Politica de privacitat

1. Introducció

Benvingut a CFM - CONTROL FLEET MOTOS ("CFM", "nosaltres", "ens" o "nostre"). Ens comprometem a protegir la privacitat i les dades personals dels nostres usuaris, clients i visitants del lloc web. Aquesta Política de privacitat explica com recollim, utilitzem, emmagatzemem, compartim i protegim les vostres dades personals quan utilitzeu la nostra plataforma de gestió de flotes i els serveis relacionats.

CFM proporciona una plataforma de programari com a servei (SaaS) basada en el núvol, dissenyada per a empreses de lloguer de motocicletes. La nostra plataforma permet als operadors de flotes gestionar el seu inventari de motocicletes, contractes de lloguer, programes de manteniment, registres financers i relacions amb els clients.

Aquesta Política de privacitat s'aplica a totes les dades personals tractades a través de la nostra plataforma a https://fleetmoto.com, incloent les dades recollides a través de la nostra aplicació web i qualsevol servei associat. En accedir o utilitzar la nostra plataforma, reconeixeu que heu llegit i entès aquesta Política de privacitat.

Si teniu qualsevol pregunta sobre com tractem les vostres dades personals, poseu-vos en contacte amb nosaltres utilitzant les dades de contacte proporcionades a la Secció 15 d'aquesta política.

2. Responsable del tractament

El responsable del tractament de les vostres dades personals és:

Com a responsable del tractament, determinem les finalitats i els mitjans del tractament de les dades personals d'acord amb la legislació aplicable en matèria de protecció de dades. Som responsables de garantir que totes les activitats de tractament compleixin el Reglament general de protecció de dades (RGPD) i les lleis portugueses de protecció de dades.

Per a qualsevol sol·licitud, pregunta o preocupació sobre el tractament de les vostres dades personals, poseu-vos en contacte amb el nostre Delegat de protecció de dades a dpo@fleetmoto.com.

3. Marc legal

Les nostres activitats de tractament de dades es regeixen pels instruments jurídics següents:

• Reglament (UE) 2016/679 — Reglament general de protecció de dades (RGPD): El reglament principal de la Unió Europea en matèria de protecció de dades i privacitat, directament aplicable a tots els Estats membres de la UE, inclòs Portugal. Estableix els drets de les persones interessades i les obligacions dels responsables i encarregats del tractament.
• Lei n.º 58/2019, de 8 d'agost — Llei portuguesa de protecció de dades: La llei nacional que assegura l'execució del RGPD en l'ordenament jurídic portuguès. Especifica les derogacions nacionals, la competència de l'autoritat de control i les disposicions específiques sobre el tractament de dades en el context portuguès.
• Lei n.º 59/2019, de 8 d'agost — Llei portuguesa de privacitat electrònica: Transposa la Directiva UE 2002/58/CE (Directiva ePrivacy) al dret portuguès, regulant el tractament de dades personals i la protecció de la privacitat en el sector de les comunicacions electròniques, incloent normes sobre galetes, màrqueting directe i dades de trànsit.
• Comissão Nacional de Proteção de Dados (CNPD): L'autoritat nacional portuguesa de control de la protecció de dades, establerta d'acord amb el RGPD i el dret portuguès. La CNPD supervisa i fa complir la legislació de protecció de dades a Portugal.

Revisem regularment les nostres pràctiques de tractament de dades per assegurar el compliment continu d'aquests marcs legals i de qualsevol modificació o orientació posterior emesa per la CNPD, el Comitè Europeu de Protecció de Dades (CEPD) o els tribunals competents.

4. Dades recollides

Recollim i tractem les categories següents de dades personals, que varien segons el vostre rol i l'ús de la nostra plataforma:

4.1. Dades del compte i d'identitat

• Nom complet
• Adreça de correu electrònic
• Contrasenya (emmagatzemada de manera segura; mai emmagatzemem contrasenyes en text pla)
• Imatge de perfil (si es proporciona voluntàriament)
• Rol i permisos de l'usuari dins la plataforma
• Marques de temps de creació del compte i darrer inici de sessió

4.2. Dades de l'organització

• Nom, identificador i logotip de l'organització
• Detalls de la pertinença a l'organització i rols dels usuaris
• Registres d'invitació (correu electrònic de l'invitat, rol, estat, caducitat)

4.3. Dades de la flota i dades comercials

• Dades de la flota de motocicletes: marca, model, any, matrícula, número d'identificació del vehicle (VIN), color, quilometratge, estat, detalls d'adquisició (data, preu, font), informació d'assegurança i documentació associada
• Registres de lloguer: contractes de lloguer, dates d'inici/fi, preus, estat del pagament, assignacions de clients i condicions contractuals
• Dades dels llogaters (clients): nom, correu electrònic, número de telèfon, detalls del document d'identitat, informació del permís de conduir, adreça i historial de lloguers
• Registres de manteniment: tipus de servei, data, cost, quilometratge en el moment del servei, informació del proveïdor i documentació associada
• Dades financeres: assentaments comptables, imports de les transaccions, categories de pagament, registres d'ingressos i despeses i documentació fiscal

4.4. Dades tècniques i d'ús

• Adreça IP
• Tipus i versió del navegador
• Sistema operatiu
• Tipus de dispositiu i resolució de pantalla
• Pàgines visitades i funcionalitats utilitzades a la plataforma
• Data i hora d'accés
• URL de referència
• Testimonis de sessió i dades d'autenticació

4.5. Dades de comunicació

• Correus electrònics enviats a través de la plataforma (p. ex. correus d'invitació, notificacions)
• Sol·licituds d'assistència i correspondència

No recollim categories especials de dades personals (com l'origen racial o ètnic, les opinions polítiques, les conviccions religioses, les dades de salut o les dades biomètriques), tret que sigui estrictament necessari i amb el vostre consentiment explícit.

5. Finalitat i base jurídica

Tractem les vostres dades personals per a les finalitats següents, cadascuna recolzada per una base jurídica lícita d'acord amb l'article 6, apartat 1, del RGPD:

Quan ens basem en l'interès legítim com a base jurídica, hem realitzat una prova de ponderació per assegurar que els nostres interessos no prevalen sobre els vostres drets i llibertats fonamentals. Teniu el dret d'oposar-vos en qualsevol moment al tractament basat en l'interès legítim (vegeu Secció 7).

No utilitzem les vostres dades personals per a la presa de decisions automatitzada o l'elaboració de perfils que produeixin efectes jurídics que us afectin o que us incideixin de manera similar significativament.

6. Terminis de conservació

Conservem les vostres dades personals només durant el temps necessari per complir les finalitats per a les quals es van recollir, o segons exigeixi la llei aplicable. Els terminis de conservació específics són els següents:

Quan el termini de conservació expiri, les dades personals seran suprimides o anonimitzades de manera segura. Les dades anonimitzades, que ja no es poden vincular a una persona identificable, es poden conservar indefinidament amb finalitats estadístiques i analítiques.

Si sol·liciteu la supressió del vostre compte, suprimirem o anonimitzarem les vostres dades personals en un termini de 30 dies, excepte les dades que estem legalment obligats a conservar (com els registres financers i fiscals) segons s'indica més amunt.

7. Drets de les persones interessades

D'acord amb el RGPD (articles 15 a 22) i el dret portuguès de protecció de dades, disposeu dels drets següents respecte a les vostres dades personals:

• Dret d'accés (Art. 15 RGPD): Teniu el dret d'obtenir confirmació sobre si tractem les vostres dades personals i, en cas afirmatiu, d'accedir a aquestes dades juntament amb informació sobre les finalitats del tractament, les categories de dades afectades, els destinataris, els terminis de conservació i la font de les dades.
• Dret de rectificació (Art. 16 RGPD): Teniu el dret de sol·licitar la correcció de les dades personals inexactes i que es completin les dades incompletes.
• Dret de supressió ("dret a l'oblit") (Art. 17 RGPD): Teniu el dret de sol·licitar la supressió de les vostres dades personals quan: les dades ja no són necessàries per a la seva finalitat original; retireu el consentiment (quan el consentiment era la base jurídica); us oposeu al tractament i no hi ha motius legítims prevalents; les dades s'han tractat il·lícitament; o la supressió és necessària per complir una obligació legal. Aquest dret està subjecte a excepcions, incloent la nostra obligació legal de conservar els registres financers i fiscals.
• Dret a la limitació del tractament (Art. 18 RGPD): Podeu sol·licitar que limitem el tractament de les vostres dades en determinades circumstàncies, com quan impugneu l'exactitud de les dades, quan el tractament és il·lícit però us oposeu a la supressió, quan ja no necessitem les dades però vós les necessiteu per a accions legals, o quan us heu oposat al tractament en espera de verificació.
• Dret a la portabilitat de les dades (Art. 20 RGPD): Teniu el dret de rebre les vostres dades personals en un format estructurat, d'ús comú i llegible per màquina, i de transmetre aquestes dades a un altre responsable del tractament sense impediments, quan el tractament es basi en el consentiment o en un contracte i es realitzi per mitjans automatitzats.
• Dret d'oposició (Art. 21 RGPD): Teniu el dret d'oposar-vos al tractament de les vostres dades personals basat en l'interès legítim (Art. 6(1)(f) RGPD). En rebre la vostra oposició, cessarem el tractament, llevat que puguem demostrar motius legítims imperiosos que prevalguin sobre els vostres interessos, drets i llibertats, o el tractament sigui necessari per a la formulació, l'exercici o la defensa de reclamacions legals.
• Dret a no ser objecte de decisions automatitzades (Art. 22 RGPD): Teniu el dret a no ser objecte d'una decisió basada únicament en el tractament automatitzat, inclosa l'elaboració de perfils, que produeixi efectes jurídics que us afectin o que us incideixi de manera similar significativament. CFM no realitza actualment aquest tipus de presa de decisions automatitzada.
• Dret a retirar el consentiment: Quan tractem les vostres dades sobre la base del vostre consentiment, teniu el dret de retirar aquest consentiment en qualsevol moment. La retirada del consentiment no afecta la licitud del tractament efectuat abans de la retirada.

Com exercir els vostres drets

Per exercir qualsevol d'aquests drets, poseu-vos en contacte amb el nostre Delegat de protecció de dades a dpo@fleetmoto.com o escriviu-nos a Avenida Do Brasil 127, 2735-674 Agualva-Cacém, Portugal. Respondrem a la vostra sol·licitud en un termini d'un (1) mes des de la recepció. Aquest termini es pot prorrogar dos (2) mesos més si és necessari, tenint en compte la complexitat i el nombre de sol·licituds. Us informarem de qualsevol pròrroga en un termini d'un mes des de la recepció de la sol·licitud.

Podem sol·licitar una prova d'identitat abans de tramitar la vostra sol·licitud per garantir la seguretat de les vostres dades personals. No cobrarem cap tarifa per l'exercici dels vostres drets, tret que les sol·licituds siguin manifestament infundades o excessives, cas en el qual podem cobrar una tarifa raonable o denegar-ne la tramitació.

Si considereu que no hem atès adequadament la vostra sol·licitud, teniu el dret de presentar una reclamació davant l'autoritat de control portuguesa (CNPD) — vegeu Secció 15.

8. Seguretat de les dades

Implementem mesures tècniques i organitzatives apropiades per protegir les vostres dades personals contra l'accés no autoritzat, l'alteració, la divulgació o la destrucció, de conformitat amb l'article 32 del RGPD. Aquestes mesures inclouen, entre d'altres:

8.1. Mesures tècniques

• Xifratge en trànsit: Totes les dades transmeses entre el vostre navegador i els nostres servidors es xifren mitjançant TLS/HTTPS.
• Xifratge en repòs: L'emmagatzematge de la base de dades es xifra en repòs pels nostres socis d'infraestructura.
• Seguretat de les contrasenyes: Les contrasenyes dels usuaris es sotmeten a hash amb algorismes criptogràfics estàndard del sector i mai es conserven en text pla.
• Gestió de sessions: Testimonis de sessió segurs amb polítiques de caducitat apropiades.
• Aïllament de dades: Separació estricta de les dades organitzatives que garanteix que cada organització només pot accedir a les seves pròpies dades.
• Validació d'entrades: Totes les entrades dels usuaris es validen i sanegen mitjançant validació basada en esquemes per prevenir atacs d'injecció.
• Control d'accés basat en rols: Sistema de permisos granular que garanteix que els usuaris només puguin accedir a les dades i funcionalitats autoritzades per al seu rol.

8.2. Mesures organitzatives

• L'accés a les dades personals es limita al personal autoritzat que les necessita per al compliment de les seves funcions.
• Es realitzen avaluacions de seguretat periòdiques i revisions del codi.
• S'han establert procediments de resposta a incidents per a la gestió de violacions de dades (vegeu Secció 12).
• Els encarregats del tractament es verifiquen i estan vinculats per acords de tractament de dades (vegeu Secció 9).
• Es mantenen còpies de seguretat regulars amb controls d'accés i xifratge apropiats.

Tot i que prenem mesures àmplies per protegir les vostres dades, cap mètode de transmissió per Internet o d'emmagatzematge electrònic és segur al 100 %. Avaluem i millorem contínuament les nostres pràctiques de seguretat per mantenir el màxim nivell de protecció.

9. Encarregats del tractament

Recorrem als encarregats del tractament següents per proporcionar i donar suport a la nostra plataforma. Cada encarregat del tractament està vinculat per un Acord de tractament de dades (DPA) de conformitat amb l'article 28 del RGPD, i hem verificat que implementen mesures tècniques i organitzatives apropiades per protegir les dades personals.

No venem, lloguem ni compartim les vostres dades personals amb tercers per als seus propis propòsits de màrqueting o comercials. Les dades només es comparteixen amb els encarregats del tractament enumerats més amunt, i només en la mesura necessària per prestar els nostres serveis.

Revisem regularment els nostres acords amb els encarregats del tractament i podem actualitzar aquesta llista a mesura que la nostra infraestructura de serveis evolucioni. Qualsevol canvi significatiu en els nostres subencarregats es reflectirà en aquesta Política de privacitat.

10. Transferències internacionals de dades

CFM és una empresa portuguesa i el nostre emmagatzematge principal de dades es troba dins l'Espai Econòmic Europeu (EEE). No obstant això, alguns dels nostres encarregats del tractament poden tractar dades personals fora de l'EEE, especialment als Estats Units.

Quan les dades personals es transfereixen fora de l'EEE, ens assegurem que s'estableixin les garanties adequades, de conformitat amb el Capítol V del RGPD (articles 44–49):

• Decisions d'adequació de la UE (Art. 45 RGPD): Quan la Comissió Europea ha determinat que un tercer país garanteix un nivell adequat de protecció de dades, les transferències es realitzen sobre la base d'aquesta decisió d'adequació. El marc EU-US Data Privacy Framework s'aplica a les organitzacions nord-americanes certificades.
• Clàusules contractuals tipus (CCT) (Art. 46(2)(c) RGPD): Quan no existeix una decisió d'adequació, ens basem en les clàusules contractuals tipus de la Comissió Europea, aprovades per la Decisió d'execució (UE) 2021/914, que obliguen contractualment l'importador de dades a protegir les dades personals segons els estàndards de l'EEE.
• Mesures suplementàries: Quan sigui necessari sobre la base d'una Avaluació d'impacte de la transferència, s'implementen mesures tècniques addicionals (com el xifratge en trànsit i en repòs) o mesures organitzatives per garantir un nivell de protecció essencialment equivalent.

La nostra base de dades i l'emmagatzematge principal de fitxers (mitjançant Supabase) s'allotgen a les regions UE (Frankfurt, Alemanya), garantint que la major part de les dades personals romangui dins l'EEE. Vercel tracta les dades principalment a les regions UE però pot utilitzar la seva xarxa Edge global per a la distribució de continguts; tot aquest tractament està cobert per CCT. Resend tracta les dades de correu electrònic als Estats Units en virtut de CCT i el marc EU-US Data Privacy Framework.

Podeu obtenir una còpia de les garanties que hem establert per a les transferències internacionals contactant el nostre DPO a dpo@fleetmoto.com.

11. Galetes

La nostra plataforma utilitza galetes i tecnologies similars per garantir el funcionament correcte del servei. Actualment utilitzem únicament galetes estrictament necessàries (essencials), que són necessàries per al funcionament de la plataforma i no requereixen el vostre consentiment d'acord amb el RGPD i la Lei n.º 59/2019.

11.1. Galetes essencials que utilitzem

11.2. Galetes que no utilitzem

Actualment no utilitzem:

• Galetes d'anàlisi o seguiment (p. ex. Google Analytics)
• Galetes publicitàries o de retargeting
• Galetes de xarxes socials de tercers
• Galetes que rastregin la vostra activitat de navegació en altres llocs web

Si en el futur introduïm galetes no essencials, actualitzarem aquesta política i implementarem un mecanisme de consentiment de galetes de conformitat amb el RGPD i la Lei n.º 59/2019, garantint que pugueu donar o retirar el vostre consentiment abans que qualsevol galeta no essencial es col·loqui al vostre dispositiu.

12. Notificació de violacions de dades

En cas de violació de dades personals, complirem amb les obligacions de notificació establertes als articles 33 i 34 del RGPD.

12.1. Notificació a l'autoritat de control (Art. 33 RGPD)

Quan una violació de dades personals pugui comportar un risc per als drets i les llibertats de les persones físiques, notificarem l'autoritat de control portuguesa (Comissão Nacional de Proteção de Dados — CNPD) sense demora indeguda i, quan sigui possible, dins les 72 hores des del moment en què en tinguem coneixement. Si la notificació no es realitza dins les 72 hores, proporcionarem les raons del retard.

La notificació a la CNPD inclourà:

• Una descripció de la naturalesa de la violació, incloent el nombre aproximat de persones afectades i de registres afectats
• El nom i les dades de contacte del nostre Delegat de protecció de dades
• Una descripció de les conseqüències probables de la violació
• Una descripció de les mesures adoptades o proposades per fer front a la violació, incloent mesures per mitigar els seus possibles efectes adversos

12.2. Comunicació a les persones afectades (Art. 34 RGPD)

Quan una violació de dades personals pugui comportar un risc elevat per als drets i les llibertats de les persones físiques, comunicarem la violació a les persones afectades sense demora indeguda, en un llenguatge clar i senzill. Aquesta comunicació descriurà la naturalesa de la violació i proporcionarà recomanacions perquè les persones afectades puguin mitigar els possibles efectes adversos.

La comunicació a les persones afectades pot no ser necessària quan: hem implementat mesures de protecció tècniques apropiades (com el xifratge) que facin les dades inintel·ligibles; hem adoptat mesures posteriors que asseguren que el risc elevat ja no és probable que es materialitzi; o quan requeriria un esforç desproporcionat, cas en el qual es realitzarà una comunicació pública o una mesura similar.

12.3. Procediment intern de resposta a violacions

Mantenim un pla intern de resposta a violacions de dades que inclou procediments per identificar, contenir, avaluar i documentar totes les violacions de dades personals, independentment de si són objecte de notificació. Totes les violacions es registren en un registre intern segons exigeix l'article 33, apartat 5, del RGPD.

13. Privacitat dels menors

CFM - CONTROL FLEET MOTOS és una plataforma SaaS business-to-business (B2B) dissenyada per a empreses de lloguer de motocicletes. Els nostres serveis no van dirigits a persones menors de 16 anys, que és l'edat mínima per al consentiment als serveis de la societat de la informació a Portugal d'acord amb la Lei n.º 58/2019, Art. 16.º (implementació de l'Art. 8 RGPD).

No recollim consciemment dades personals de menors de 16 anys. Si tenim coneixement que hem recollit inadvertidament dades personals d'un menor de 16 anys sense el consentiment parental o del tutor adequat, prendrem les mesures necessàries per suprimir aquestes dades el més aviat possible.

Si sou un pare o tutor i creieu que el vostre fill ens ha proporcionat dades personals, poseu-vos en contacte amb nosaltres a dpo@fleetmoto.com perquè puguem prendre les mesures apropiades.

14. Canvis en aquesta política

Podem actualitzar aquesta Política de privacitat de tant en tant per reflectir canvis en les nostres pràctiques de tractament de dades, requisits legals o els nostres serveis. Quan realitzem canvis, actualitzarem la "Data d'entrada en vigor" al començament d'aquesta política.

Per als canvis substancials que afectin significativament la manera com tractem les vostres dades personals, proporcionarem un avís destacat a través de la plataforma (com un bàner o una notificació) i, quan ho exigeixi la llei, sol·licitarem el vostre consentiment abans de continuar tractant les vostres dades d'acord amb les condicions actualitzades.

Us animem a revisar periòdicament aquesta Política de privacitat per estar informats sobre com protegim les vostres dades personals. L'ús continuat de la plataforma després de la publicació dels canvis constitueix el vostre reconeixement de la política revisada, excepte quan es requereixi el consentiment.

Les versions anteriors d'aquesta Política de privacitat estan disponibles a petició contactant el nostre DPO a dpo@fleetmoto.com.

15. Contacte i reclamacions

Si teniu qualsevol pregunta, preocupació o sol·licitud sobre aquesta Política de privacitat o les nostres pràctiques de tractament de dades, poseu-vos en contacte amb nosaltres:

Dret a presentar una reclamació

Si considereu que el nostre tractament de les vostres dades personals infringeix el RGPD o el dret portuguès de protecció de dades, teniu el dret de presentar una reclamació davant l'autoritat de control portuguesa:

Comissão Nacional de Proteção de Dados (CNPD)
Av. D. Carlos I, 134 - 1.º
1200-651 Lisboa, Portugal
Telèfon: +351 213 928 400
Fax: +351 213 976 832
Correu electrònic: geral@cnpd.pt
Lloc web: www.cnpd.pt

També podeu presentar una reclamació davant l'autoritat de control de l'Estat membre de la UE de la vostra residència habitual, del vostre lloc de treball o del lloc de la presumpte infracció, de conformitat amb l'article 77 del RGPD.

Us animem a posar-vos en contacte amb nosaltres primer per intentar resoldre qualsevol preocupació abans de presentar una reclamació formal davant una autoritat de control.

Data d'entrada en vigor: 1 de febrer de 2026