RGPD para empresas de transfer — o que precisa de saber
Se opera uma empresa de transfer ou de motorista na Europa, o RGPD não é opcional. Recolhe dados pessoais sempre que um passageiro reserva uma viagem. Aqui está um guia prático para se manter em conformidade sem se afogar em burocracia.
1. Porque é que o RGPD é importante para as empresas de transfer
O Regulamento Geral sobre a Proteção de Dados (RGPD) aplica-se a todas as empresas que tratam dados pessoais de pessoas na UE — independentemente de onde a empresa esteja sediada. As empresas de transfer são particularmente afetadas porque tratam dados sensíveis diariamente: nomes de passageiros, números de telefone, detalhes de voos, moradas de hotéis, informações de pagamento e rotas GPS.
O incumprimento não é apenas um risco teórico. As coimas podem atingir os €20 milhões ou 4% da faturação anual, consoante o valor mais elevado. Mas para além das coimas, as violações de dados destroem a confiança dos clientes — e no negócio dos transfers VIP, a confiança é tudo. Os clientes empresariais e os hotéis de luxo não trabalharão com operadores que não conseguem garantir a segurança dos dados.
2. Que dados recolhe
A maioria das empresas de transfer não se apercebe da quantidade de dados pessoais que trata. Aqui está uma distribuição típica:
| Categoria de dados | Exemplos | Sensibilidade |
|---|---|---|
| Dados do passageiro | Nome, telefone, e-mail, número de voo, morada do hotel | Alta |
| Dados do cliente / requisitante | Nome da empresa, morada de faturação, pessoas de contacto, número de IVA | Média |
| Dados do motorista | Nome, telefone, número de carta de condução, rastreio de localização, horas de trabalho | Alta |
| Dados da rota | Moradas de recolha/destino, trajetos GPS, tempos de viagem | Média |
| Dados de pagamento | Dados do cartão de crédito, faturas, histórico de transações | Muito alta |
| Registos de comunicação | E-mails, SMS, mensagens de WhatsApp com passageiros | Média |
3. Consentimento e base legal
Ao abrigo do RGPD, precisa de uma base legal para tratar cada tipo de dados pessoais. Para as empresas de transfer, três bases são as mais relevantes:
- Execução do contrato (Artigo 6.º, n.º 1, alínea b) — Precisa do nome, telefone e morada de recolha do passageiro para cumprir a reserva do transfer. Esta é a sua base legal principal para a maioria dos dados relacionados com a encomenda. Não é necessário consentimento separado.
- Interesse legítimo (Artigo 6.º, n.º 1, alínea f) — Pode invocar o interesse legítimo para aspetos como o rastreio GPS do motorista durante as viagens ativas (segurança), a conservação do histórico do cliente para um melhor serviço e as análises básicas. Documente o seu raciocínio.
- Consentimento (Artigo 6.º, n.º 1, alínea a) — Necessário para e-mails de marketing, partilha de dados com terceiros e conservação de dados para além do necessário ao contrato. O consentimento deve ser livre, específico e fácil de retirar.
A conclusão principal: não precisa de pedir consentimento aos passageiros para tratar os seus dados de reserva. Mas precisa de consentimento para marketing e precisa de documentar a sua base legal para tudo o resto.
4. Armazenamento e segurança dos dados
O RGPD exige que implemente «medidas técnicas e organizativas adequadas» para proteger os dados pessoais. Para as empresas de transfer, isto significa:
- 1Servidores na UE — Armazene todos os dados pessoais dentro da UE. A transferência de dados para fora da UE exige salvaguardas adicionais (cláusulas contratuais-tipo ou decisões de adequação).
- 2Encriptação — Use HTTPS para todos os dados em trânsito e encripte os dados sensíveis em repouso. Isto inclui a sua base de dados, as cópias de segurança e quaisquer ficheiros exportados.
- 3Controlos de acesso — Nem todos na sua empresa precisam de acesso a todos os dados. Os motoristas só deveriam ver as encomendas que lhes são atribuídas. Os operadores não deveriam aceder aos registos financeiros. Use permissões baseadas em funções.
- 4Política de conservação de dados — Defina durante quanto tempo conserva os dados. Os dados das encomendas são normalmente conservados durante 5 a 7 anos (obrigações fiscais). Os números de telefone e e-mails dos passageiros devem ser eliminados quando já não forem necessários.
- 5Notificação de violações — Se os dados pessoais forem comprometidos, deve notificar a sua autoridade de controlo no prazo de 72 horas e as pessoas afetadas sem demora injustificada.
5. Direitos dos titulares dos dados
Ao abrigo do RGPD, os seus passageiros, clientes e motoristas têm direitos específicos sobre os seus dados. Deve estar preparado para gerir estes pedidos:
Direito de acesso
As pessoas podem solicitar uma cópia de todos os dados pessoais que conserva sobre elas. Tem 30 dias para responder.
Direito de retificação
Se os dados estiverem incorretos, podem pedir-lhe para os corrigir. Atualize-os prontamente em todos os seus sistemas.
Direito ao apagamento
O «direito a ser esquecido». As pessoas podem pedir-lhe para eliminar os seus dados, salvo se tiver uma obrigação legal de os conservar.
Direito à portabilidade
Podem solicitar os seus dados num formato legível por máquina (CSV, JSON) para os transferir para outro fornecedor.
Na prática, a maioria das empresas de transfer recebe muito poucos pedidos de titulares de dados. Mas tem de ter um processo implementado. O seu CRM deve facilitar a exportação, atualização ou eliminação dos dados de um passageiro quando solicitado.
6. Escolher um software em conformidade com o RGPD
O seu software de CRM e de despacho é onde reside a maioria dos dados pessoais. Escolher uma solução em conformidade com o RGPD é uma das decisões de maior impacto que pode tomar. Eis o que deve procurar:
- Alojamento de dados na UE — Os seus dados deveriam ser armazenados em servidores localizados na UE. A maioria dos CRM sediados nos EUA armazena os dados nos EUA, o que cria complexidade de conformidade.
- Acesso baseado em funções — O software deveria permitir-lhe controlar quem vê o quê. Os motoristas veem apenas as suas encomendas. Os operadores veem as operações. Os administradores veem tudo.
- Exportação e eliminação de dados — Deve conseguir exportar os dados de um cliente (para pedidos de portabilidade) e eliminá-los (para pedidos de apagamento) diretamente a partir do software.
- Registo de auditoria — Cada acesso e modificação de dados deveria ser registado. Isto ajuda-o a demonstrar a conformidade e a investigar quaisquer problemas.
- Encriptação e 2FA — O software deveria encriptar os dados em repouso e em trânsito e suportar a autenticação de dois fatores para todas as contas de utilizador.
- Contrato de tratamento de dados — O seu fornecedor de software é um «subcontratante» ao abrigo do RGPD. Deveria oferecer um DPA assinado que descreva as suas obrigações.
O TransferCRM foi construído para operadores europeus com a conformidade com o RGPD no seu núcleo: infraestrutura localizada na UE, permissões baseadas em funções, registos de auditoria, exportação de dados, 2FA e um contrato de tratamento de dados assinado incluído em todos os planos.
Pronto para otimizar os seus transfers?
Comece o seu período experimental grátis de 14 dias. Sem cartão de crédito.