Política de Privacidade

Data de entrada em vigor: 8 de setembro de 2026  |  Última atualização: 8 de setembro de 2026

A presente Política de Privacidade explica de que forma a Zentrum24 LLC ("Zentrum24 Academy", "nós", "nos" ou "nossa") recolhe, utiliza, divulga e protege dados pessoais no âmbito da plataforma de formação em matéria de conformidade Zentrum24 Academy (o "Serviço") — um sistema de gestão da aprendizagem (LMS) em regime SaaS multi-inquilino destinado aos profissionais dos setores farmacêutico e das ciências da vida sujeitos a regulamentação (GxP). Descreve igualmente os direitos reconhecidos aos titulares dos dados ao abrigo do Regulamento Geral sobre a Proteção de Dados da UE ("GDPR"), do UK GDPR, da California Consumer Privacy Act, na redação que lhe foi dada pela CPRA ("CCPA/CPRA"), e de legislação equiparável.

Solicitamos que leia a presente Política em conjunto com a nossa Política de Cookies, a nossa página de Subcontratantes ulteriores e — no caso dos clientes — a Adenda de Tratamento de Dados ("DPA") que faz parte integrante do nosso contrato de cliente. Em caso de conflito entre qualquer cláusula do DPA e a presente Política no que respeita aos Dados de Formação do Cliente (adiante definidos), prevalece o DPA.

1. Quem somos & as nossas qualidades (responsável pelo tratamento vs. subcontratante)

A Zentrum24 LLC é a entidade responsável pelo Serviço.

• Entidade registada: Zentrum24 LLC
• Morada registada: 1621 Central Ave, Cheyenne, Wyoming 82001, USA
• Contacto de privacidade / DPO: contact@zentrum24.com
• Representante na UE / no Reino Unido (se aplicável nos termos do Art. 27 GDPR): Não se encontra atualmente nomeado.

A qualidade em que atuamos ao abrigo da legislação de proteção de dados depende da categoria de dados em causa:

• A Zentrum24 Academy atua como subcontratante (um "prestador de serviços" nos termos da CCPA/CPRA) relativamente aos Dados de Formação do Cliente. Quando uma organização ("Cliente" — habitualmente uma entidade empregadora) subscreve o Serviço e carrega ou gera dados de formação relativos aos seus próprios colaboradores, o Cliente é o responsável pelo tratamento e determina as finalidades e os meios do tratamento. A Zentrum24 Academy trata esses dados exclusivamente de acordo com as instruções documentadas do Cliente, nos termos previstos no contrato de cliente e no DPA. Os "Dados de Formação do Cliente" incluem as identidades dos formandos, as atribuições de formação baseadas em funções, as conclusões de cursos, as classificações dos questionários, as assinaturas eletrónicas nos termos do 21 CFR Part 11, os certificados de conclusão e os correspondentes registos de auditoria à prova de adulteração.
• A Zentrum24 Academy atua como responsável pelo tratamento (uma "empresa" nos termos da CCPA/CPRA) relativamente aos Dados de Conta e de Faturação e aos dados que utilizamos para operar, proteger e melhorar o Serviço. Estes incluem as informações de conta e de subscrição do Cliente, os dados de contacto dos administradores e de outros contactos da conta, os registos de faturação e os nossos próprios registos de segurança, operacionais e de diagnóstico. Relativamente a estes dados, a Zentrum24 Academy determina as finalidades e os meios do tratamento e responde diretamente perante os titulares dos dados em causa.

Nota para os utilizadores finais (formandos): se utiliza a Zentrum24 Academy porque a sua entidade empregadora ou outra organização lhe concedeu acesso, é essa organização — e não a Zentrum24 Academy — o responsável pelo tratamento dos seus registos de formação. As questões sobre a forma como a sua entidade empregadora utiliza os seus dados, bem como a maioria dos pedidos de acesso ou de eliminação de registos de formação, devem ser dirigidas a essa organização. Ver a Secção 9 (Os seus direitos).

2. Que dados recolhemos

2.1 Dados de conta (a Zentrum24 Academy como responsável pelo tratamento)

• Dados da organização / do inquilino: denominação da organização, plano e escalão de subscrição e definições de configuração.
• Dados dos administradores e dos contactos da conta: nome completo, endereço de correio eletrónico profissional e função.

2.2 Dados pessoais dos utilizadores (na qualidade de subcontratante dos Clientes; na qualidade de responsável pelo tratamento quanto aos administradores/contactos com quem lidamos diretamente)

• Nome completo, endereço de correio eletrónico profissional e, facultativamente, número de colaborador.
• Função RBAC atribuída (administrador do inquilino, autor, gestor ou formando) e relações hierárquicas de reporte.
• Dados de autenticação: palavras-passe cifradas por hash (bcrypt), segredos e códigos de recuperação de autenticação multifator (TOTP) e, quando ativados, identificadores de SSO/SCIM. Os segredos são armazenados com recurso a cifragem de envelope do tipo KMS; não armazenamos palavras-passe em texto simples.

2.3 Registos de formação (Dados de Formação do Cliente — a Zentrum24 Academy como subcontratante)

• Atribuições de cursos e de currículos, prazos e calendários de recertificação.
• Progresso nos cursos SCORM, tentativas e classificações nos questionários e estado de conclusão.
• Assinaturas eletrónicas nos termos do 21 CFR Part 11 (identidade do signatário, significado da assinatura, data e hora) e certificados de conclusão gerados em PDF/A.

2.4 Dados de faturação (a Zentrum24 Academy como responsável pelo tratamento)

• Plano de subscrição, ciclo de faturação, faturas e estado dos pagamentos. Os dados dos cartões de pagamento são recolhidos e tratados diretamente pela Stripe, Inc.; a Zentrum24 Academy não armazena números de cartão completos.

2.5 Dados de auditoria, de segurança e técnicos (a Zentrum24 Academy como responsável pelo tratamento para fins de segurança/operações; refletidos nos registos de auditoria do Cliente na qualidade de subcontratante)

• Entradas de registo de auditoria à prova de adulteração, encadeadas por hash, que documentam eventos relevantes em matéria de segurança e de conformidade.
• Endereço IP, informação sobre o agente de utilizador/navegador, datas e horas, atividade de sessão e contadores de limitação de frequência de pedidos.
• Dados de diagnóstico e de erro utilizados para detetar e resolver falhas da plataforma.

Não recolhemos intencionalmente dados pessoais de categorias especiais (dados sensíveis) através do Serviço. Solicitamos que não carregue dados de saúde, biométricos ou outros dados sensíveis em campos de texto livre, salvo acordo expresso e por escrito connosco.

3. Como e por que motivo utilizamos os dados e os nossos fundamentos jurídicos

Quando a Zentrum24 Academy atua como subcontratante, utiliza os Dados de Formação do Cliente exclusivamente para prestar o Serviço de acordo com as instruções do Cliente; cabe ao Cliente estabelecer o fundamento jurídico do seu próprio tratamento (habitualmente os seus interesses legítimos na formação dos colaboradores e as suas obrigações legais/regulamentares no âmbito dos referenciais GxP). Quando a Zentrum24 Academy atua como responsável pelo tratamento, baseamo-nos nos seguintes fundamentos jurídicos ao abrigo do GDPR/UK GDPR:

• Para prestar, administrar e proteger o Serviço — incluindo autenticação, RBAC, MFA, isolamento entre inquilinos, limitação de frequência de pedidos e registo de auditoria. Fundamento jurídico: execução de um contrato (Art. 6.º, n.º 1, alínea b)) com o Cliente e os nossos interesses legítimos (Art. 6.º, n.º 1, alínea f)) na operação de uma plataforma segura e fiável.
• Para processar a faturação e as subscrições — emissão de faturas, reconciliação de pagamentos e aplicação dos limites do plano através da Stripe. Fundamento jurídico: execução de um contrato; cumprimento de obrigações jurídicas (Art. 6.º, n.º 1, alínea c)), por exemplo em matéria fiscal e contabilística; e interesses legítimos na cobrança dos montantes devidos.
• Para proteger a plataforma e prevenir abusos — monitorização, deteção de intrusões, bloqueio de contas e verificação da integridade da cadeia de auditoria. Fundamento jurídico: interesses legítimos em matéria de segurança e prevenção da fraude; cumprimento de obrigações jurídicas.
• Para prestar apoio aos clientes e comunicar mensagens de serviço — resposta a pedidos e envio de avisos operacionais (por exemplo, notificações de segurança ou de disponibilidade). Fundamento jurídico: execução de um contrato; interesses legítimos.
• Para melhorar e manter o Serviço — diagnósticos agregados e resolução de problemas. Fundamento jurídico: interesses legítimos, ponderados face aos seus direitos; procedemos à minimização e, sempre que exequível, à agregação ou anonimização dos dados.
• Para cumprir as nossas próprias obrigações legais, regulamentares e de conformidade e para declarar, exercer ou defender direitos em processos judiciais. Fundamento jurídico: obrigação jurídica; interesses legítimos.
• Cookies analíticos facultativos e eventuais comunicações de marketing, quando aplicável. Fundamento jurídico: consentimento (Art. 6.º, n.º 1, alínea a)), que pode ser retirado a qualquer momento.

Nos termos da CCPA/CPRA, as "finalidades empresariais ou comerciais" para as quais utilizamos informações pessoais correspondem às utilizações acima descritas. A Zentrum24 Academy não "vende" informações pessoais nem as "partilha" para fins de publicidade comportamental em contextos cruzados, na aceção que esses termos têm na CCPA/CPRA. Não utilizamos informações pessoais sensíveis para finalidades que confiram um direito de limitação.

4. Cookies e tecnologias semelhantes

O Serviço utiliza um cookie de sessão essencial, estritamente necessário — um JWT sem estado armazenado num cookie httpOnly — para manter a sua sessão iniciada, aplicar o tempo limite de inatividade e proteger contra a falsificação de pedidos entre sítios. Este cookie é indispensável ao funcionamento do Serviço e não é utilizado para fins publicitários.

Quando ativados, podemos igualmente utilizar cookies analíticos facultativos para compreender a utilização e melhorar o Serviço; estes só são instalados com o seu consentimento, sempre que este seja exigido. Pode aceitar ou recusar cookies não essenciais e retirar o consentimento a qualquer momento através dos nossos controlos de cookies. Para consultar a lista completa de cookies, as respetivas finalidades e durações e a forma de os gerir, consulte a nossa Política de Cookies.

5. Partilha e subcontratantes ulteriores

Não vendemos dados pessoais. Apenas divulgamos dados pessoais nos termos aqui descritos:

• Ao Cliente pertinente (responsável pelo tratamento): os dados de formação de um formando são acessíveis aos administradores e gestores da sua própria organização dentro desse inquilino.
• A subcontratantes ulteriores que nos auxiliam na operação do Serviço, ao abrigo de contratos escritos que impõem obrigações de proteção de dados no mínimo tão protetoras como a presente Política e o nosso DPA. Os nossos atuais subcontratantes ulteriores incluem:
  • Vercel Inc. — alojamento da aplicação e distribuição de conteúdos; Estados Unidos.
  • Supabase — base de dados PostgreSQL gerida e armazenamento de objetos privado e cifrado; Estados Unidos.
  • Stripe, Inc. — processamento de pagamentos e faturação de subscrições; Estados Unidos.
  • Fornecedor de correio eletrónico / SMTP — envio de correio eletrónico transacional; ainda não foi selecionado um fornecedor, o qual será aqui indicado antes do lançamento.
  Para consultar a lista atual e autoritativa e para subscrever as notificações de alterações, consulte a nossa página de Subcontratantes ulteriores.
• Por motivos legais e de segurança: quando tal seja necessário para dar cumprimento à lei, a um processo legal válido ou a um pedido de uma autoridade reguladora, ou para proteger os direitos, a segurança e a proteção da Zentrum24 Academy, dos nossos Clientes ou de terceiros. Sempre que estejam em causa dados de um Cliente, notificaremos o Cliente na medida em que tal seja legalmente permitido.
• No âmbito de uma operação societária: em ligação com uma fusão, aquisição, financiamento ou alienação de ativos, sem prejuízo da presente Política e da legislação aplicável.

6. Transferências internacionais de dados

O Serviço é alojado na Vercel (alojamento da aplicação) e na Supabase (base de dados PostgreSQL gerida e armazenamento de objetos), sendo o tratamento principal efetuado nos Estados Unidos (AWS us-east-1 (Northern Virginia, United States)). Se aceder ao Serviço a partir do Espaço Económico Europeu, do Reino Unido ou de outra jurisdição com regras aplicáveis a transferências transfronteiriças, os seus dados pessoais poderão ser transferidos para os Estados Unidos ou para outros países e aí tratados, cujas leis poderão diferir das da sua jurisdição.

Sempre que transferimos dados pessoais a nível internacional, recorremos a garantias adequadas, incluindo as Standard Contractual Clauses (SCCs) da Comissão Europeia e o UK International Data Transfer Addendum, em conjunto com medidas técnicas e organizativas complementares (tais como a cifragem em trânsito e em repouso). Pode ser obtida uma cópia do mecanismo de transferência aplicável mediante pedido para contact@zentrum24.com. O nosso DPA estabelece as condições de transferência aplicáveis aos Dados de Formação do Cliente.

7. Conservação dos dados

No que respeita aos Dados de Formação do Cliente, a Zentrum24 Academy conserva os dados enquanto a subscrição do Cliente se mantiver ativa e de acordo com as instruções do Cliente, de modo a que este possa cumprir as suas próprias obrigações de conservação de registos GxP (os registos de formação, as assinaturas eletrónicas, os certificados e os registos de auditoria têm frequentemente de ser conservados por períodos prolongados ao abrigo do 21 CFR Part 11, do EU Annex 11 e de requisitos conexos). Em caso de cessação, devolvemos ou eliminamos os Dados de Formação do Cliente nos termos do DPA, sem prejuízo de eventuais requisitos legais de conservação.

Relativamente aos dados de Conta, de Faturação e de segurança quanto aos quais somos o responsável pelo tratamento, conservamos os dados durante a vigência da relação com o cliente e, posteriormente, apenas pelo tempo necessário às finalidades descritas na presente Política — por exemplo, para cumprir obrigações fiscais, contabilísticas, de auditoria e de defesa jurídica, e para preservar a integridade da cadeia de auditoria à prova de adulteração. Períodos de conservação específicos: registos de faturação e fiscais durante sete (7) anos; registos de segurança e de auditoria durante 24 meses; registos de formação e de avaliação durante o período exigido pelas obrigações regulamentares de conservação do próprio cliente.

8. Como protegemos os dados (medidas de segurança)

A Zentrum24 Academy aplica medidas técnicas e organizativas concebidas para proteger os dados pessoais, incluindo:

• Isolamento rigoroso entre inquilinos através da segurança ao nível da linha (RLS) do PostgreSQL, aplicada mediante uma função aplicacional sem privilégios de superutilizador, de modo a que os dados de um Cliente não possam ser lidos por outro.
• Cifragem em trânsito (TLS) e em repouso, incluindo armazenamento de objetos cifrado e uma base de dados PostgreSQL cifrada (Supabase).
• Autenticação forte: autenticação multifator (TOTP com códigos de recuperação), hashing de palavras-passe com bcrypt e complexidade configurável, histórico de palavras-passe e bloqueio de conta em caso de falhas repetidas.
• Proteção de segredos: cifragem de envelope do tipo KMS para os segredos de MFA e de SSO armazenados.
• Controlo de acessos: controlo de acesso baseado em funções (administrador do inquilino, autor, gestor, formando) e, nos escalões elegíveis, SSO SAML com aprovisionamento SCIM.
• Controlos de sessão e de abuso: sessões JWT sem estado em cookies httpOnly com tempo limite de inatividade, acrescidos de limitação de frequência de pedidos por inquilino e por utilizador.
• Integridade e responsabilização: um registo de auditoria à prova de adulteração, encadeado por hash, e assinaturas eletrónicas em conformidade com o 21 CFR Part 11.

Nenhum sistema pode ser garantido como perfeitamente seguro. Mantemos procedimentos de resposta a incidentes e notificaremos os Clientes afetados e, quando exigido, as autoridades de controlo e os titulares dos dados de uma violação de dados pessoais, em conformidade com a legislação aplicável e com o DPA.

9. Os seus direitos

Nos termos da legislação aplicável, os titulares dos dados gozam de direitos sobre os seus dados pessoais, que podem incluir:

• Acesso — obter a confirmação e uma cópia dos dados pessoais que detemos a seu respeito.
• Retificação — corrigir dados inexatos ou incompletos.
• Apagamento ("direito a ser esquecido") — obter a eliminação dos dados em determinadas circunstâncias.
• Portabilidade — receber determinados dados num formato estruturado, de uso corrente e de leitura automática.
• Limitação e oposição — limitar determinados tratamentos ou opor-se aos mesmos, incluindo os tratamentos baseados em interesses legítimos.
• Retirada do consentimento — sempre que o tratamento se baseie no consentimento (por exemplo, cookies analíticos facultativos), a qualquer momento, sem afetar o tratamento anteriormente efetuado.
• Direitos ao abrigo da CCPA/CPRA — conhecer, eliminar e corrigir informações pessoais e não ser objeto de discriminação pelo exercício destes direitos. Uma vez que não vendemos nem partilhamos informações pessoais para efeitos de publicidade comportamental em contextos cruzados, nem utilizamos informações pessoais sensíveis para finalidades que o exijam, não são aplicáveis o direito de oposição à venda/partilha nem o direito de limitação da utilização de dados sensíveis; caso tal venha a alterar-se, esses pedidos serão atendidos em conformidade. Pode recorrer a um mandatário autorizado, sendo que verificaremos os pedidos nos termos exigidos por lei.

Os pedidos dos utilizadores finais (formandos) são normalmente encaminhados através da sua entidade empregadora/Cliente. No que respeita aos dados de formação, a sua organização é o responsável pelo tratamento. Se for um formando e pretender exercer direitos sobre os seus registos de formação, deve contactar o administrador da sua organização; se contactar diretamente a Zentrum24 Academy, remeteremos ou reencaminharemos o seu pedido para o Cliente pertinente e prestar-lhe-emos assistência na respetiva resposta, conforme exigido pelas nossas obrigações enquanto subcontratante. Não decidimos o desfecho de tais pedidos por conta do Cliente.

10. Como exercer os seus direitos (incluindo exportação e eliminação na aplicação)

Sempre que a Zentrum24 Academy seja o responsável pelo tratamento (dados de Conta, de Faturação e de administradores/contactos), pode exercer os seus direitos contactando-nos através de contact@zentrum24.com. Responderemos dentro dos prazos exigidos pela legislação aplicável (em regra, um mês ao abrigo do GDPR/UK GDPR e 45 dias ao abrigo da CCPA/CPRA, prorrogáveis quando permitido). Poderemos ter de verificar a sua identidade antes de atuar e não o discriminaremos pelo exercício dos seus direitos.

O Serviço disponibiliza igualmente ferramentas de autosserviço que os Clientes e, quando ativadas, os respetivos utilizadores podem utilizar diretamente:

• Exportação de dados na aplicação: os administradores do inquilino podem exportar registos de formação e dados de auditoria (por exemplo, através das funcionalidades de exportação de dados e de pacote de evidências do Serviço) em formatos de leitura automática, de modo a dar resposta a pedidos de acesso e de portabilidade.
• Eliminação de contas: os administradores podem desativar ou eliminar utilizadores e podem solicitar a eliminação dos dados do inquilino em caso de cessação, sem prejuízo das regras de conservação previstas na Secção 7 e no DPA.

Se não ficar satisfeito com a nossa resposta, tem o direito de apresentar reclamação junto da sua autoridade de controlo local (no Reino Unido, o Information Commissioner's Office; na UE, a autoridade nacional de proteção de dados) ou, na Califórnia, de contactar a California Privacy Protection Agency ou o Attorney General. Agradecemos, porém, a oportunidade de tratar primeiro das suas preocupações.

11. Dados de crianças

O Serviço é uma ferramenta de formação em conformidade destinada a organizações e ao seu pessoal. Não se dirige a crianças nem se destina a menores de 16 anos. Não recolhemos conscientemente dados pessoais de crianças. Se considerar que uma criança forneceu dados pessoais através do Serviço, contacte-nos através de contact@zentrum24.com e tomaremos, em conjunto com o Cliente pertinente, as medidas adequadas para os eliminar.

12. Alterações à presente Política

Podemos atualizar periodicamente a presente Política para refletir alterações às nossas práticas, à tecnologia, aos requisitos legais ou ao Serviço. Sempre que introduzirmos alterações substanciais, atualizaremos a data de "Última atualização" acima indicada e, quando apropriado, notificaremos os Clientes através do Serviço ou por correio eletrónico. A continuação da utilização do Serviço após a entrada em vigor de uma atualização constitui aceitação da Política revista, salvo quando a lei exija consentimento adicional.

13. Contacte-nos

Para quaisquer questões, pedidos ou reclamações relativos à presente Política ou ao nosso tratamento de dados pessoais:

• Zentrum24 LLC
• Contacto de privacidade / proteção de dados: contact@zentrum24.com
• Morada postal: 1621 Central Ave, Cheyenne, Wyoming 82001, USA
• Lei aplicável: Estado do Wyoming, EUA
• Representante na UE / no Reino Unido (se aplicável): Não se encontra atualmente nomeado.

Nota: os marcadores de posição entre parênteses retos devem ser preenchidos e a presente Política deve ser revista por advogado qualificado antes da sua publicação.