Política de privacidade

1. Responsável pelo tratamento

Nos termos do Regulamento (UE) 2016/679 (RGPD) e da Lei Orgânica espanhola 3/2018, de Proteção de Dados Pessoais e garantia dos direitos digitais (LOPDGDD), informamos que o responsável pelo tratamento dos dados pessoais que nos forneces através do site https://extrapy.com é:

• Identidade: Bluvia Water SL (Extrapy)
• NIF (CIF): B25884602
• Morada: Avenida de la Hispanidad, 8, 29700 Vélez-Málaga (Málaga), España
• Correio eletrónico geral: info@extrapy.com
• Contacto para proteção de dados: privacidad@extrapy.com
• Se comentar nos nossos vídeos de campanha: o seu nome de utilizador público nessa rede e o que escreveu.

2. Que dados tratamos

Consoante a forma como te relacionas connosco, podemos tratar as seguintes categorias de dados:

• Identificação e contacto: nome e apelidos, correio eletrónico, telefone, morada de entrega e de faturação.
• Dados de compra: produtos adquiridos, montantes, datas, método de pagamento escolhido, histórico de encomendas e incidências.
• Dados de empresa (denominação social, NIF, setor, volume estimado) quando solicitas uma fatura ou te interessas pelas nossas condições para empresas e venda por grosso.
• Comunicações: o conteúdo das mensagens que nos envias por formulário, correio eletrónico, telefone ou WhatsApp.
• Dados técnicos de navegação: endereço IP, tipo de navegador e dispositivo, registos de acesso e de erros, necessários para a segurança e o funcionamento do site.
• Medição de audiência: a página que abres, o site e a campanha de origem, o idioma, o tipo de dispositivo, se o teu cesto tem alguma coisa e o que procuras quando a loja não encontra nada (sem o que pareça um email ou um telefone) e, nas páginas de oferta, quanto tempo tens a página à vista (por intervalos de segundos) e até que parte dela chegas, e se te é mostrado o aviso de cookies e o que escolhes nele, guardados por horas. O teu endereço IP e o teu navegador são usados no momento para formar uma chave que muda todos os dias e não são guardados.
• Origem da tua visita: as etiquetas de campanha (utm) do link pelo qual chegas à loja e, apenas se aceitares as cookies de marketing, o identificador do clique num anúncio (fbclid, ttclid, gclid). São guardados com a tua encomenda. Se não as aceitares e fizeres uma encomenda à cobrança na página para onde te levou um anúncio da Meta, o identificador desse clique (fbclid) é lido do endereço da página ao enviar a encomenda, nunca do teu dispositivo, e guardado alguns dias com a encomenda para comunicar a compra confirmada (secção 3).
• Dados derivados de cookies analíticas ou de marketing, apenas se as tiveres aceitado. Ferramentas ativas neste momento: Meta (Meta Platforms Ireland Ltd.), Taboola (Taboola.com Ltd., Israel, e Taboola, Inc., Estados Unidos; a sua política de privacidade).

Os dados assinalados como obrigatórios em cada formulário são necessários para atender ao teu pedido; sem eles não poderemos processá-lo. Garantes que os dados que nos forneces são verdadeiros e comprometes-te a comunicar-nos qualquer alteração.

3. Finalidades e fundamentos jurídicos

Tratamos os teus dados para as seguintes finalidades, cada uma com o seu fundamento jurídico:

Não tomamos decisões baseadas exclusivamente em tratamentos automatizados que produzam efeitos jurídicos ou te afetem significativamente, nem elaboramos perfis com essa finalidade.

4. Destinatários dos dados

Não vendemos nem cedemos os teus dados a terceiros para fins comerciais. Só acedem a eles, como subcontratantes e mediante contrato nos termos do artigo 28.º do RGPD, os fornecedores necessários para prestar o serviço:

• Transportadoras: a agência que faz a entrega recebe o teu nome, morada, telefone e correio eletrónico para poder entregar a encomenda e avisar-te.
• Alojamento web e infraestrutura: os fornecedores de alojamento e armazenamento onde a loja funciona.
• Envio de e-mails: Resend, Inc. (Estados Unidos), que envia em nosso nome os e-mails transacionais (confirmações e avisos de encomenda, a ligação para gerir a tua subscrição de A Caixa, os avisos de reposição, os códigos para entrar na tua conta). A transferência para os Estados Unidos assenta nas garantias descritas no ponto 5.
• Newsletter e e-mails de marketing: Brevo SAS (antiga Sendinblue SAS; França, União Europeia), que guarda a lista de quem nos pediu para receber novidades, com a data e a forma da subscrição, e envia em nosso nome a newsletter e, se te inscreveste, os e-mails que se seguem a uma encomenda tua confirmada.
• Plataformas de publicidade e análise, apenas se aceitares a categoria correspondente no aviso de cookies. Ativas neste momento: Meta (Meta Platforms Ireland Ltd.), Taboola (Taboola.com Ltd., Israel, e Taboola, Inc., Estados Unidos; a sua política de privacidade). Cada uma trata ainda os dados segundo a sua própria política de privacidade.
• Meta Platforms Ireland Ltd., também se não aceitares as cookies de marketing, mas apenas a compra confirmada de uma encomenda à cobrança, para medir os nossos anúncios (secção 3). Segundo as condições da Meta para as suas ferramentas para empresas, somos corresponsáveis com a Meta por esse envio, e a Meta é responsável pelo que faz depois com os dados; pode transferi-los para os Estados Unidos com as garantias da secção 5. Podes opor-te com o link do email da tua encomenda, pelo WhatsApp ou escrevendo-nos.
• Consultoria fiscal e contabilística, para o cumprimento de obrigações legais.
• Chamadas e WhatsApp com assistente de IA: Retell AI, Inc. (Estados Unidos), que faz e atende as chamadas, as transcreve e, se forem gravadas, guarda a gravação; o operador de telecomunicações que encaminha as chamadas; Meta Platforms Ireland Ltd. (WhatsApp Business), que entrega as mensagens; e Anthropic, PBC (Estados Unidos), que redige as respostas por WhatsApp. A transferência para os Estados Unidos assenta nas garantias descritas no ponto 5.

Comunicaremos igualmente dados às administrações públicas, tribunais ou entidades bancárias quando uma norma nos obrigue a isso.

5. Transferências internacionais

Alguns dos nossos fornecedores tecnológicos (alojamento, correio eletrónico, plataformas de publicidade e análise) podem tratar dados fora do Espaço Económico Europeu, principalmente nos Estados Unidos. Nesses casos asseguramo-nos de que a transferência conta com garantias adequadas: uma decisão de adequação da Comissão Europeia (como o Quadro de Privacidade de Dados UE-EUA para as entidades certificadas) ou as cláusulas contratuais-tipo aprovadas pela Comissão Europeia (Decisão (UE) 2021/914), juntamente com as medidas complementares que se justifiquem.

O assistente de IA das chamadas e do WhatsApp usa fornecedores nos Estados Unidos (Retell AI e Anthropic), com as mesmas garantias: uma decisão de adequação ou as cláusulas contratuais-tipo.

Podes solicitar-nos uma cópia dessas garantias em privacidad@extrapy.com.

6. Prazos de conservação

• Encomendas e faturas: durante a relação contratual e, depois, pelo período exigido pela legislação comercial e fiscal: 6 anos desde o último lançamento (art. 30.º do Código Comercial espanhol) e, em qualquer caso, enquanto não prescreverem as obrigações tributárias (4 anos, art. 66.º da Lei Geral Tributária) nem as responsabilidades decorrentes do contrato.
• Garantias e reclamações: durante o prazo de garantia legal dos produtos e o de prescrição das ações correspondentes.
• Newsletter: até cancelares a subscrição ou retirares o consentimento. Conservaremos a prova da tua subscrição e do cancelamento para comprovar o cumprimento.
• Formulários de contacto e pedidos B2B: 12 meses desde a última comunicação se não se formalizar uma relação comercial.
• Dados de navegação e registos de segurança: um máximo de 12 meses, salvo se forem necessários para investigar um incidente.
• Medição de audiência: o detalhe de cada visita, por horas e até 30 dias (as chaves diárias são apagadas na hora seguinte à meia-noite; as cópias de segurança guardam-nas até serem renovadas, menos de 12 meses); os totais por dia, 25 meses. Num dia com muito poucas visitas esses totais podem descrever uma só pessoa.
• Origem da encomenda (etiquetas de campanha e identificador do clique): com a encomenda, pelos mesmos prazos. O que as plataformas de publicidade e análise recebem é conservado segundo as respetivas políticas.
• Compra confirmada comunicada à Meta sem consentimento de marketing: o identificador do clique, o teu endereço IP e o teu navegador guardam-se apenas até a compra ser enviada ou se decidir não a enviar, e no máximo 7 dias; depois são apagados e do envio fica apenas, com a encomenda, se foi feito ou não. A tua oposição, enquanto não a retirares. O que a Meta recebe é conservado segundo a sua própria política.
• Cookies e armazenamento local: os prazos indicados na Política de cookies.
• Chamadas e mensagens com o assistente de IA: as gravações e transcrições, 90 dias; o resultado da chamada e o que aceitaste para uma encomenda, com a encomenda e nos mesmos prazos. Se deixaste o teu telefone no formulário de pagamento na entrega e não terminaste a encomenda, 30 dias. Se nos pedires para não te contactarmos, guardamos apenas uma impressão cifrada do teu número, que não permite lê-lo, para não voltarmos a ligar-te nem a escrever-te.
• O exército da Miga: o texto dos comentários, 30 dias; os nomes, até 90 dias após o último episódio e, no máximo, até 31 de maio de 2027. A contagem fica sem nomes.

Decorridos estes prazos, os dados serão eliminados ou anonimizados. Enquanto persistir uma obrigação legal de conservação, serão mantidos bloqueados e à disposição exclusiva das autoridades competentes.

7. A tua conta

Se entrares em A minha conta (com o teu e-mail e um código que te enviamos, sem palavra-passe), além dos dados das tuas encomendas e caixas guardamos:

• Os códigos de acesso que te enviamos por e-mail, guardados como uma impressão cifrada e nunca como o código, no máximo 48 horas depois de expirarem (a limpeza diária apaga-os quando passam 24 horas). Cada código expira ao fim de 15 minutos e só serve uma vez.
• Os dispositivos em que entraste: o navegador e o sistema tal como o teu dispositivo os envia (um texto de até 200 caracteres) e a data da tua última visita, para que os possas ver em Os meus dados e terminar a sessão em qualquer um deles.
• Os teus favoritos, se os marcares com a sessão iniciada, para que os tenhas em todos os teus dispositivos.

Finalidade e fundamento jurídico: permitir-te ver e gerir as tuas encomendas, caixas, faturas e moradas. É a execução do contrato que tens connosco (art. 6.º, n.º 1, b) do RGPD).

Conservação: cada sessão termina 60 dias depois da última vez que entras ou fazes uma alteração em A minha conta e nunca dura mais de um ano desde que entraste; depois terás de voltar a entrar com um código. Os teus favoritos e os restantes dados da conta são guardados até apagares a conta.

Os teus direitos, sem nos escrever: em Os meus dados podes descarregar uma cópia dos teus dados (direitos de acesso e de portabilidade) e apagar a tua conta (direito ao apagamento). Ao apagá-la eliminamos o teu nome, telefone, moradas, favoritos e sessões; as encomendas e as faturas são conservadas sem o teu nome durante o prazo exigido por lei (ponto 6). Se tiveres uma encomenda paga que ainda não saiu ou uma caixa ativa, poderás apagar a conta quando a encomenda sair ou quando cancelares a caixa.

O cookie que mantém a tua sessão iniciada é descrito na Política de cookies.

8. Os teus direitos

Podes exercer a qualquer momento os seguintes direitos:

• Acesso: saber que dados teus tratamos e obter uma cópia.
• Retificação: corrigir dados inexatos ou incompletos.
• Apagamento: pedir que eliminemos os teus dados quando já não forem necessários. As faturas já emitidas não são apagadas: conservam-se, bloqueadas, durante o prazo exigido pela legislação fiscal e comercial (art. 17.º, n.º 3, alínea b), do RGPD).
• Oposição: opor-te aos tratamentos baseados em interesse legítimo, incluindo as comunicações comerciais.
• Limitação: pedir que restrinjamos o tratamento nos casos previstos na lei.
• Portabilidade: receber os teus dados num formato estruturado e de uso corrente, ou que os transmitamos a outro responsável.
• Retirar o consentimento dado, sem que isso afete a licitude do tratamento anterior.
• Não ficar sujeito a decisões automatizadas que produzam efeitos jurídicos ou te afetem significativamente.

Para os exercer, escreve-nos para privacidad@extrapy.com indicando o direito que exerces.

Também podes fazê-lo por correio postal para Avenida de la Hispanidad, 8, 29700 Vélez-Málaga (Málaga), España.

Se tivermos dúvidas razoáveis sobre a tua identidade, poderemos pedir-te um documento que a comprove. Responderemos no prazo máximo de um mês, prorrogável por mais dois meses em casos complexos, o que te comunicaríamos.

Podes opor-te à medição de audiência sem nos escrever: ativa no teu navegador «Global Privacy Control» ou «Do Not Track» e não te contaremos. Quando as chaves diárias são apagadas (na hora seguinte à meia-noite), os registos de visitas já não têm nada que te identifique. Até lá, num dia com uma só encomenda poderiam relacionar-se com ela pela hora; nós nunca os cruzamos.

Para não partilharmos as tuas compras com a Meta: carrega em «Não partilhar a minha compra com a Meta» no email da tua encomenda, ou diz-nos pelo WhatsApp ou em privacidad@extrapy.com, quando quiseres. A partir desse momento não enviamos à Meta nenhuma compra tua feita sem aceitar as cookies de marketing, nem as de outras encomendas com o teu email ou telefone. O que foi enviado antes não pode ser retirado da Meta.

Se considerares que não atendemos corretamente aos teus direitos, podes apresentar uma reclamação junto da Agência Espanhola de Proteção de Dados (AEPD), C/ Jorge Juan, 6, 28001 Madrid, ou através da sua sede eletrónica em www.aepd.es. Agradecíamos que antes nos desses a oportunidade de o resolver.

Para deixarmos de te ligar ou escrever: di-lo na chamada ou responde STOP (ou BAIXA) no WhatsApp, e não voltaremos a contactar-te por essa via. Em qualquer chamada podes pedir para falar com uma pessoa da loja.

9. Medidas de segurança

Aplicamos medidas técnicas e organizativas adequadas ao risco dos tratamentos, nos termos do artigo 32.º do RGPD: cifragem das comunicações (TLS), controlo de acesso aos sistemas, minimização dos dados recolhidos, cópias de segurança, registo de acessos e contratos de subcontratação com todos os nossos fornecedores.

Em caso de violação de segurança que implique um risco elevado para os teus direitos e liberdades, comunicá-la-emos sem demora injustificada, além de a notificar à AEPD.

10. Menores

O site não se destina a menores de 14 anos e não recolhemos conscientemente dados deles. Para efetuar compras é necessário ter mais de 18 anos. Se detetarmos que recebemos dados de um menor sem a autorização dos pais ou tutores, eliminá-los-emos. Se és pai, mãe ou tutor e acreditas que um menor a teu cargo nos forneceu dados, contacta-nos.

11. Redes sociais

A Extrapy tem perfis em redes sociais (Instagram, Facebook, TikTok, YouTube). O tratamento dos dados de quem interage com esses perfis rege-se pela política de privacidade de cada plataforma; a Bluvia Water SL só acede à informação que as plataformas disponibilizam às contas de empresa e utiliza-a para responder aos seus comentários e mensagens e, nas campanhas que o anunciam, para o exército da Miga.

O exército da Miga. Se comentar num vídeo da série «Miga contra 10.000 hormigas», mostramos o seu nome de utilizador em O exército da Miga junto ao seu soldado, à sua arma e à rede onde comentou. Do Facebook, apenas o seu nome próprio e a inicial do apelido. Não guardamos a sua foto nem ligações ao seu perfil e não publicamos o que escreveu. Lemos os comentários públicos com as ferramentas de cada rede ou copiamo-los à mão; no YouTube, com os Serviços API do YouTube, aos quais se aplicam os Termos de Utilização do YouTube e a Política de Privacidade da Google. Para tirar o seu nome do mapa, apague o seu comentário ou escreva-nos para info@extrapy.com, também para qualquer outro direito.

12. Alterações a esta política

Podemos atualizar esta política para a adaptar a alterações legais ou dos nossos tratamentos. Publicaremos a versão em vigor nesta página com a data de atualização e, se a alteração for substancial, comunicá-la-emos pelos meios habituais.