Política de privacidade, Tratamento e Proteção de Dados Pessoais

A Credix — Intermediários de Crédito e de Seguros, Lda., adiante «Credix», NIPC 519086066, com sede na Rua Hernâni Torres, 243, 4200-320 Porto, é responsável pelos tratamentos de dados pessoais cujas finalidades e meios determina no âmbito do website www.credix.pt e dos seus serviços de intermediação de crédito. 

Para questões de privacidade e exercício de direitos, pode contactar a Credix através de info@credix.pt, por carta para a sede ou pelo telefone 220 920 999 (chamada para a rede fixa nacional). A identificação societária complementar consta dos Termos e Condições de Utilização. 

A Credix encontra-se registada no Banco de Portugal como intermediário de crédito vinculado, sob o número 0008639. A informação específica sobre a atividade consta do documento «Intermediação de crédito», acessível pela ligação relativa ao registo no cabeçalho do website. 

A presente Política descreve os tratamentos de dados pessoais e os direitos dos titulares, nos termos do Regulamento (UE) 2016/679 (Regulamento Geral sobre a Proteção de Dados — RGPD), da Lei n.º 58/2019, de 8 de agosto, e da demais legislação aplicável. 

1. Objetivo e âmbito 

Esta Política aplica-se à utilização do website, dos formulários, simuladores e diagnósticos, aos pedidos de informação ou contacto e à análise, preparação, apresentação e acompanhamento de processos de crédito. Abrange os contactos diretos, os pedidos legitimamente encaminhados por plataformas ou parceiros e as comunicações por telefone, correio eletrónico, videoconferência ou aplicações de mensagens disponibilizadas pela Credix. 

Esta Política abrange igualmente os dados apresentados em candidaturas a oportunidades profissionais na Credix, incluindo candidaturas espontâneas, nos termos específicos previstos para o recrutamento e a seleção. 

Os dados são tratados para finalidades determinadas e na medida adequada e necessária a cada pedido ou obrigação. A informação específica apresentada junto dos formulários, canais de contacto ou serviços complementa esta Política. 

A Credix atua como responsável pelo tratamento nas operações cujas finalidades e meios determina e como subcontratante nas operações que executa por conta e segundo instruções de uma instituição de crédito. A qualidade em que intervém, o banco responsável e a informação específica do circuito são identificados no âmbito do pedido, conforme o ponto 6.1. Os dois regimes não se confundem pelo facto de os dados respeitarem ao mesmo cliente. 

A consulta do website, a aceitação dos Termos e Condições ou a confirmação de leitura desta Política não constituem consentimento genérico para o tratamento de dados. Os tratamentos necessários ao serviço solicitado ou fundados em obrigação legal ou interesse legítimo não dependem de consentimento quando esse não seja o fundamento aplicável. O consentimento é solicitado separadamente nos casos em que seja necessário. 

2. Privacidade, segurança e responsabilidade 

A Credix adota medidas técnicas e organizativas adequadas ao risco do tratamento, à natureza dos dados e aos meios utilizados, nomeadamente medidas de controlo de acesso, confidencialidade e proteção da informação. O acesso aos processos é limitado às pessoas e entidades cuja intervenção seja necessária e autorizada; os prestadores que atuem por conta da Credix ficam sujeitos às obrigações aplicáveis aos subcontratantes. 

As pessoas com acesso autorizado ficam sujeitas aos deveres de confidencialidade, sigilo profissional e, quando aplicável, sigilo bancário. Estes deveres subsistem após a cessação das funções ou da colaboração. Nos circuitos bancários são respeitadas as instruções de segurança e as restrições de acesso, armazenamento, cópia e transmissão aplicáveis à informação em causa. 

A adoção de medidas de segurança não constitui garantia de invulnerabilidade dos sistemas, de disponibilidade ininterrupta ou de eliminação absoluta de falhas, acessos ilícitos ou incidentes informáticos. Perante indícios objetivos de fraude ou risco, a Credix pode limitar temporariamente os acessos ou transmissões afetados, na medida necessária à proteção dos dados e dos sistemas. 

O utilizador deve manter os seus contactos atualizados, proteger os equipamentos e os meios de autenticação que utiliza e confirmar o destinatário antes de enviar informação. Não deve transmitir palavras-passe, códigos de acesso bancário ou códigos de autenticação. A documentação de identificação e financeira deve ser enviada pelos canais indicados pela Credix, e não em comentários públicos ou campos de conversa não destinados a esse fim. 

Os incidentes de segurança são avaliados e tratados segundo as obrigações legais aplicáveis, nomeadamente a notificação à autoridade de controlo e a comunicação aos titulares quando legalmente exigidas. Quando envolvam operações realizadas por conta de um mutuante ou informação sujeita às suas instruções, a Credix comunica-lhe o incidente sem demora e observa os prazos e procedimentos contratuais aplicáveis, além dos deveres legais que lhe caibam. 

A responsabilidade da Credix por danos é apreciada nos termos do RGPD e da legislação aplicável. A Credix beneficia da isenção de responsabilidade quando demonstre que o facto que deu origem aos danos não lhe é, de modo algum, imputável, nos termos do artigo 82.º, n.º 3, do RGPD. Esta delimitação aplica-se, designadamente, a factos do utilizador ou de terceiros que preencham esse requisito. 

Nenhuma disposição desta Política ou dos Termos e Condições afasta os deveres legais da Credix, as regras legais de responsabilidade e de prova ou os direitos dos titulares que não possam ser limitados por acordo. 

3. Recolha de dados pessoais 

3.1. Dados recolhidos diretamente 

A consulta dos conteúdos públicos não exige, em regra, a identificação nominal do visitante, sem prejuízo dos dados técnicos associados à navegação. A recolha identificada ocorre quando o utilizador apresenta um pedido, utiliza uma funcionalidade que a exija, envia documentação ou contacta a Credix. 

Consoante a finalidade e a fase do pedido, podem ser tratados dados de identificação e contacto; composição do agregado familiar; situação profissional; rendimentos, despesas e responsabilidades financeiras; documentação de suporte; elementos sobre o financiamento pretendido ou existente, o imóvel e as garantias; e comunicações, instruções e informação sobre a tramitação do processo. 

Podem também ser tratados endereço IP, data e hora de acesso, dispositivo, navegador, registos técnicos ou de erro e preferências de cookies, de acordo com as finalidades de funcionamento e segurança e com as escolhas aplicáveis às tecnologias não essenciais. 

A recolha é faseada. A documentação exigida para um processo de crédito não é, por esse motivo, necessária para um simples pedido de informação. A solicitação de mapas de responsabilidades de crédito ou de outros documentos não confere à Credix acesso geral a contas ou bases de dados do titular. 

Os mutuantes podem, no âmbito da análise do pedido e das suas competências, consultar bases de dados legalmente admissíveis, incluindo a Central de Responsabilidades de Crédito do Banco de Portugal. Essas consultas são realizadas sob a responsabilidade da entidade competente e segundo a informação que esta presta; não conferem à Credix acesso autónomo ou irrestrito a essas bases. 

Os formulários gerais não se destinam à recolha de dados de saúde ou de outras categorias especiais de dados. A eventual necessidade desses dados numa operação específica exige informação própria e uma condição de licitude ao abrigo do artigo 9.º do RGPD, além do fundamento geral aplicável. Não devem ser enviados dados desta natureza que sejam desnecessários ao pedido. 

3.2. Dados recebidos de plataformas, parceiros ou outros intervenientes 

A Credix pode receber dados de contacto e informação sobre um pedido apresentado através de plataformas, como CréditoCasa.pt, de parceiros ou de representantes com poderes para o efeito. Pode ainda receber informação dos mutuantes e de outros intervenientes legitimados no processo. 

Quando os dados não sejam recolhidos diretamente junto do titular, a informação prestada pela Credix identifica a origem concreta, as categorias de dados recebidas, as finalidades, o fundamento e os restantes elementos exigidos pelo artigo 14.º do RGPD. Essa informação é disponibilizada no prazo legal: até um mês após a obtenção, ou, se ocorrer antes, na primeira comunicação com o titular ou na primeira divulgação a outro destinatário, salvo exceção legal aplicável. 

A Credix pode solicitar ao remetente ou ao titular os esclarecimentos necessários para verificar a origem, a legitimidade da transmissão e o objeto do pedido. Se o titular não reconhecer o contacto ou forem detetadas inconsistências, a utilização dos dados para dar seguimento ao pedido pode ser suspensa até ao esclarecimento da situação. A informação que não tenha fundamento válido de conservação é eliminada. 

O encaminhamento de um contacto não constitui autorização geral para marketing, nem habilita o remetente a receber documentação financeira ou informação reservada sobre o processo. 

3.3. Dados necessários, exatidão e informação de terceiros 

Os campos indispensáveis são identificados no respetivo ponto de recolha. A falta de dados ou documentos necessários, a entrega tardia ou a existência de informação inexata ou inconsistente pode impedir o contacto, afetar uma simulação ou inviabilizar a análise ou o prosseguimento das diligências que deles dependam. Os campos facultativos podem permanecer por preencher. 

O utilizador é responsável pela veracidade, exatidão, atualidade e completude dos elementos que fornece e deve comunicar alterações relevantes. A Credix pode solicitar confirmações, documentos ou esclarecimentos proporcionais ao pedido e à necessidade de verificar a informação. 

Quem apresente dados de cotitulares, fiadores, representantes ou outras pessoas deve dispor de fundamento legítimo e, quando necessário, dos respetivos poderes de representação, cuja comprovação pode ser solicitada. A Credix presta a informação devida a esses titulares. A participação num processo comum não confere acesso irrestrito a todos os dados dos restantes intervenientes. 

A apresentação de dados, documentos ou declarações de terceiro não dispensa a verificação da legitimidade do envio nem substitui as autorizações específicas exigíveis ao próprio titular. A Credix pode suspender a diligência que dependa dessa confirmação até receber os elementos adequados. 

4. Finalidades do tratamento 

4.1. Pedidos e prestação de serviços 

Os dados podem ser tratados, consoante o pedido e o fundamento aplicável, para: 

a) responder a pedidos de informação, contacto ou esclarecimento e realizar simulações, diagnósticos e análises preliminares; 

b) prestar os serviços de intermediação solicitados e preparar, instruir, apresentar e acompanhar processos junto dos mutuantes; 

c) gerir as comunicações, instruções e documentação necessárias à tramitação do pedido e à organização administrativa do serviço; 

d) cumprir obrigações legais e de supervisão, responder às autoridades competentes e tratar reclamações e pedidos de exercício de direitos; 

e) proteger pessoas, dados e sistemas, verificar a legitimidade de pedidos, prevenir fraude e utilizações abusivas e investigar incidentes; 

f) conservar os elementos necessários para demonstrar diligências realizadas, instruções recebidas e cumprimento de obrigações, bem como declarar, exercer ou defender direitos. 

g) gerir os registos administrativos e contabilísticos da prestação do serviço e da remuneração devida pelos mutuantes, verificar a qualidade da instrução dos processos e responder a controlos ou auditorias legitimamente aplicáveis, com limitação aos dados necessários e respeito pelo sigilo. 

A conservação de prova pode abranger pedidos, comunicações relevantes, documentos entregues, registos de envio ou receção, consentimentos e oposições, na medida necessária e durante os períodos previstos no ponto 7. 

Quando uma operação seja executada por conta de um banco, o seu objeto, finalidade e duração são definidos pelas instruções desse responsável e pelo acordo aplicável. A descrição das finalidades próprias da Credix não autoriza a utilização autónoma dos dados sujeitos a esse regime. 

4.2. Comunicações sobre o pedido e marketing 

As comunicações necessárias para responder a um pedido ou acompanhar um processo podem ser efetuadas pelos contactos disponibilizados, através de canais adequados, como telefone, correio eletrónico, SMS, videoconferência ou WhatsApp. O titular pode indicar o canal preferido, sem prejuízo das formas de comunicação legalmente exigidas. 

As newsletters e outras comunicações promocionais apenas são enviadas quando exista uma subscrição válida e específica. Um pedido de simulação, análise ou acompanhamento não implica a inscrição automática em marketing. O contacto relativo ao pedido é distinto de uma campanha promocional alheia à sua finalidade. 

Um pedido expresso de contacto numa data posterior pode ser registado e acompanhado para a finalidade indicada pelo titular. Não é confundido com uma subscrição de campanhas, nem permite conservar documentação financeira desnecessária. Os contactos provenientes de circuitos bancários sujeitos a instruções não são incorporados numa base comercial própria apenas por terem passado pela Credix. 

4.3. Candidaturas e recrutamento 

A Credix trata os dados apresentados em candidaturas a oportunidades profissionais, incluindo candidaturas espontâneas, para apreciar a adequação dos candidatos às funções, estabelecer os contactos necessários, organizar entrevistas e gerir o processo de recrutamento e seleção. 

Para estas finalidades, podem ser tratados o nome, os contactos, o currículo, as habilitações e qualificações, a experiência profissional, a disponibilidade e outros elementos pertinentes para as funções, bem como as comunicações e os registos de avaliação necessários ao processo. A recolha é limitada à informação adequada à fase da candidatura. Não devem ser enviados dados sobre a vida privada, saúde ou outras informações sem pertinência para a função ou sem fundamento legal para o respetivo tratamento. 

O acesso é limitado às pessoas autorizadas que intervenham na seleção e aos prestadores que, quando utilizados, apoiem legitimamente esse processo ou os sistemas que o suportam, nos termos do ponto 6.2. A apresentação de uma candidatura não determina a sua comunicação automática a mutuantes, parceiros comerciais ou outras empresas. 

Os dados dos candidatos não são utilizados, por esse motivo, para campanhas comerciais ou pedidos de crédito. A conservação do currículo e dos contactos para consideração em futuras oportunidades fica sujeita a uma opção específica e facultativa do candidato, nos termos dos pontos 5 e 7.2. A recusa ou retirada dessa opção não prejudica a apreciação da candidatura em curso. 

Em caso de contratação, os dados necessários passam a integrar a gestão da relação profissional, de acordo com a informação específica disponibilizada ao titular. Os demais elementos seguem os critérios de conservação e eliminação aplicáveis à candidatura. 

A apresentação de uma candidatura não constitui promessa de contratação. Mantêm-se os direitos do candidato e os deveres legais aplicáveis ao recrutamento. 

5. Fundamentos de licitude 

O fundamento do tratamento é determinado pela finalidade concreta. O quadro seguinte identifica as situações abrangidas por esta Política: 

O quadro respeita aos tratamentos pelos quais a Credix é responsável. Nas operações executadas como subcontratante, a Credix atua segundo as instruções do banco, a quem compete determinar o fundamento e prestar a informação aplicável, com a assistência devida pela Credix. 

O tratamento fundado em interesse legítimo é limitado ao que seja necessário e proporcional, após ponderação dos direitos e interesses dos titulares. Os tratamentos sujeitos a obrigações específicas são limitados às finalidades e aos elementos abrangidos por essas obrigações. 

A alínea b) do artigo 6.º, n.º 1, não é aplicada automaticamente aos dados de uma pessoa apenas porque a Credix celebrou um contrato com um banco. Para representantes e outros intervenientes, é identificado o fundamento adequado à sua participação: relação de que sejam parte, obrigação jurídica ou interesse legítimo concretamente ponderado. 

O consentimento pode ser retirado a qualquer momento, gratuitamente, sem afetar a licitude do tratamento anteriormente realizado com base nesse consentimento. A recusa ou retirada do consentimento para marketing não impede a prestação do serviço solicitado. As comunicações promocionais incluem um meio simples de recusa. 

A retirada do consentimento ou a desistência do pedido não determina a eliminação automática dos elementos cujo tratamento continue necessário ao cumprimento de uma obrigação legal ou a outra finalidade com fundamento autónomo já aplicável, nomeadamente a prova ou defesa de direitos, nos limites do ponto 7. 

6. Partilha de informação com terceiros 

6.1. Mutuantes, funções da Credix e declarações específicas 

No âmbito do serviço solicitado, os dados e documentos necessários podem ser comunicados aos mutuantes destinatários do pedido, para análise, preparação e tramitação da operação. A identificação dos mutuantes com quem a Credix mantém vínculo consta da Informação de Intermediação de Crédito. A existência de vínculo não implica o envio automático do processo a todos os bancos. 

Nas operações próprias de análise, decisão, contratação e gestão do financiamento, cada mutuante determina os seus tratamentos e atua como responsável. A Credix não decide a concessão ou recusa de crédito nem define os critérios autónomos do banco. O titular recebe a informação aplicável sobre o destinatário e o circuito de apresentação do pedido. 

Em determinados circuitos de recolha, preparação, transmissão ou tratamento de informação bancária, a Credix atua por conta do banco, como subcontratante, segundo instruções documentadas. Nessas operações, não define finalidades próprias, não reutiliza os dados para marketing ou outros bancos sem fundamento e habilitação específicos e respeita as regras de devolução ou eliminação previstas no ponto 7.3. 

A mesma pessoa pode ter uma relação direta com a Credix e um processo num banco. A conservação e utilização de dados para uma finalidade própria da Credix exigem fundamento autónomo efetivo, informação ao titular e delimitação dos registos; não resultam da mera existência de uma cópia no CRM nem permitem contornar as instruções de eliminação do circuito bancário. 

Antes das operações que o exijam, são recolhidas e documentadas as declarações específicas de autorização de transmissão ou de troca de informação, de consentimento e de levantamento de sigilo aplicáveis ao banco destinatário. A finalidade, as entidades abrangidas e o alcance constam do respetivo documento. Esta Política e a sua leitura não substituem essas declarações. 

As autorizações operacionais ou relativas ao sigilo são distintas do consentimento como fundamento do RGPD e do consentimento para marketing. A recusa ou retirada de uma autorização necessária a uma operação concreta pode impedir a apresentação ou continuação desse circuito, nos termos explicados ao titular; não autoriza utilizações alheias ao pedido nem afeta direitos ou tratamentos com outro fundamento legalmente aplicável. 

A comunicação a seguradoras ou outras entidades intervenientes apenas ocorre quando seja necessária ao pedido e exista fundamento adequado. O envio de dados para intermediação de crédito não constitui autorização genérica para a contratação ou promoção de outros serviços. 

6.2. Prestadores de serviços, autoridades e apoio profissional 

Podem intervir prestadores de alojamento e manutenção do website, gestão de contactos e processos (CRM), arquivo documental, comunicações, segurança ou gestão de consentimentos. Quando tratem dados por conta da Credix, ficam sujeitos a instruções e a obrigações contratuais adequadas, nos termos do artigo 28.º do RGPD. A qualificação de cada entidade depende das funções que efetivamente exerce. 

Quando esses prestadores intervenham em operações realizadas por conta de um banco, a sua utilização depende também das autorizações e condições de subcontratação ulterior e de utilização de sistemas exigíveis nesse circuito. A contratação de um CRM, serviço de alojamento ou plataforma de mensagens pela Credix não substitui a autorização do banco quando esta seja necessária. 

Os dados necessários podem ainda ser comunicados a autoridades de supervisão, administrativas ou judiciais, tribunais, entidades de resolução de litígios, advogados e outros profissionais de apoio, quando exista uma obrigação aplicável ou seja necessário exercer ou defender direitos. Podem ser disponibilizados elementos estritamente pertinentes aos mutuantes e a auditores legitimados para controlo do serviço e cumprimento de obrigações, com respeito pelo sigilo, pelas instruções aplicáveis e pelos dados de terceiros. Cada transmissão é limitada à finalidade que a justifica. 

Os parceiros que encaminhem contactos não adquirem, por esse facto, acesso ao processo. Qualquer informação de retorno exige fundamento próprio e é limitada ao conteúdo necessário, com informação ao titular. 

6.3. Plataformas de mensagens e serviços autónomos de terceiros 

O contacto através do WhatsApp ou de outra plataforma externa envolve o tratamento efetuado pela Credix e os tratamentos realizados pelo fornecedor da plataforma, de acordo com as respetivas funções. O titular pode utilizar outro canal disponibilizado pela Credix. 

Os canais utilizados para documentação financeira e de identificação dependem da operação e das restrições do destinatário. A disponibilidade de um contacto por WhatsApp ou de uma ferramenta de conversa não significa que esse canal esteja autorizado para todos os documentos de todos os bancos. 

A Credix não gere os websites e serviços explorados autonomamente por terceiros nem garante as práticas que estes determinem para finalidades próprias. A mera disponibilização de uma ligação não transforma esses tratamentos autónomos em tratamentos realizados por conta da Credix. Os prestadores que atuem efetivamente por conta da Credix estão sujeitos ao regime do ponto 6.2. 

Devem ser consultadas as políticas das plataformas utilizadas. A escolha de um canal não constitui autorização para finalidades incompatíveis, nem afasta a delimitação legal de responsabilidade prevista no ponto 2. 

6.4. Transferências internacionais 

As transferências de dados pessoais para fora do Espaço Económico Europeu, no âmbito dos tratamentos pelos quais a Credix é responsável, ficam sujeitas aos requisitos do capítulo V do RGPD, designadamente à existência de uma decisão de adequação aplicável ou de garantias adequadas à transferência. 

Quando aplicável, a informação específica prestada ao titular identifica as transferências relevantes, os países de destino e o mecanismo utilizado. O titular pode solicitar informação sobre as garantias aplicáveis e os meios de obter cópia das mesmas através de info@credix.pt. 

Os tratamentos que os mutuantes realizem autonomamente são descritos nas respetivas políticas de privacidade. 

7. Conservação dos dados pessoais 

7.1. Finalidade, âmbito e início da contagem 

A Credix conserva os dados pelo prazo legalmente exigido ou pelo período necessário à finalidade aplicável. O encerramento, a recusa ou a desistência de um processo não determinam a eliminação dos elementos cuja conservação seja legítima e necessária para comprovar obrigações, diligências ou instruções e exercer ou defender direitos. 

Os prazos da tabela seguinte respeitam aos dados cuja conservação a Credix determina como responsável pelo tratamento. Não constituem autorização para manter cópias de informação sujeita a instruções de um banco, para a qual prevalecem as regras de eliminação ou devolução descritas no ponto 7.3, ressalvadas as imposições legais aplicáveis. 

Salvo prazo legal obrigatório, os períodos indicados são limites da política de conservação e não uma obrigação de guardar todos os dados até ao seu termo. O arquivo é limitado aos elementos pertinentes; dados desnecessários, duplicados ou sem fundamento válido são eliminados antes. O encerramento corresponde à conclusão, recusa, desistência ou cessação efetiva do acompanhamento solicitado, não ao fim do empréstimo nem ao termo do contrato de vinculação com o banco. 

7.2. Prazos dos tratamentos próprios da Credix 

7.3. Dados abrangidos por regras bancárias específicas de eliminação 

Nos tratamentos por conta de um banco e nas operações sujeitas a obrigações contratuais específicas de arquivo, a Credix respeita as instruções lícitas e o acordo aplicável, mesmo quando intervenha como responsável num tratamento distinto. Pode ser exigida eliminação após a transmissão, após o processamento, no termo do serviço ou na cessação do contrato de vinculação, antes dos limites da tabela. A qualificação como responsável não afasta, por si só, essas obrigações. 

Quando deva eliminar ou devolver os dados e respetivas cópias, a Credix cumpre essa instrução e documenta a execução nos termos aplicáveis. A mera possibilidade de um contacto comercial futuro, o interesse em manter um histórico completo ou os prazos gerais de arquivo desta Política não afastam esse dever. 

A conservação de elementos sujeitos a eliminação por imposição de direito da União ou nacional é limitada à obrigação concreta, aos dados necessários e ao respetivo prazo. A Credix identifica o fundamento e comunica-o ao banco e cumpre as formalidades de informação, autorização ou preservação que sejam aplicáveis, sem que o acordo entre as partes dispense ou substitua a lei. As cópias legitimamente retidas ficam isoladas da utilização corrente e sujeitas a acesso restrito e proteção adequada. 

A existência de dados coincidentes num tratamento próprio, recolhidos e conservados de forma autónoma e legítima, exige delimitação efetiva da origem, finalidade e responsabilidade. Não permite duplicar um arquivo bancário sujeito a eliminação nem qualificá-lo unilateralmente como arquivo próprio apenas para o manter. 

7.4. Conservação excecional e prova de direitos 

Os prazos dos tratamentos próprios não prejudicam a preservação exigida por lei ou ordem de autoridade, ou a necessidade concreta de comprovar obrigações e declarar, exercer ou defender direitos. Nos termos do artigo 21.º, n.º 3, da Lei n.º 58/2019, os elementos necessários podem ser conservados enquanto não decorrer a prescrição dos direitos correspondentes. 

Quando efetivamente aplicável ao direito em causa, o prazo ordinário de prescrição pode ser de vinte anos. A contagem obedece às regras legais, incluindo os acontecimentos iniciais e eventuais causas de suspensão ou interrupção. A Credix identifica e documenta o direito ou obrigação, os elementos probatórios essenciais e o critério de termo; não se aplica um prazo uniforme de vinte anos a todos os processos ou documentos. 

Em caso de reclamação, investigação ou procedimento administrativo ou judicial, os elementos relevantes podem ser preservados durante a tramitação e pelo período necessário às consequências legais da decisão. A necessidade é revista periodicamente. Esta possibilidade não autoriza retenção unilateral de dados sujeitos às regras bancárias específicas em violação do ponto 7.3. 

7.5. Arquivo restrito, eliminação e cópias de segurança 

Os dados conservados exclusivamente para prova ou cumprimento de obrigações ficam separados da utilização comercial, através de arquivo próprio ou de medidas técnicas e permissões que assegurem essa separação. Não são utilizados para campanhas, reativação comercial ou finalidades incompatíveis. 

Quando cesse a necessidade, os dados são eliminados ou efetivamente anonimizados, quando a anonimização seja admissível no circuito aplicável. A cifragem, a pseudonimização ou o bloqueio de acesso não equivalem, por si só, à eliminação ou à anonimização dos dados. 

A eliminação é articulada com os ciclos de substituição das cópias operacionais, sem adiar uma eliminação que seja legal ou contratualmente exigível em momento anterior. Uma eventual recuperação de sistemas deve reaplicar as eliminações, oposições e limitações já determinadas. Arquivos e cópias abrangidos por obrigações específicas comerciais, contabilísticas ou fiscais seguem o respetivo regime, não o ciclo geral de recuperação operacional. 

8. Direitos dos titulares dos dados 

8.1. Direitos e respetivas condições 

O titular pode exercer os seguintes direitos, nas condições previstas no RGPD: 

a) acesso: obter confirmação do tratamento, informação sobre as suas características e cópia dos dados pessoais que lhe digam respeito; 

b) retificação: corrigir dados inexatos ou completar dados incompletos, conforme a finalidade do tratamento; 

c) apagamento: obter a eliminação quando se verifiquem os respetivos pressupostos, sem prejuízo das exceções legais, designadamente obrigações de conservação e declaração, exercício ou defesa de direitos; 

d) limitação: obter a restrição da utilização dos dados nas situações legalmente previstas, nomeadamente durante a verificação de dados cuja exatidão seja contestada; 

e) oposição: opor-se, por motivos relacionados com a sua situação particular, a tratamentos baseados em interesse legítimo. Nesses casos, o tratamento cessa, salvo demonstração de razões imperiosas e legítimas que prevaleçam ou necessidade de declaração, exercício ou defesa de direitos; 

f) portabilidade: receber os dados fornecidos em formato estruturado, de uso corrente e de leitura automática, ou pedir a sua transmissão quando tecnicamente possível, se o tratamento for automatizado e baseado em consentimento ou contrato; 

g) retirada do consentimento: retirar uma autorização anteriormente prestada, nas condições indicadas no ponto 5; 

h) reclamação e tutela judicial: recorrer à autoridade de controlo competente e aos tribunais, nos termos legais. 

A oposição ao marketing direto pode ser exercida a qualquer momento, sem necessidade de justificação, e determina a cessação do tratamento para essa finalidade, bem como a definição de perfis com ela relacionada. 

O direito de acesso e de obtenção de cópia incide sobre os dados pessoais do titular. A sua satisfação pode exigir a ocultação de dados de terceiros ou de informação legalmente protegida. Essa proteção é aplicada apenas na medida necessária e não fundamenta uma recusa global quando seja possível facultar os dados por outra forma. 

A Credix trata os pedidos relativos às operações pelas quais é responsável e comunica aos destinatários as retificações, apagamentos ou limitações que deva comunicar, nos termos do artigo 19.º do RGPD. Quando o pedido respeite a dados tratados por conta de um banco, encaminha-o sem demora para o responsável e presta a assistência devida segundo as instruções aplicáveis. Nas decisões e tratamentos autónomos dos mutuantes, o titular pode exercer os direitos diretamente perante esses responsáveis, sem que a Credix ignore um pedido que lhe seja dirigido e possa legitimamente encaminhar. 

8.2. Simuladores, perfis e decisões automatizadas 

Os simuladores e diagnósticos disponibilizados pela Credix efetuam cálculos automáticos com base nos dados introduzidos pelo utilizador e nos pressupostos apresentados. Os resultados têm natureza meramente indicativa, não constituem proposta contratual, aprovação ou recusa de crédito, nem garantia de concessão de financiamento ou de obtenção das condições simuladas. Não substituem a análise do pedido e as condições finais apresentadas pelas instituições de crédito, nos termos dos Termos e Condições. 

As ferramentas de simulação e de gestão de pedidos da Credix não efetuam avaliações automatizadas de solvabilidade, não atribuem pontuações ou classificações de risco ou de elegibilidade e não são utilizadas para definir perfis destinados a essas finalidades. Os resultados das simulações não determinam automaticamente a aceitação, rejeição ou o arquivamento de pedidos pela Credix. 

No âmbito destas funcionalidades, a Credix não toma decisões baseadas exclusivamente no tratamento automatizado de dados pessoais que produzam efeitos na esfera jurídica do titular ou que o afetem significativamente de forma similar, na aceção do artigo 22.º do RGPD. 

A avaliação da solvabilidade para efeitos da concessão de crédito, a decisão de aprovação ou recusa e a definição das condições de financiamento competem às respetivas instituições de crédito. A intervenção da Credix na preparação, apresentação e acompanhamento do pedido não substitui essa avaliação ou decisão. 

A informação sobre eventuais tratamentos de definição de perfis ou decisões automatizadas que os mutuantes realizem autonomamente, bem como sobre os direitos e as garantias aplicáveis, é prestada por essas entidades nas respetivas políticas de privacidade e informações específicas. Os direitos relativos a esses tratamentos são exercidos perante o mutuante responsável, com a colaboração da Credix no encaminhamento dos pedidos e na assistência que legal ou contratualmente lhe caiba. 

9. Forma de exercício dos direitos 

Os pedidos podem ser apresentados preferencialmente para info@credix.pt ou por carta para Rua Hernâni Torres, 243, 4200-320 Porto, com indicação que permita identificar o titular e compreender o pedido. Podem também ser utilizados outros canais disponibilizados pela Credix que permitam o seu encaminhamento e tratamento adequado. 

Em caso de dúvidas razoáveis sobre a identidade ou os poderes de representação, a Credix pode solicitar apenas os elementos adicionais necessários à confirmação, para prevenir o acesso ou a divulgação indevida de dados. Não é exigida sistematicamente uma cópia integral de documento de identificação. 

A Credix informa sobre as medidas adotadas sem demora injustificada e, em regra, no prazo de um mês após a receção do pedido. Quando a complexidade ou o número de pedidos o justifique, esse prazo pode ser prorrogado até dois meses adicionais, com comunicação dos motivos dentro do primeiro mês. 

Os prazos de resposta da Credix enquanto responsável não substituem o encaminhamento célere e a cooperação exigidos quando esta atue por conta de um banco. A troca de informação necessária ao tratamento do pedido respeita a legitimidade do destinatário e o dever de sigilo. 

O exercício dos direitos é, em regra, gratuito. Quando os pedidos sejam manifestamente infundados ou excessivos, nomeadamente devido ao caráter repetitivo, a Credix pode exigir o pagamento de uma taxa razoável, com base nos custos administrativos, ou recusar dar-lhes seguimento, nos termos do artigo 12.º, n.º 5, do RGPD. Cabe à Credix demonstrar esse caráter. Pelas cópias adicionais solicitadas no âmbito do direito de acesso pode ser cobrada uma taxa razoável baseada nos custos administrativos, nos termos do artigo 15.º, n.º 3. 

Quando não possa dar seguimento, no todo ou em parte, a um pedido, a Credix comunica os motivos e a possibilidade de reclamar à autoridade de controlo ou recorrer judicialmente, no prazo legal aplicável. 

O titular pode apresentar reclamação à Comissão Nacional de Proteção de Dados — CNPD, através dos meios disponíveis em www.cnpd.pt, ou para Av. D. Carlos I, 134, 1.º, 1200-651 Lisboa. Pode também recorrer à autoridade de controlo competente noutro Estado-Membro, nos termos do RGPD. Não é obrigatório apresentar previamente reclamação à Credix. 

10. Menores 

Os pedidos de crédito e a contratação dos serviços associados destinam-se a pessoas com idade igual ou superior a 18 anos e com capacidade legal para os atos em causa. Os formulários gerais não se destinam à recolha autónoma de dados de menores para fins comerciais. 

Quando indispensáveis a um processo apresentado por um adulto, os dados de dependentes menores são tratados de forma limitada à finalidade aplicável e com proteção adequada. A mera autorização de um representante não justifica a recolha de dados desnecessários. Os dados recebidos sem necessidade ou fundamento válido são eliminados. 

11. Cookies 

A utilização de cookies e tecnologias semelhantes é descrita na Política de Cookies, em articulação com o inventário das ferramentas efetivamente utilizadas e com o gestor de preferências do website. 

As tecnologias não estritamente necessárias dependem de consentimento prévio nos casos legalmente exigidos. A recusa ou retirada pode ser efetuada através de «Gerir cookies» e não impede o acesso aos serviços que não necessitem desses tratamentos. A confirmação de leitura desta Política não substitui a escolha efetuada no gestor de cookies. 

12. Alterações à Política de Privacidade 

A Credix pode atualizar esta Política para refletir alterações legais, técnicas, organizativas ou dos serviços. A versão atualizada é disponibilizada no website, com indicação da data, e produz efeitos para o futuro. 

Antes de utilizar os dados para uma nova finalidade ou de introduzir tratamentos diferentes, a Credix presta a informação necessária e verifica o fundamento aplicável. Quando seja exigido novo consentimento, este é solicitado antes do tratamento. A publicação de uma alteração não constitui, por si só, consentimento. 

A eventual introdução de agentes conversacionais de inteligência artificial ou de outras funcionalidades com novos tratamentos de dados fica sujeita à informação, avaliação e garantias específicas aplicáveis, bem como às autorizações necessárias nos circuitos bancários. A referência a essas funcionalidades nesta Política não significa que estejam implementadas nem autoriza o envio de processos a um fornecedor de IA. 

Data da última atualização: 20.10.2026