1. Enquadramento

O Santander Consumer Finance, S.A. – Sucursal em Portugal, com sede na Rua de Cantábria, 42 – Edifício 2, 2775-711 Carcavelos, Portugal, matriculado na C.R.C. sob o número único de matrícula e de pessoa coletiva 980 719 950, e o Santander Consumer Finance, S.A., com sede em Ciudad Grupo Santander, Avenida Cantabria s/n, Boadilla del Monte, 28860 Madrid, Espanha, registado junto do Registo Mercantil de Madrid F. (hoja) M-7029, L. (tomo) 356, F. (folio) 25, CIF A-28122570, são responsáveis conjuntos pelo tratamento dos seus dados pessoais (doravante e em conjunto o (“Banco”).
No Banco são fundamentais a privacidade e a proteção dos dados pessoais dos seus clientes e dos demais titulares de dados pessoais a que o Banco tenha acesso e sobre os quais realize tratamentos.
O respeito pelos princípios fundamentais da proteção de dados pessoais e o cumprimento da legislação aplicável constituem um compromisso fundamental do Banco.
As regras previstas nesta Política de Privacidade complementam as disposições, em matéria de proteção e tratamento de dados pessoais, previstas nas informações prestadas aos potenciais clientes/ clientes em diversos canais, nos contratos que os clientes celebram com o Banco, e nas demais políticas e normativos criados para a proteção de dados pessoais.

2. Princípios

O Banco, no que ao tratamento de dados pessoais diz respeito, cumpre entre outros com os seguintes princípios:
a. Princípio da licitude: os dados pessoais apenas serão tratados nos termos previstos na legislação aplicável, isto é, na medida em que se verifique, pelo menos, uma das seguintes circunstâncias que legitimem o tratamento: (i) quando for prestado consentimento (livre, inequívoco e informado e, sempre que exigido, expresso) pelo titular dos dados para o tratamento, quando o tratamento seja necessário para (ii) a execução e gestão de um contrato, (iii) a realização de diligências pré-contratuais para a celebração de um contrato solicitado pelo titular dos dados, (iv) o cumprimento de uma obrigação jurídica, (v) o prosseguimento de um interesse legítimo do responsável pelo tratamento (o Banco) ou de terceiros e tenha sido efetuada uma ponderação que permita concluir que sobre esse interesse não prevalecem os interesses ou direitos e liberdades fundamentais do titular, que exijam a proteção dos dados pessoais; ou (vi) a declaração, o exercício ou a defesa de um direito num processo judicial, ou sempre que os tribunais atuem no exercício da sua função jurisdicional.

b. Princípio da boa-fé e da limitação da finalidade: os dados pessoais serão recolhidos e tratados para finalidades específicas, tratados para as finalidades determinantes da sua recolha e apenas serão tratados para finalidades distintas quando tal for legalmente permitido e se mostre necessário, mediante prestação de informação ao respetivo titular;

c. Princípio da minimização e limitação da conservação: apenas serão tratados os dados pessoais que se mostrem adequados, pertinentes e não excessivos e pelo período de tempo estritamente necessário para a prossecução das finalidades determinantes do tratamento respetivo ou, quando aplicável, até ao exercício do direito de oposição ou à alteração do consentimento prestado, por parte do titular dos dados pessoais;

d. Princípio da transparência: os titulares dos dados pessoais serão informados de forma
transparente sobre as principais características e medidas de proteção dos seus dados pessoais, designadamente sobre as respetivas finalidades de tratamento e eventual transmissão a terceiros;

e. Princípio da confidencialidade: apenas terão acesso aos dados pessoais tratados pelo
Banco os colaboradores e parceiros cujas funções o exijam.

3. Dados Pessoais

• Dados pessoais tratados pelo Banco
  Dados pessoais são qualquer informação, de qualquer natureza e em qualquer suporte duradouro, relativa a uma pessoa singular identificada ou identificável.
  É considerada identificável uma pessoa singular que possa ser identificada, direta ou indiretamente, em especial por referência a um identificador único, como por exemplo um nome,
  um número de identificação, dados de localização, identificadores por via eletrónica ou um ou mais elementos específicos da identidade física, fisiológica, genética, mental, económica, cultural ou social dessa pessoa singular.
  O Banco apenas recolhe e trata os dados pessoais necessários à prestação dos serviços e/ou produtos por si solicitados ou à oferta dos mesmos, procurando assegurar a qualidade e a personalização do serviço prestado e dos produtos oferecidos. O Banco não trata dados pessoais que não sejam necessários à prestação de serviços acordada, aos produtos adquiridos ou à sua oferta.
  Na prestação dos serviços e na oferta de produtos, o Banco procede ao tratamento de várias categorias de dados pessoais (quanto às categorias especiais de dados, apenas se tiver obtido consentimento para o efeito), incluindo:
  a) Dados relativos a características pessoais (ex. naturalidade, nacionalidade);
  b) Dados económicos, financeiros e seguros / Dados comerciais (ex. número de conta, IBAN);
  c) Identificadores únicos (ex. nome, morada, telefone, endereço de correio eletrónico, número de cartão de cidadão, número de contribuinte);
  d) Dados académicos e profissionais (ex. profissão, remuneração, entidade patronal);
  e) Dados relativos a bens e serviços transacionados (ex. matrícula do veículo);
  f) Dados relativos a circunstâncias sociais (ex. estado civil);
  g) Dados relativos à saúde (ex. informações no âmbito da contratação de seguros).
• Recolha
  A Política de Privacidade aplica-se aos dados pessoais dos potenciais clientes/ clientes do Banco e dos demais titulares de dados pessoais a que o Banco tenha acesso, recolhidos por via presencial, escrita ou através dos canais digitais do Banco, aquando da subscrição de produtos ou serviços, pedidos de informação, simulações, preenchimento de questionários, bem como dados resultantes de pesquisas ou transações realizadas pelo cliente. A recolha de dados também pode ser realizada de forma indireta, mediante a consulta de bases de dados externas,
  tais como a Central de Responsabilidade de Crédito do Banco de Portugal, para efeitos de avaliação de risco para concessão de crédito.
• Tratamento
  O Banco apenas trata os seus dados pessoais nas seguintes situações:
  a. Para a execução de um contrato com o titular dos dados ou para a realização de diligências pré-contratuais a pedido do mesmo, no âmbito das quais é fundamental fornecer os dados e os documentos solicitados para efeitos de avaliação de risco para concessão de crédito e cumprimento de obrigações legais;
  b. Para o cumprimento de obrigações legais e regulamentares a que o Banco está sujeito;
  c. Para satisfação de interesses legítimos do Banco, nomeadamente para marketing, para melhorar a gestão de risco e a qualidade do serviço prestado, ponderados sempre os interesses, direitos e liberdades fundamentais do titular dos dados;
  d. Para ir ao encontro das suas escolhas, quando tenha dado o seu consentimento prévio para esse efeito e se esse consentimento for livre, informado, específico e inequívoco.
  O Banco procede ao tratamento dos dados pessoais dos titulares dos dados para finalidades determinadas, explícitas e legítimas, não podendo esses dados ser posteriormente tratados de forma incompatível com essas finalidades, salvo nas condições expressamente admitidas ou impostas por lei.

4. Transmissão de dados pessoais a outras Entidades

• Para que o Banco consiga cumprir com todos os seus deveres e lhe possa prestar e oferecer serviços e produtos de qualidade, poderá ter que comunicar os seus dados pessoais, ou dar acesso aos mesmos, a outras entidades.
  O Banco apenas transmitirá os seus dados pessoais às seguintes categorias de destinatários:
• Grupo Santander, para efeitos de cumprimento de obrigações legais, nomeadamente para efeitos de prevenção de branqueamento de capitais e combate ao terrorismo, reporte a autoridades de supervisão da atividade bancária e consolidação fiscal;
• Seguradoras, no âmbito da atividade de mediação de seguros e para a finalidade de contratação de seguros;
• Entidades e autoridades às quais os dados pessoais devam ser comunicados por força de obrigação legal (como, por exemplo, a Comissão do Mercado de Valores Mobiliários, o Banco de Portugal, a Autoridade Tributária, Tribunais e autoridades policiais);
• Auditores, em cumprimento de obrigações decorrentes da monitorização e acompanhamento da atividade do Banco;
• Tribunais e autoridades judiciais, no âmbito de diligências e litígios judiciais;
• Subcontratantes do Banco encarregados do tratamento de dados pessoais para as mais diversas finalidades (como, por exemplo, para acompanhamento e recuperação de crédito, o que inclui entidades/agências de recuperação de distintas naturezas e para realização de ações de recuperação de crédito por diversas formas, como o contacto telefónico, o contacto pessoal ou diligências judiciais);
• Entidades consultadas pelo Banco para efeitos de análise de risco de crédito e solvabilidade do cliente (como a Segurança Social e Central de Responsabilidades de Crédito do Banco de Portugal, sendo que para esta última também ocorre transmissão de dados pessoais por força de obrigação legal);
• Quando autorizado pelo cliente, outras entidades do grupo societário do Banco, seguradoras e respetivos parceiros comerciais para fins de marketing direto;
• Organizações dentro e fora da União Europeia – por exemplo, outras instituições financeiras para a execução de operações de pagamento ou autoridades reguladoras não sedeadas na UE;
• O Banco transmitirá igualmente dados a prestadores de serviços de confiança certificados nos termos do Regulamento (UE) n.º 910/2014, designadamente à DigitalSign Certificadora Digital, S.A. (os “Prestadores de Serviços de Confiança”), enquanto responsáveis pelo tratamento de dados pessoais tratados no âmbito da respetiva atividade de identificação eletrónica do cliente, criação remota de assinaturas eletrónicas e respetivos certificados, e a
  assinatura eletrónica de documentação contratual baseada em certificados subscritos diretamente pelos clientes.
  Nos casos de transferências internacionais (fora da União Europeia), sempre que a Comissão
  Europeia tenha declarado, através de uma decisão de adequação, que o país localizado fora da União Europeia em causa garante um nível de proteção de dados pessoais equivalente ao decorrente da legislação da União Europeia, a transferência de dados terá por base essa decisão de adequação.
  Pode consultar as decisões de adequação existentes em www.eurlex.europa.eu.
  Nos casos em que a transferência seja feita para países ou organizações localizadas fora da União Europeia, em relação aos quais não haja decisão de adequação da Comissão Europeia, o Banco introduzirá garantias para assegurar a proteção dos seus dados (nomeadamente, introdução de cláusulas tipo ou de códigos de conduta).

5. Direitos dos Titulares

Ao titular dos dados assistem, nos termos da lei aplicável, os direitos a seguir indicados, que podem ser exercidos através dos seguintes canais: balcões do Banco em Portugal, comunicação escrita para o Encarregado de Proteção de Dados (DPO) através do endereço de correio eletrónico
dadospessoais@santanderconsumer.pt, ou através de carta dirigida ao Santander Consumer Finance, S.A., Ciudad Grupo Santander, Avenida Cantabria s/n, Boadilla del Monte, 28860 Madrid, Espanha ou Santander Consumer Finance, S.A., Sucursal em Portugal, Rua de Cantábria, 42 –
Edifício 2, 2775-711 Carcavelos, Portugal, ou ainda no Portal de Clientes.
Relativamente a qualquer tratamento de dados que envolva a tomada de decisões com base, exclusivamente, em tratamento automatizado e que produza efeitos na sua esfera jurídica ou que o afete significativamente de forma similar, o Banco assegura-lhe que terá, não obstante, o direito de:
(i) Obter intervenção e análise humana;
(ii) Manifestar o seu ponto de vista;
(iii) Contestar a decisão tomada.
Nos casos em que o tratamento dos dados seja feito com base no seu consentimento, poderá retirar o consentimento a qualquer momento, através de um dos canais disponíveis.
Caso retire o seu consentimento, os seus dados pessoais deixarão de ser tratados, exceto se existir outro fundamento para tal que justifique esse tratamento, como o contrato, obrigações legais e regulamentares ou o interesse legítimo do Banco.

a. Direito de acesso
Sempre que o solicitar, pode obter confirmação se os seus dados pessoais são tratados pelo Banco. Pode, ainda, aceder aos seus dados pessoais, bem como obter as seguintes informações:
(i) As finalidades para as quais os seus dados pessoais são tratados;
(ii) O tipo de dados pessoais que são tratados;
(iii) As entidades a quem os seus dados pessoais podem ser comunicados, incluindo
entidades localizadas em países fora da União Europeia ou organizações internacionais, sendo neste caso informado das garantias aplicadas à transferência dos seus dados e aos meios de obter cópia das mesmas, ou onde foram disponibilizadas;
(iv) O prazo de conservação dos seus dados ou, se tal não for possível, os critérios para
fixar esse prazo;
(v) Os direitos de que goza em relação ao tratamento dos seus dados pessoais;
(vi) Se os dados pessoais não tiverem sido recolhidos junto de si, informações sobre a sua origem e o tipo de dados em questão;
(vii) A existência de decisões individuais automatizadas, incluindo definição de perfis e, nesse caso, informações sobre a lógica subjacente a esse tratamento, bem como sobre a importância e consequências previstas para si.

b. Direito de retificação
Sempre que considerar que os seus dados pessoais (dados pessoais objetivos fornecidos por si) estão incompletos ou incorretos, pode requerer a sua retificação.

c. Direito ao apagamento
O titular tem o direito de obter do Banco o apagamento dos seus dados nos casos e pelos motivos previstos na lei. O Banco está sujeito a obrigações legais e regulamentares, as quais poderão limitar
o direito ao apagamento dos seus dados pessoais. O direito ao apagamento não se aplica, designadamente, quando o tratamento seja necessário para os seguintes efeitos:
(i) Exercício de liberdade de expressão e de informação;
(ii) Cumprimento de obrigação legal que exija o tratamento e que se aplique ao Banco;
(iii) Motivos de interesse público no domínio da saúde pública;
(iv) Fins de arquivo de interesse público, fins de investigação científica ou histórica ou fins estatísticos, na medida em que o exercício do direito ao apagamento prejudique gravemente a obtenção dos objetivos desse tratamento; ou
(v) Declaração, exercício ou defesa de um direito num processo judicial.
Tendo em atenção o acima referido, terá o direito de solicitar e obter o apagamento dos seus dados pessoais quando se verifique uma das seguintes situações:
(i) Os dados pessoais deixem de ser necessários para a finalidade que motivou a sua recolha ou tratamento;
(ii) Retire o consentimento em que se baseia o tratamento de dados e não exista outro fundamento jurídico para o mesmo tratamento;
(iii) Apresente oposição ao tratamento dos dados nos casos em que a lei confere essa
faculdade de oposição e não existam interesses legítimos prevalecentes, a avaliar caso a caso, que justifiquem o tratamento;
(iv) Os dados pessoais tenham que ser apagados ao abrigo de uma obrigação jurídica a que esteja sujeito o Banco; ou
(v) Os dados pessoais tenham sido recolhidos no contexto da oferta direta de serviços da sociedade de informação.

d. Direito à limitação do tratamento
A limitação do tratamento permite ao titular dos dados pessoais solicitar ao responsável que limite o âmbito do tratamento a certas categorias de dados, ou finalidades de tratamento, ou que suspenda as atividades de tratamento nos casos e condições previstos na lei. Pode requerer a limitação do tratamento dos seus dados pessoais nos seguintes casos:
(i) Se contestar a exatidão dos seus dados pessoais, durante um período de tempo que
permita ao Banco verificar a sua exatidão;
(ii) Se o Banco já não precisar dos dados pessoais para fins de tratamento, mas se esses dados forem necessários para efeitos de declaração, exercício ou defesa de um
direito num processo judicial; ou
(iii) Se tiver apresentado oposição ao tratamento, até que se verifique que os interesses legítimos do Banco prevalecem sobre os seus.

e. Direito à portabilidade
Poderá solicitar ao Banco a entrega, num formato estruturado, de uso corrente e de leitura automática, dos dados pessoais por si fornecidos. Tem ainda o direito de pedir que o Banco transmita esses dados a outro responsável pelo tratamento, desde que tal seja tecnicamente possível. O direito de portabilidade aplica-se apenas nos seguintes casos:
(i) Quando o tratamento se basear apenas no consentimento do titular ou na execução
de um contrato; e
(ii) Quando o tratamento em causa for realizado por meios automatizados.

f. Direito de oposição
Tem o direito de se opor ao tratamento dos seus dados pessoais a qualquer momento, por motivos relacionados com a sua situação particular, nas seguintes situações e condições:
(i) Quando o tratamento se basear no interesse legítimo do Banco; ou
(ii) Quando o tratamento for realizado para fins diversos daqueles para os quais os dados foram recolhidos, mas que sejam compatíveis com os mesmos.
O Banco deixará, nesses casos, de tratar os seus dados pessoais, a não ser que tenha razões legítimas para realizar esse tratamento e que estas prevaleçam sobre os seus interesses. Pode também opor-se ao tratamento dos seus dados para fins de marketing direto, incluindo a definição de perfis que esteja relacionada com esse marketing.

6. Autoridade de Controlo

A Autoridade Espanhola de Proteção de Dados atuará como autoridade de controlo principal. Tem o direito de apresentar reclamações junto da autoridade de controlo e pode fazê-lo, indiferentemente, junto da Autoridade Portuguesa de Proteção de Dados (https://www.cnpd.pt/cidadaos/participacoes), ou junto da Autoridade Espanhola de Proteção de Dados (https://sedeagpd.gob.es/sede-electronicaweb/vistas/infoSede/tramitesCiudadano.jsf).

7. Deveres dos Titulares

Os titulares dos dados devem comprometer-se a atualizar a sua informação sempre que surja uma alteração nos seus dados pessoais.

8. Tempo de Conservação

O período de tempo durante o qual os dados pessoais são conservados varia de acordo com a finalidade para a qual a informação é tratada.
Sempre que não exista uma exigência legal específica, os dados pessoais serão conservados apenas pelo período mínimo necessário para as finalidades que motivaram a sua recolha.
Depois de cessar a sua relação comercial com o Banco, os dados pessoais relativos a clientes podem ser mantidos até um prazo máximo de 20 anos, a contar da data da cessação de todos os vínculos contratuais com o Banco, para uma das seguintes finalidades:
a. Demonstrar que o Banco cumpriu todas as obrigações contratuais e legais na relação que
manteve consigo e eventual defesa em processos de natureza judicial;
b. Cumprir obrigações legais ou regulamentares a que o Banco esteja sujeito.

9. Contactos

Para o esclarecimento de qualquer questão relacionada com a presente Política de Privacidade ou com o exercício dos seus direitos, poderá dirigir-se a um dos balcões do Banco em Portugal, ou contactar o Encarregado de Proteção de Dados (DPO) mediante comunicação escrita, através do endereço de correio eletrónico dadospessoais@santanderconsumer.pt, ou através de carta dirigida ao Santander Consumer Finance, S.A., Ciudad Grupo Santander, Avenida Cantabria s/n, Boadilla del Monte, 28860 Madrid, Espanha.

10. Revisões à Política de Privacidade

O Banco reserva-se o direito de, a qualquer altura, proceder a alterações ou revisões à presente Política de Privacidade, sendo quaisquer alterações ou revisões devidamente divulgadas e comunicadas no seu portal www.santanderconsumer.pt.

Versão de dezembro de 2021