Declaração de Privacidade

1 Sobre esta Declaração de Privacidade

Esta Declaração de Privacidade explica como o Grupo Fourthline (conforme definido abaixo) recolhe e trata os seus dados pessoais. Descreve que dados pessoais tratamos, para que finalidades, com que fundamentos jurídicos, durante quanto tempo os conservamos e que direitos lhe assistem.

Esta Declaração de Privacidade aplica-se quando:

• visita ou interage com os nossos sítios web, portais ou aplicações (em conjunto: "Sítios Web");

• utiliza os nossos Serviços (conforme definidos abaixo);

• visita os nossos escritórios;

• é integrado como cliente através de empresas que utilizam os nossos Serviços ("Parceiros Comerciais") cujos serviços financeiros pretende utilizar; ou

• é representante de um dos nossos Parceiros Comerciais, potenciais clientes, vendedores ou fornecedores.

Esta Declaração de Privacidade contém os seguintes temas:

1. Sobre esta Declaração de Privacidade

2. Quem somos

3. Legislação aplicável

4. Como recolhemos os seus dados pessoais

5. Finalidades do tratamento, categorias de dados pessoais e fundamentos jurídicos

6. Decisões automatizadas

7. Utilização de Inteligência Artificial

8. Menores

9. Com quem partilhamos os seus dados e porquê

10. Cookies

11. Os seus direitos

12. O seu dever de fornecer dados

13. Durante quanto tempo conservamos os seus dados pessoais

14. Como protegemos os seus dados pessoais

15. Como pode ajudar a manter os seus dados em segurança

16. Contacte-nos

Podemos atualizar esta Declaração de Privacidade periodicamente para refletir alterações na legislação aplicável ou nas nossas atividades de tratamento. A versão mais atual está sempre disponível no nosso Sítio Web. Recomendamos que consulte esta página periodicamente.

2 Quem somos

2.1 Grupo Fourthline

O Grupo Fourthline presta serviços de verificação de identidade, prevenção de fraude e serviços conexos (os "Serviços"), ajudando as instituições financeiras a verificar a identidade dos seus clientes para cumprir as suas obrigações regulamentares ao abrigo da legislação aplicável em matéria de combate ao branqueamento de capitais.

Para efeitos desta Declaração de Privacidade, o "Grupo Fourthline" refere-se exclusivamente às duas entidades seguintes, cada uma das quais atua como responsável pelo tratamento independente dos seus dados pessoais, consoante o contexto:

A Fourthline Payments é uma instituição de pagamento regulamentada, autorizada pelo Banco Central dos Países Baixos (De Nederlandsche Bank N.V. (DNB)) a prestar Serviços de pagamento. Permite igualmente que outras instituições financeiras confiem na diligência devida relativamente ao cliente realizada pela Fourthline Payments, em conformidade com a legislação neerlandesa em matéria de combate ao branqueamento de capitais.

A Fourthline presta também serviços de verificação de identidade, prevenção de fraude e Serviços conexos em regime de subcontratação aos seus Parceiros Comerciais. Nesses casos, a Fourthline atua geralmente como subcontratante por conta do Parceiro Comercial em causa, e o tratamento de dados pessoais nessa qualidade não é abrangido por esta Declaração de Privacidade. No entanto, quando a Fourthline trata dados pessoais como responsável pelo tratamento independente com a finalidade de melhorar os seus Serviços, esse tratamento é abrangido por esta Declaração de Privacidade, conforme detalhado na secção 2.1.2 abaixo.

Quando esta Declaração de Privacidade se refere a "nós", "nos" ou "nosso", refere-se a uma ou a ambas as entidades, conforme o contexto exigir. Quando uma secção específica se aplica apenas a uma entidade, tal é expressamente indicado.

2.2 Que entidade é responsável pelos seus dados?

• A Fourthline Payments é a responsável pelo tratamento de todos os seus dados pessoais relacionados com a sua integração como cliente da Fourthline Payments e/ou com a prestação de Serviços de pagamento ("Cliente").

• Tanto a Fourthline como a Fourthline Payments são responsáveis pelo tratamento independentes no que respeita ao tratamento dos seus dados pessoais relacionado com a melhoria dos respetivos Serviços.

3 Legislação aplicável

O Grupo Fourthline trata com o devido cuidado os dados pessoais que recebe através dos seus Sítios Web e por quaisquer outros meios. Tratamos os dados pessoais em conformidade com:

• o Regulamento Geral sobre a Proteção de Dados (Regulamento (UE) 2016/679) ("RGPD"); e

• a Lei neerlandesa de execução do RGPD (Uitvoeringswet Algemene verordening gegevensbescherming).

4 Como recolhemos os seus dados pessoais

Podemos receber os seus dados pessoais das seguintes formas:

• diretamente de si, quando utiliza os nossos Serviços ou comunica connosco por e-mail, telefone ou outros meios eletrónicos;

• de Parceiros Comerciais, ou seja, empresas cujos serviços financeiros pretende utilizar e que contratam a Fourthline para verificar a sua identidade; e

• de fornecedores de dados terceiros, tais como fornecedores de listas de sanções, listas de financiamento do terrorismo e listas de pessoas politicamente expostas (PEP).

5 Finalidades do tratamento, categorias de dados pessoais e fundamentos jurídicos

Dados pessoais são quaisquer informações que lhe digam respeito ou que possam ser associadas a si. Descrevemos abaixo, para cada finalidade, que dados pessoais tratamos e com que fundamento jurídico.

5.1 Verificação de identidade e rastreio AML

5.1.1 Finalidade do tratamento

Enquanto instituição de pagamento autorizada, a Fourthline Payments está legalmente obrigada a verificar a identidade dos seus Clientes e a confrontá-los com as listas de vigilância aplicáveis antes e durante a relação de negócio. Esta obrigação decorre, entre outros, da Lei neerlandesa de prevenção do branqueamento de capitais e do financiamento do terrorismo (Wet ter voorkoming van witwassen en financieren van terrorisme, "Wwft") e da Lei neerlandesa das sanções (Sanctiewet 1977). Tal inclui a utilização de IA para esta finalidade; consulte a secção 8 para mais informações.

Na prática, estes requisitos consistem em duas verificações distintas mas relacionadas:

1. Verificação de identidade - confirmar que é quem diz ser:

   • Quem é você? Verificamos que é quem diz ser. Para tal, tira uma fotografia do seu documento de identificação (como um passaporte ou cartão de identidade) e uma selfie e/ou um breve vídeo do seu rosto. Comparamos estes elementos para garantir que o documento lhe pertence e que está fisicamente presente durante a verificação. Além disso, avaliamos se o documento está totalmente visível e legível e verificamos se contém as características (de segurança) esperadas.

   • O seu documento é genuíno? Verificamos que o seu documento de identificação é autêntico e não foi adulterado ou falsificado. Analisamos igualmente determinadas características do documento, como o layout e os detalhes impressos.

   • Qual é a sua pontuação de risco da verificação de identidade? Com base nas verificações de identidade e do documento acima descritas, calculamos uma pontuação de risco global para a sua verificação. Esta pontuação resulta de várias verificações que abrangem fatores como a sua identidade, a autenticidade do documento, indicadores geográficos e sinais de conformidade. Cada verificação contribui com um valor ponderado para a pontuação total. A pontuação final determina se é classificado como risco baixo, médio, elevado ou inaceitável e, com base nisso, determinamos se podemos aceitá-lo como Cliente.

2. Rastreio AML - avaliar se representa um risco de criminalidade financeira:

   • Consta de uma lista (de vigilância)? Verificamos se o seu nome e dados pessoais correspondem aos de uma pessoa constante das listas de sanções aplicáveis, das listas de vigilância de pessoas politicamente expostas (PEP) ou de notícias adversas nos meios de comunicação. Se os seus dados corresponderem a alguém numa dessas listas, investigamos mais aprofundadamente para determinar se se trata efetivamente da mesma pessoa.

   • Qual é a sua pontuação de risco do rastreio AML? Quando os seus dados pessoais parecem corresponder aos de uma pessoa constante de uma lista de vigilância, avaliamos separadamente a probabilidade de ser efetivamente a mesma pessoa que a listada. Fazemo-lo comparando os seus dados pessoais (como nome, data de nascimento, idade, localização, nacionalidade, género e local de nascimento) com os da pessoa listada. A cada elemento é atribuída uma pontuação ponderada consoante o grau de correspondência, produzindo uma pontuação global de risco de correspondência que determina se podemos aceitá-lo como Cliente.

5.1.2 Dados pessoais utilizados

Dependendo do Parceiro Comercial cujos serviços financeiros pretende utilizar, podemos tratar os seguintes dados pessoais:

• Dados básicos de identidade: nome completo, data de nascimento, local de nascimento, nacionalidade, género, fotografias selfie e gravações de vídeo, morada, endereço de e-mail e número de telefone;

• Dados do documento de identificação: tipo de documento, fotografia do documento (frente e verso), número do documento, data de emissão, data de validade, país emissor, autoridade emissora;

• Dados biométricos: geometria facial extraída de fotografias selfie e gravações de vídeo e pontuação de semelhança facial derivada (dados de categoria especial nos termos do art. 9.º do RGPD);

• Dados do rastreio AML: estatuto de PEP, eventual presença numa lista de sanções, eventuais notícias adversas nos meios de comunicação relacionadas consigo. Os dados que lhe dizem respeito (como nome, data de nascimento, nacionalidade, género, localização e local de nascimento) são comparados com bases de dados de listas de vigilância, incluindo listas de sanções, listas de PEP e notícias adversas.

• Dados derivados e inferidos: pontuações de risco KYC, resultados de verificação e outros resultados gerados pelos algoritmos ou processos analíticos da Fourthline;

• Dados de comunicação: correspondência entre si e a Fourthline.

5.1.3 Fundamento jurídico e categorias especiais de dados

O fundamento jurídico para o tratamento dos seus dados pessoais para efeitos de verificação de identidade e rastreio AML depende do tipo de dados tratados:

• O tratamento dos seus dados de identidade e do documento, dos dados do rastreio AML e dos dados derivados e inferidos baseia-se numa obrigação jurídica, concretamente as nossas obrigações ao abrigo da Wwft e da Sanctiewet 1977 de realizar a diligência devida relativamente ao cliente e de confrontar os clientes com as listas de vigilância aplicáveis.

• O tratamento dos seus dados biométricos baseia-se na execução de um contrato. A verificação biométrica é necessária para estabelecer a sua identidade no âmbito do processo de estabelecimento de uma relação consigo enquanto Cliente. Embora a Wwft nos obrigue a verificar a sua identidade, não prescreve o método para o fazer. Utilizamos a verificação biométrica por ser o método mais fiável e proporcionado para verificar a identidade num contexto de integração à distância.

Uma vez que os dados biométricos constituem uma categoria especial de dados pessoais nos termos do artigo 9.º do RGPD, invocamos adicionalmente a exceção do interesse público importante (art. 9.º, n.º 2, alínea g), do RGPD) para o tratamento dos seus dados biométricos, concretamente para efeitos de autenticação da sua identidade no âmbito das nossas obrigações legais de diligência devida relativamente ao cliente e para fins de segurança conexos.

5.2 Serviços de pagamento

5.2.1 Finalidade do tratamento

Quando a Fourthline Payments lhe presta serviços de pagamento enquanto Cliente, é necessário tratar determinados dados pessoais para executar e administrar operações de pagamento. Tal inclui iniciar, processar e registar operações de pagamento em seu nome.

5.2.2 Dados pessoais utilizados

• Nome próprio, apelido e morada;

• Número internacional de conta bancária (IBAN); e

• Indicadores de transação e informações conexas.

5.2.3 Fundamento jurídico

O fundamento jurídico para o tratamento dos seus dados pessoais para esta finalidade é a execução de um contrato: estes dados são necessários para executar os serviços de pagamento que solicitou. Não são tratadas categorias especiais de dados pessoais para esta finalidade.

5.3 Deteção e prevenção de fraude

5.3.1 Finalidade do tratamento

Os criminosos que pretendem utilizar contas bancárias e outros sistemas financeiros para atividades ilegais tentam por vezes aceder de forma fraudulenta a uma conta financeira. Para proteger os nossos próprios interesses e os dos nossos Parceiros Comerciais e respetivos clientes, bem como a integridade do sistema financeiro em geral, tratamos dados pessoais para detetar e prevenir a fraude de identidade, o que inclui cópias de segurança destes dados. Utilizamos IA para esta finalidade; consulte a secção 8.

Na prática, isto significa que realizamos as seguintes verificações:

• Este pedido parece suspeito? Os nossos sistemas analisam automaticamente cada verificação para detetar padrões frequentemente associados a tentativas de fraude. Estes padrões incluem, por exemplo, sinais de adulteração do documento, incoerências entre a fotografia do documento e a selfie, dados do dispositivo ou de localização.

• Esta pessoa ou este documento já foram vistos antes? Verificamos se um documento de identificação ou uma combinação de dados pessoais foi anteriormente sinalizado ou utilizado numa tentativa de fraude suspeita ou confirmada. Isto ajuda-nos a detetar casos em que o mesmo documento ou identidade fraudulenta é utilizado várias vezes em diferentes tentativas de integração.

• É necessária uma revisão humana? Se os nossos sistemas indicarem que uma verificação pode ser fraudulenta, analistas qualificados da Fourthline analisam o caso manualmente. O analista avalia se o processo é efetivamente fraudulento ou se foi sinalizado incorretamente. A decisão final cabe sempre a um ser humano.

• O que acontece se a fraude for confirmada? Se o nosso analista confirmar que ocorreu fraude e que os dados pessoais envolvidos pertencem a um autor da fraude, registamos e conservamos esta informação. Isto permite-nos proteger contra futuras tentativas de fraude com a mesma identidade e apoiar eventuais processos judiciais subsequentes. Conservamos estes dados por um período máximo de oito anos.

5.3.2 Dados pessoais utilizados

Tal pode envolver os seguintes dados pessoais:

• Características do documento;

• Características da selfie e do vídeo;

• Dados de rede e conectividade;

• Dados de localização;

• Nacionalidade e geografia;

• Características do dispositivo;

• Dados dos sensores de movimento do dispositivo;

• Resultados de verificações cruzadas;

• Sinais de risco e conformidade;

• Pontuações de risco; e

• IDs de cliente e carimbos temporais.

5.3.3 Fundamento jurídico e categorias especiais de dados

O fundamento jurídico para o tratamento de dados para esta finalidade é o interesse legítimo, que é triplo:

• O interesse próprio da Fourthline Payments: proteger-se contra a utilização fraudulenta da sua plataforma e Serviços, incluindo danos financeiros e reputacionais;

• O interesse dos Parceiros Comerciais: proteger as instituições financeiras contra a integração de clientes fraudulentos, o que as poderia expor a sanções regulamentares e a criminalidade financeira; e

• O interesse público mais amplo: prevenir a criminalidade financeira e a fraude de identidade em geral, em consonância com os objetivos da legislação AML/KYC.

A nossa justificação para tratar dados pessoais relativos a uma infração penal é determinar se devemos ou não prestar-lhe um Serviço enquanto (potencial) Cliente e proteger os nossos interesses relativamente a infrações penais cometidas ou potencialmente cometidas contra a Fourthline Payments.

A exceção aplicável ao tratamento dos seus dados biométricos para esta finalidade é um interesse público importante, concretamente a proteção do interesse público mais amplo na prevenção da criminalidade e da fraude de identidade em geral, em consonância com os objetivos da legislação AML/KYC.

Para garantir a exatidão dos dados pessoais relativos a infrações, a nossa Equipa de Garantia de Qualidade realiza regularmente verificações por amostragem.

5.4 Personal KYC Vault

5.4.1 Finalidade do tratamento

No âmbito dos seus Serviços, a Fourthline Payments oferece um Personal KYC Vault seguro. Trata-se de um espaço de armazenamento seguro no qual os seus dados pessoais verificados são conservados em seu nome, para que possam ser reutilizados em futuros processos de verificação de identidade sem que tenha de passar novamente por todo o processo de verificação.

5.4.2 Dados pessoais utilizados

Para esta finalidade tratamos os seguintes dados pessoais:

• Dados básicos de identidade: nome completo, data de nascimento, local de nascimento, nacionalidade, género, fotografias selfie e gravações de vídeo, morada, endereço de e-mail e número de telefone;

• Dados do documento de identificação: tipo de documento, fotografia do documento (frente e verso), vídeo do documento, número do documento, data de emissão, data de validade, país emissor, autoridade emissora;

• Dados biométricos: geometria facial extraída de fotografias selfie e gravações de vídeo e pontuação de semelhança facial derivada (dados de categoria especial nos termos do art. 9.º do RGPD); e

• Dados derivados e inferidos: pontuações de risco KYC, resultados de verificação e outros resultados gerados pelos algoritmos ou processos analíticos da Fourthline.

5.4.3 Fundamento jurídico e categorias especiais de dados

O fundamento jurídico para o tratamento dos seus dados pessoais para esta finalidade é a execução do contrato consigo: a conservação dos seus dados de identidade verificados é necessária para prestar o serviço KYC Vault que solicitou. Não são tratadas categorias especiais de dados pessoais exclusivamente para esta finalidade, para além do que já foi recolhido e verificado no âmbito do processo de verificação de identidade descrito na secção 5.1.3.

5.5 Treino e melhoria dos sistemas de IA

5.5.1 Finalidade do tratamento

À medida que os criminosos adotam técnicas cada vez mais sofisticadas para abusar do sistema financeiro, o Grupo Fourthline trabalha continuamente para melhorar a exatidão, a segurança e a fiabilidade dos seus Serviços. Uma parte central deste esforço é o treino e a melhoria dos sistemas de IA que sustentam as nossas capacidades de verificação de identidade e deteção de fraude.

Tanto a Fourthline como a Fourthline Payments utilizam dados pessoais de verificações reais para treinar e melhorar os seus modelos de IA, incluindo modelos para:

• Autenticação de documentos: detetar se um documento de identificação é genuíno ou fraudulento;

• Reconhecimento de documentos: identificar tipos de documentos e extrair os campos relevantes;

• Deteção de vivacidade (liveness): verificar que a pessoa que apresenta o documento está fisicamente presente;

• Reconhecimento facial: comparar uma fotografia selfie com a fotografia de um documento de identificação;

• Deteção de fraude: identificar padrões associados a tentativas de integração fraudulentas.

Este processo envolve analistas humanos (anotadores) que analisam e etiquetam dados de identidade, por exemplo, assinalando regiões de interesse em fotografias de documentos ou avaliando se um documento parece autêntico. Os conjuntos de dados anotados resultantes são depois utilizados para treinar e validar os modelos de IA. O acesso aos dados utilizados para fins de treino é rigorosamente controlado e limitado exclusivamente a pessoal autorizado.

5.5.2 Dados pessoais utilizados

Utilizamos os seguintes dados pessoais para estas finalidades:

• O seu nome próprio, apelido, data de nascimento, local de nascimento e morada;

• As suas fotografias (selfie) e gravações de vídeo;

• O seu documento de identificação, incluindo a fotografia e o vídeo do documento, a zona de leitura ótica (MRZ), a zona de inspeção visual (VIZ), o número do documento, a data de emissão, a data de validade e o país e a autoridade emissores;

• Dados de localização; e

• Metadados técnicos associados à sua sessão de verificação, como o sistema operativo do dispositivo, os detalhes do navegador e os sensores do dispositivo.

5.5.3 Fundamento jurídico

O fundamento jurídico para o tratamento de dados para esta finalidade é um interesse legítimo: o nosso interesse em manter e melhorar Serviços de verificação de identidade seguros, exatos e resistentes à fraude. Tal aplica-se tanto à Fourthline como à Fourthline Payments.

5.6 Marketing e comunicação

5.6.1 Finalidade do tratamento

Podemos utilizar dados pessoais de representantes de Parceiros Comerciais, potenciais clientes empresariais e outros contactos profissionais para enviar informações sobre os nossos produtos, Serviços e novidades, como newsletters, convites para eventos e comunicações semelhantes. Este marketing não é dirigido aos utilizadores finais individuais dos nossos Serviços.

5.6.2 Dados pessoais utilizados

Utilizamos os seguintes dados pessoais para estas finalidades:

• Nome, apelido, endereço de e-mail, cargo.

5.6.3 Fundamento jurídico

O fundamento jurídico para o tratamento de dados pessoais para esta finalidade é o consentimento ou o interesse legítimo, consoante a natureza da comunicação e as regras aplicáveis ao abrigo da legislação neerlandesa em matéria de telecomunicações.

Pode opor-se a qualquer momento à receção de comunicações de marketing utilizando a opção de cancelamento de subscrição nas nossas mensagens ou contactando-nos através de dpo@fourthline.com.

5.7 Cópias de segurança e continuidade do negócio

5.7.1 Finalidade do tratamento

Enquanto instituição de pagamento autorizada, a Fourthline Payments está obrigada, ao abrigo do artigo 12.º do Regulamento relativo à resiliência operacional digital (Regulamento (UE) 2022/2554, "DORA"), a desenvolver, documentar e manter políticas e procedimentos de cópia de segurança para garantir o restabelecimento dos seus sistemas e dados de TIC com o mínimo de tempo de inatividade, perturbação e perda em caso de incidente. A Fourthline cumpre esta obrigação em nome de ambas as entidades no âmbito do seu papel de prestador de serviços de TIC dentro do Grupo Fourthline.

Os dados de cópia de segurança são armazenados em sistemas física e logicamente separados dos sistemas primários, sujeitos aos mesmos controlos de acesso, normas de cifragem e medidas de segurança que os dados originais, e não são utilizados para qualquer finalidade que não seja o restabelecimento e a recuperação. Os procedimentos de cópia de segurança e os métodos de restabelecimento são testados periodicamente, em conformidade com as nossas obrigações de continuidade do negócio em matéria de TIC ao abrigo do DORA.

Os dados de cópia de segurança são conservados durante o mesmo período que os dados originais a que se referem, em conformidade com a nossa Política de Conservação de Informação, e são eliminados quando os dados subjacentes atingem o fim do respetivo período de conservação.

5.7.2 Dados pessoais utilizados

Para cumprir as nossas obrigações ao abrigo do DORA, mantemos cópias de segurança de todos os dados essenciais para o restabelecimento dos nossos Serviços e para o cumprimento das nossas obrigações regulamentares. Tal inclui todos os dados pessoais mencionados no capítulo 5.1.

5.7.3 Fundamento jurídico e categorias especiais de dados

O fundamento jurídico para o tratamento dos dados pessoais mencionados em 5.1 para esta finalidade é uma obrigação jurídica ao abrigo do DORA.

A exceção aplicável ao tratamento de dados biométricos para esta finalidade é um interesse público importante, em consonância com as nossas obrigações em matéria de AML e verificação de identidade.

5.8 Videovigilância (CCTV)

5.8.1 Finalidade do tratamento

A Fourthline opera câmaras de videovigilância nas suas instalações de escritório com a finalidade de proteger as suas instalações, garantir a segurança dos colaboradores, visitantes e bens, e prevenir e detetar acessos não autorizados, furtos ou outros incidentes de segurança. As imagens de videovigilância só são acedidas em caso de incidente de segurança ou mediante pedido legítimo das autoridades policiais.

5.8.2 Dados pessoais utilizados

• Imagens de vídeo e fotografias de pessoas presentes nas instalações da Fourthline, incluindo visitantes e colaboradores.

5.8.3 Fundamento jurídico

O nosso fundamento jurídico para este tratamento é o interesse legítimo, nomeadamente o nosso interesse em proteger as nossas instalações e garantir a segurança das pessoas e bens nelas presentes.

5.9 Vendas e geração de leads

5.9.1 Finalidade do tratamento

A Fourthline trata dados pessoais de representantes de potenciais Parceiros Comerciais no contexto de atividades de vendas, incluindo a identificação e abordagem de potenciais clientes, a resposta a pedidos de informação recebidos, a preparação de propostas comerciais e a gestão do pipeline de vendas. O objetivo é estabelecer novas relações comerciais com instituições financeiras e outras entidades regulamentadas que possam beneficiar dos Serviços da Fourthline.

5.9.2 Dados pessoais utilizados

• Nome, cargo, entidade empregadora e contactos profissionais (endereço de e-mail, número de telefone, perfil LinkedIn, morada profissional) de representantes de potenciais Parceiros Comerciais;

• Registos de interações comerciais, reuniões, chamadas e correspondência; e

• Informações partilhadas pelo potencial Parceiro Comercial no contexto de conversas exploratórias.

5.9.3 Fundamento jurídico

O nosso fundamento jurídico para este tratamento é o interesse legítimo, nomeadamente o nosso interesse em fazer crescer o nosso negócio e identificar organizações que possam beneficiar dos nossos Serviços.

5.10 Gestão e negociação de contratos

5.10.1 Finalidade do tratamento

No contexto da negociação, celebração, execução e gestão de contratos com Parceiros Comerciais, vendedores e fornecedores, a Fourthline trata dados pessoais das pessoas singulares que atuam como pessoas de contacto ou representantes dessas organizações. Tal inclui a gestão da correspondência, a manutenção de registos contratuais e o acompanhamento das obrigações contratuais.

5.10.2 Dados pessoais utilizados

• Nome, cargo e contactos profissionais (endereço de e-mail, número de telefone, morada profissional) das pessoas de contacto nos Parceiros Comerciais, vendedores e fornecedores;

• Correspondência e registos de comunicação relacionados com a negociação e execução de contratos; e

• Assinaturas em contratos e documentos conexos.

5.10.3 Fundamento jurídico

Quando o titular dos dados atua como representante ou pessoa de contacto de uma pessoa coletiva que é parte no contrato, o nosso fundamento jurídico é o interesse legítimo, nomeadamente o nosso interesse em poder executar e administrar as nossas relações contratuais.

5.11 Visitantes do sítio web

5.11.1 Finalidade do tratamento

Quando visita o sítio web da Fourthline, recolhemos determinados dados técnicos e comportamentais para garantir o bom funcionamento do sítio web, analisar a forma como os visitantes interagem com os nossos conteúdos e melhorar a experiência do utilizador. Este tratamento é descrito mais detalhadamente na política de cookies constante da secção 8 desta Declaração de Privacidade.

5.11.2 Dados pessoais utilizados

• Endereço IP e localização aproximada dele derivada;

• Tipo de navegador, sistema operativo e informações do dispositivo;

• Páginas visitadas, tempo passado nas páginas, padrões de cliques e fonte de referência; e

• Identificadores de cookies e dados de rastreio semelhantes (sujeitos a consentimento quando exigido).

5.11.3 Fundamento jurídico

O nosso fundamento jurídico para o tratamento estritamente necessário é o interesse legítimo, nomeadamente o nosso interesse no bom funcionamento e na segurança do nosso sítio web. Para os cookies analíticos e de rastreio, o nosso fundamento jurídico é o consentimento, obtido através do banner de cookies apresentado na sua primeira visita.

6 Decisões automatizadas

O cálculo da sua pontuação de risco e a determinação inicial de se esta requer investigação adicional podem ser efetuados de forma automatizada, incluindo através da utilização de sistemas de IA (ver o capítulo seguinte).

Em determinados casos, a sua verificação pode ser concluída automaticamente sem revisão humana adicional. É o caso quando:

• a sua verificação resulta numa devolução (sendback), o que significa que as fotografias ou os dados submetidos não cumprem os padrões de qualidade exigidos e é convidado a tentar novamente. Uma devolução não constitui uma rejeição e não tem consequências negativas para si;

• não cumpre os requisitos obrigatórios de elegibilidade impostos pela legislação aplicável, como quando se encontra num país sujeito a sanções ou a outras restrições legais. Nesses casos, a Fourthline não toma qualquer decisão: o resultado é uma consequência jurídica direta da legislação aplicável, e a Fourthline não tem qualquer margem de discricionariedade para decidir de outra forma; e

• os serviços financeiros a que se candidata não estão disponíveis no seu país, porque o Parceiro Comercial em causa não os disponibilizou aí. Nesses casos, o resultado reflete o âmbito dos serviços oferecidos pelo Parceiro Comercial, e não uma decisão tomada pela Fourthline a seu respeito pessoalmente.

Em todos os outros casos em que a sua pontuação de risco indique que uma rejeição pode ser justificada, a decisão final é sempre tomada por um analista humano. O artigo 22.º do RGPD, que lhe confere o direito de não ficar sujeito a uma decisão tomada exclusivamente com base no tratamento automatizado, não se aplica às devoluções nem aos resultados impostos por lei, uma vez que estes não produzem efeitos jurídicos negativos a seu respeito ou não constituem uma decisão da Fourthline.

7 Utilização de Inteligência Artificial

Utilizamos inteligência artificial ("IA") no âmbito dos nossos Serviços de verificação de identidade e prevenção de fraude, conforme descrito nas secções 5.1, 5.2 e 5.3. Queremos ser transparentes sobre como isto funciona na prática.

Não utilizamos modelos de linguagem de grande dimensão ("LLM") nem IA generativa, como o ChatGPT, o Gemini ou ferramentas semelhantes, em qualquer parte do nosso processo de verificação de identidade. Os seus dados pessoais não são tratados por, nem utilizados para treinar, qualquer modelo de IA publicamente disponível ou explorado comercialmente. Isto significa que os seus dados pessoais não são introduzidos nem conservados num modelo de IA de uso geral de grande dimensão.

Em vez disso, operamos modelos de IA proprietários de âmbito restrito, cada um desenvolvido internamente para uma tarefa específica e bem definida. Exemplos incluem:

• determinar se um documento de identificação é autêntico;

• verificar que uma selfie corresponde à fotografia de um documento de identificação; ou

• detetar se um vídeo foi gravado ao vivo.

Cada modelo recebe apenas os dados estritamente necessários para a sua tarefa específica e produz um resultado fixo e determinístico, como um resultado aprovado/reprovado ou uma pontuação delimitada. Nenhum modelo é capaz de executar tarefas fora do seu âmbito definido.

Os seus dados são tratados dentro deste ambiente fechado e controlado. Os nossos sistemas de IA são inteiramente alojados internamente e nunca são disponibilizados a terceiros como modelos autónomos. O acesso aos dados pessoais é restrito, registado e regido por controlos rigorosos baseados em funções.

Os resultados da IA servem como sinais dentro de um sistema de verificação mais amplo. Consoante o resultado do processo de verificação, a sua verificação pode ser concluída automaticamente ou encaminhada para revisão por um analista humano qualificado, em conformidade com os nossos procedimentos controlados. Qualquer determinação de adulteração de documento de identificação, spoofing, deepfakes ou outra fraude de identidade é confirmada por esse analista humano qualificado.

8 Menores

Os nossos Serviços não se destinam diretamente a menores (pessoas com menos de 18 anos). No entanto, dependendo da natureza dos serviços financeiros oferecidos por um Parceiro Comercial, podemos tratar dados pessoais de menores, por exemplo, quando um Parceiro Comercial oferece produtos ou serviços financeiros acessíveis a menores e nos solicita que realizemos a verificação de identidade em conformidade. Nesses casos, o tratamento dos dados pessoais do menor realiza-se com os mesmos fundamentos jurídicos e de acordo com os mesmos padrões descritos nesta Declaração de Privacidade.

9 Com quem partilhamos os seus dados e porquê

Só partilhamos os seus dados pessoais quando necessário e garantimos sempre a existência de garantias adequadas. Quando partilhamos dados com entidades fora do EEE, baseamo-nos em decisões de adequação, no Quadro de Privacidade de Dados UE-EUA (EU-US Data Privacy Framework) ou nas Cláusulas Contratuais-Tipo da UE.

9.1 Dentro do Grupo Fourthline

Para efeitos desta Declaração de Privacidade, o Grupo Fourthline inclui duas entidades que partilham dados pessoais entre si para fins operacionais, regulamentares e de reporte. O fundamento jurídico e a natureza dessa partilha dependem do contexto.

9.1.1 Finalidades de verificação de identidade

A Fourthline Payments atua como responsável pelo tratamento para a verificação de identidade e o rastreio AML. Os dados pessoais recolhidos neste contexto são tratados pela Fourthline Payments e partilhados com a Fourthline na medida do necessário para a prestação dos serviços de identidade e verificação, incluindo o fornecimento da infraestrutura técnica e dos serviços de apoio necessários para esse efeito. Neste contexto, a Fourthline atua como subcontratante por conta da Fourthline Payments, ao abrigo de um acordo de serviços intragrupo.

9.1.2 Finalidades de treino de modelos de IA

A Fourthline é responsável pelo desenvolvimento e treino dos sistemas de IA que sustentam os Serviços do Grupo Fourthline (ver 5.2 para mais informações). Para o permitir, os dados pessoais recolhidos pela Fourthline Payments no contexto da verificação de identidade são transferidos para a Fourthline para utilização como dados de treino. Após a receção destes dados, a Fourthline atua como responsável pelo tratamento independente para efeitos de treino de modelos de IA, uma vez que determina de forma independente as finalidades e os meios desse tratamento.

Esta transferência intragrupo é formalizada através de um acordo intragrupo de partilha de dados e é realizada com base no interesse legítimo da Fourthline em manter e melhorar Serviços de verificação de identidade seguros, exatos e resistentes à fraude. A transferência não resulta na utilização dos seus dados pessoais para qualquer finalidade que não as descritas na secção 5.2 desta Declaração de Privacidade.

9.1.3 Garantias

Todas as transferências intragrupo de dados pessoais são regidas por um acordo intragrupo que inclui garantias adequadas de proteção de dados. Os dados pessoais partilhados dentro do Grupo Fourthline estão sujeitos às mesmas medidas de segurança técnicas e organizativas descritas na secção 14 desta Declaração de Privacidade e não são utilizados para qualquer finalidade além das aqui descritas.

9.2 Parceiros Comerciais

Partilhamos os seus dados pessoais com o Parceiro Comercial através do qual está a ser integrado, na medida do necessário para a prestação dos nossos Serviços e para as obrigações regulamentares do próprio Parceiro Comercial.

9.3 Autoridades públicas e reguladores

Enquanto instituição de pagamento autorizada, a Fourthline Payments está sujeita à supervisão do Banco Central dos Países Baixos (De Nederlandsche Bank, DNB) e de outras autoridades competentes. Tanto a Fourthline como a Fourthline Payments podem ser obrigadas ou autorizadas a partilhar os seus dados pessoais com as seguintes entidades:

• Autoridades de supervisão e reguladoras, incluindo o DNB enquanto autoridade de supervisão prudencial da Fourthline Payments, a Autoridade neerlandesa dos Mercados Financeiros (Autoriteit Financiële Markten, AFM), outros organismos de supervisão nacionais no EEE quando exigido pela legislação aplicável, e autoridades de proteção de dados, incluindo a Autoridade neerlandesa de Proteção de Dados (Autoriteit Persoonsgegevens);

• Autoridades judiciais e de investigação, incluindo tribunais, organismos de arbitragem e mediação, ministério público e autoridades policiais, mediante pedido legítimo ou no contexto de processos judiciais;

• Autoridades de informação financeira, incluindo a Unidade de Informação Financeira neerlandesa (FIU-Nederland), na medida em que sejamos obrigados a comunicar operações invulgares ao abrigo da Wwft;

• Profissionais jurídicos e financeiros, como advogados, administradores fiduciários ou auditores, quando a divulgação seja exigida por lei ou necessária em relação com o acima exposto.

Só divulgaremos os seus dados pessoais às entidades acima referidas na medida exigida ou permitida pela legislação aplicável e exclusivamente para as finalidades para as quais essa divulgação seja juridicamente justificada.

9.4 Prestadores de serviços terceiros (subcontratantes)

Trabalhamos com prestadores de serviços terceiros que tratam dados pessoais por nossa conta. Só partilhamos os dados pessoais necessários para o serviço específico que prestam.

9.5 Transferências de negócio

Em caso de fusão, aquisição ou venda (de parte) do negócio do Grupo Fourthline, os dados pessoais podem ser transferidos no âmbito dessa operação. Nesse caso, atualizaremos a nossa Declaração de Privacidade em conformidade.

10 Cookies

Os nossos Sítios Web utilizam cookies e tecnologias semelhantes (em conjunto: "cookies") para melhorar a sua experiência, analisar a utilização e apoiar integrações de terceiros. Quando visita os nossos Sítios Web pela primeira vez, é-lhe apresentado um banner de cookies que lhe permite aceitar, rejeitar ou gerir os cookies não essenciais. Os cookies estritamente necessários são instalados sem consentimento, uma vez que são indispensáveis ao funcionamento do Sítio Web.

Consulte a nossa Política de Cookies (www.fourthline.com/cookie-policy) para mais informações sobre os cookies que utilizamos.

11 Os seus direitos

O RGPD confere-lhe um conjunto de direitos relativamente aos seus dados pessoais. Explicamos abaixo cada direito, quando se aplica e quando pode ser limitado. Para exercer qualquer um destes direitos, contacte-nos através de dpo@fourthline.com e indique-nos o Parceiro Comercial através do qual foi integrado utilizando os nossos serviços de verificação de identidade. Procuramos responder no prazo de um mês. Em alguns casos, podemos recusar o seu pedido, informando-o do motivo dentro de um prazo razoável, quando legalmente permitido. Por favor, não nos envie uma cópia não ocultada do seu documento de identificação por e-mail normal.

11.1 Direito de oposição

Tem o direito de se opor ao tratamento dos seus dados pessoais baseado no nosso interesse legítimo. Avaliaremos se os nossos interesses legítimos prevalecem sobre os seus interesses ou direitos e liberdades fundamentais.

Tem igualmente o direito de se opor a qualquer momento à utilização dos seus dados pessoais para fins de marketing direto. Cessaremos imediatamente o tratamento dos seus dados para essa finalidade após a receção da sua oposição.

Não pode opor-se a um tratamento baseado numa obrigação jurídica. Se estivermos legalmente obrigados a tratar os seus dados, a sua oposição não resultará na cessação desse tratamento.

11.2 Direito de acesso

Tem o direito de solicitar uma visão geral dos dados pessoais que detemos a seu respeito e da forma como os tratamos.

Podemos restringir o acesso quando a sua concessão prejudique os direitos e liberdades de terceiros, ou quando estejamos legalmente impedidos de divulgar determinadas informações, por exemplo, no contexto de uma investigação de fraude em curso ou de uma obrigação de comunicação em matéria de AML.

11.3 Direito de retificação

Se os seus dados pessoais estiverem incorretos ou incompletos, tem o direito de solicitar que os corrijamos ou completemos. Quando tivermos partilhado dados incorretos com terceiros, notificá-los-emos da correção.

Os dados pessoais contidos em registos apenas de leitura, como registos de auditoria e rastos de ações, não podem ser alterados na sequência de um pedido de retificação.

11.4 Direito ao apagamento

Tem o direito de solicitar que apaguemos os seus dados pessoais quando:

• deixemos de necessitar deles para a finalidade para a qual foram recolhidos;

• retire o seu consentimento e não exista outro fundamento jurídico para o tratamento;

• se oponha ao tratamento baseado no interesse legítimo e não existam motivos prevalecentes;

• o tratamento seja ilícito; ou

• o apagamento seja exigido pelo direito da UE ou nacional.

Este direito não se aplica quando o tratamento é necessário para o cumprimento de uma obrigação jurídica. Em particular, a Fourthline Payments está legalmente obrigada a conservar os seus dados pessoais durante cinco anos após o fim da nossa relação de negócio ou cinco anos após a execução de uma operação, nos termos da Wwft. Em casos de fraude, podemos conservar dados pessoais relativos a uma infração durante um período máximo de oito anos. Nesses casos, informá-lo-emos de que não podemos satisfazer o seu pedido de apagamento e explicaremos porquê. Os dados pessoais em registos apenas de leitura, como registos de auditoria, não podem ser eliminados na sequência de um pedido de apagamento.

11.5 Direito à limitação do tratamento

Tem o direito de solicitar que limitemos o tratamento dos seus dados pessoais quando:

• conteste a exatidão dos seus dados (durante o período necessário para a verificarmos);

• o tratamento seja ilícito mas prefira a limitação ao apagamento;

• deixemos de necessitar dos dados mas necessite deles para ações judiciais; ou

• se tenha oposto ao tratamento e estejamos a avaliar se os nossos interesses legítimos prevalecem sobre os seus.

11.6 Direito de portabilidade dos dados

Tem o direito de receber os seus dados pessoais num formato estruturado, de uso corrente e de leitura automática, e de os transmitir a outro responsável pelo tratamento, quando:

• o tratamento se baseie no consentimento ou na execução de um contrato; e

• o tratamento seja realizado por meios automatizados.

Este direito não se aplica ao tratamento baseado numa obrigação jurídica ou no interesse legítimo. Uma vez que a maior parte do nosso tratamento de dados de Clientes se baseia numa obrigação jurídica, este direito terá, na prática, uma aplicação limitada no contexto dos nossos Serviços.

11.7 Direitos relacionados com decisões automatizadas

Quando são utilizados sistemas automatizados para tomar decisões que o afetem significativamente, tem o direito de obter uma revisão humana da decisão, de manifestar o seu ponto de vista e de contestar a decisão. Consulte a secção 8 para mais informações sobre a existência de decisões automatizadas.

11.8 Direito de retirar o consentimento

Quando tratamos os seus dados pessoais com base no consentimento, tem o direito de retirar o seu consentimento a qualquer momento. A retirada não afeta a licitude do tratamento efetuado antes da retirada.

11.9 Direito de apresentar reclamação

Se não estiver satisfeito com a forma como tratamos os seus dados pessoais, pode:

• contactar o nosso Encarregado da Proteção de Dados através de dpo@fourthline.com; ou

• apresentar uma reclamação junto da Autoridade neerlandesa de Proteção de Dados (Autoriteit Persoonsgegevens) em www.autoriteitpersoonsgegevens.nl, que é a nossa autoridade de controlo principal, ou junto da autoridade de proteção de dados do seu país de residência.

12 O seu dever de fornecer dados

Existem determinadas informações que a Fourthline Payments está legalmente obrigada a recolher a seu respeito antes de podermos estabelecer uma relação consigo enquanto Cliente, a fim de cumprir as nossas obrigações ao abrigo da Wwft. Sem estes dados, poderemos não conseguir prestar-lhe os nossos Serviços ou celebrar um contrato consigo.

13 Durante quanto tempo conservamos os seus dados pessoais

O Grupo Fourthline armazena e trata os seus dados pessoais apenas durante o tempo necessário para cumprir as nossas obrigações ao abrigo do contrato consigo, ou durante o tempo em que a lei nos obriga a conservar esses dados. A Fourthline Payments está legalmente obrigada a conservar os seus dados pessoais relativos à sua integração como Cliente durante cinco anos após a cessação da nossa relação de negócio consigo, ou cinco anos após a execução de uma operação, nos termos da Lei neerlandesa de prevenção do branqueamento de capitais e do financiamento do terrorismo (Wet ter voorkoming van witwassen en financieren van terrorisme). Podem existir circunstâncias (como fraude, requisitos de combate ao branqueamento de capitais, investigação das autoridades policiais ou exercício de ações judiciais) em que sejamos obrigados a conservar os seus dados pessoais durante ainda mais tempo. Em casos de fraude, podemos conservar os seus dados pessoais relativos a uma infração durante um período máximo de oito anos.

14 Como protegemos os seus dados pessoais

O Grupo Fourthline aplica um quadro de políticas internas, procedimentos e medidas técnicas e organizativas para manter os seus dados em segurança. Tal inclui:

• políticas de sala limpa e controlos de acesso rigorosos;

• cifragem e pseudonimização quando adequado;

• testes e avaliações regulares das medidas de segurança, incluindo testes de cópia de segurança e restabelecimento;

• acordos de confidencialidade para todos os colaboradores com acesso a dados pessoais;

• separação das instalações de cópia de segurança do armazenamento primário de dados.

Apesar dos nossos melhores esforços, nenhuma transmissão de dados pela internet pode ser garantida como totalmente segura. Qualquer transmissão para os nossos Sítios Web é feita por sua conta e risco. Uma vez recebidos os seus dados, aplicamos controlos rigorosos para impedir o acesso não autorizado.

15 Como pode ajudar a manter os seus dados em segurança

Pode ajudar a proteger os seus dados pessoais:

• utilizando software de proteção de terminais atualizado (como antivírus) e proteção de rede (como firewalls);

• escolhendo palavras-passe fortes e autenticação multifator quando disponível, e mantendo-as confidenciais;

• protegendo os seus documentos de identificação físicos, dispositivos e instrumentos de pagamento;

• mantendo-se atento ao utilizar serviços online onde possam ocorrer atividades ou tentativas invulgares ou fraudulentas contra os seus dados.

16 Contacte-nos

Para quaisquer questões sobre esta Declaração de Privacidade ou sobre a forma como tratamos os seus dados pessoais, ou para solicitar uma cópia das nossas garantias para transferências internacionais, contacte o nosso Encarregado da Proteção de Dados:

dpo@fourthline.com

Tenha em atenção que este endereço de e-mail está reservado exclusivamente a questões de privacidade de dados. Todas as outras mensagens não serão processadas.

Esta é uma tradução da Declaração de Privacidade em inglês. Para a terminologia jurídica, consulte a versão inglesa, que prevalece em caso de qualquer discrepância. Versão: outubro de 2026.