Proteção de dados

Proteção de dados

AVISOS SOBRE O TRATAMENTO DE DADOS
Política de Privacidade – Sponti-Car GmbH

Política de Privacidade da Sponti-Car GmbH

Válido a partir de 04.10.2026 (substitui todas as versões anteriores)

1. Responsável

Sponti-Car GmbH
Talstrasse 24
8852 Altendorf
Suíça

E-mail: info@sponti-car.ch
Telefone: 055 264 10 00
Contato de proteção de dados: Mark Ritzmann

A Sponti-Car é a responsável na acepção da Lei Suíça de Proteção de Dados (DSG) e – na medida em que aplicável – do Regulamento Geral sobre a Proteção de Dados da UE (RGPD).

2. Âmbito de aplicação

Esta política de privacidade aplica-se a todos os clientes, interessados e utilizadores do site, da aplicação e dos veículos da Sponti-Car, bem como a todas as demais pessoas cujos dados sejam tratados no âmbito do serviço. A versão alemã é a determinante.

3. Quais dados pessoais tratamos

  • Dados cadastrais: Nome, data de nascimento, endereço, telefone, e-mail
  • Dados de identidade e de documento: Carta de condução (incl. local de origem, nacionalidade, data de emissão, validade); número SwissPass e respetivos resultados de verificação
  • Dados biométricos: Selfie e verificação do documento via Stripe Identity (não transmitidos à Grok)
  • Dados de pagamento: referências de cartão de crédito alojadas na Stripe; nenhum número de cartão completo na Sponti-Car
  • Dados de solvabilidade: pontuação de risco e informações da CRIF AG
  • Dados de utilização e do veículo: reservas, quilómetros, GPS/localização, sensores e estado do veículo, dados da app
  • Correspondência: e-mails, chat, notas telefónicas, mensagens criadas ou enviadas por IA
  • Dados técnicos: endereço IP, dados de dispositivos e de registo, cookies

4. Finalidades e bases legais

FinalidadeBase legal
Registo, contrato, reserva, faturação, suporteContrato (art. 31.º, n.º 2, al. a da LPD / art. 6.º, n.º 1, al. b do RGPD)
Verificação de identidade, carta de condução e SwissPassContrato e interesse legítimo na prevenção de abusos
Verificação de solvabilidade (CRIF) e decisão de admissãoContrato e interesse legítimo; na medida do necessário, consentimento ou art. 21.º da LPD / art. 22.º do RGPD
Verificação assistida por IA, decisão e comunicação por e-mail (Grok)Contrato e interesse legítimo numa tramitação eficiente e uniforme
Análise do website/app (Google Analytics)Consentimento
Contabilidade, autoridades, obrigações legaisLei

5. Uso de inteligência artificial (Grok / xAI)

Utilizamos o sistema de IA Grok da xAI LLC, EUA, através da API/uso empresarial comercial.

O Grok é utilizado em particular para:

  • a redação e envio diretos de e-mails aos clientes (confirmações, avisos, perguntas, decisões);
  • a verificação do número SwissPass com base nas regras por nós definidas;
  • a decisão de admissão, sobre se um cliente pode utilizar a oferta, incluindo a avaliação dos nossos critérios internos e dos dados de solvabilidade da CRIF.

Assistente telefónico de IA: As chamadas para a linha de apoio podem ser atendidas por uma IA (Grok/xAI), transcritas e processadas para identificação (número de membro, data de nascimento, número de telefone), para abrir veículos, prolongar reservas e enviar avisos. Os registos das conversas são armazenados no máximo durante 90 dias na IA ou no sistema. Pode solicitar a qualquer momento o encaminhamento para um colaborador.

Sistema telefônico: Para a hotline, utilizamos o sistema telefônico 3CX. O fornecedor do software é a 3CX Ltd, com sede em Nicósia (Chipre, UE). Através do sistema telefônico, as chamadas são recebidas, encaminhadas e registradas (por exemplo, número de telefone, horário e duração da chamada). Para esse processamento, existe um contrato de processamento de dados (Data Processing Addendum). Os dados podem ser processados no Espaço Econômico Europeu (EEE). Para notificações push nos aplicativos de telefone, podem ser utilizados serviços de provedores nos EUA (por exemplo, Apple ou Google).

À Grok são transmitidos apenas os dados necessários para o respetivo processo (por exemplo, nome, e-mail, número SwissPass, resultado da verificação, pontuação CRIF/características de crédito relevantes, dados do processo). Não são transmitidos à Grok imagens biométricas do Stripe Identity nem dados completos de cartão de crédito.

A xAI atua como subcontratante. Aplica-se o Data Processing Addendum da xAI. De acordo com os termos Enterprise/API da xAI, as entradas e saídas de negócio não são utilizadas para treino do modelo . Os dados podem ser tratados nos EUA (contrato de subcontratação e cláusulas contratuais-tipo; Data Privacy Framework na medida em que seja aplicável à xAI).

Documentos: xAI DPA, Política de Privacidade da xAI.

6. Decisão individual automatizada (admissão)

A decisão sobre se pode tornar-se cliente ou continuar a utilizar a oferta pode ser tomada exclusivamente de forma automatizada pela Grok. A base são os nossos critérios de admissão definidos, bem como a informação de crédito da CRIF, complementada pela verificação SwissPass e de identidade.

Uma decisão de recusa ou restritiva ser-lhe-á comunicada. Tem o direito de:

  • Apresentar o seu ponto de vista;
  • exigir uma revisão por uma pessoa singular na Sponti-Car;
  • Receber informações sobre os critérios de decisão relevantes, na medida em que os segredos comerciais não se oponham a isso.

Contacto: info@sponti-car.ch ou 055 264 10 00.

Bases legais: Art. 21 DSG e Art. 22 DSGVO. Na medida em que um consentimento seja legalmente exigido, obtemo-lo no momento do registo. A recusa pode levar à não celebração de um contrato.

7. Destinatários e subcontratantes

Os dados só são transmitidos na medida necessária para o contrato, a lei ou o interesse legítimo. A lista não é exaustiva. Aplicam-se sempre as disposições de proteção de dados das empresas mencionadas.

DestinatárioSedeFinalidadeNota
ibiola Mobility Solutions GmbHÁustriaReserva, abertura, telemáticaContrato de tratamento de dados; adequação UE
Stripe Inc. (Payments / Identity)EUAPagamento e verificação de identidadeContrato de tratamento de dados; DPF/SCC
CRIF AGSuíçaInformação de crédito e identidadever também mycrifdata.ch
xAI LLC (Grok)EUAIA: e-mails, verificação SwissPass, decisão de admissãoDPA; sem treino com dados comerciais segundo a xAI
xAI LLC (Grok), assistente telefónico com IAEUAAssistente telefónico com IA: receção e transcrição de chamadas da linha de apoio, identificação (número de membro, data de nascimento, número de telefone), abertura de veículos, prolongamento de reservas, envio de avisosDPA; registos de conversas no máximo 90 dias; encaminhamento para um colaborador possível a qualquer momento
3CX Ltd (central telefónica 3CX)Chipre (UE)Central telefónica da linha de apoio: receção, encaminhamento e registo de chamadasContrato de tratamento de dados (DPA); tratamento possível no EEE; notificações push eventualmente através de serviços nos EUA
Google Ireland/USA (Analytics)Irlanda/EUAAnálise de website/appapenas com consentimento
Bexio AGSuíçaContabilidadeContrato de tratamento de dados
Microsoft (Office 365)EUA/UEComunicação de escritórioContrato de tratamento de dados; DPF/SCC
OpenAI (ChatGPT)EUAtrabalhos internos de texto e auxiliares, na medida em que sejam utilizadosapenas com AVV/API; regulamentos próprios da OpenAI
WhatsApp / MetaEUA/UEcomunicação, na medida em que utilize este canalregulamentos próprios da Meta

Outros possíveis destinatários: autoridades (obrigação legal), seguradoras (casos de sinistro), prestadores de serviços de pagamento, parceiros de TI e de suporte. Todos os processadores de encomendas estão contratualmente vinculados às nossas instruções e não podem utilizar os dados para fins próprios, na medida em que o respetivo contrato assim o preveja.

Avisos de privacidade de terceiros (extrato):
xAI · Stripe · CRIF · Google · Bexio · Microsoft · OpenAI · WhatsApp

8. Divulgação ao exterior

Parte do tratamento ocorre na UE/EEE (nível de proteção adequado) e nos EUA (Stripe, xAI, Google, Microsoft, Meta, OpenAI). A base é, dependendo do destinatário, o contrato de processamento de dados, as cláusulas contratuais padrão e – na medida em que o destinatário seja certificado – o Quadro de Privacidade de Dados UE-EUA ou Suíça-EUA. Pode ser solicitada uma cópia das garantias utilizadas.

9. Duração do armazenamento

  • Dados contratuais e contabilísticos: duração do contrato mais retenção legal (normalmente 10 anos)
  • Dados de solvabilidade, identidade e admissão: no máximo 5 anos após o fim do contrato ou mais cedo em caso de pedido de eliminação fundamentado, desde que não exista obrigação de retenção
  • Dados de verificação SwissPass: enquanto forem necessários para o acesso e a prevenção de abusos
  • Prompts/resultados de IA na xAI: conforme o DPA da xAI (tipicamente retenção temporária para controlo de abusos, sem treino com dados de negócio)
  • Registos de conversas do assistente telefónico com IA: no máximo 90 dias
  • Google Analytics: conforme a configuração, normalmente 14 meses
  • Dados biométricos na Stripe: apenas para a verificação mais um curto prazo de segurança

10. Os seus direitos

Você tem – no âmbito da DSG e da DSGVO – o direito de acesso, retificação, exclusão, limitação, portabilidade de dados, oposição a tratamentos com base em interesse legítimo, bem como o direito à revisão humana de decisões automatizadas.

Reclamação: Comissário Federal de Proteção de Dados e Informação (EDÖB), Feldeggweg 1, 3003 Berna, www.edoeb.admin.ch. Na medida em que a DSGVO se aplica, adicionalmente junto à autoridade de supervisão competente da UE.

Contato: info@sponti-car.ch

11. Cookies e rastreamento

Google Analytics somente com consentimento (Consent Mode v2, anonimização de IP). O consentimento pode ser revogado através do banner de cookies.

12. Segurança de dados

Adotamos medidas técnicas e organizativas adequadas (restrição de acesso, encriptação da transmissão, instruções aos subcontratantes). Ao Grok são transmitidos apenas conjuntos de dados minimizados.

13. Alterações

Podemos adaptar esta declaração de proteção de dados. A versão atual é válida a partir da publicação no site. Alterações substanciais, em particular na utilização de IA ou em decisões automatizadas, serão comunicadas de forma adequada (site, e-mail ou aplicação).

Data: 04.10.2026