Conformidade LGPD

1. Compromisso com a LGPD

A Duarte Saman Unip Lda está a trabalhar para a conformidade com a Lei Geral de Proteção de Dados Pessoais (LGPD) — Lei n.º 13.709, de 14 de agosto de 2018, e com as resoluções e orientações da Autoridade Nacional de Proteção de Dados (ANPD).

Como fornecedor de serviços de telemática e rastreamento veicular para clientes no Brasil, a CoreTrack trata dados pessoais de motoristas brasileiros, incluindo dados de geolocalização, dados de condução e imagens de vídeo. Esta página descreve as medidas implementadas para garantir a conformidade com a LGPD.

2. Âmbito de Aplicação da LGPD

A LGPD (Art.º 3.º) aplica-se ao tratamento de dados pessoais realizado no território brasileiro, ou quando:

• O tratamento tem por finalidade a oferta ou prestação de bens/serviços a indivíduos localizados no Brasil
• Os dados pessoais tratados foram recolhidos no Brasil

A CoreTrack, embora sediada em Portugal, submete-se à LGPD quando presta serviços a clientes brasileiros que envolvem o tratamento de dados de motoristas residentes no Brasil.

3. Definições sob a LGPD

• Titular: Pessoa natural a quem se referem os dados pessoais objeto de tratamento (Art.º 5.º, I)
• Controlador: Pessoa natural ou jurídica que toma decisões sobre o tratamento (Art.º 5.º, VI) — o Cliente
• Operador: Pessoa natural ou jurídica que trata dados em nome do controlador (Art.º 5.º, VII) — a CoreTrack
• Encarregado: Pessoa indicada pelo controlador/operador para atuar como canal de comunicação (Art.º 5.º, VIII)
• Dados pessoais: Informação relacionada a pessoa natural identificada ou identificável (Art.º 5.º, I)
• Dados pessoais sensíveis: Dados sobre origem racial, convicção religiosa, opinião política, filiação a sindicato, saúde, vida sexual, dado genético/biométrico (Art.º 5.º, II)
• Dado anonimizado: Dado relativo a titular que não possa ser identificado (Art.º 5.º, III)

4. Bases Legais para o Tratamento (Art.º 7.º e 11.º)

A LGPD prevê 10 bases legais para o tratamento de dados pessoais (Art.º 7.º) e 4 bases para dados sensíveis (Art.º 11.º). A CoreTrack utiliza as seguintes:

4.1. Execução de Contrato (Art.º 7.º, V)

Tratamento necessário para execução de contrato ou procedimentos preliminares. Aplica-se a:

• Prestação dos serviços de monitorização contratados
• Cálculo de quilometragem para reembolso
• Gestão de rotas e atribuição de veículos

4.2. Obrigação Legal (Art.º 7.º, II)

Tratamento necessário para cumprimento de obrigação legal ou regulatória. Aplica-se a:

• Retenção de documentos fiscais (5 anos — prazo prescricional federal)
• Cumprimento de obrigações trabalhistas (CLT — eSocial)
• Resposta a ordens judiciais e requisições de autoridades

4.3. Interesse Legítimo (Art.º 7.º, IX)

Tratamento necessário para satisfazer interesses legítimos do controlador ou de terceiro, salvo se prevalecerem direitos e liberdades fundamentais do titular. Aplica-se a:

• Segurança patrimonial e prevenção de fraudes
• Segurança rodoviária e prevenção de acidentes
• Proteção da integridade física de motoristas e terceiros
• Manutenção da segurança da plataforma

Requisito: O uso de interesse legítimo exige a realização de um Relatório de Impacto à Proteção de Dados Pessoais (RIPD) (Art.º 38.º), especialmente quando:

• O tratamento abrange mais de 100 motoristas
• Envolve monitorização sistemática
• Alimenta decisões automatizadas (scoring de condução)

A CoreTrack mantém RIPDs atualizados para todas as operações baseadas em interesse legítimo, revisados anualmente.

4.4. Consentimento (Art.º 7.º, I e Art.º 11.º, I, c)

Tratamento mediante consentimento livre, informado, inequívoco e específico. Aplica-se a:

• Tratamento de dados biométricos (reconhecimento facial) — dado sensível (Art.º 11.º)
• Gravação de áudio no habitáculo
• Marketing e comunicações comerciais
• Cookies não essenciais

Atenção: A ANPD desaconselha o uso de consentimento como base principal em relações hierárquicas (empregado-empregador), pois o consentimento não é "livre" nesta contexto. A CoreTrack recomenda o uso deexecução de contrato + interesse legítimo como bases principais, com consentimento apenas para dados sensíveis opcionais.

4.5. Proteção do Crédito (Art.º 7.º, X)

Aplica-se a verificações de crédito e dados de faturação, conforme Lei n.º 12.414/2011 (Cadastro Positivo).

5. Princípios da LGPD (Art.º 6.º)

A CoreTrack observa rigorosamente os 10 princípios estabelecidos no Art.º 6.º da LGPD:

6. Direitos dos Titulares (Art.º 18.º)

A LGPD garante aos titulares os seguintes direitos, que a CoreTrack facilita:

Prazo legal: A LGPD exige resposta em 15 dias (Art.º 19.º), mais rápido que o RGPD (1 mês). A CoreTrack compromete-se a responder no prazo legal.

7. RIPD — Relatório de Impacto à Proteção de Dados Pessoais (Art.º 38.º)

A CoreTrack mantém RIPDs para as seguintes operações de tratamento, conforme exigido pela ANPD:

• Rastreamento GPS de motoristas: Monitorização sistemática de localização em larga escala
• Videotelemetria: Gravação de imagens do habitáculo com potenciais dados biométricos
• Scoring de condução automatizado: Perfilização que alimenta decisões de gestão
• Reconhecimento facial: Tratamento de dados sensíveis (biométricos)
• Deteção de fadiga por IA: Análise comportamental automatizada

Cada RIPD inclui:

• Descrição do tratamento e finalidades
• Avaliação de necessidade e proporcionalidade
• Análise de riscos aos direitos dos titulares
• Medidas de mitigação e salvaguardas
• Revisão anual ou quando ocorrem alterações significativas

Recomendação ANPD: Empresas com mais de 50 motoristas monitorizados devem manter RIPD atualizado. A CoreTrack fornece modelo de RIPD aos clientes e assistência na sua elaboração.

8. Dados de Geolocalização sob a LGPD

A ANPD classifica dados de geolocalização vinculados a indivíduos como dados pessoais. Quando combinados com horários e padrões, podem revelar informações sobre saúde, religião ou orientação sexual, escalando para dados sensíveis (Art.º 11.º).

8.1. Padrão Seguro para Rastreamento

A CoreTrack implementa o "padrão seguro" recomendado pela ANPD:

• Finalidade: Apenas mileage/gestão de frota — não vigilância de vida pessoal
• Necessidade: Recolha apenas durante horário de trabalho
• Adequação: Precisão suficiente para cálculo de rota, não polling de 5 segundos
• Transparência: Motorista sabe o quê, quando, por quanto tempo
• Segurança: TLS 1.2+ em trânsito, AES-256 em repouso, RBAC

8.2. Modo Pessoal

• GPS pausado fora do horário de trabalho (configurável)
• Motorista pode pausar GPS em: almoço, recados pessoais, períodos de sobreaviso
• Recolha fora de horário — mesmo acidental — é considerada uso indevido sob LGPD
• App do motorista mostra claramente quando GPS está ativo

8.3. Retenção de Dados de Localização

• Dados de viagens reembolsadas: 5 anos (prazo prescricional fiscal federal)
• Dados de viagens rejeitadas/pessoais: Eliminação em 30 dias
• Após 5 anos: Anonimização ou eliminação

9. Videotelemetria e LGPD

A videotelemetria (câmaras no veículo) é compatível com a LGPD quando implementada corretamente:

• Finalidade clara: Segurança rodoviária, investigação de acidentes, prevenção de fraude
• Base legal: Interesse legítimo (segurança) + obrigação legal (NR-11, NR-16 quando aplicável)
• Transparência: Motoristas informados por escrito sobre: o quê é filmado, finalidade, acesso, retenção
• Minimização: Foco em imagens externas e internas sem áudio (áudio apenas com consentimento)
• Política de privacidade: Documento claro e objetivo sobre dados de vídeo
• Acesso restrito: Controle sobre quem pode visualizar gravações, com log de acesso
• Retenção: 90 dias para gravações de estrada, 30 dias para habitáculo (salvo eventos)

10. Decisões Automatizadas e Perfilização (Art.º 20.º)

A LGPD estabelece que decisões baseadas exclusivamente em tratamento automatizado que afetem interesses do titular devem oferecer:

• Revisão humana: Direito a solicitação de revisão por pessoa natural
• Contestação: Direito de contestar a decisão automatizada

A CoreTrack garante que:

• O scoring de condução é uma ferramenta de apoio, não uma decisão automatizada autónoma
• Qualquer ação disciplinar baseada em scoring requer validação humana
• O motorista pode solicitar revisão humana da sua pontuação
• A lógica do scoring é explicável e documentada
• Não há decisões exclusivamente automatizadas com efeitos jurídicos significativos

11. Notificação de Incidentes de Segurança (Art.º 48.º e Resolução CD/ANPD 15/2024)

A CoreTrack segue o protocolo de notificação de incidentes estabelecido pela ANPD:

• Notificação ao Cliente (controlador): Em até 48h após confirmação do incidente
• Notificação à ANPD: Em até 3 dias úteis após a tomada de conhecimento, quando o incidente possa causar dano relevante aos titulares (Resolução CD/ANPD 15/2024)
• Comunicação aos titulares: Sem demora injustificada, quando houver risco ou dano relevante

11.1. Conteúdo da Notificação à ANPD

• Descrição da natureza dos dados pessoais afetados
• Descrição das consequências e medidas adotadas
• Descrição das medidas que serão adotadas para mitigar o incidente
• Riscos e medidas adotadas para mitigação
• Data do incidente e prazo para comunicação

12. Transferência Internacional de Dados (Art.º 33.º)

A CoreTrack, sendo sediada em Portugal, realiza transferência internacional de dados dos titulares brasileiros. As bases legais utilizadas são:

• Art.º 33.º, II: Países que proporcionam grau adequado de proteção — a ANPD reconheceu a União Europeia como proporcionando grau adequado de proteção (Resolução CD/ANPD nº 32/2026), pelo que as transferências Brasil → Portugal/UE são dispensadas de mecanismos adicionais
• Art.º 33.º, VI: Cláusulas contratuais padrão (SCC) — nos termos da Resolução CD/ANPD nº 19/2024, aplicadas como medida suplementar para transferências para países não adequados
• Art.º 33.º, VII: Consentimento específico e destacado para transferência (quando aplicável)

Medidas técnicas suplementares aplicadas:

• Encriptação ponta-a-ponta dos dados em trânsito
• Pseudonimização de dados de localização
• Isolamento lógico dos dados de clientes brasileiros

13. Encarregado (DPO) sob a LGPD

A LGPD (Art.º 41.º), regulamentada pela Resolução CD/ANPD nº 18/2024, exige a nomeação de um Encarregado. A CoreTrack nomeou:

• Encarregado de Proteção de Dados: Disponível via dpo@coretrack.pt
• A identidade e contactos do Encarregado são publicados no website e na plataforma
• O Encarregado atua como canal de comunicação entre o titular, a ANPD e a CoreTrack
• As atividades do Encarregado incluem: aceitar reclamações, comunicar com a ANPD, orientar funcionários e contratados

14. Boas Práticas e Governança (Art.º 50.º)

A CoreTrack adota as seguintes boas práticas de governança em proteção de dados:

• Privacy by Design: Privacidade considerada desde a fase de concepção de produtos e serviços
• Programa de conformidade LGPD: Estruturado e documentado, com revisão anual
• Formação contínua: Colaboradores treinados anualmente em LGPD e proteção de dados
• Política interna de segurança: Documentada e auditável
• Registo de operações: Manutenção de registo detalhado de todas as operações de tratamento
• Mecanismos de reclamação: Canal acessível para reclamações de titulares

15. Legislação Brasileira Complementar

Além da LGPD, a CoreTrack e os seus clientes brasileiros devem observar:

• CLT (Decreto-Lei 5.452/1943): Art.º 611-A — negociação coletiva pode tratar de monitorização eletrónica de desempenho
• NR-11 (Portaria MTE 3.214/1978): Segurança em operações de transporte de cargas
• Lei 12.414/2011 (Cadastro Positivo): Para dados de crédito
• Marco Civil da Internet (Lei 12.965/2014): Regras para dados online
• Resolução CD/ANPD nº 15/2024: Protocolo de notificação de incidentes de segurança
• Resolução CD/ANPD nº 18/2024: Regulamenta o Art.º 41.º da LGPD (Encarregado/DPO) — requisitos de designação, divulgação e atuação
• Resolução CD/ANPD nº 19/2024: Transferência internacional de dados e cláusulas-padrão contratuais (SCC)
• Resolução CD/ANPD nº 32/2026: Reconhecimento da União Europeia como país adequado para transferência de dados
• Lei nº 15.211/2025 (ECA Digital): Proteção de dados de crianças e adolescentes no ambiente digital — aplicável caso a plataforma seja utilizada por condutores jovens

16. Autoridade Nacional de Proteção de Dados (ANPD)

A autoridade de controlo competente no Brasil é a ANPD:

• Website: www.gov.br/anpd
• Email: anpd@anpd.gov.br
• Endereço: Esplanada dos Ministérios, Bloco H, 6º andar, Brasília — DF, CEP 70054-900

Os titulares têm o direito de apresentar reclamação junto à ANPD (Art.º 18.º, § 2.º) caso considerem que o tratamento dos seus dados viola a LGPD.

17. Sanções Aplicáveis (Art.º 52.º)

O incumprimento da LGPD pode resultar em sanções à CoreTrack ou ao Cliente (como controlador):

• Advertência: Com prazo para adoção de medidas corretivas
• Multa simples: Até 2% do faturamento da pessoa jurídica de grupo econômico no Brasil, limitada a R$ 50 milhões por infração
• Multa diária: Até R$ 50 milhões por dia, se a infração persistir
• Publicização da infração: Após regularização do devido processo legal
• Bloqueio dos dados: Eliminação dos dados pessoais relacionados à infração

A CoreTrack mantém seguro de responsabilidade civil que cobre potenciais sanções relacionadas com proteção de dados.

18. Compromisso Contínuo

A conformidade com a LGPD é um processo contínuo. A CoreTrack compromete-se a:

• Monitorizar atualizações da ANPD (resoluções, orientações, decisões)
• Atualizar RIPDs anualmente ou quando houver alterações significativas
• Adaptar-se às futuras regulamentações específicas para telemática veicular no Brasil
• Manter diálogo transparente com clientes brasileiros, titulares e ANPD
• Investir em formação contínua sobre LGPD e legislação brasileira correlata