Política de privacidade

Última atualização: 29 juillet 2026 (2)

Expeteo SARL, que explora a marca Pulsar (adiante "Pulsar", "nós"), atribui particular importância à proteção dos dados pessoais. A presente política descreve a forma como os dados são tratados no âmbito do serviço Pulsar Analytics (analytics.pulsar.lu), em conformidade com o Regulamento (UE) 2016/679 ("RGPD"), a diretiva 2002/58/CE ("ePrivacy") e, para os titulares na Suíça, a lei federal suíça de proteção de dados ("nLPD").

Esta política distingue duas vertentes correspondentes a dois papéis jurídicos diferentes:

Vertente A: os dados dos clientes e utilizadores do Pulsar (contas, faturação). O Editor é responsável pelo tratamento.
Vertente B: os dados de audiência recolhidos através do pixel Pulsar nos sites dos nossos clientes. O Editor atua como subcontratante (artigo 28.º do RGPD), por conta do cliente, responsável pelo tratamento.

Contactos

Responsável pelo tratamento (vertente A): Expeteo SARL, Op der Haart 28, L-9999 Wemperhardt, Luxembourg. RCS Luxemburgo: B212614.
Ponto de contacto para a proteção de dados: privacy@pulsar.lu.
Na falta de encarregado da proteção de dados (DPO) designado, o ponto de contacto acima serve de contacto para qualquer questão relativa aos dados.

Vertente A: dados dos clientes e utilizadores do Pulsar

Para estes tratamentos, Expeteo SARL é responsável pelo tratamento na aceção do artigo 4.º, ponto 7, do RGPD.

A.1. Gestão das contas e prestação do Serviço

Finalidade: criação e gestão da conta, autenticação, prestação e administração do Serviço, apoio.
Fundamento jurídico: execução do contrato (artigo 6.º, n.º 1, alínea b), do RGPD).
Categorias de dados: identidade, endereço de e-mail, credenciais de acesso, dados de configuração, registos técnicos de ligação.
Destinatários: pessoal autorizado do Editor; alojamento (Infomaniak Network SA).
Prazo de conservação: duração da relação contratual, seguida de arquivo intermédio limitado para efeitos de prova e obrigações legais.

A.2. Faturação e pagamento

Finalidade: gestão das subscrições, faturação, cobrança, prevenção da fraude.
Fundamento jurídico: execução do contrato (art. 6.º, n.º 1, al. b)) e obrigações legais contabilísticas e fiscais (art. 6.º, n.º 1, al. c)).
Categorias de dados: dados de faturação (denominação social, morada, número de IVA), histórico de subscrição, dados de transação. Os dados de cartão bancário são tratados diretamente pela Stripe; o Editor não tem acesso ao número completo do cartão.
Destinatários: Stripe (Stripe Payments Europe, Limited); o contabilista e a administração fiscal, se aplicável.
Prazo de conservação: os documentos contabilísticos são conservados durante o prazo legal aplicável no Luxemburgo (dez anos).

A.3. Comunicações e melhoria do Serviço

Finalidade: informações relativas ao Serviço, resposta a pedidos, melhoria e segurança.
Fundamento jurídico: interesse legítimo (art. 6.º, n.º 1, al. f)); execução do contrato para as comunicações relativas ao Serviço. Qualquer prospeção comercial por via eletrónica assenta no consentimento ou no interesse legítimo nas condições da diretiva ePrivacy.
Prazo de conservação: o tempo necessário à finalidade, seguido de eliminação ou anonimização.

A.4. Análise gratuita de conformidade (scanner)

Finalidade: fornecer o resultado à pessoa que o solicita e, em seguida, acompanhar a utilização da ferramenta e melhorar as verificações efetuadas.
Fundamento jurídico: interesse legítimo (artigo 6.º, n.º 1, alínea f), do RGPD) em conhecer a utilização de uma ferramenta pública disponibilizada gratuitamente.
Categorias de dados: o nome de domínio analisado, a data, a pontuação e a natureza dos pontos assinalados. O endereço completo da página, os parâmetros de URL e o endereço IP do requerente não são registados. Um nome de domínio de empresa não constitui, em princípio, um dado pessoal; pode passar a constituí-lo quando corresponde ao nome de uma pessoa singular.
Destinatários: pessoal autorizado do Editor. Sem comunicação a terceiros, sem revenda.
Prazo de conservação: doze meses a contar da análise, seguidos de eliminação automática.
Oposição: a eliminação de uma análise pode ser solicitada a qualquer momento para privacy@pulsar.lu, indicando o domínio em causa.

A.5. Obrigações legais e gestão de litígios

Cumprimento das obrigações legais e defesa de direitos em juízo. Fundamento jurídico: obrigação legal (art. 6.º, n.º 1, al. c)) e interesse legítimo (art. 6.º, n.º 1, al. f)). Conservação durante os prazos de prescrição aplicáveis.

A.6. Destinatários e subcontratantes

Infomaniak Network SA (Suíça): alojamento.
Stripe Payments Europe, Limited (Irlanda, UE): tratamento dos pagamentos.
Se aplicável, prestadores de apoio e de envio de e-mails estabelecidos na União Europeia.

A.7. Transferências fora da União Europeia

O servidor aplicacional e o servidor de recolha situam-se na Suíça, que beneficia de uma decisão de adequação da Comissão Europeia. Os dados de faturação são tratados na União Europeia, na Stripe (Irlanda). Em caso de recurso a um prestador suscetível de transferir dados para fora do Espaço Económico Europeu sem decisão de adequação, tais operações são enquadradas por garantias adequadas na aceção dos artigos 44.º a 49.º do RGPD, nomeadamente as cláusulas contratuais-tipo.

A.8. Direitos dos titulares

Nos termos dos artigos 15.º a 22.º do RGPD, qualquer titular dispõe dos seguintes direitos:

direito de acesso (artigo 15.º);
direito de retificação (artigo 16.º);
direito ao apagamento (artigo 17.º);
direito à limitação do tratamento (artigo 18.º);
direito à portabilidade dos dados (artigo 20.º);
direito de oposição (artigo 21.º), nomeadamente aos tratamentos fundados no interesse legítimo.

Estes direitos exercem-se escrevendo para privacy@pulsar.lu. É dada resposta nos prazos previstos pelo RGPD (em princípio um mês, prorrogável). Pode ser pedido um comprovativo de identidade em caso de dúvida razoável.

A.9. Reclamação junto de uma autoridade de controlo

no Luxemburgo: Commission nationale pour la protection des données (CNPD), 15, boulevard du Jazz, L-4370 Belvaux, Luxemburgo, cnpd.public.lu;
ou junto da autoridade de controlo do Estado-Membro da sua residência, do seu local de trabalho ou do local da alegada violação;
para os titulares na Suíça: Encarregado Federal da Proteção de Dados e da Transparência (PFPDT), Feldeggweg 1, CH-3003 Berna.

Vertente B: dados de audiência recolhidos através do pixel Pulsar

Para estes tratamentos, o Editor atua na qualidade de subcontratante (artigo 28.º do RGPD), por conta do seu cliente, que é responsável pelo tratamento. O cliente determina as finalidades e os meios da medição de audiência dos seus próprios sites; o Editor trata os dados unicamente segundo as suas instruções documentadas.

B.1. Natureza da recolha: medição de audiência sem cookies

O pixel Pulsar é concebido segundo o princípio da proteção de dados desde a conceção (artigo 25.º do RGPD):

Sem cookies, sem armazenamento no equipamento do Visitante (nem cookie, nem localStorage).
Endereço IP: utilizado unicamente, ao nível do servidor, para derivar um código de país e um nome de cidade, depois truncado e anonimizado imediatamente. Nunca conservado em texto simples.
Dados de encomenda (sites de venda, mediante ativação): número de encomenda, montante, moeda e designação dos produtos. Nenhum dado do cliente é transmitido: nem nome, nem morada, nem e-mail. O número de encomenda serve para a reconciliação contabilística e para evitar dupla contagem.
Interação com os formulários: nome dos campos abordados e ordem por que o foram, para identificar os que provocam abandono. Nenhum valor introduzido é lido ou transmitido, e os campos de palavra-passe são ignorados até no nome.
Identificador de visitante: um hash rotativo diário e não persistente (duração inferior a 24 horas), calculado com um sal secreto. Não permite seguir uma pessoa de um dia para o outro nem de uma sessão para outra.
Isolamento por site: cada site está separado, o cruzamento entre sites é impossível. Sem perfil publicitário, sem retargeting.
Ausência de fingerprinting: sem canvas/WebGL nem combinação de atributos individualizantes.
Dados agregados: as estatísticas apresentadas não contêm dados diretamente identificantes.

Mapas de calor (opção ativável por site). O cliente pode ativar, site a site, uma medição de mapas de calor agregados: a posição dos cliques e uma amostra de movimentos do cursor são contabilizadas por célula e por página, sem qualquer identificador e sem possibilidade de reconstituir a navegação de um indivíduo (ao contrário de uma gravação de sessão, que o Pulsar não realiza). Os campos de formulário e as zonas marcadas com data-pulsar-mask são excluídos da medição; nenhuma introdução, nenhum conteúdo de campo é recolhido. Esta medição mantém-se sem cookies e sem armazenamento no equipamento do Visitante. Uma pré-visualização da página pública pode ser captada do lado do servidor para servir de fundo aos mapas de calor.

B.2. Finalidade, fundamento jurídico e papel das partes

Finalidade: medição de audiência agregada dos sites do cliente, apenas para fins estatísticos, com exclusão de qualquer utilização publicitária, de personalização ou de retargeting.
Fundamento jurídico: determinado pelo cliente, responsável pelo tratamento, ao abrigo do artigo 6.º do RGPD (na prática, o interesse legítimo para a medição estritamente estatística, ou o consentimento quando o cliente o considere exigível).
Papel do Editor: subcontratante que atua sob instruções documentadas do cliente.

B.3. Isenção de consentimento ao abrigo do artigo 5.º, n.º 3, da diretiva ePrivacy

O pixel Pulsar não armazena nem lê informação no equipamento do Visitante para além do estritamente necessário e não utiliza cookies nem identificador estável. Nesta configuração, o acesso ao equipamento que desencadeia a exigência de consentimento do artigo 5.º, n.º 3, da diretiva 2002/58/CE não se verifica, e a medição de audiência pode beneficiar da isenção de consentimento. Esta isenção pressupõe que as seguintes condições se mantenham reunidas:

a medição serve a única finalidade estatística do site e é estritamente necessária à sua prestação;
os dados não são cruzados com outros tratamentos nem transmitidos a terceiros;
não há seguimento da navegação através de diferentes sites ou aplicações;
os dados produzidos são anónimos ou estritamente limitados à produção de estatísticas anónimas.

Cabe ao cliente, responsável pelo tratamento, verificar que a sua utilização respeita estas condições e, em caso de configuração que delas se afaste, recolher o consentimento exigido e informar os seus Visitantes (artigos 13.º e 14.º do RGPD).

B.4. Importação do histórico Google Analytics 4 (opção)

Quando o cliente ativa a importação do seu histórico Google Analytics 4, autoriza um endereço de um conjunto gerido pelo Editor a aceder em modo de leitura à sua própria propriedade GA4. Os dados importados provêm da conta Google Analytics do cliente, do qual este permanece responsável pelo tratamento. O Editor utiliza-os apenas para apresentar o histórico ao cliente dentro do Serviço.

B.5. Subcontratação conforme o artigo 28.º do RGPD

Na qualidade de subcontratante, o Editor disponibiliza ao cliente um acordo de subcontratação (DPA) conforme o artigo 28.º, n.º 3, do RGPD (igualmente disponível mediante pedido para privacy@pulsar.lu). Esse acordo prevê nomeadamente:

tratar os dados unicamente sob instruções documentadas do cliente;
garantir a confidencialidade das pessoas autorizadas a tratar os dados;
aplicar medidas de segurança adequadas (artigo 32.º);
enquadrar o recurso a subcontratantes ulteriores, com obrigações equivalentes;
auxiliar o cliente nos pedidos de exercício de direitos, nas violações e nas avaliações de impacto (artigos 32.º a 36.º);
apagar ou devolver os dados no final da prestação, à escolha do cliente;
disponibilizar as informações necessárias e permitir a realização de auditorias.

O Editor mantém o registo das categorias de atividades de tratamento efetuadas por conta dos seus clientes (artigo 30.º, n.º 2, do RGPD).

B.6. Subcontratantes ulteriores e alojamento

Os Dados de audiência são alojados e tratados na Suíça:

Infomaniak Network SA (Suíça): alojamento do servidor aplicacional e do servidor de recolha.

A lista dos subcontratantes ulteriores é comunicada no âmbito do DPA e mantida atualizada; o cliente é informado de qualquer alteração.

B.7. Segurança (artigo 32.º do RGPD)

O Editor aplica medidas técnicas e organizativas adequadas: cifragem em trânsito (HTTPS) e em repouso, separação por site, minimização dos dados, truncagem do endereço IP, hash diário não persistente, controlo de acessos, registo e limitação de débito do ponto de recolha.

B.8. Violações de dados (artigos 33.º e 34.º do RGPD)

Em caso de violação de dados que afete os Dados de audiência, o Editor, na sua qualidade de subcontratante, notifica o cliente sem demora injustificada, a fim de lhe permitir cumprir as suas obrigações de notificação à autoridade de controlo (artigo 33.º) e de comunicação aos titulares (artigo 34.º).

B.9. Transferências fora da União Europeia

Não é realizada qualquer transferência dos Dados de audiência para fora da Suíça, que beneficia de uma decisão de adequação. Em caso de recurso pontual a um prestador fora do EEE sem decisão de adequação, seriam instituídas garantias adequadas na aceção dos artigos 44.º a 49.º do RGPD.

B.10. Prazo de conservação

Os dados em bruto da medição de audiência são conservados no máximo 25 meses, sendo depois apagados ou conservados unicamente sob a forma de agregados estatísticos sem dados individualizantes. Os dados agregados dos mapas de calor (contadores por célula e por página) são conservados no máximo 12 meses.

B.11. Direitos dos titulares

Tendo em conta a ausência de identificador persistente e de dados diretamente identificantes, os Dados de audiência não permitem, em princípio, reidentificar uma pessoa (artigo 11.º do RGPD). Os pedidos relativos a um determinado site devem ser dirigidos ao cliente, responsável pelo tratamento desse site. O Editor auxilia o cliente no tratamento desses pedidos.

Alteração da presente política

A presente política pode ser atualizada para ter em conta evoluções legais, regulamentares ou técnicas. A versão em vigor é a publicada em analytics.pulsar.lu. As alterações substanciais são levadas ao conhecimento dos clientes por meio adequado.