Montepio Invest

Política de Privacidade

Enquadramento

A Montepio Gestão de Activos – Sociedade Gestora de Organismos de Investimento Coletivo, S.A., adiante designada por “MGA”, instituição financeira matriculada junto da conservatória do registo comercial de Lisboa com o Número Único de Matrícula e Pessoa Coletiva 502 608 722, e supervisionada pela Comissão do Mercado de Valores Mobiliários com o número de registo junto desta entidade 204, com sede na Rua do Carmo, 42, 7º, Sala D, 1200-094 Lisboa, procede ao tratamento de dados pessoais no exercício da sua atividade, os quais são recolhidos e tratados em conformidade com as obrigações emergentes do Regulamento n.º 2016/679/UE, do Parlamento Europeu e do Conselho, de 27 de Abril de 2016, doravante referido como “Regulamento Geral sobre a Proteção de Dados” ou “RGPD” e com a demais legislação e regulamentação em vigor, no estrito cumprimento de deveres de confidencialidade e privacidade aplicáveis, conforme enunciados na presente Política.

As matérias constantes na Política de Privacidade e Proteção de Dados Pessoais, doravante designada por “Política” complementam as previstas e reguladas em procedimentos internos, documentos contratuais e outros documentos em matéria de proteção de dados pessoais.

Objetivo

A presente Política estabelece um conjunto de orientações específicas a serem aplicadas, de forma direta, a todas as atividades de tratamento de dados pessoais, nos quais a MGA é a responsável pelo tratamento.

Âmbito

A presente Política aplica-se a todo e qualquer tratamento de dados pessoais realizado pela MGA, sobre dados de clientes, de contrapartes, de prestadores de serviços, ou de outros titulares de dados pessoais com os quais estabeleça relações contratuais no âmbito da sua atividade.

Modelo de Governo

Conselho de Administração

É competência do Conselho de Administração:

Aprovar a presente Política, assim como o demais normativo interno da MGA sobre o governo da proteção de dados e operacionalização dos processos respetivos.
Supervisionar, através das funções de controlo, o efetivo cumprimento da presente Política.
Promover a coordenação entre os mecanismos de gestão da proteção de dados, os mecanismos de gestão e segurança da informação e os mecanismos de controlo interno, evitando sobreposições e fomentando sinergias, sempre em estrito cumprimento da lei.

Função de Compliance (FCOMP)

Considerando que a MGA não nomeou um Encarregado de Proteção de Dados, atribui à FCOMP, as seguintes competências:

Controlar a conformidade dos processos da MGA com o RGPD, restante legislação aplicável (recolher informações para identificar as atividades de tratamento, analisar e verificar a conformidade das atividades de tratamento e prestar informações e aconselhamento e formular recomendações ao responsável pelo tratamento ou ao subcontratante).
Prestar aconselhamento, quando tal lhe for solicitado, no que respeita à avaliação de impacto sobre a proteção de dados da MGA e controlar a sua realização nos termos dos procedimentos em vigor.
Manter atualizados os repositórios e evidências documentais resultantes dos processos do âmbito da proteção de dados da MGA onde se incluem, entre outros, os relativos a avaliações de impacto sobre a proteção de dados, o inventário de tratamentos e o histórico de eventos de violação de dados pessoais.
Receber os contactos dos titulares dos dados e responder, com o apoio das Unidades Orgânicas, a todas as questões relacionadas com o tratamento dos seus dados pessoais e exercício dos direitos que são conferidos por lei.
Avaliar os riscos associados às operações de tratamento, tendo em conta a natureza, o âmbito, o contexto e as finalidades do tratamento, operando com vinculação à obrigação de sigilo e de confidencialidade.
Cooperar com a autoridade de controlo nacional – Comissão Nacional de Proteção de Dados – assumindo-se como ponto de contacto sobre questões relacionadas com o tratamento de dados pessoais, bem como função centralizadora da consulta a esta autoridade sobre qualquer assunto.

Outras Áreas – qualquer área orgânica que proceda ao tratamento de dados pessoais.

Todos os colaboradores da MGA, bem como aqueles que operem em seu nome, que utilizem dados pessoais são individualmente responsáveis pelo cumprimento das disposições legais e regulamentares aplicáveis.

Nesse sentido, devem ainda conhecer, cumprir e fazer cumprir a presente Política e demais normativos internos aplicáveis, garantindo a confidencialidade dos dados como parte indissociável das suas funções previstas no contrato de trabalho, assumindo uma cultura de segurança e de prevenção de risco de forma a prosseguir os objetivos e zelar pela imagem e reputação da MGA.

Todos os colaboradores, em particular, os que lidam diretamente com os titulares dos dados, devem cumprir um conjunto de boas práticas que permita salvaguardar a confidencialidade da documentação física e, em particular, daquela que contenha dados pessoais, regendo-se pelas seguintes regras:

Reportar imediatamente à FCOMP qualquer violação de dados pessoais.
Respeitar sempre os princípios do tratamento de dados.
Realizar unicamente os tratamentos de dados quando existam bases de licitude que o permitam.
Quando o tratamento tiver por base o consentimento, garantir que o mesmo é válido.
Ter cuidado reforçado quando tratar dados de categorias especiais ou sensíveis.
Apoiar os titulares dos dados no exercício dos seus direitos.
Não partilhar dados pessoais com terceiros, exceto se explicitamente autorizado e não configure violação de dados.

Princípios de tratamento de dados pessoais

Ao proceder ao tratamento de dados pessoais, a MGA compromete-se a respeitar os seguintes princípios:

Licitude, lealdade e transparência: O tratamento de dados é realizado de forma lícita, leal e transparente.

Limitação da finalidade: Os dados pessoais são recolhidos para finalidades determinadas, explícitas e legítimas e não podendo ser tratados posteriormente de uma forma incompatível com essas finalidades.

Minimização dos dados: Apenas são recolhidos os dados adequados, pertinentes e limitados às finalidades definidas.

Exatidão: Os dados devem ser exatos e atualizados sempre que necessário.

Limitação da conservação: Os dados são conservados apenas durante o tempo necessário para as finalidades para as quais foram recolhidos.

Integridade e confidencialidade: A MGA implementa as medidas técnicas e organizativas adequadas para garantir a segurança dos dados pessoais, incluindo a proteção contra o tratamento não autorizado ou ilícito e contra a perda, destruição ou danificação acidental.

Responsabilidade: A MGA é responsável por garantir o cumprimento dos princípios acima mencionados, devendo possuir evidências que comprovem esse cumprimento.

Categorias de dados pessoais

A MGA recolhe e trata várias categorias de dados pessoais no âmbito da execução dos contratos que realiza com outras entidades, nos quais se incluem: Identificação, Nome, assinatura, género, sexo, data de nascimento, naturalidade, nacionalidade, número e data de validade do cartão de cidadão ou do bilhete de identidade ou do passaporte e número de identificação fiscal.

Contactos: Morada(s), número do telefone e/ou telemóvel, endereço de correio eletrónico.
Contratuais: IBAN (International Bank Account Number), referência do contrato e outras referências sobre os produtos/serviços contratados, perfil de investidor, remuneração, dados financeiros e habilitações académicas.
Profissionais: Profissão, situação sócio profissional, entidade patronal, cargos políticos ou públicos que sejam ou já tenham sido exercidos há menos de doze meses, endereço de correio eletrónico, número de telefone e/ou telemóvel.
Especiais: Registo de voz – gravação de contactos telefónicos.

Finalidades dos tratamentos

Os dados pessoais recolhidos pela MGA são tratados para as seguintes finalidades:

Execução de um contrato ou realização de diligências pré-contratuais.
Cumprimento de obrigações legais ou Regulatórias, por exemplo:
1. Fiscais – obrigações de retenção, pagamento ou declaração de impostos.
2. Legais – relativas ao reporte ou respostas a pedidos de entidades públicas e privadas.
3. Regulamentares – relativas à atividade financeira ou imobiliária.
4. Segurança e proteção de dados pessoais.
5. Prevenção ao branqueamento de capitais e financiamento do terrorismo e/ou fraude.
Interesse legítimo da MGA, para as finalidades de:
1. Melhoria e monitorização da qualidade do serviço.
2. Gestão de reclamações.
3. Acompanhamento do desempenho operacional.
4. Gestão de processos em contencioso.
5. Marketing e comunicação de produtos e serviços.
6. Segurança e proteção de dados pessoais.
Consentimento, quando o titular de dados tenha dado o seu consentimento prévio, evidenciando uma manifestação de vontade, livre, específica, informada e explícita. O consentimento permanece válido até que o mesmo seja retirado (e.g. apresentação de produtos e serviços disponíveis a não clientes).

Destinatários dos dados pessoais

A MGA, está obrigada por lei a comunicar dados pessoais às seguintes categorias de destinatários:

Autoridade Tributária e Aduaneira, em sede de obrigações fiscais.
Comissão de Mercado de Valores Mobiliários (CMVM), no âmbito dos seus poderes de supervisão.
Departamento Central de Investigação e Ação Penal, Unidade de Informação Financeira e demais entidades judiciais ou polícias nos termos da Lei n.º 83/2017, de 18 de agosto.
Instituto dos Mercados Públicos do Imobiliário e da Construção, em sede de reportes definidos na legislação aplicável.
A outras entidades públicas que têm como missão a elaboração de reportes estatísticos.

A MGA pode, ainda, transferir dados para entidades prestadoras de serviços, os subcontratantes, que atuam exclusivamente por sua conta, de acordo com as suas orientações e que respeitem medidas técnicas e organizativas equivalentes àquelas a que está obrigado, nomeadamente:

Prestadores de serviços (e.g. serviços de impressão, envelopagem e correio, serviços de pagamento, serviços de informática, serviços de avaliação imobiliária, serviços de consultoria e serviços de auditoria).

Transferência de dados pessoais para países terceiros

No exercício da sua atividade, e sempre que tal seja requerido ou permitido legalmente ou contratualmente, a MGA poderá levar a cabo a transferência de dados pessoais para países terceiros ou organizações internacionais.

Nos casos em que a Comissão Europeia tenha declarado, através de uma decisão de adequação, que o país em causa garante um nível de proteção de dados pessoais equivalente ao decorrente da legislação da União Europeia, a transferência de dados terá por base essa decisão de adequação.

Nos casos em relação aos quais não exista decisão de adequação da Comissão Europeia, a MGA assegura contratualmente que os prestadores de serviços apresentam garantias adequadas, nos termos do RGPD, para garantir a proteção dos seus dados pessoais.

Decisões individuais automatizadas e definição de perfis

A MGA utiliza os dados pessoais recolhidos para resposta ao “Questionário de Avaliação de Conhecimentos e Experiência do Investidor” com o objetivo de apurar o seu perfil de investidor por forma a melhor enquadrar as suas decisões de investimento na oferta disponibilizada pela MGA.

A definição de perfis não implica uma tomada de decisão exclusivamente automática por parte da MGA.

Segurança no tratamento

A MGA dispõe um conjunto de medidas técnicas e organizacionais para assegurar que os dados pessoais que trata não são utilizados por terceiros não autorizados nem se perdem e apenas são tratadas para as finalidades autorizadas.

Com o objetivo de garantir a segurança do tratamento dos dados pessoais, utiliza uma gama de controlos de segurança de dados, definida de acordo com o tipo de dados tratados, do tipo de tratamentos efetuados, do negócio e das políticas de segurança, e monitoriza ativamente esses controlos de forma a detetar falhas ou violações.

Direitos dos titulares dos dados

Nos termos da lei aplicável aos titulares dos dados pessoais, assistem os seguintes direitos:

Comunicação transparente: direito a obter as informações a que se referem os artigos 13.º e 14.º e qualquer comunicação prevista nos artigos 15.º a 22.º e 34.º do RGPD a respeito do tratamento, de forma concisa, transparente, inteligível e de fácil acesso, utilizando uma linguagem clara e simples.
Acesso: Direito de obter a confirmação de que os dados pessoais que lhe digam respeito são objeto de tratamento, de aceder aos seus dados pessoais e obter informações sobre as condições de tratamento, bem como de obter cópia dos dados pessoais em fase de tratamento.
Retificação: Direito de obter a retificação dos seus dados pessoais, nomeadamente, quando estes estejam incorretos, ou completá-los, caso se encontrem incompletos.
Apagamento: Direito de solicitar o apagamento dos seus dados pessoais nas seguintes situações:

Se os dados deixaram de ser necessários para a finalidade que motivou a sua recolha ou tratamento.
Se tiver retirado o consentimento em que se baseia o tratamento e não existir outro fundamento jurídico para o tratamento.
Se se tiver oposto ao tratamento e não existirem interesses legítimos prevalecentes que justifiquem o tratamento.
Se os dados pessoais foram tratados ilicitamente.
Se o apagamento resultar do cumprimento de uma obrigação jurídica a que a MGA está sujeita.

Limitação do tratamento: Direito de solicitar a limitação do tratamento dos seus dados pessoais, nas seguintes situações:

Se contestar a exatidão dos dados pessoais, durante um período que permita à MGA verificar a sua exatidão.
Se o tratamento for ilícito e o titular se opuser ao apagamento dos dados.
Se a MGA já não precisar dos dados pessoais para fins de tratamento, mas esses dados forem requeridos pelo titular dos dados para efeitos de declaração, exercício ou defesa de um direito num processo judicial.
Se o titular dos dados se opuser ao tratamento, até que se verifique que os interesses legítimos da MGA prevalecem sobre os dos titulares dos dados.

Portabilidade: Direito de receber os dados pessoais que lhe digam respeito e que tenha fornecido à MGA, num formato estruturado, de uso corrente e de leitura automática, e de solicitar a transmissão desses dados a outro responsável pelo tratamento, sempre que estes dados tenham por fundamento de licitude o consentimento ou o facto de o tratamento ser necessário para a execução de um contrato no qual o titular dos dados é ou foi parte, ou para diligências pré-contratuais a pedido do titular dos dados e o tratamento for realizado por meios automatizados.
Oposição: Direito de se opor ao tratamento dos seus dados pessoais quando o tratamento tenha como fundamento interesses legítimos prosseguidos pela MGA, o tratamento for realizado para fins que não sejam aqueles para os quais os dados foram recolhidos, ou o tratamento for realizado para fins de marketing direto, incluindo a definição de perfis que esteja relacionada com esse marketing.
A MGA deixará, nesses casos, de tratar os seus dados pessoais, a não ser que tenha razões legítimas para realizar esse tratamento e que estas prevaleçam sobre os seus interesses.

Não ficar sujeito a decisões individuais exclusivamente automatizadas: A MGA não tomará decisões que o afetem com base em processos exclusivamente automatizados.
Revogação de consentimento: Direito de retirar o consentimento, nas situações em que o tratamento dos dados pessoais tiver por fundamento de licitude o consentimento do titular, sem que tal revogação comprometa a licitude dos tratamentos realizados enquanto o referido consentimento estava em vigor.
Apresentar reclamação à autoridade de controlo: Direito de apresentar uma reclamação junto da Comissão Nacional de Proteção de Dados (cnpd.pt), caso considere que os seus dados não foram tratados conforme as disposições legais e regulamentares aplicáveis.

Período de conservação

Os dados pessoais são conservados pela MGA durante o período que for necessário ou obrigatório para a realização da finalidade para a qual eles foram recolhidos ou até solicitação de apagamento/esquecimento, nos casos em que tal seja legalmente possível.

Concluída a relação comercial e contratual, os dados pessoais serão conservados pelos prazos legais obrigatórios ou até que prescrevam, nos termos da lei, os direitos delas emergentes, nomeadamente, os de defesa da MGA em processos judiciais.

A título de exemplo, aplicam-se os seguintes prazos de conservação:

Prevenção do branqueamento de capitais e do financiamento do terrorismo – 7 anos após o termo da relação contratual.
Guarda e arquivo de correspondência emitida e recebida, escrituração mercantil e os respetivos documentos – 10 anos.

Exercício dos direitos dos titulares dos dados

Os titulares dos dados podem exercer os seus direitos através dos seguintes contactos:

E-mail: para cdo@montepiogestaoactivos.pt.
Carta: dirigida à MGA para a morada:
Rua do Carmo, 42, 7º, Sala D
1200-094 Lisboa.

A MGA assegura a implementação de procedimentos de autenticação das pessoas que apresentem pedidos relativos a dados pessoais, tendo em vista a validação da identidade e a confirmação da legitimidade para o exercício dos direitos acima referidos, podendo não permitir o acesso e/ou satisfazer os pedidos invocados sempre que não seja possível a correta identificação do seu titular ou quando exista um enquadramento legal e/ou regulamentar que impeça a pessoa em causa de exercer o direito invocado.

Os pedidos serão analisados e caso não sejam considerados válidos, a MGA comunicará ao titular dos dados os motivos que levaram à sua decisão.

Os pedidos de exercício de direitos serão respondidos no prazo máximo de um mês a contar da data de receção do pedido, podendo este prazo ser prorrogado até dois meses perante uma elevada complexidade do pedido e número de pedidos realizados, do qual informará o titular dos dados.

Aprovação e revisão

O Conselho de Administração é o órgão responsável pela aprovação da presente Política.

O conteúdo da Política é revisto sempre que considerado necessário pela FCOMP, atendendo à sua adequação e às exigências regulamentares e à eficácia das medidas implementadas.

Divulgação

A divulgação da Política e futuras atualizações são efetuadas através da divulgação interna (Intranet MGA) e externamente no site público da MGA (www.montepioinvest.pt).

Entrada em vigor

A Política entra em vigor no dia útil seguinte ao da sua divulgação, ou seja no dia 13/02/2025.

Anexo – Glossário

Para efeitos de aplicação da presente Política entende-se por:

Colaboradores

Qualquer pessoa com vínculo laboral, a termo certo ou incerto, com a MGA e em regime de cedência ou subcontratação por parte de uma empresa do Grupo Montepio e ainda a qualquer pessoa que integre os órgãos sociais da MGA.

Consentimento

Uma manifestação de vontade, livre, específica, informada e inequívoca, pela qual o titular dos dados aceita, mediante declaração ou ato positivo inequívoco, que os dados pessoais que lhe dizem respeito sejam objeto de tratamento.

Dados de categoria especial

Dados pessoais que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas, ou a filiação sindical, bem como o tratamento de dados genéticos, dados biométricos para identificar uma pessoa de forma inequívoca, incluindo voz e imagem, dados relativos à saúde ou dados relativos à vida sexual ou orientação sexual de uma pessoa, bem como outros que venham a ser qualificados como tal por norma legal ou regulamentar.

Dados pessoais

Informação relativa a uma pessoa singular identificada ou identificável («titular dos dados»); é considerada identificável uma pessoa singular que possa ser identificada, direta ou indiretamente, em especial por referência a um identificador, como por exemplo um nome, um número de identificação, dados de localização, identificadores por via eletrónica ou a um ou mais elementos específicos da identidade física, fisiológica, genética, mental, económica, cultural ou social dessa pessoa singular.

Definição de perfis

Qualquer forma de tratamento automatizado de dados pessoais que consista em utilizar esses dados pessoais para avaliar certos aspetos pessoais de uma pessoa singular, nomeadamente para analisar ou prever aspetos relacionados com o a sua situação económica e preferências pessoais em matéria de investimento.

Destinatário

Uma pessoa singular ou coletiva, a autoridade pública, agência ou outro organismo que recebem comunicações de dados pessoais, independentemente de se tratar ou não de um terceiro. Contudo, as autoridades públicas que possam receber dados pessoais no âmbito de inquéritos específicos nos termos do direito da União ou dos Estados-Membros não são consideradas destinatários; o tratamento desses dados por essas autoridades públicas deve cumprir as regras de proteção de dados aplicáveis em função das finalidades do tratamento.

Ficheiro

Qualquer conjunto estruturado de dados pessoais, acessível segundo critérios específicos, quer seja centralizado, descentralizado ou repartido de modo funcional ou geográfico.

Limitação do tratamento

Inserção de uma marca nos dados pessoais conservados com o objetivo de limitar o seu tratamento no futuro.

Pseudonimização

O tratamento de dados pessoais de forma que deixem de poder ser atribuídos a um titular de dados específico sem recorrer a informações suplementares, desde que essas informações suplementares sejam mantidas separadamente e sujeitas a medidas técnicas e organizativas para assegurar que os dados pessoais não possam ser atribuídos a uma pessoa singular identificada ou identificável;

Regulamento / RGPD

Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados.

Responsável pelo tratamento

A pessoa singular ou coletiva, a autoridade pública, a agência ou outro organismo que, individualmente ou em conjunto com outras, determina as finalidades e os meios de tratamento de dados pessoais; sempre que as finalidades e os meios desse tratamento sejam determinados pelo direito da União ou de um Estado-Membro, o responsável pelo tratamento ou os critérios específicos aplicáveis à sua nomeação podem ser previstos pelo direito da União ou de um Estado-Membro.

Subcontratante

Uma pessoa singular ou coletiva, a autoridade pública, agência ou outro organismo que trate os dados pessoais por conta do responsável pelo tratamento destes.

Terceiros

A pessoa singular ou coletiva, a autoridade pública, o serviço ou organismo que não seja o titular dos dados, o responsável pelo tratamento, o subcontratante e as pessoas que, sob a autoridade direta do responsável pelo tratamento ou do subcontratante, estão autorizadas a tratar os dados pessoais.

Titular dos dados

Pessoa singular identificada ou identificável.

Transferências de dados pessoais para países terceiros

Transferência de dados pessoais para pessoa ou entidade situada fora do espaço económico europeu.

Transmissão de dados pessoais

Para efeitos desta Política, e quando não resulte do contexto deste documento que transmissão de dados deva assumir outro sentido, configura uma operação de tratamento que envolva transmissão, por qualquer modo, dos referidos dados pessoais para uma entidade jurídica distinta da MGA ou de outra entidade jurídica para esta.

Tratamento

Uma operação ou um conjunto de operações efetuadas sobre dados pessoais ou sobre conjuntos de dados pessoais, por meios automatizados ou não automatizados, tais como a recolha, o registo, a organização, a estruturação, a conservação, a adaptação ou alteração, a recuperação, a consulta, a utilização, a divulgação por transmissão, difusão ou qualquer outra forma de disponibilização, a comparação ou interconexão, a limitação, o apagamento ou a destruição.

Violação de dados pessoais

Uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso, não autorizados, a dados pessoais transmitidos, conservados ou sujeitos a qualquer outro tipo de tratamento.