Portugal Colonial - PROTECÇÃO DE DADOS

PROTECÇÃO DE DADOS

POLÍTICA DE PRIVACIDADE E PROTECÇÃO DE DADOS DO «PORTUGAL COLONIAL»

Responsável pelo tratamento dos dados pessoais

SCANDIC TRUST GROUP LLC
Rua Oksamytova 1-b, Escritório 30
Sofiivska Borshchahivka
Região de Kyiv - 08147 / Ucrânia

Publicação: «PORTUGAL COLONIAL»
Correio eletrónico: [email protected]
Sítio Web: www.portugalcolonial.pt

A SCANDIC TRUST GROUP LLC é responsável pelo tratamento dos dados pessoais nas operações em que determina as respetivas finalidades e meios. Os pedidos de informação e de exercício de direitos relativos ao tratamento efetuado pelo «PORTUGAL COLONIAL» podem ser enviados para os contactos acima indicados.

Representação na União Europeia e encarregado da proteção de dados

Representante na União Europeia: [inserir a identidade, a morada e os contactos da entidade efetivamente designada nos termos do artigo 27.º do RGPD, quando exigível].

Encarregado da proteção de dados: [inserir os contactos específicos, caso tenha sido designado ou a sua designação seja obrigatória].

A representação na União Europeia exige um mandato escrito, nos casos previstos no artigo 27.º do RGPD. Uma relação comercial com uma entidade estabelecida na União Europeia não constitui, por si só, essa designação. As funções do representante e do encarregado da proteção de dados são distintas.

Apoio técnico e operacional

SCANDIC ASSETS FZCO
Dubai Silicon Oasis DDP
Edifício A1/A2
Dubai — 342001
Emirados Árabes Unidos
Telefone: +971 54 221 5217

A SCANDIC ASSETS FZCO presta serviços técnicos relacionados com o funcionamento do sítio Web. Quando trate dados pessoais por conta da SCANDIC TRUST GROUP LLC e segundo as suas instruções, esse tratamento fica sujeito ao artigo 28.º do RGPD. A qualidade de responsável pelo tratamento, responsável conjunto ou subcontratante depende das funções efetivamente desempenhadas por cada entidade.

Introdução e âmbito de aplicação

A presente política explica como são tratados os dados pessoais no âmbito dos sítios Web, aplicações e serviços do «PORTUGAL COLONIAL», para que finalidades são utilizados, quais os critérios de conservação e como podem ser exercidos os direitos dos titulares.

As referências a contas, assinaturas, encomendas, newsletters, eventos ou serviços externos aplicam-se quando essas funcionalidades sejam efetivamente disponibilizadas. A indicação de uma tecnologia ou plataforma não significa que esteja ativa em todas as páginas ou serviços.

O tratamento abrangido pelo Regulamento (UE) 2016/679 rege-se pelo Regulamento Geral sobre a Proteção de Dados, adiante «RGPD», e pela legislação portuguesa aplicável, nomeadamente a Lei n.º 58/2019, de 8 de agosto, e a Lei n.º 41/2004, de 18 de agosto, nas suas redações em vigor. O RGPD pode aplicar-se a responsáveis estabelecidos fora da União Europeia quando estejam preenchidas as condições do seu artigo 3.º, incluindo a oferta de serviços a pessoas que se encontrem na União ou a monitorização do seu comportamento nesse território.

Esta política presta informação. A sua leitura, a navegação no sítio Web ou a aceitação dos termos de utilização não constituem, por si só, consentimento para tratamentos que o exijam.

A) Informações gerais sobre o tratamento de dados pessoais

São dados pessoais as informações relativas a uma pessoa singular identificada ou identificável. Consoante o serviço utilizado, podem incluir nome, dados de contacto, identificadores de conta, informações contratuais e de pagamento, endereço IP, dados técnicos e informações sobre interações com os nossos serviços.

Os dados pseudonimizados continuam a ser dados pessoais quando possam ser associados a uma pessoa mediante informações adicionais. A anonimização exige que a identificação deixe de ser razoavelmente possível.

O tratamento deve respeitar os princípios da licitude, lealdade, transparência, limitação das finalidades, minimização, exatidão, limitação da conservação e segurança, bem como a proteção de dados desde a conceção e por defeito.

Finalidades e fundamentos jurídicos

- Execução de contratos e diligências pré-contratuais solicitadas pelo titular: artigo 6.º, n.º 1, alínea b), do RGPD, quando o tratamento seja objetivamente necessário para disponibilizar o serviço contratado.
- Cumprimento de obrigações jurídicas: artigo 6.º, n.º 1, alínea c), conjugado com o n.º 3 do mesmo artigo, quando exista uma obrigação aplicável fundada no direito da União Europeia ou de um Estado-Membro.
- Interesses legítimos: artigo 6.º, n.º 1, alínea f), nomeadamente para segurança, prevenção de utilização abusiva, gestão de correspondência e defesa de direitos, após ponderação dos interesses e dos direitos e liberdades dos titulares.
- Consentimento: artigo 6.º, n.º 1, alínea a), para finalidades específicas que dele dependam, incluindo determinadas funcionalidades de análise, personalização ou marketing.

A inclusão de uma operação nos termos de utilização não a torna automaticamente necessária à execução de um contrato. A retirada do consentimento não pode ser contornada através de uma mudança artificial do fundamento jurídico para continuar o mesmo tratamento.

Tratamento para fins jornalísticos

A investigação, preparação, publicação e conservação de conteúdos jornalísticos podem envolver dados provenientes de entrevistas, documentos, fontes públicas, colaboradores ou informações recebidas pela redação.

A conciliação entre proteção de dados e liberdade de expressão e informação rege-se, designadamente, pelo artigo 85.º do RGPD, pelo artigo 24.º da Lei n.º 58/2019 e pelas garantias constitucionais de privacidade, proteção de dados e liberdade de imprensa. A apreciação considera o interesse público, a natureza dos dados, a necessidade da identificação e o impacto da divulgação. A proteção das fontes e do sigilo profissional é respeitada nos termos legais.

Este enquadramento não constitui uma dispensa geral das regras de proteção de dados e não se estende automaticamente à publicidade, às assinaturas ou à análise do comportamento dos leitores.

Dados obtidos de outras fontes e informações sensíveis

Quando os dados não sejam recolhidos diretamente junto do titular, são prestadas as informações exigidas pelo artigo 14.º do RGPD, incluindo as categorias de dados e a respetiva origem, nos prazos legais e sem prejuízo das exceções efetivamente aplicáveis.

Fora do enquadramento específico da atividade jornalística, o tratamento de categorias especiais de dados exige, além de um fundamento do artigo 6.º, uma condição aplicável do artigo 9.º, n.º 2. Os dados relativos a condenações penais e infrações estão sujeitos ao artigo 10.º. A disponibilidade pública de uma informação não autoriza, por si só, qualquer reutilização.

B) Contactos e correspondência

Quando nos contacta por correio eletrónico, telefone ou formulário, tratamos os dados necessários para compreender o assunto, responder e acompanhar o pedido, incluindo os contactos fornecidos e o conteúdo da comunicação.

Aplica-se o artigo 6.º, n.º 1, alínea b), quando o contacto esteja relacionado com um contrato ou diligências pré-contratuais solicitadas pelo titular; a alínea f), para correspondência geral e gestão de pedidos; ou a alínea c), quando esteja em causa uma obrigação jurídica.

Solicitamos apenas os elementos necessários à situação. O contacto com a redação não constitui consentimento para receber publicidade. A conservação segue os critérios da secção H.

C) Contas de utilizador, assinaturas, reservas e encomendas

Quando estes serviços sejam disponibilizados, tratamos os dados de identificação, contacto, autenticação, contratação e pagamento necessários à sua prestação. Os dados obrigatórios e as consequências da sua não disponibilização são indicados no momento da recolha.

O tratamento necessário à contratação e execução do serviço baseia-se no artigo 6.º, n.º 1, alínea b), do RGPD. As operações de prevenção de fraude e segurança podem assentar na alínea f), mediante ponderação adequada, e as obrigações fiscais ou contabilísticas na alínea c), quando aplicável.

Os fornecedores de pagamento, reserva ou entrega são identificados no contexto do serviço em que intervêm. A utilização de um prestador de pagamentos não significa que o «PORTUGAL COLONIAL» tenha acesso a todos os dados do cartão ou da conta bancária.

D) Contabilidade e conservação legal de documentos

Os documentos contabilísticos e fiscais são conservados pelos prazos legalmente aplicáveis à entidade e à operação em causa.

Quando seja aplicável o artigo 52.º do Código do IVA português, os registos e documentos de suporte abrangidos devem, em regra, ser conservados durante os 10 anos civis subsequentes, sem prejuízo das regras específicas previstas nesse artigo. Esta obrigação não se estende automaticamente a todos os dados dos leitores.

Uma obrigação decorrente exclusivamente da legislação de um país terceiro não constitui, por si só, o fundamento previsto no artigo 6.º, n.º 1, alínea c), do RGPD. O tratamento abrangido pelo RGPD necessita de um fundamento válido, e os dados conservados para cumprimento de obrigações ou defesa de direitos ficam limitados a essas finalidades.

E) Disponibilização técnica do sítio Web

O acesso aos nossos serviços pode gerar registos técnicos, incluindo endereço IP, página ou ficheiro solicitado, data e hora, resultado do pedido, volume de dados transmitidos, informações sobre o navegador e sistema operativo e página de origem, quando comunicada pelo dispositivo.

Estes dados podem ser necessários para entregar o conteúdo solicitado, diagnosticar erros, garantir a estabilidade e prevenir ataques ou utilização abusiva. O fundamento é, em regra, o interesse legítimo previsto no artigo 6.º, n.º 1, alínea f), do RGPD; a alínea b) aplica-se quando a operação seja necessária à execução de um contrato.

Estes fundamentos não substituem o consentimento exigível para armazenamento ou acesso a informações no equipamento do utilizador. Os registos de segurança não podem ser reutilizados para publicidade sem um fundamento próprio e informação adequada.

Serviços externos de distribuição e carregamento de recursos

Quando recursos técnicos sejam carregados a partir de fornecedores externos, incluindo serviços de distribuição de conteúdos, bibliotecas, imagens ou tipos de letra, o fornecedor pode receber o endereço IP e outros elementos do pedido.

Se forem utilizados serviços como Cloudflare ou cdnjs, a informação específica deve identificar o serviço, a entidade destinatária, a finalidade, o fundamento jurídico e as condições de conservação e transferência internacional.

O carregamento remoto de Google Fonts pode igualmente estabelecer uma ligação aos servidores do fornecedor. O alojamento local dos ficheiros evita essa ligação específica. A ausência de cookies não dispensa a avaliação do tratamento de dados pessoais.

F) Cookies, acesso ao equipamento e tecnologias de acompanhamento

Os cookies e tecnologias semelhantes podem armazenar informações no equipamento do utilizador ou aceder a informações nele existentes. Podem estar abrangidos o armazenamento local, píxeis de acompanhamento e determinadas técnicas de identificação do dispositivo.

Nos termos do artigo 5.º da Lei n.º 41/2004, na sua redação atual, estas operações exigem, em regra, consentimento prévio e informação clara. As exceções abrangem as operações destinadas exclusivamente à transmissão de uma comunicação e as estritamente necessárias à prestação de um serviço expressamente solicitado. A CNPD inclui os cookies de análise entre as utilizações que exigem consentimento.

Consentimento e escolha do utilizador

As funcionalidades sujeitas a consentimento apenas podem ser ativadas após uma manifestação de vontade livre, específica, informada e inequívoca. Caixas previamente selecionadas, silêncio ou continuação da navegação não constituem consentimento válido.

As finalidades facultativas devem poder ser recusadas e, quando distintas, escolhidas separadamente. O mecanismo de escolha deve ser claro e permitir retirar o consentimento com facilidade equivalente à da sua prestação. Estas exigências são coerentes com o acórdão Planet49, processo C-673/17.

Finalidades facultativas

Quando efetivamente utilizadas, as opções podem abranger:

- Medição da utilização e do desempenho dos conteúdos.
- Medição da eficácia da publicidade.
- Personalização de conteúdos.
- Criação e utilização de perfis publicitários.
- Análise de públicos e combinação de dados de diferentes fontes.
- Ativação de conteúdos ou funcionalidades de fornecedores externos.

A inclusão destas finalidades não constitui uma autorização geral de tratamento. A utilização de sistemas ou padrões do setor, incluindo os do IAB, não substitui os requisitos legais.

Antes da escolha, devem ser disponibilizadas informações sobre os fornecedores efetivamente envolvidos, as finalidades, as informações recolhidas, a duração das tecnologias e as eventuais transferências internacionais.

Definições e retirada do consentimento

O consentimento pode ser retirado através do mecanismo de gestão de preferências disponibilizado na interface ou mediante contacto para [email protected]. A retirada não afeta a licitude do tratamento anterior.

O navegador também permite bloquear ou apagar cookies. Porém, apagar um cookie não equivale necessariamente a comunicar a retirada do consentimento a todos os intervenientes.

Os elementos utilizados para memorizar escolhas de privacidade ou preferências solicitadas devem limitar-se à finalidade e duração necessárias. Não existe nesta política um prazo universal de 12 meses aplicável a todos os cookies. As durações concretas devem corresponder à configuração efetiva e constar da informação apresentada ao utilizador.

Análise de utilização sem cookies

A designação «sem cookies» não exclui automaticamente o tratamento de dados pessoais ou a aplicação das regras relativas ao equipamento do utilizador.

Quando sejam utilizadas ferramentas como Cloudflare Web Analytics, a avaliação deve atender ao funcionamento concreto, aos dados transmitidos e às configurações adotadas. As informações do fornecedor sobre um produto não demonstram, por si só, a forma como esse produto foi implementado no «PORTUGAL COLONIAL».

G) Destinatários e transferências internacionais

Os dados podem ser comunicados, na medida necessária, a prestadores técnicos, fornecedores envolvidos na execução de serviços, profissionais sujeitos a deveres de confidencialidade e autoridades ou tribunais competentes.

Os subcontratantes ficam sujeitos às condições do artigo 28.º do RGPD. Quando várias entidades determinem conjuntamente as finalidades e os meios do tratamento, aplica-se o artigo 26.º, incluindo a disponibilização dos elementos essenciais do acordo de responsabilidades.

O titular pode solicitar informação sobre os destinatários concretos dos seus dados. A identificação apenas por categorias não é sempre suficiente, conforme esclarecido pelo Tribunal de Justiça no processo C-154/21.

Ucrânia, Emirados Árabes Unidos e outros países terceiros

A SCANDIC TRUST GROUP LLC tem a morada indicada na Ucrânia e a SCANDIC ASSETS FZCO nos Emirados Árabes Unidos. À data desta versão, estes países não beneficiam de uma decisão de adequação da Comissão Europeia ao abrigo do artigo 45.º do RGPD.

O acesso remoto por uma entidade distinta situada num país terceiro pode constituir uma transferência internacional. Por isso, o alojamento de servidores no Espaço Económico Europeu não exclui, por si só, a aplicação do capítulo V do RGPD.

Quando esse capítulo seja aplicável, a transferência exige um mecanismo válido, como uma decisão de adequação que a abranja ou garantias adequadas nos termos do artigo 46.º. Podem ser necessárias cláusulas contratuais-tipo aplicáveis, avaliação das condições no país destinatário e medidas suplementares. As derrogações do artigo 49.º não constituem uma autorização geral para transferências regulares.

As informações sobre o mecanismo efetivamente utilizado e a possibilidade de obter uma cópia das garantias aplicáveis devem acompanhar o tratamento e podem ser solicitadas através do contacto indicado nesta política.

Transferências para os Estados Unidos

A decisão de adequação relativa ao EU–US Data Privacy Framework pode abranger transferências para organizações norte-americanas participantes, dentro do respetivo âmbito. Não cobre indiscriminadamente todos os destinatários nos Estados Unidos nem transferências para outros países.

O acórdão Schrems II invalidou o anterior Privacy Shield. O Data Privacy Framework assenta numa decisão posterior e distinta. A participação e a cobertura do destinatário devem ser verificadas para a transferência concreta.

H) Conservação e apagamento dos dados pessoais

Os dados são conservados durante o período legalmente exigido ou necessário à finalidade identificada. A duração deve ser determinada por categoria de tratamento, atendendo aos seguintes critérios:

- Correspondência: tempo necessário para tratar e encerrar o assunto e, posteriormente, apenas enquanto subsista uma necessidade demonstrável de conservação.
- Contas e assinaturas: duração da relação com o utilizador e período adicional estritamente necessário para obrigações pendentes, documentação legal ou defesa de direitos.
- Registos técnicos: período necessário à segurança, diagnóstico e resolução de incidentes, considerando a natureza dos dados e os riscos envolvidos.
- Newsletters e marketing: enquanto exista fundamento válido para o envio, cessando a utilização para essa finalidade após retirada do consentimento ou oposição aplicável.
- Registos de consentimento e oposição: período necessário para demonstrar o cumprimento das obrigações e respeitar as escolhas do titular, limitando os dados conservados.
- Documentos contabilísticos e fiscais: prazos legais aplicáveis, nos termos da secção D.
- Materiais e arquivos jornalísticos: período justificado pela finalidade editorial e pelo interesse informativo, sujeito à ponderação dos direitos envolvidos.

A conservação para defesa de direitos deve atender aos prazos e às circunstâncias efetivamente relevantes. A mera possibilidade abstrata de um litígio não autoriza a conservação ilimitada de todos os dados.

Quando deixe de existir fundamento para conservar dados pessoais, procede-se ao seu apagamento ou anonimização efetiva. As cópias de segurança devem ser geridas de modo a respeitar os apagamentos e as limitações de tratamento, incluindo em caso de recuperação de sistemas.

I) Direitos dos titulares dos dados

Nos termos e limites do RGPD, o titular dispõe dos seguintes direitos:

- Acesso, nos termos do artigo 15.º: confirmação do tratamento, acesso aos dados, informação legalmente exigida e cópia dos dados pessoais.
- Retificação, nos termos do artigo 16.º: correção de dados inexatos e complemento de dados incompletos.
- Apagamento, nos termos do artigo 17.º: eliminação dos dados quando estejam preenchidos os requisitos legais.
- Limitação do tratamento, nos termos do artigo 18.º: restrição das operações nas situações previstas na lei.
- Portabilidade, nos termos do artigo 20.º: obtenção dos dados fornecidos em formato estruturado, de uso corrente e de leitura automática, quando o tratamento automatizado se baseie em consentimento ou contrato.
- Oposição, nos termos do artigo 21.º: nos casos e condições descritos abaixo.
- Retirada do consentimento, nos termos do artigo 7.º, n.º 3: a qualquer momento, sem afetar a licitude do tratamento anterior.
- Proteção perante decisões exclusivamente automatizadas, nos termos do artigo 22.º, quando produzam efeitos jurídicos ou afetem significativamente o titular de forma similar.

Quando o artigo 19.º o exija, a retificação, o apagamento ou a limitação são comunicados aos destinatários, salvo impossibilidade ou esforço desproporcionado.

Direito de oposição

O titular pode opor-se, por motivos relacionados com a sua situação particular, ao tratamento baseado no artigo 6.º, n.º 1, alíneas e) ou f), incluindo a definição de perfis associada. O tratamento deve cessar, salvo demonstração de razões imperiosas e legítimas prevalecentes ou necessidade para declaração, exercício ou defesa de direitos num processo judicial.

A oposição ao marketing direto pode ser exercida a qualquer momento e sem justificação, incluindo quanto à definição de perfis relacionada. Após essa oposição, os dados deixam de ser tratados para tais finalidades.

Direitos relativos a conteúdos jornalísticos

Os pedidos relativos a notícias ou arquivos são apreciados à luz das regras de proteção de dados e da liberdade de expressão e informação. A análise pode considerar correção, atualização, anonimização, restrição de acesso ou apagamento, consoante o caso.

O artigo 17.º, n.º 3, alínea a), do RGPD prevê uma exceção ao apagamento quando o tratamento seja necessário ao exercício da liberdade de expressão e informação. Esta exceção exige apreciação concreta e não permite rejeitar automaticamente todos os pedidos relativos a conteúdos jornalísticos.

Exercício dos direitos e prazos de resposta

Os pedidos podem ser enviados para [email protected] ou para a morada do responsável.

A resposta é prestada sem demora injustificada e, em regra, no prazo de um mês após a receção. Quando a complexidade ou o número de pedidos o justifiquem, o prazo pode ser prorrogado por mais dois meses, sendo a prorrogação e os seus motivos comunicados durante o primeiro mês.

O exercício dos direitos é, em regra, gratuito. Taxas ou recusas dependem dos requisitos legais. Se existirem dúvidas razoáveis sobre a identidade, podem ser solicitados apenas os elementos adicionais necessários à confirmação. Não é exigida automaticamente uma cópia integral de um documento de identificação.

Reclamações e autoridade de controlo

O titular pode apresentar reclamação a uma autoridade de controlo competente, nomeadamente no Estado-Membro da sua residência habitual, local de trabalho ou alegada infração, nos termos do artigo 77.º do RGPD.

Em Portugal, a autoridade nacional de controlo é:

Comissão Nacional de Proteção de Dados — CNPD
Av. D. Carlos I, 134, 1.º
1200-651 Lisboa / Portugal

Sítio Web: www.cnpd.pt
Informações sobre atendimento e apresentação de participações: Atendimento ao público da CNPD.

J) Segurança dos dados pessoais

A proteção dos dados exige medidas técnicas e organizativas adequadas aos riscos, nos termos do artigo 32.º do RGPD, incluindo controlo de acessos, proteção das comunicações, gestão de permissões e procedimentos de resposta a incidentes, conforme aplicável.

As violações de dados pessoais são documentadas. Quando preenchidos os requisitos do artigo 33.º, são notificadas à autoridade competente sem demora injustificada e, sempre que possível, até 72 horas após delas se ter conhecimento.

Quando uma violação seja suscetível de implicar um elevado risco para os titulares, estes são informados sem demora injustificada nos termos do artigo 34.º, salvo exceção legal aplicável.

K) Reclamações, tutela judicial e indemnização

Esta política não limita o direito de apresentar reclamação à autoridade de controlo, recorrer aos tribunais ou pedir indemnização por danos materiais ou imateriais, quando estejam preenchidos os requisitos do artigo 82.º do RGPD.

O exercício destes direitos não depende da participação prévia num mecanismo de resolução alternativa de litígios de consumo nem da aceitação de uma cláusula de competência exclusiva estrangeira.

L) Legislação e jurisprudência relevantes

União Europeia

- Regulamento (UE) 2016/679, de 27 de abril de 2016 — RGPD: princípios, fundamentos jurídicos, transparência, direitos, segurança, transferências internacionais e conciliação com a liberdade de expressão e informação.
- Diretiva 2002/58/CE, de 12 de julho de 2002, na sua redação atual: privacidade nas comunicações eletrónicas, armazenamento e acesso a informações nos equipamentos e comunicações comerciais não solicitadas, transposta para Portugal pela Lei n.º 41/2004.
- Acórdão do Tribunal de Justiça de 1 de outubro de 2019, C-673/17, Planet49: o consentimento para cookies que dele dependam exige uma manifestação ativa; a informação deve abranger a duração dos cookies e o acesso por terceiros.
- Acórdão do Tribunal de Justiça de 16 de julho de 2020, C-311/18, Schrems II: requisitos de proteção efetiva nas transferências internacionais e invalidade do anterior Privacy Shield.
- Acórdão do Tribunal de Justiça de 12 de janeiro de 2023, C-154/21, Österreichische Post: o direito de acesso abrange, em princípio, a identidade dos destinatários concretos dos dados, com as exceções reconhecidas pelo Tribunal.
- Acórdão do Tribunal de Justiça de 4 de outubro de 2024, C-446/21, Schrems: a minimização impede a agregação e utilização indiscriminadas de dados para publicidade direcionada, sem limitação temporal e sem distinção da sua natureza.

Portugal

- Lei n.º 58/2019, de 8 de agosto: execução do RGPD na ordem jurídica portuguesa, incluindo o consentimento de menores e a conciliação da proteção de dados com a liberdade de expressão e informação.
- Lei n.º 41/2004, de 18 de agosto, na sua redação atual: proteção de dados e privacidade nas comunicações eletrónicas, especialmente os artigos 5.º e 13.º-A.
- Constituição da República Portuguesa, nomeadamente os artigos 26.º, 35.º, 37.º e 38.º: direitos de personalidade, proteção de dados, liberdade de expressão e liberdade de imprensa.
- Acórdão do Supremo Tribunal de Justiça de 16 de janeiro de 2025, processo n.º 946/20.0T8CSC.L1.S1: na ponderação entre direito ao bom nome e liberdade de expressão, relevam a veracidade da informação divulgada e a existência de um interesse legítimo que a justifique.

M) Informações complementares sobre serviços específicos

Newsletters e comunicações publicitárias

Quando seja disponibilizada uma newsletter, a informação apresentada na inscrição identifica a finalidade, os dados utilizados e os intervenientes relevantes.

As comunicações eletrónicas de marketing direto dirigidas a pessoas singulares estão, em regra, sujeitas a consentimento prévio e expresso. A exceção relativa a clientes prevista no artigo 13.º-A, n.º 3, da Lei n.º 41/2004 depende dos seus requisitos, incluindo produtos ou serviços próprios análogos e possibilidade gratuita e fácil de recusa na recolha e em cada mensagem.

A criação de uma conta ou uma encomenda não equivale automaticamente a consentimento publicitário. O consentimento para receber mensagens também não abrange automaticamente a medição individual de aberturas e cliques. O envio pode ser recusado pelo mecanismo indicado em cada comunicação ou através do nosso contacto.

Conteúdos incorporados, redes sociais e ligações externas

Leitores de vídeo e áudio, imagens externas e funcionalidades sociais podem transmitir dados ao respetivo fornecedor quando são carregados, mesmo sem interação adicional ou conta na plataforma.

Uma ligação simples e um elemento incorporado não produzem necessariamente os mesmos efeitos. O início de sessão numa plataforma externa não constitui autorização geral para transmitir dados a partir do «PORTUGAL COLONIAL».

As funcionalidades que exijam consentimento apenas podem ser ativadas após a sua obtenção. A remissão para a política de um terceiro não substitui as obrigações próprias de informação e licitude.

Quando aplicável, podem ser consultadas as informações dos fornecedores:

- Google e YouTube: Política de Privacidade da Google.
- Facebook: Política de Privacidade da Meta.
- Instagram: Informações de privacidade do Instagram.
- X: Política de Privacidade do X.
- Telegram: Política de Privacidade do Telegram.
- Apple: Política de Privacidade da Apple.
- Cloudflare: Política de Privacidade da Cloudflare.

A apresentação destes contactos não significa que todos estes serviços estejam ativos.

YouTube e pré-visualizações externas

A incorporação de um vídeo pode incluir um leitor e imagens de pré-visualização obtidas a partir de servidores externos. O carregamento dessas imagens pode transmitir o endereço IP antes de o vídeo ser reproduzido.

As exigências de fundamento jurídico, informação e eventual consentimento devem ser apreciadas também quanto às pré-visualizações. O modo de privacidade de um fornecedor não constitui, por si só, garantia de ausência de tratamento ou de dispensa de consentimento.

Assistentes de voz e plataformas de distribuição

Quando os conteúdos sejam acedidos através de assistentes de voz, aplicações de terceiros ou dispositivos conectados, os respetivos fornecedores podem tratar pedidos, identificadores e informações de utilização segundo o funcionamento e as configurações do serviço.

Esse acesso não significa que o «PORTUGAL COLONIAL» receba automaticamente gravações integrais de voz ou todos os dados tratados pelo fornecedor. Os dados que efetivamente recebamos ficam sujeitos às finalidades e regras descritas nesta política e à informação específica do serviço.

Definição de perfis e decisões automatizadas

A personalização pode envolver avaliação automatizada de preferências ou interesses e constituir definição de perfis. O fundamento jurídico e as possibilidades de oposição ou retirada do consentimento dependem do tratamento concreto.

Nem toda a personalização constitui uma decisão abrangida pelo artigo 22.º do RGPD. Quando sejam utilizadas decisões exclusivamente automatizadas com efeitos jurídicos ou impacto similarmente significativo, devem ser cumpridas as condições legais, prestadas informações sobre a lógica envolvida e as consequências previstas e asseguradas as garantias aplicáveis, incluindo intervenção humana nos casos legalmente previstos.

Crianças e adolescentes

Em Portugal, o artigo 16.º da Lei n.º 58/2019 fixa em 13 anos a idade a partir da qual a criança pode prestar o consentimento abrangido pelo artigo 8.º do RGPD para a oferta direta de serviços da sociedade da informação. Abaixo dessa idade, o consentimento deve ser dado pelos representantes legais, nos termos aplicáveis.

Esta regra não estabelece uma idade mínima geral para ler notícias nem substitui as regras relativas à capacidade para contratar.

Alterações desta política

Esta política pode ser atualizada para refletir alterações nos serviços, nos tratamentos ou nas exigências legais. As alterações relevantes são comunicadas de forma adequada.

Antes de utilizar dados para uma nova finalidade, são prestadas as informações exigidas e obtido novo consentimento quando necessário. O silêncio ou a continuação da utilização do sítio não equivalem a esse consentimento. O consentimento anteriormente prestado pode ser retirado a qualquer momento.

Para questões sobre privacidade e proteção de dados, contacte [email protected].

________________________________________

PRIVACY AND DATA PROTECTION POLICY OF “PORTUGAL COLONIAL”

Version: 29 October 2026

Data controller

SCANDIC TRUST GROUP LLC
Oksamytova Street 1-b, Office 30
Sofiivska Borshchahivka
Kyiv Region - 08147 / Ukraine

Publication: “PORTUGAL COLONIAL”
Email: [email protected]
Website: www.portugalcolonial.pt

SCANDIC TRUST GROUP LLC is the data controller for processing operations whose purposes and means it determines. Information requests and requests to exercise rights concerning processing by “PORTUGAL COLONIAL” may be sent to the contact details above.

European Union representative and data protection officer

European Union representative: [insert the identity, address and contact details of the entity actually appointed under Article 27 GDPR, where required].

Data protection officer: [insert the specific contact details where an officer has been appointed or appointment is mandatory].

Representation in the European Union requires a written mandate in the circumstances specified in Article 27 GDPR. A commercial relationship with an entity established in the European Union does not, by itself, constitute that appointment. The representative and the data protection officer perform distinct roles.

Technical and operational support

SCANDIC ASSETS FZCO
Dubai Silicon Oasis DDP
Building A1/A2
Dubai — 342001
United Arab Emirates
Telephone: +971 54 221 5217

SCANDIC ASSETS FZCO provides technical services associated with the operation of the website. Where it processes personal data on behalf of SCANDIC TRUST GROUP LLC and under its instructions, that processing is subject to Article 28 GDPR. Whether an entity acts as controller, joint controller or processor depends on the functions it actually performs.

Introduction and scope

This policy explains how personal data are processed through the websites, applications and services of “PORTUGAL COLONIAL”, the purposes of that processing, the retention criteria and how individuals may exercise their rights.

References to accounts, subscriptions, orders, newsletters, events or external services apply where those features are actually offered. Mentioning a technology or platform does not mean that it is active on every page or service.

Processing within the scope of Regulation (EU) 2016/679 is governed by the General Data Protection Regulation, referred to as the “GDPR”, and applicable Portuguese legislation, particularly Law No 58/2019 of 8 August and Law No 41/2004 of 18 August, as amended. The GDPR may apply to controllers established outside the European Union where the conditions of Article 3 are met, including offering services to individuals in the Union or monitoring their behaviour there.

This policy provides information. Reading it, browsing the website or accepting the terms of use does not, by itself, constitute consent to processing that requires consent.

A) General information about personal data processing

Personal data are information relating to an identified or identifiable individual. Depending on the service used, they may include names, contact details, account identifiers, contractual and payment information, IP addresses, technical data and information about interactions with our services.

Pseudonymised data remain personal data where they can be linked to an individual using additional information. Anonymisation requires identification to cease to be reasonably possible.

Processing must comply with the principles of lawfulness, fairness, transparency, purpose limitation, data minimisation, accuracy, storage limitation and security, as well as data protection by design and by default.

Purposes and legal bases

- Performance of contracts and pre-contractual steps requested by the individual: Article 6(1)(b) GDPR, where processing is objectively necessary to provide the contracted service.
- Compliance with legal obligations: Article 6(1)(c), read with Article 6(3), where an applicable obligation arises under European Union or Member State law.
- Legitimate interests: Article 6(1)(f), including security, preventing misuse, handling correspondence and protecting legal rights, following an appropriate assessment of individuals’ interests, rights and freedoms.
- Consent: Article 6(1)(a), for specified purposes requiring it, including certain analytics, personalisation or marketing features.

Including an operation in the terms of use does not automatically make it necessary for a contract. Withdrawal of consent must not be circumvented by artificially changing the legal basis to continue the same processing.

Processing for journalistic purposes

Researching, preparing, publishing and retaining journalistic material may involve personal data obtained from interviews, documents, public sources, contributors or information supplied to the editorial team.

The reconciliation of data protection with freedom of expression and information is governed, in particular, by Article 85 GDPR, Article 24 of Law No 58/2019 and constitutional safeguards for privacy, data protection and freedom of the press. Assessment takes account of the public interest, the nature of the data, the need to identify individuals and the impact of disclosure. Sources and professional confidentiality receive the protection required by law.

This framework does not create a general exemption from data protection rules and does not automatically extend to advertising, subscriptions or analysis of readers’ behaviour.

Data obtained from other sources and sensitive information

Where personal data are not collected directly from the individual, the information required by Article 14 GDPR is provided, including the categories of data and their source, within the statutory time limits and subject to any exceptions that actually apply.

Outside the specific framework for journalistic activity, processing special categories of data requires both an Article 6 legal basis and an applicable condition under Article 9(2). Data relating to criminal convictions and offences are subject to Article 10. Public availability does not, by itself, authorise unrestricted reuse.

B) Contact and correspondence

When you contact us by email, telephone or a form, we process the information necessary to understand the matter, respond and follow up, including the contact details provided and the content of the communication.

Article 6(1)(b) applies where the communication concerns a contract or pre-contractual steps requested by you; Article 6(1)(f) applies to general correspondence and handling enquiries; and Article 6(1)(c) applies where a legal obligation is involved.

We request only information needed for the matter concerned. Contacting the editorial team does not constitute consent to advertising. Retention follows the criteria in section H.

C) User accounts, subscriptions, bookings and orders

Where these services are offered, we process the identification, contact, authentication, contractual and payment information necessary to provide them. Required information and the consequences of not providing it are identified when it is collected.

Processing necessary to enter into and perform a contract relies on Article 6(1)(b) GDPR. Fraud prevention and security operations may rely on Article 6(1)(f), subject to an appropriate assessment, while tax or accounting obligations may rely on Article 6(1)(c), where applicable.

Payment, booking or delivery providers are identified in the context of the service in which they participate. Using a payment provider does not mean that “PORTUGAL COLONIAL” receives all payment card or bank account information.

D) Accounting and statutory document retention

Accounting and tax documents are retained for the periods legally applicable to the entity and transaction concerned.

Where Article 52 of the Portuguese Value Added Tax Code applies, covered records and supporting documents must generally be retained for the following 10 calendar years, subject to the specific rules in that provision. This obligation does not automatically apply to all reader data.

An obligation arising exclusively under a third country’s legislation does not, by itself, establish the legal basis in Article 6(1)(c) GDPR. Processing covered by the GDPR requires a valid legal basis, and data retained to meet obligations or protect legal rights are restricted to those purposes.

E) Technical delivery of the website

Accessing our services may generate technical records, including IP addresses, the requested page or file, date and time, request outcome, volume of data transferred, browser and operating system information and the referring page where communicated by the device.

These data may be necessary to deliver requested content, diagnose errors, maintain stability and prevent attacks or misuse. Processing generally relies on the legitimate interest in Article 6(1)(f) GDPR; Article 6(1)(b) applies where an operation is necessary to perform a contract.

These legal bases do not replace any consent required to store or access information on a user’s device. Security logs must not be reused for advertising without an appropriate separate basis and adequate information.

External resource delivery services

Where technical resources are loaded from external providers, including content delivery services, libraries, images or fonts, the provider may receive an IP address and other request information.

If services such as Cloudflare or cdnjs are used, the specific information must identify the service, recipient, purpose, legal basis and retention and international transfer arrangements.

Loading Google Fonts remotely may similarly establish a connection to the provider’s servers. Hosting font files locally avoids that particular connection. The absence of cookies does not remove the need to assess personal data processing.

F) Cookies, device access and tracking technologies

Cookies and similar technologies may store information on a user’s device or access information already stored there. Browser storage, tracking pixels and certain device identification techniques may fall within these rules.

Under Article 5 of Law No 41/2004, as amended, these operations generally require prior consent and clear information. Exceptions cover operations solely intended to transmit a communication and those strictly necessary to provide a service expressly requested by the user. The CNPD identifies analytics cookies as a use requiring consent.

Consent and user choice

Features requiring consent may be activated only after a freely given, specific, informed and unambiguous indication of wishes. Pre-selected boxes, silence or continued browsing do not constitute valid consent.

Optional purposes must be capable of being refused and, where distinct, selected separately. The choice mechanism must be clear and allow withdrawal as easily as consent was given. These requirements are consistent with the Planet49 judgment, Case C-673/17.

Optional purposes

Where actually used, choices may cover:

- Measuring content usage and performance.
- Measuring advertising effectiveness.
- Personalising content.
- Creating and using advertising profiles.
- Analysing audiences and combining data from different sources.
- Activating external content or provider features.

Listing these purposes does not constitute general permission to process data. Industry systems or standards, including those of the IAB, do not replace legal requirements.

Before users make their choices, information must be available about the providers actually involved, purposes, information collected, technology lifetimes and any international transfers.

Settings and withdrawal of consent

Consent may be withdrawn through the preference management mechanism provided in the interface or by contacting [email protected]. Withdrawal does not affect the lawfulness of earlier processing.

Browsers also allow cookies to be blocked or deleted. However, deleting a cookie does not necessarily communicate withdrawal of consent to every party involved.

Information used to remember privacy choices or requested preferences must be limited to the necessary purpose and duration. This policy does not establish a universal 12-month period for all cookies. Specific lifetimes must reflect the actual configuration and appear in the information presented to users.

Analytics without cookies

The description “without cookies” does not automatically exclude personal data processing or the application of rules concerning users’ devices.

Where tools such as Cloudflare Web Analytics are used, assessment must consider their actual operation, the data transmitted and the settings adopted. A provider’s description of a product does not, by itself, establish how it has been implemented by “PORTUGAL COLONIAL”.

G) Recipients and international transfers

Data may be disclosed, as necessary, to technical providers, suppliers involved in delivering services, professionals subject to confidentiality duties and competent authorities or courts.

Processors are subject to Article 28 GDPR. Where several entities jointly determine the purposes and means of processing, Article 26 applies, including making the essence of their allocation of responsibilities available to individuals.

Individuals may request information about the actual recipients of their data. Identifying recipients solely by category is not always sufficient, as clarified by the Court of Justice in Case C-154/21.

Ukraine, the United Arab Emirates and other third countries

SCANDIC TRUST GROUP LLC has its stated address in Ukraine, and SCANDIC ASSETS FZCO in the United Arab Emirates. As at the date of this version, neither country benefits from a European Commission adequacy decision under Article 45 GDPR.

Remote access by a separate entity in a third country may constitute an international transfer. Hosting servers within the European Economic Area therefore does not, by itself, exclude the application of Chapter V GDPR.

Where that chapter applies, a transfer requires a valid mechanism, such as an adequacy decision covering the transfer or appropriate safeguards under Article 46. Applicable standard contractual clauses, assessment of conditions in the recipient country and supplementary measures may be necessary. Article 49 derogations do not provide general authorisation for regular transfers.

Information about the mechanism actually used and how to obtain a copy of applicable safeguards must accompany the processing and may be requested through the contact details in this policy.

Transfers to the United States

The adequacy decision concerning the EU–US Data Privacy Framework may cover transfers to participating US organisations within its scope. It does not indiscriminately cover every recipient in the United States or transfers to other countries.

The Schrems II judgment invalidated the earlier Privacy Shield. The Data Privacy Framework rests on a separate, subsequent decision. The recipient’s participation and coverage must be verified for the particular transfer.

H) Retention and deletion of personal data

Data are retained for the period required by law or necessary for the identified purpose. Retention must be determined for each processing category using the following criteria:

- Correspondence: the time needed to handle and close the matter and, afterwards, only while a demonstrable retention need remains.
- Accounts and subscriptions: the duration of the user relationship and any further period strictly necessary for outstanding obligations, statutory documentation or protection of legal rights.
- Technical records: the period necessary for security, diagnosis and incident resolution, taking account of the data and risks involved.
- Newsletters and marketing: while a valid basis for sending remains, with use for that purpose ending following withdrawal of consent or an applicable objection.
- Consent and objection records: the period necessary to demonstrate compliance and respect individuals’ choices, keeping the retained information to a minimum.
- Accounting and tax documents: applicable statutory periods, as described in section D.
- Journalistic material and archives: the period justified by editorial purposes and informational interest, subject to balancing the rights involved.

Retention to protect legal rights must take account of the periods and circumstances actually relevant. The abstract possibility of litigation does not justify keeping all data indefinitely.

When no basis for retention remains, personal data are deleted or effectively anonymised. Backups must be managed to respect deletion and processing restrictions, including when systems are restored.

I) Individuals’ rights

Subject to the GDPR’s conditions and limits, individuals have the following rights:

- Access under Article 15: confirmation of processing, access to data, the required information and a copy of personal data.
- Rectification under Article 16: correction of inaccurate data and completion of incomplete data.
- Erasure under Article 17: deletion where the statutory requirements are met.
- Restriction of processing under Article 18: restriction of operations in the circumstances provided by law.
- Portability under Article 20: receipt of data provided in a structured, commonly used and machine-readable format where automated processing is based on consent or contract.
- Objection under Article 21: in the circumstances and on the conditions described below.
- Withdrawal of consent under Article 7(3): at any time, without affecting the lawfulness of earlier processing.
- Protection concerning solely automated decisions under Article 22 where they produce legal effects or similarly significantly affect the individual.

Where Article 19 requires it, rectification, erasure or restriction is communicated to recipients unless this is impossible or involves disproportionate effort.

Right to object

Individuals may object, on grounds relating to their particular situation, to processing based on Article 6(1)(e) or (f), including associated profiling. Processing must cease unless compelling legitimate grounds overriding their interests, rights and freedoms are demonstrated, or processing is necessary for establishing, exercising or defending legal claims.

An objection to direct marketing may be made at any time without giving reasons, including against related profiling. Following such an objection, data are no longer processed for those purposes.

Rights concerning journalistic content

Requests concerning news reports or archives are assessed under data protection rules and freedom of expression and information. Depending on the circumstances, consideration may be given to correction, updating, anonymisation, access restrictions or erasure.

Article 17(3)(a) GDPR provides an exception to erasure where processing is necessary to exercise freedom of expression and information. This requires an individual assessment and does not permit automatic rejection of every request concerning journalistic content.

Exercising rights and response periods

Requests may be sent to [email protected] or the controller’s postal address.

Responses are provided without undue delay and normally within one month of receipt. Where justified by the complexity or number of requests, that period may be extended by a further two months, with notice of the extension and its reasons provided during the first month.

Exercising rights is generally free of charge. Fees or refusals depend on statutory conditions. Where reasonable doubts about identity exist, only the additional information necessary to confirm identity may be requested. A complete copy of an identification document is not automatically required.

Complaints and supervisory authority

Individuals may lodge a complaint with a competent supervisory authority, particularly in the Member State of their habitual residence, workplace or the alleged infringement, under Article 77 GDPR.

Portugal’s national supervisory authority is:

Comissão Nacional de Proteção de Dados — CNPD
Av. D. Carlos I, 134, 1.º
1200-651 Lisbon / Portugal

Website: www.cnpd.pt
Information about contacting the authority and submitting complaints: CNPD public assistance.

J) Security of personal data

Protecting personal data requires technical and organisational measures appropriate to the risks under Article 32 GDPR, including access controls, communication safeguards, permission management and incident response procedures, as applicable.

Personal data breaches are documented. Where the conditions of Article 33 are met, breaches are reported to the competent authority without undue delay and, where feasible, within 72 hours of becoming aware of them.

Where a breach is likely to result in a high risk to individuals, they are informed without undue delay under Article 34, unless an applicable statutory exception applies.

K) Complaints, judicial remedies and compensation

This policy does not limit the right to complain to a supervisory authority, seek a judicial remedy or claim compensation for material or non-material damage where the conditions of Article 82 GDPR are met.

Exercising these rights does not depend on prior participation in consumer alternative dispute resolution or acceptance of an exclusive foreign jurisdiction clause.

L) Relevant legislation and case law

European Union

- Regulation (EU) 2016/679 of 27 April 2016 — GDPR: principles, legal bases, transparency, rights, security, international transfers and reconciliation with freedom of expression and information.
- Directive 2002/58/EC of 12 July 2002, as amended: privacy in electronic communications, storage of and access to information on devices and unsolicited commercial communications, implemented in Portugal through Law No 41/2004.
- Court of Justice judgment of 1 October 2019, C-673/17, Planet49: consent to cookies requiring it must involve affirmative action; information must cover cookie duration and third-party access.
- Court of Justice judgment of 16 July 2020, C-311/18, Schrems II: effective protection requirements for international transfers and invalidity of the former Privacy Shield.
- Court of Justice judgment of 12 January 2023, C-154/21, Österreichische Post: the right of access generally includes the identity of actual data recipients, subject to the exceptions recognised by the Court.
- Court of Justice judgment of 4 October 2024, C-446/21, Schrems: data minimisation prevents indiscriminate aggregation and use of data for targeted advertising without time limits or distinctions according to their nature.

Portugal

- Law No 58/2019 of 8 August: implementation of the GDPR in Portuguese law, including children’s consent and reconciliation of data protection with freedom of expression and information.
- Law No 41/2004 of 18 August, as amended: personal data protection and privacy in electronic communications, particularly Articles 5 and 13-A.
- Constitution of the Portuguese Republic, particularly Articles 26, 35, 37 and 38: personality rights, data protection, freedom of expression and freedom of the press.
- Portuguese Supreme Court judgment of 16 January 2025, Case No 946/20.0T8CSC.L1.S1: balancing reputation against freedom of expression requires consideration of the truthfulness of the information disclosed and whether a legitimate interest justifies it.

M) Additional information about specific services

Newsletters and advertising communications

Where a newsletter is offered, the information presented at subscription identifies its purpose, the data used and the relevant parties involved.

Electronic direct marketing to individuals generally requires prior express consent. The existing-customer exception in Article 13-A(3) of Law No 41/2004 depends on its statutory conditions, including the sender’s own similar products or services and a free, easy opportunity to refuse at collection and in every message.

Creating an account or placing an order does not automatically constitute advertising consent. Consent to receive messages does not automatically cover individual tracking of opens and clicks. Further communications may be refused through the mechanism in each message or by contacting us.

Embedded content, social networks and external links

Video and audio players, external images and social features may transmit data to their provider when loaded, even without further interaction or an account on the platform.

A simple link and an embedded element do not necessarily have the same effects. Being logged into an external platform does not provide general authorisation to transmit data from “PORTUGAL COLONIAL”.

Features requiring consent may be activated only after it has been obtained. Linking to a third party’s policy does not replace our own transparency and lawfulness obligations.

Where relevant, information from providers is available at:

- Google and YouTube: Google Privacy Policy.
- Facebook: Meta Privacy Policy.
- Instagram: Instagram privacy information.
- X: X Privacy Policy.
- Telegram: Telegram Privacy Policy.
- Apple: Apple Privacy Policy.
- Cloudflare: Cloudflare Privacy Policy.

Listing these resources does not mean that all these services are active.

YouTube and external previews

Embedding a video may involve both a player and preview images retrieved from external servers. Loading those images may transmit an IP address before the video is played.

Legal basis, information and any consent requirements must also be assessed for previews. A provider’s privacy mode does not, by itself, guarantee that no processing occurs or that consent is unnecessary.

Voice assistants and distribution platforms

Where content is accessed through voice assistants, third-party applications or connected devices, their providers may process requests, identifiers and usage information according to the service’s operation and settings.

Such access does not mean that “PORTUGAL COLONIAL” automatically receives complete voice recordings or all data processed by the provider. Data we actually receive are subject to the purposes and rules in this policy and the service-specific information.

Profiling and automated decisions

Personalisation may involve automated evaluation of preferences or interests and constitute profiling. The legal basis and opportunities to object or withdraw consent depend on the particular processing.

Not all personalisation constitutes a decision covered by Article 22 GDPR. Where solely automated decisions with legal or similarly significant effects are used, the statutory conditions must be met, information about the logic involved and expected consequences must be provided, and applicable safeguards must be ensured, including human intervention where required by law.

Children and young people

In Portugal, Article 16 of Law No 58/2019 sets the age at which a child may give the consent covered by Article 8 GDPR for information society services offered directly to them at 13. Below that age, consent must be given by the child’s legal representatives under the applicable rules.

This does not establish a general minimum age for reading news or replace the rules on capacity to enter into contracts.

Changes to this policy

This policy may be updated to reflect changes to services, processing or legal requirements. Material changes are communicated appropriately.

Before data are used for a new purpose, the required information is provided and fresh consent obtained where necessary. Silence or continued website use does not constitute that consent. Previously given consent may be withdrawn at any time.

For questions about privacy and data protection, contact [email protected].