Política de privacidade

Última atualização: 04 de setembro de 2026

Esta política descreve o tratamento de dados pessoais feito através do sítio carstat.pt e da aplicação Carstat. Está escrita a partir do que o sistema faz, e não de um modelo: cada campo, cookie e destinatário indicado abaixo corresponde ao que está efectivamente implementado.

1. Responsável pelo tratamento

Peer Grewolls & Joao Pedro Madeira Amorim eGbR, Voigtstraße 9, 09116 Chemnitz, Alemanha. Contacto: joao.amorim@7thsolutions.com. Os restantes elementos de identificação constam da informação legal.

Não designámos encarregado de protecção de dados, por não se verificarem os pressupostos do artigo 37.º do RGPD. As questões de protecção de dados são tratadas pelo contacto acima.

2. Que dados tratamos

Conta de utilizador

Quando lhe é criada uma conta, tratamos: endereço de correio eletrónico, nome (facultativo), o papel atribuído na conta, o stand a que está associado, a data do último início de sessão e as datas de criação e alteração do registo. A palavra-passe nunca é guardada: é guardada apenas a sua derivação criptográfica, que não permite reconstituí-la.

Finalidade: prestar o serviço contratado e autenticar quem acede. Fundamento: execução do contrato, artigo 6.º, n.º 1, alínea b), do RGPD.

Sessão

O início de sessão coloca um cookie técnico, carstat_session, com a duração de 12 horas. É HttpOnly, pelo que nunca é legível por JavaScript, é enviado apenas por ligação segura e está limitado ao domínio carstat.pt. Serve exclusivamente para o manter autenticado.

Fundamento: execução do contrato, artigo 6.º, n.º 1, alínea b). Por ser estritamente necessário à prestação do serviço que solicitou, não depende de consentimento. Detalhe na política de cookies.

Medição de audiência

Utilizamos o Vercel Web Analytics e o Vercel Speed Insights para saber que páginas são vistas e com que rapidez carregam. Segundo a documentação do fornecedor, estes componentes não utilizam cookies e não permitem seguir a mesma pessoa entre sítios diferentes: o visitante é identificado por uma derivação do pedido recebido, descartada ao fim de 24 horas. Por cada registo podem ser recolhidos a data e hora, o endereço da página, a página de origem, parâmetros de consulta filtrados, a localização aproximada (país, região, cidade), o sistema operativo, o navegador e o tipo de dispositivo.

Finalidade: perceber a utilização do sítio em termos agregados e detectar problemas de desempenho. Fundamento: interesse legítimo, artigo 6.º, n.º 1, alínea f), do RGPD, no funcionamento e melhoria do próprio sítio. Pode opor-se a este tratamento pelo contacto indicado no ponto 6.

Facturação

A subscrição é paga por cartão através da Stripe. Os dados do cartão são recolhidos e tratados directamente pela Stripe, que actua como responsável pelo tratamento no âmbito dos serviços de pagamento que presta: não recebemos nem conservamos o número do cartão. Do nosso lado, tratamos os elementos necessários à emissão da factura e ao controlo do pagamento — identificação do cliente, plano subscrito, montante, estado do pagamento e histórico de facturas.

Fundamento: execução do contrato, artigo 6.º, n.º 1, alínea b), e cumprimento das obrigações legais de facturação e conservação, alínea c), do RGPD.

Correspondência

Se nos escrever, tratamos o endereço de correio eletrónico e o conteúdo da mensagem, para lhe responder e para conservar o histórico do assunto. Fundamento: interesse legítimo, artigo 6.º, n.º 1, alínea f), ou diligências pré-contratuais, alínea b), consoante o caso.

Dados de mercado

O serviço analisa anúncios de veículos publicados em portais acessíveis ao público. Esses anúncios respeitam a veículos e a preços, e são tratados enquanto informação de mercado. Não construímos perfis de vendedores particulares nem cruzamos essa informação com as contas dos nossos clientes.

3. Quem tem acesso

Não vendemos nem cedemos dados pessoais a terceiros. Recorremos aos seguintes subcontratantes, que tratam dados por nossa conta e sob instrução:

• Vercel — alojamento do sítio e das páginas públicas, e os componentes de medição de audiência e desempenho referidos acima.
• Railway — alojamento da interface de programação e da base de dados onde residem as contas de utilizador.
• Stripe — processamento dos pagamentos. A entidade contratante para o Espaço Económico Europeu é a Stripe Technology Europe, Limited, com sede na Irlanda.

Os dados são alojados e tratados nos Países Baixos, ou seja, dentro do Espaço Económico Europeu.

Os dados do seu stand, as suas margens e os seus preços não são partilhados com outro cliente nosso, em nenhuma circunstância.

4. Transferências para fora do EEE

Os dados residem nos Países Baixos, dentro do Espaço Económico Europeu, pelo que o alojamento não constitui transferência para país terceiro.

A Stripe Technology Europe, Limited está estabelecida na Irlanda, também dentro do Espaço Económico Europeu.

A Vercel Inc., a Railway Corp. e a Stripe, Inc. são, ainda assim, sociedades constituídas nos Estados Unidos, e não se pode excluir o acesso aos sistemas a partir de fora do Espaço Económico Europeu para efeitos de administração e suporte. Na medida em que tal acesso ocorra, as três sociedades estão certificadas ao abrigo do EU-US Data Privacy Framework, objecto de decisão de adequação da Comissão Europeia, e os respectivos acordos de subcontratação incorporam as cláusulas contratuais-tipo aprovadas pela Comissão.

5. Durante quanto tempo

• Cookie de sessão: 12 horas, ou até terminar sessão.
• Conta de utilizador: enquanto a conta existir, e depois pelo período necessário ao cumprimento de obrigações legais de conservação.
• Registos de medição de audiência: em forma agregada, sem identificação individual.
• Correspondência: pelo período necessário ao assunto a que respeita.

6. Os seus direitos

Assistem-lhe os direitos de acesso, rectificação, apagamento, limitação do tratamento, portabilidade e oposição, nos termos dos artigos 15.º a 22.º do RGPD. Para os exercer, escreva para joao.amorim@7thsolutions.com. Respondemos no prazo legal de um mês.

Tem também o direito de apresentar reclamação a uma autoridade de controlo. Em Portugal, a Comissão Nacional de Protecção de Dados. Estando o responsável estabelecido na Alemanha, é igualmente competente a autoridade de controlo alemã do respectivo estado federado.

7. Alterações

Se esta política mudar, a data de última actualização no topo muda com ela. Alterações com impacto material no tratamento dos seus dados são comunicadas aos titulares de conta.