Política de Privacidade e Proteção de Dados

1. Responsável pelo tratamento

Para efeitos do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016 (Regulamento Geral sobre a Proteção de Dados, adiante «RGPD»), e da Lei n.º 58/2019, de 8 de agosto, o responsável pelo tratamento dos dados pessoais recolhidos através deste sítio é:

Denominação: Vanguarda Social — Instituto de Inovação, Direitos Humanos e Proteção Comunitária
Natureza: Associação de direito privado, sem fins lucrativos, de duração indeterminada
Sede: Sede em território nacional português
NIPC: Em atribuição — registo em curso
Correio eletrónico: vanguarda.social@gmail.com
Telefone / WhatsApp: +351 936 348 119
Sítio: https://vanguardasocial.com

A Associação encontra-se em fase de constituição. O NIPC e a morada da sede são atribuídos no ato de registo e serão inscritos nesta página logo que emitidos. Até lá, o contacto acima é o canal válido para todos os efeitos previstos neste documento.

2. Âmbito

Esta política aplica-se ao sítio https://vanguardasocial.com e a todos os subdomínios que a Associação venha a operar, bem como aos contactos que dele resultem por correio eletrónico, telefone ou WhatsApp.

Não se aplica a sítios de terceiros para os quais existam ligações a partir daqui. A abertura de uma ligação externa sai do domínio da Associação e entra no domínio de quem o opera, com as suas próprias regras de privacidade.

3. O princípio que ordena tudo o resto

A Associação trata dados pessoais segundo o princípio da minimização (artigo 5.º, n.º 1, alínea c) do RGPD): recolhe o estritamente necessário à finalidade declarada, pelo tempo estritamente necessário a cumpri-la. A regra prática que dela decorre é simples — o que não existe não pode ser exposto, subtraído nem exigido. É por isso que este sítio não tem formulários, não tem contadores de visitas e não tem publicidade.

4. O que este sítio faz — e o que não faz

Este sítio é uma página estática. Em concreto:

Não instala cookies, nem próprios nem de terceiros.
Não utiliza armazenamento local do navegador (localStorage, sessionStorage, IndexedDB).
Não utiliza ferramentas de analítica, medição de audiências ou mapas de calor — não há Google Analytics, nem equivalente.
Não tem píxeis de seguimento, nem botões sociais que comuniquem com plataformas ao carregar a página.
Não tem formulários: não há nenhum campo onde possa introduzir dados neste sítio.
Não tem publicidade nem qualquer forma de monetização.
Aloja no próprio domínio os tipos de letra que utiliza (Outfit e Work Sans). Pedi-los ao serviço da Google transmitiria o endereço IP de cada visitante a um terceiro fora do Espaço Económico Europeu; auto-alojá-los elimina esse tratamento em vez de o justificar depois.

A consequência é que a simples leitura deste sítio não gera, do lado da Associação, qualquer registo que a identifique.

5. Tratamentos, finalidades, fundamentos e prazos

O quadro seguinte esgota os tratamentos atualmente realizados. Os assinalados como «previsto» só passarão a existir depois do registo da Associação e do início da atividade — e esta política será atualizada antes de o serem, nunca depois.

Tratamento	Dados	Finalidade	Fundamento (RGPD)	Conservação
Registos técnicos do alojamento	Endereço IP, data e hora do pedido, recurso pedido, agente do navegador	Entrega das páginas, segurança da infraestrutura e deteção de abuso	Artigo 6.º, n.º 1, alínea f) — interesse legítimo na segurança e disponibilidade do serviço	Retidos pelo fornecedor de alojamento por período curto e não acedidos pela Associação em condições normais
Correio eletrónico dirigido à Associação	Nome, endereço de correio, e todo o conteúdo que a pessoa decida escrever	Responder ao que nos é perguntado e dar seguimento a pedidos de adesão, protocolo ou apoio	Artigo 6.º, n.º 1, alínea f) — interesse legítimo em responder a quem nos procura; alínea b) quando o contacto visa a adesão como associado	Até 2 anos após o último contacto, salvo se der origem a relação associativa ou a obrigação legal de conservação mais longa
Contacto por telefone ou WhatsApp	Número de telefone e conteúdo da conversa	O mesmo — com a diferença de que a conversa transita pela infraestrutura da Meta	Artigo 6.º, n.º 1, alínea f)	As mensagens são apagadas do dispositivo da Associação até 2 anos após o último contacto
Registo de associados (previsto)	Nome, data de nascimento, morada, NIF, documento de identificação, contactos, quotização	Cumprir o Artigo 5.º e o Artigo 6.º dos estatutos: admissão, registo, convocatórias, quotas e exercício do direito de voto	Artigo 6.º, n.º 1, alínea b) — execução do contrato associativo; alínea c) — obrigações legais, contabilísticas e fiscais	Duração da relação associativa e, findo esta, os prazos legais de conservação contabilística e fiscal (em regra 10 anos)
Apoio a pessoas em situação de violência (previsto)	Dados de identificação e, por natureza, dados sensíveis: saúde, vida sexual, convicções, situação judicial	Acolhimento e apoio psicológico, social e jurídico previstos no Artigo 3.º, n.º 1 dos estatutos	Artigo 6.º, n.º 1, alínea a) e artigo 9.º, n.º 2, alínea a) — consentimento explícito; artigo 9.º, n.º 2, alínea c) — interesse vital, quando a pessoa esteja física ou legalmente incapaz de consentir	Prazo fixado no protocolo de acompanhamento de cada caso, sempre com termo definido e sempre revisível a pedido da pessoa
Donativos e mecenato (previsto)	Nome, NIF, montante, dados de pagamento tratados pela instituição bancária	Emissão de recibo e cumprimento do Estatuto dos Benefícios Fiscais	Artigo 6.º, n.º 1, alínea c) — obrigação legal	Prazos legais de conservação contabilística e fiscal

6. Dados sensíveis e dados de crianças

O objeto estatutário da Associação implica, quando a atividade arrancar, o tratamento de categorias especiais de dados pessoais na aceção do artigo 9.º do RGPD — saúde, vida sexual, convicções, dados relativos a infrações penais (artigo 10.º). Assumimos por isso, desde já, três regras que não dependem de nenhum registo para vigorar:

Nenhum dado sensível é pedido através deste sítio. Não escreva descrições de situações de violência por correio eletrónico ou WhatsApp: nenhum destes canais é seguro para esse fim, e a Associação não os utilizará para recolher esse tipo de informação.
Quando existirem canais próprios, serão canais desenhados para o efeito — cifrados, com acesso restrito a pessoas identificadas e com registo de quem acede a quê.
O acompanhamento de menores observa a Lei n.º 147/99, de 1 de setembro (Proteção de Crianças e Jovens em Perigo), e o consentimento previsto no artigo 8.º do RGPD é prestado por quem exerce as responsabilidades parentais, exceto quando a lei portuguesa disponha diferentemente em matéria de proteção.

Se está em perigo imediato, ligue 112. Para violência doméstica existe a Linha Nacional de Emergência 800 202 148, gratuita e disponível 24 horas por dia. Para situações que envolvam crianças, o SOS Criança do Instituto de Apoio à Criança atende no 116 111. Nenhum destes serviços é operado pela Associação, e nenhum deles depende de nos escrever primeiro.

7. Decisões automatizadas e inteligência artificial

A Associação não toma, nem tomará, decisões exclusivamente automatizadas com efeitos jurídicos ou com impacto significativo sobre pessoas, na aceção do artigo 22.º do RGPD. Não existe definição de perfis.

O Artigo 3.º, n.º 6 dos estatutos prevê o emprego de inteligência artificial em triagem, alerta precoce e recolha de evidências. O compromisso que o enquadra é anterior a qualquer linha de código: o sistema assinala, hierarquiza e informa; a decisão sobre a vida de uma pessoa é sempre de uma pessoa, identificável e responsável por ela.

Qualquer sistema que a Associação venha a desenvolver ou a empregar nesse âmbito será enquadrado no Regulamento (UE) 2024/1689 (Regulamento da Inteligência Artificial) — incluindo, quando aplicável, avaliação de impacto sobre os direitos fundamentais, documentação técnica, registo de operações e supervisão humana efetiva —, e será precedido de Avaliação de Impacto sobre a Proteção de Dados nos termos do artigo 35.º do RGPD.

8. Quem tem acesso aos dados

A Associação não vende, não aluga nem cede dados pessoais a terceiros para fins comerciais. Nunca. Não há exceção prevista, porque não há finalidade que a justificasse.

Têm acesso, na medida estrita da sua função:

Os membros da Direção e as pessoas por ela mandatadas, sujeitos a dever de sigilo.
Os subcontratantes indicados no ponto seguinte, nos termos de contrato celebrado ao abrigo do artigo 28.º do RGPD.
As autoridades judiciárias, policiais ou administrativas, quando exista dever legal de comunicação — designadamente o dever de participação de situações de perigo previsto na Lei n.º 147/99.

9. Subcontratantes e transferências internacionais

O funcionamento do sítio e do correio assenta em três fornecedores. Nomeamo-los, porque uma lista de subcontratantes que não nomeia ninguém não informa ninguém:

Fornecedor	Serviço	Dados envolvidos	Localização
Vercel Inc.	Alojamento e entrega do sítio	Registos técnicos de acesso (IP, data/hora, recurso)	Rede de distribuição com presença na União Europeia; sede nos Estados Unidos da América
Google Ireland Limited	Correio eletrónico da Associação	Conteúdo e metadados das mensagens trocadas	União Europeia, com possibilidade de tratamento nos Estados Unidos da América
WhatsApp Ireland Limited (Meta)	Mensagens trocadas pelo número publicado	Número de telefone e metadados; o conteúdo circula cifrado ponto a ponto	União Europeia, com possibilidade de tratamento nos Estados Unidos da América

Sempre que exista transferência de dados para fora do Espaço Económico Europeu, ela assenta nas Cláusulas Contratuais-Tipo aprovadas pela Decisão de Execução (UE) 2021/914 da Comissão e, quando o fornecedor a ela tenha aderido, na Decisão de Adequação (UE) 2023/1795 relativa ao Quadro de Privacidade de Dados UE–EUA.

O WhatsApp e o correio eletrónico são canais de conveniência para contacto institucional — pedidos de adesão, propostas de protocolo, imprensa. Não são, e não passarão a ser, o canal de acolhimento de vítimas: esse exige infraestrutura própria, e será anunciado quando existir.

10. Segurança

Nos termos do artigo 32.º do RGPD, estão em vigor as seguintes medidas técnicas e organizativas:

Todo o tráfego do sítio é servido exclusivamente por HTTPS, com redirecionamento forçado.
Cabeçalhos de segurança aplicados a todas as respostas: X-Content-Type-Options, Referrer-Policy, X-Frame-Options, Permissions-Policy e Strict-Transport-Security.
Ausência deliberada de superfície de ataque do lado do servidor: o sítio é composto por ficheiros estáticos, sem base de dados e sem código executado no servidor.
Autenticação em dois fatores nas contas com acesso ao domínio, ao alojamento e ao correio.
Princípio do menor privilégio no acesso a dados de associados e, futuramente, de pessoas acompanhadas.
Dever de sigilo vinculando todos os membros dos órgãos sociais, colaboradores e voluntários, subsistente após o termo de funções.

Em caso de violação de dados pessoais que implique risco para os direitos e liberdades das pessoas, a Associação notifica a CNPD no prazo de 72 horas (artigo 33.º do RGPD) e comunica aos titulares afetados quando o risco for elevado (artigo 34.º).

11. Os seus direitos

Enquanto titular de dados, assistem-lhe os seguintes direitos, exercíveis a todo o tempo e sem custo:

Acesso (art. 15.º): Saber se tratamos dados seus e obter cópia deles.
Retificação (art. 16.º): Corrigir dados inexatos ou completar dados incompletos.
Apagamento (art. 17.º): Obter a eliminação dos dados quando deixem de ser necessários, quando retire o consentimento ou quando se oponha com fundamento.
Limitação (art. 18.º): Suspender o tratamento enquanto se discute a exatidão dos dados ou a legitimidade da oposição.
Portabilidade (art. 20.º): Receber os dados que nos forneceu em formato estruturado e de uso corrente, ou pedir a sua transmissão direta a outra entidade.
Oposição (art. 21.º): Opor-se a tratamentos fundados em interesse legítimo, por motivos relacionados com a sua situação particular.
Retirada do consentimento (art. 7.º, n.º 3): Retirar, a qualquer momento, o consentimento prestado — sem que isso afete a licitude do tratamento já realizado.
Não sujeição a decisões automatizadas (art. 22.º): Aqui é um direito sem conteúdo prático: não existem decisões automatizadas.

Para exercer qualquer destes direitos, escreva para vanguarda.social@gmail.com, identificando o direito que pretende exercer. A Associação responde no prazo de um mês a contar da receção, prorrogável por dois meses em casos de especial complexidade, com informação da prorrogação e do respetivo motivo (artigo 12.º, n.º 3 do RGPD).

Pode ser-lhe pedida prova de identidade — não por formalismo, mas porque entregar dados pessoais a quem se faz passar por outra pessoa é, ele próprio, uma violação de dados.

12. Reclamação à autoridade de controlo

Se entender que o tratamento dos seus dados viola a lei, tem o direito de apresentar reclamação junto da autoridade de controlo nacional, sem prejuízo de qualquer outra via de recurso administrativo ou judicial (artigo 77.º do RGPD):

Autoridade: Comissão Nacional de Proteção de Dados (CNPD)
Morada: Av. D. Carlos I, 134, 1.º — 1200-651 Lisboa
Telefone: +351 213 928 400
Correio eletrónico: geral@cnpd.pt
Sítio: www.cnpd.pt

Agradecemos — sem que isso seja condição de nada — que nos dê primeiro a oportunidade de corrigir o que esteja errado.

13. Encarregado de Proteção de Dados

A designação de Encarregado de Proteção de Dados é obrigatória, nos termos do artigo 37.º, n.º 1, alínea b) e c) do RGPD, para entidades cuja atividade principal consista no tratamento em larga escala de categorias especiais de dados. É o caso do objeto estatutário desta Associação a partir do momento em que inicie o acompanhamento de pessoas.

A Direção compromete-se a designar Encarregado de Proteção de Dados e a comunicar os seus contactos à CNPD antes do início de qualquer atividade de acolhimento, publicando-os nesta página. Enquanto essa atividade não existir — e não existe hoje —, as questões de proteção de dados são dirigidas a vanguarda.social@gmail.com.

14. Alterações a esta política

Esta política será revista sempre que houver alteração relevante nos tratamentos realizados — designadamente com o registo da Associação, a designação do Encarregado de Proteção de Dados ou a entrada em funcionamento de qualquer plataforma de apoio. A data da última atualização consta do topo da página, e as versões anteriores ficam disponíveis mediante pedido.