Política de privacidade

Quem é responsável pelos teus dados

A 10ML, a operadora de 10ml.com, é a responsável pelo tratamento dos teus dados pessoais. Para qualquer assunto desta política, ou para exerceres algum dos teus direitos, escreve para contact@10ml.com. O teu email chega diretamente às pessoas que tratam dos dados dos clientes.

O que recolhemos e porquê

• Quando fazes uma encomenda: o teu nome, endereço de email, morada de entrega, número de telefone (transmitido à transportadora apenas para a entrega), os artigos que compras e o que pagaste. Usamos estes dados para receber o pagamento, preparar e entregar a tua encomenda, enviar os emails da encomenda, tratar das devoluções e manter os registos contabilísticos que a lei exige. Os fundamentos jurídicos são a execução do contrato contigo (art. 6.º, n.º 1, alínea b), do RGPD) e as nossas obrigações legais em matéria fiscal e contabilística (art. 6.º, n.º 1, alínea c)). Não conseguimos entregar uma encomenda sem estes dados.
• Quando pagas: a Stripe trata do pagamento. Recebemos o resultado e dados limitados do cartão, como a marca e os últimos quatro dígitos, nunca o número completo. A Stripe também analisa cada pagamento para detetar fraude, com informação como o teu endereço IP e o teu dispositivo. Fundamentos jurídicos: o nosso contrato contigo e o interesse legítimo que nós e a Stripe partilhamos em prevenir a fraude (art. 6.º, n.º 1, alínea f)).
• Quando crias uma conta: o teu nome, endereço de email, uma palavra-passe (guardada apenas de forma codificada, em hash), moradas guardadas e o teu histórico de encomendas. Se iniciares sessão com a Google ou o Facebook, recebemos deles o teu nome, endereço de email e ID de conta. Nunca vemos a tua palavra-passe desses serviços e nunca publicamos nada em teu nome. Fundamento jurídico: o nosso contrato contigo.
• Quando nos escreves: o teu endereço de email e tudo o que a tua mensagem contiver, para podermos responder. Fundamento jurídico: o nosso interesse legítimo em responder-te ou, se a mensagem disser respeito a uma encomenda, o nosso contrato.
• Quando subscreves a nossa newsletter: o teu endereço de email, usado para te enviar novidades e notícias da 10ML. Usamos também o endereço que nos dás, no formulário da newsletter ou na nossa janela de registo, para te lembrar dos artigos deixados no carrinho, e podes cancelar a subscrição de qualquer um destes emails. Fundamento jurídico: o teu consentimento (art. 6.º, n.º 1, alínea a)). Todas as newsletters têm uma ligação para cancelar a subscrição, e podes retirar o teu consentimento a qualquer momento.
• Quando navegas: os nossos servidores tratam o teu endereço IP, o tipo de navegador e as páginas que pedes, o que é necessário para fornecer um site e mantê-lo seguro. Usamos também o teu endereço IP para saber em que país estás, para a página do produto mostrar a informação de entrega correspondente. O teu navegador guarda esse código de país durante 24 horas; não guardamos o endereço IP para este fim. Fundamento jurídico: o nosso interesse legítimo em manter uma loja segura e a funcionar (art. 6.º, n.º 1, alínea f)).
• De onde veio a tua visita: na primeira vez que chegas, registamos a página onde aterraste, o site que te enviou, as etiquetas de campanha na ligação (como utm_source) e, se vieste de um assistente de IA como o ChatGPT, o Perplexity, o Gemini, o Copilot ou o Claude, qual deles. Se chegares através de um anúncio da Google, da Meta ou do TikTok, guardamos também o código de clique do anúncio presente na ligação. O teu navegador guarda esta informação nos nossos próprios cookies, e ela é associada à tua encomenda quando compras, para sabermos que canais trazem clientes. Fundamento jurídico: o nosso interesse legítimo em saber quais as nossas ações de marketing que funcionam (art. 6.º, n.º 1, alínea f)).
• Análise com a PostHog: a PostHog regista as páginas que vês e os principais passos da compra: ver um produto, adicioná-lo ao carrinho, abrir o carrinho, iniciar a finalização da compra e fazer uma encomenda (com o seu valor e tamanhos, nunca o teu nome, email ou morada). Regista também onde as pessoas clicam numa página e até onde fazem scroll, o que vemos sob a forma de mapas de calor. Não define cookies. Para distinguir as visitas de um dia das de outro, a PostHog gera um código unidirecional a partir do teu endereço IP, dos dados do navegador e do nosso endereço web, com uma chave que muda todos os dias, e depois elimina o endereço IP e os dados do navegador. Quando fazes uma encomenda, o nosso servidor envia-a à PostHog com o endereço IP e os dados do navegador da tua finalização da compra, para que fique associada ao mesmo código. A PostHog não grava o teu ecrã nem as tuas sessões.
• Análise com o Google Analytics: o Google Analytics 4 mede as visitas, a sua origem, os produtos vistos e adicionados ao carrinho e as compras. Para isso, usa cookies no teu navegador. Quando fazes uma encomenda, o nosso servidor comunica também a compra ao Google Analytics (através do Measurement Protocol) com o número da encomenda, o valor, os produtos e os códigos de visitante e de visita presentes nesses cookies, para que a compra seja contabilizada mesmo que o teu navegador tenha bloqueado a etiqueta. Nenhum nome, email ou morada é enviado ao Google Analytics.
• Publicidade com o Google Ads: a etiqueta do Google Ads regista visitas, artigos adicionados ao carrinho, finalizações de compra iniciadas e compras, para vermos que anúncios levam a vendas e mostrarmos os nossos anúncios a quem visitou a loja. Na página de confirmação da encomenda recebe também o teu email, número de telefone e nome em formato unidirecional (hash) (conversões otimizadas), o que permite à Google associar a compra a um clique num anúncio sem os receber em formato legível.
• Publicidade com a Meta (Facebook e Instagram): o Meta Pixel regista visualizações de páginas e de produtos, artigos adicionados ao carrinho, finalizações de compra iniciadas e compras. O nosso servidor envia os mesmos eventos à Meta através da sua Conversions API, com o teu endereço IP, os dados do navegador e os códigos dos cookies da Meta presentes no teu navegador, para que um evento seja contabilizado mesmo que o pixel esteja bloqueado. Nas compras, o pixel e o servidor enviam também o teu email, número de telefone, nome, cidade, código postal, país e número de cliente em formato unidirecional (hash), além do valor da encomenda e dos produtos. A Meta usa esta informação para medir os nossos anúncios e para os mostrar a pessoas com probabilidade de se interessarem.
• Fundamento jurídico da análise e da publicidade: o nosso interesse legítimo em perceber como a loja é utilizada, melhorá-la e medir e gerir a nossa publicidade (art. 6.º, n.º 1, alínea f)). Podes opor-te a qualquer momento e podes desativar a maior parte destas ferramentas por ti (vê «Como desativar o rastreio» mais abaixo).
• Monitorização de erros: quando algo no site falha, a Sentry recebe um relatório técnico: o erro, o endereço da página e o tipo de navegador e de dispositivo. Está configurada para não recolher o teu nome nem o teu email, e a gravação de sessões está desativada. Fundamento jurídico: o nosso interesse legítimo em manter uma loja a funcionar (art. 6.º, n.º 1, alínea f)).

Com quem partilhamos os dados

Não vendemos nem alugamos dados pessoais. Estes prestadores de serviços tratam dados por nossa conta, ao abrigo de acordos de tratamento de dados e apenas segundo as nossas instruções:

• A Vercel aloja o site.
• A Render aloja o sistema que gere as nossas encomendas e contas, em servidores na UE.
• A Supabase gere a nossa base de dados, em servidores na UE.
• A Stripe processa os pagamentos. Para prevenir a fraude e cumprir as suas obrigações em matéria de regulação financeira, a Stripe atua como responsável pelo tratamento autónomo, ao abrigo da sua própria política de privacidade.
• A Resend envia os nossos emails de encomendas e de conta.
• O Google Workspace aloja a nossa caixa de correio, onde chegam os teus emails.
• A PostHog fornece a análise sem cookies descrita acima, a partir de servidores na UE.
• A Google fornece o Google Analytics e o Google Ads, como descrito acima.
• A Meta fornece o Meta Pixel e a Conversions API, como descrito acima.
• A Sentry fornece a monitorização de erros, a partir de servidores na UE.
• A Cloudflare armazena e entrega as imagens do nosso site.

Partilhamos também dados com:

• a Google e a Meta, que usam também os dados de medição que recebem para os seus próprios fins, como gerir e melhorar os seus sistemas de publicidade. Para esses fins atuam como responsáveis pelo tratamento autónomos, ao abrigo das suas próprias políticas de privacidade;
• os nossos parceiros de armazém e de entrega, que recebem o teu nome, morada de entrega, número de telefone e o conteúdo da tua encomenda para a poderem preparar e entregar;
• a Google ou o Facebook, apenas se escolheres iniciar sessão com eles; atuam como responsáveis pelo tratamento autónomos, ao abrigo das suas próprias políticas de privacidade;
• autoridades, tribunais e consultores profissionais, quando a lei o exija ou quando seja necessário para fazer valer ou defender direitos em processos judiciais.

Transferências para fora da UE

A nossa base de dados, o sistema de encomendas, a análise da PostHog e a monitorização de erros estão alojados na UE. Alguns dos prestadores acima, incluindo a Vercel, a Stripe, a Resend, a Google, a Meta e a Cloudflare, estão sediados nos Estados Unidos ou podem tratar dados aí. Essas transferências assentam no Quadro de Privacidade de Dados UE-EUA, para os prestadores certificados, ou nas Cláusulas Contratuais-Tipo da Comissão Europeia.

Durante quanto tempo conservamos os dados

• Encomendas e faturas: pelo tempo que a lei fiscal e contabilística exigir, que pode chegar a dez anos.
• A tua conta: até a encerrares. Depois eliminamos os dados da tua conta, exceto os registos de encomendas que somos obrigados a conservar.
• Emails connosco: pelo tempo necessário para tratarmos do teu pedido e nunca mais de três anos depois de este estar resolvido.
• Newsletter: até cancelares a subscrição.
• O teu carrinho: o teu navegador mantém-se associado a ele durante 30 dias após a tua última alteração.
• De onde veio a tua visita: o registo da tua primeira visita dura até 365 dias, os códigos de clique de anúncios 90 dias e a origem num assistente de IA conta durante 30 dias. Quando fazes uma encomenda, esta guarda esses dados durante o tempo em que o registo da encomenda for conservado.
• Análise: o Google Analytics conserva os dados de visitas e de eventos durante um máximo de 14 meses. A PostHog conserva os eventos de análise entre um e sete anos, consoante o nosso plano da PostHog, e nunca com o teu endereço IP.
• Publicidade: o que o Google Ads e a Meta recebem é conservado segundo as regras de retenção de cada um; não guardamos nenhum registo separado além do registo da encomenda.
• Registos de servidor e relatórios de erros: por um período curto, findo o qual são eliminados automaticamente; os relatórios de erros são conservados durante um máximo de 90 dias.

Os teus direitos

Ao abrigo do RGPD, tens o direito de:

• obter um exemplar dos dados pessoais que temos sobre ti (acesso);
• pedir a retificação de dados inexatos;
• pedir o apagamento dos teus dados, quando não tenhamos fundamento legal para os conservar;
• limitar a forma como usamos os teus dados enquanto uma questão sobre eles é resolvida;
• receber os dados que nos forneceste num formato portável e de leitura automática;
• opor-te a qualquer utilização dos teus dados baseada nos nossos interesses legítimos, incluindo a medição de análise e de publicidade;
• retirar o teu consentimento a qualquer momento, quando dependemos dele, sem afetar o que fizemos antes.

Escreve para contact@10ml.com e respondemos no prazo de um mês. Podemos pedir-te que confirmes primeiro a tua identidade. Tens também o direito de apresentar reclamação a uma autoridade de controlo da proteção de dados, em particular no país da UE onde vives ou trabalhas.

Como eliminar os teus dados

Para eliminarmos a tua conta e os dados pessoais associados, escreve para contact@10ml.com a partir do endereço de email da tua conta e pede-nos que eliminemos os teus dados. Eliminamo-los no prazo de um mês, exceto os registos de encomendas que a lei fiscal e contabilística nos obriga a conservar.

Se iniciaste sessão com o Facebook, podes também remover a 10ML da tua conta do Facebook: nas definições do Facebook, abre «Aplicações e sites», escolhe a 10ML e seleciona Remover. O Facebook deixa então de partilhar os teus dados connosco. Para eliminar o que já temos, escreve-nos como indicado acima.

Como desativar o rastreio

• No teu navegador: bloqueia ou elimina os cookies nas definições do navegador, ou usa uma janela privada, e os cookies da Google e da Meta desaparecem com eles. Um bloqueador de conteúdos impede por completo o carregamento das etiquetas do Google Analytics, do Google Ads e da Meta. Bloquear cookies não impede a loja de funcionar, mas o teu carrinho não será lembrado entre visitas.
• Google Analytics: o suplemento de navegador para desativação da Google impede-o em todos os sites.
• Anúncios da Google: desativa os anúncios personalizados no Centro de Anúncios.
• Anúncios da Meta: nas definições do Facebook ou do Instagram, em Centro de Contas, abre «A tua atividade fora das tecnologias da Meta» para desligar ou limpar o que as lojas enviam à Meta.
• Qualquer outro caso: escreve para contact@10ml.com para te opores à análise ou à medição de publicidade, ou para pedires que eliminemos os dados de análise associados às tuas encomendas. Respondemos no prazo de um mês.

Decisões automatizadas

Não tomamos decisões sobre ti baseadas exclusivamente em tratamento automatizado que produzam efeitos jurídicos ou que te afetem de forma significativa. A análise de fraude da Stripe pode recusar automaticamente um pagamento que considere de risco elevado. Se isso te acontecer, escreve-nos e uma pessoa analisará a situação.

Cookies

Usamos cookies e armazenamento do navegador para três fins: fazer a loja funcionar (o teu carrinho, o início de sessão, a finalização da compra), lembrar de onde veio a tua visita e para as etiquetas do Google Analytics, do Google Ads e da Meta descritas acima. A PostHog não define nenhum.

Crianças

A nossa loja não se destina a crianças com menos de 16 anos e não recolhemos conscientemente os seus dados pessoais.

Segurança

Todas as ligações ao nosso site são cifradas. Os dados de pagamento ficam com a Stripe e o acesso aos dados dos clientes está limitado às pessoas que precisam deles para o seu trabalho.

Alterações a esta política

Quando a nossa utilização de dados pessoais mudar, atualizamos esta política e a data no topo. Em caso de alterações significativas, informamos também os clientes por email.