base jurídica pressupõe uma ponderação permanente entre o nosso interesse e o seu, e cede sempre que exerça o seu direito de oposição.
O consentimento (artigo 6.º, n.º 1, alínea a)) aplica-se quando nenhuma das bases anteriores pode justificar um tratamento — tipicamente para comunicações eletrónicas dirigidas a potenciais clientes ainda sem relação contratual, ou para cookies não estritamente necessários ao funcionamento do sítio. Deve ser livre, específico, informado e inequívoco; pode retirá-lo tão facilmente como o deu, sem que tal ponha em causa a licitude dos tratamentos anteriores.
Internamente, o acesso aos seus dados é compartimentado segundo o princípio da necessidade de conhecer: os consultores comerciais responsáveis pela instrução veem as informações necessárias à análise do seu dossiê (rendimentos, encargos, projeto financiado); as equipas de gestão de risco e de combate à fraude acedem aos elementos necessários à verificação da sua identidade e à deteção de anomalias, sem necessariamente verem o detalhe das suas trocas comerciais; o serviço de apoio ao cliente dispõe de uma visão orientada para o acompanhamento do dossiê; as equipas de recuperação de crédito apenas intervêm caso ocorra um incidente de pagamento. Cada acesso é registado e limitado exclusivamente aos dados úteis para a missão exercida.
Os seus dados são também comunicados a subcontratantes técnicos que atuam por conta da Lendovia e segundo as suas instruções contratuais escritas, enquadradas pelas garantias exigidas pelo RGPD: cláusulas de confidencialidade, medidas de segurança, possibilidade de auditoria. Trata-se tipicamente de um alojador (hosting provider) que assegura o armazenamento seguro dos dados no seio da União Europeia, de um prestador de serviços de assinatura eletrónica para os contratos assinados em linha, e de um prestador de envio de correio, emails ou SMS para os seus planos de amortização, avisos ou notificações. Nenhum destes prestadores está autorizado a reutilizar os seus dados em proveito próprio.
Por fim, os seus dados podem ser comunicados a autoridades públicas em casos precisamente enquadrados pela lei: inscrição no FICP (ficheiro francês de incidentes de reembolso de créditos a particulares), gerido pelo Banco de França, em caso de incidente caracterizado no seu crédito; comunicação à TRACFIN, a unidade de informação financeira francesa, sempre que uma operação faça supor um risco de branqueamento de capitais; comunicação às autoridades judiciárias mediante requisição ou decisão judicial; ou transmissão às autoridades de supervisão do setor bancário e financeiro no âmbito das suas missões de fiscalização.
Os tratamentos de dados descritos na presente política são alojados no seio da União Europeia. Caso, todavia, um subcontratante venha a tratar a totalidade ou parte dos seus dados fora da União — por exemplo, no âmbito de um apoio técnico internacional — tal transferência só poderá ocorrer num quadro jurídico que garanta um nível de proteção equivalente ao proporcionado pelo RGPD.
O mecanismo mais comummente utilizado para este efeito é o das cláusulas contratuais-tipo (CCT), por vezes designadas "Standard Contractual Clauses". Trata-se de modelos de contratos redigidos e aprovados pela Comissão Europeia, que o exportador e o importador de dados se comprometem a assinar sem alterar o seu conteúdo. A Comissão concebeu-os para responder a uma dificuldade concreta: permitir os fluxos internacionais de dados necessários à atividade económica, impondo simultaneamente à entidade situada fora da União obrigações precisas — segurança dos dados, limitação dos acessos, dever de informação em caso de pedido de acesso por uma autoridade estrangeira, direito de o titular dos dados agir diretamente contra o importador em caso de incumprimento. Estas cláusulas reconstituem assim, por via contratual, um nível de garantias comparável ao vigente no seio da União, mesmo quando o país de destino não beneficia de uma decisão de adequação da Comissão.
Na falta de cláusulas contratuais-tipo, poderiam ser mobilizados outros mecanismos reconhecidos pelo RGPD: uma decisão de adequação, através da qual a Comissão declara que um país terceiro oferece um nível de proteção considerado suficiente, ou regras vinculativas aplicáveis às empresas dentro de um mesmo grupo. Pode, mediante pedido dirigido ao nosso encarregado de proteção de dados, obter informações sobre as garantias que enquadram uma transferência específica.
O RGPD reconhece-lhe sete direitos sobre os seus dados pessoais, que pode exercer a qualquer momento junto da Lendovia:
Para exercer estes direitos, pode escrever ao nosso encarregado de proteção de dados através da sua área de cliente, na secção "Os meus dados e a minha privacidade", indicando o direito pretendido e anexando um comprovativo de identidade se necessário. Comprometemo-nos a responder-lhe no prazo de um mês, prorrogável por mais dois meses em caso de pedidos complexos ou numerosos, com indicação dos motivos dessa prorrogação.
Se considerar, após nos ter contactado, que os seus direitos não são respeitados, dispõe do direito de apresentar uma reclamação junto da autoridade de controlo competente. Em França, trata-se da Commission Nationale de l'Informatique et des Libertés (CNIL), autoridade de referência em matéria de proteção de dados pessoais.
Antes de recorrer à CNIL, recomendamos que nos contacte diretamente: a maioria das dificuldades resolve-se nesta fase, nomeadamente quando se trata de uma simples atualização de dados ou de um prazo de resposta a encurtar. Se, apesar desta diligência, os seus direitos não forem respeitados, pode apresentar uma reclamação em linha em cnil.fr, por correio postal, ou presencialmente durante o horário de funcionamento da CNIL.
APRESENTAR RECLAMAÇÃO À CNIL
Em linha — cnil.fr, secção "Plaintes en ligne".
Por correio — CNIL, 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.
Para que a sua reclamação seja tratada eficazmente, é útil preparar previamente a identidade da entidade em causa, uma descrição precisa dos factos e do tratamento contestado, as datas das trocas já ocorridas com a Lendovia, bem como toda a correspondência trocada com o nosso encarregado de proteção de dados. Uma vez apresentada, a CNIL acusa a receção da reclamação, procede à sua análise e pode solicitar esclarecimentos adicionais à entidade visada; consoante os casos, procede a verificações, formula recomendações, ou dá início a um procedimento sancionatório caso seja constatado um incumprimento grave do RGPD. A apresentação de uma reclamação é gratuita e não o priva de qualquer outro meio de recurso, nomeadamente a possibilidade de recorrer aos tribunais civis ou administrativos competentes.
Perguntas frequentes
Sim, a qualquer momento e sem necessidade de justificação. A prospeção comercial baseia-se no nosso interesse legítimo ou, consoante o canal utilizado, no seu consentimento: em ambos os casos, pode opor-se através da sua área de cliente ou utilizando a ligação de cancelamento de subscrição presente nas nossas comunicações, sem que isso afete a gestão do seu dossiê de financiamento. A sua oposição é tida em conta rapidamente e aplica-se a todos os nossos canais de contacto, correio, email e SMS.
Os prazos de conservação variam consoante a finalidade do tratamento e as obrigações legais aplicáveis: um dossiê de simulação abandonado não é conservado durante tanto tempo quanto um contrato de crédito em curso de reembolso, e determinados documentos contabilísticos devem ser conservados durante vários anos após o encerramento do contrato. O detalhe completo dos nossos prazos de conservação, finalidade a finalidade, está disponível na nossa política de conservação de dados.
Não. A Lendovia não vende nem cede os seus dados pessoais a terceiros, seja qual for a finalidade invocada. Estes só são partilhados com os nossos subcontratantes técnicos, que atuam estritamente segundo as nossas instruções para executar uma tarefa determinada, e, quando a lei o exige, com as autoridades públicas competentes, tal como descrito na presente política.
Pode exercer os seus direitos de acesso, retificação, apagamento, limitação, portabilidade e oposição escrevendo ao nosso encarregado de proteção de dados através da sua área de cliente, na secção "Os meus dados e a minha privacidade". Pode ser-lhe solicitado um documento de identificação para verificar a sua identidade antes do tratamento do seu pedido, e comprometemo-nos a responder-lhe no prazo legal de um mês.
Caso o seu pedido de financiamento não seja aceite, os dados já recolhidos são conservados pelo período estritamente necessário à gestão dessa decisão e ao cumprimento das nossas obrigações legais, antes de serem eliminados ou anonimizados. Este prazo permite-nos, nomeadamente, responder a uma eventual contestação da sua parte ou justificar a nossa decisão perante as autoridades de controlo. Mantém a totalidade dos seus direitos ao abrigo do RGPD sobre estes dados durante todo o período da sua conservação, incluindo o direito de solicitar o seu apagamento antecipado caso nenhuma obrigação legal a tal se oponha.