Política de Privacidade

EASEC — European Accreditation of Soft Skills & Employability Competencies®  ·  Última atualização: outubro 2026  ·  Aplicável globalmente a todos os serviços e plataformas da EASEC

1. Introdução

A EASEC — European Accreditation of Soft Skills & Employability Competencies — é uma autoridade de certificação internacional independente dedicada a avaliar, certificar e credenciar competências transversais e de empregabilidade ao abrigo de normas internacionalmente reconhecidas, incluindo ESCO, EQF, Tuning, o Quadro de Empregos do Futuro do Fórum Económico Mundial, UNESCO e O*NET.

A presente Política de Privacidade explica como os dados pessoais são recolhidos, tratados, armazenados, partilhados e protegidos quando indivíduos, instituições ou organizações interagem com qualquer serviço, plataforma ou ambiente digital da EASEC.

A EASEC opera através de três verticais — EASEC for Schools, EASEC for Higher Education e EASEC for Work — estruturadas comercialmente em quatro linhas de serviço: Acreditação de Programas; Avaliações Diagnósticas e de Certificação (Centro de Certificação); Certificações Profissionais de Perfil; e a Plataforma de Inteligência do Talento. Esta Política aplica-se uniformemente a todas as verticais e linhas de serviço, com disposições específicas indicadas quando aplicável.

A EASEC oferece ainda dez programas de certificação profissional em competências e opera a Skills-First Employer Network (skillsfirst.easec.eu) e o EASEC International Cooperation Programme, todos abrangidos por esta Política.

Ao aceder ou utilizar qualquer serviço da EASEC, o utilizador reconhece ter lido e compreendido a presente Política de Privacidade. Quando os serviços são acedidos através de uma instituição, empregador ou Authorised Partner, deve consultar igualmente os avisos de privacidade próprios dessa organização.

2. Entidades Legais que Operam ao Abrigo desta Política

Ambas as entidades operam ao abrigo de um quadro unificado de governança de privacidade. As referências a «EASEC» no restante desta Política aplicam-se a ambas as entidades conforme o contexto pertinente.

3. Enquadramento Regulamentar e Alinhamento com Normas

A EASEC opera em conformidade com os seguintes quadros regulamentares:

• Regulamento (UE) 2016/679 (RGPD) — Regulamento Geral sobre a Proteção de Dados
• Lei Orgânica Espanhola 3/2018 (LOPDGDD) — sobre Proteção de Dados Pessoais e Garantia dos Direitos Digitais
• Regulamento (UE) 2024/1689 (Regulamento da IA da UE) — Regulamento da Inteligência Artificial, aplicável à implantação de sistemas de IA pela EASEC em processos de avaliação, incluindo as obrigações de transparência do Artigo 50 e, quando aplicável, os requisitos de classificação de risco e conformidade relevantes para sistemas de IA utilizados em contextos educativos e de emprego
• Regulamento (UE) 910/2014 (eIDAS) — sobre identificação eletrónica e serviços de confiança, aplicável à emissão e verificação de credenciais digitais
• Europass Digital Credentials Infrastructure (EDCI) — princípios de interoperabilidade para formatos de credenciais digitais
• Texas Data Privacy and Security Act (TDPSA) e legislação federal de privacidade aplicável nos EUA, quando a Innzpira LLC é a entidade processadora
• Norma Open Badge 3.0 (1EdTech) — que rege a emissão e portabilidade de insígnias digitais
• 1EdTech CASE (Competency and Academic Standards Exchange) — quadro de metadados aplicado às credenciais emitidas

A EASEC detém certificações ao abrigo da ISO 9001 (Gestão da Qualidade) e ISO 27001 (Gestão da Segurança da Informação), e mantém um procedimento formal de recursos e reclamações alinhado com a ISO/IEC 17024 (Avaliação da Conformidade — Requisitos Gerais para Organismos que Operam a Certificação de Pessoas).

4. Encarregado da Proteção de Dados e Contacto

A EASEC designou um Encarregado da Proteção de Dados (EPD) responsável por supervisionar o cumprimento das obrigações de proteção de dados e por servir como contacto principal para os titulares dos dados e as autoridades de controlo.

Todos os pedidos dos titulares dos dados, reclamações de privacidade ou consultas relativas a esta Política devem ser dirigidos ao EPD. A EASEC compromete-se a responder a pedidos verificados dos titulares dos dados num prazo de trinta (30) dias corridos.

5. Papel da EASEC como Autoridade de Certificação

Independentemente da forma como um indivíduo acede aos serviços da EASEC — diretamente, através de uma instituição, de um empregador, de um Authorised Partner ou do International Cooperation Programme — a EASEC atua como emissora legal independente de todas as certificações de competências e credenciais digitais. Especificamente, a EASEC:

• Determina e aplica todas as metodologias de certificação, regras de pontuação e quadros de competências
• É a única autoridade responsável por decidir se uma certificação de competências é emitida, mantida ou revogada
• Mantém todos os registos de certificação, trilhos de auditoria e sistemas de verificação
• É responsável pela autenticidade, integridade e disponibilidade permanente das credenciais emitidas
• Opera como infraestrutura de confiança que permite a rastreabilidade de credenciais e a verificação pública através de cert.easec.eu/certificates/verify e, quando ativado, através de um registo público de credenciais baseado em blockchain que permite a terceiros verificar a autenticidade e integridade das credenciais de forma independente dos próprios sistemas da EASEC
• Mantém o Assessment Integrity Framework (AIF) que rege a integridade de todos os processos de avaliação

As credenciais com marca partilhada incluem o logotipo da instituição ou do empregador, mas tal não altera o papel da EASEC como única autoridade legal emissora, nem transfere para as instituições qualquer propriedade ou responsabilidade sobre os dados de certificação detidos pela EASEC.

6. Plataformas e Domínios Abrangidos por esta Política

7. Relação com Instituições, Empregadores, Partners e Consumidores Diretos

Instituições e Centros de Certificação

Quando universidades, escolas ou grupos educativos operam como Centros de Certificação EASEC, a instituição atua como Responsável pelo Tratamento independente para os dados dos participantes que recolhe e introduz na plataforma EASEC. A EASEC atua como Responsável pelo Tratamento independente para os registos de certificação, emissão de credenciais e dados de verificação. Para a finalidade limitada de administrar avaliações e gerar análises de coorte, a EASEC pode atuar como Subcontratante seguindo instruções institucionais.

Empregadores e Clientes EASEC for Work

Quando empregadores ou consultorias acedem aos serviços EASEC for Work, o empregador ou a consultoria é o Responsável pelo Tratamento para os dados de colaboradores ou candidatos introduzidos na plataforma. A EASEC atua como Subcontratante para a administração de avaliações e geração de relatórios, e como Responsável pelo Tratamento independente para a emissão de credenciais e contas individuais do EASEC Wallet.

Consumidores Diretos Individuais (B2C)

Quando indivíduos adquirem serviços de avaliação ou certificação diretamente através de www.easec.eu, a EASEC atua como único Responsável pelo Tratamento para todos os dados recolhidos em conexão com essa compra e a avaliação e emissão de credenciais resultantes. Nenhum intermediário institucional participa nas transações B2C. Aplicam-se as mesmas normas de certificação e condições de validade de credenciais que nos acordos institucionais B2B.

Authorised Partners

A EASEC opera uma Rede de Authorised Partners que compreende três categorias de partner: Authorised Representatives, Authorised Resellers e Authorised Referral Partners. Os Authorised Partners podem introduzir clientes nos serviços da EASEC e, em alguns casos, facilitar a integração e administração. Os Partners não acedem a dados pessoais dos indivíduos avaliados salvo quando explicitamente autorizados no Acordo de Partner aplicável da EASEC. Os direitos, obrigações e condições de tratamento de dados aplicáveis a cada categoria de partner são regulados pelo Acordo de Partner aplicável.

Participantes do International Cooperation Programme

As instituições que acedem aos serviços da EASEC através do EASEC International Cooperation Programme estão sujeitas a esta Política de Privacidade e às condições de proteção de dados estabelecidas no acordo de cooperação ou memorando de entendimento aplicável. A EASEC atua como Responsável pelo Tratamento independente para todos os registos de certificação e emissão de credenciais resultantes dos serviços prestados ao abrigo do Programa.

8. Categorias de Dados Pessoais Tratados

Dados de Identidade e Contacto

• Nome completo e apelidos
• Endereço de correio eletrónico (institucional ou pessoal)
• País ou região
• Afiliação institucional ou do empregador

Dados de Avaliação e Certificação

• Respostas de avaliação psicométrica (elementos do instrumento de autorrelato)
• Resultados de pontuação e níveis de competência
• Resultados de certificação e níveis de proficiência alcançados (Emerging, Foundational, Intermediate, Advanced ou Mastery)
• Identificadores de credenciais, metadados, dados de competências segundo a norma CASE e metadados de alinhamento com quadros (ESCO, EQF, Tuning, WEF, UNESCO, O*NET)
• Registos de emissão e verificação com marca temporal

Dados de Avaliação Situacional Assistida por IA

As seguintes categorias de dados são geradas e tratadas em conexão com a dimensão de avaliação situacional do EASEC AI Engine, integrada como camada qualitativa complementar nos instrumentos diagnósticos e de certificação da EASEC:

• Resposta situacional em texto aberto: o texto livre escrito pelo participante em resposta a um cenário situacional gerado por IA. Constitui um dado comportamental e potencialmente psicológico e é tratado com especial cuidado.
• Análise interpretativa gerada por IA: a saída qualitativa estruturada (pontos fortes identificados, oportunidades de desenvolvimento, contextos de desempenho sugeridos e próximos passos recomendados) produzida pelo EASEC AI Engine a partir da resposta em texto aberto do participante. Esta análise é acessível exclusivamente ao participante individual através do seu EASEC Wallet.
• Dados de tempo de resposta: o tempo decorrido entre a apresentação do cenário situacional e o envio da resposta do participante, registado como métrica contextual comportamental.
• Indicador interno de competência: uma classificação interna derivada pelo AI Engine numa escala numérica de 1 a 5, utilizada unicamente para calibração do instrumento e garantia de qualidade. Este indicador não é apresentado ao participante, não é comunicado a nenhuma instituição ou empregador e não faz parte da pontuação certificada da avaliação.

Dados de Avaliação para Certificação Profissional

Para os participantes que completam programas de certificação profissional da EASEC (incluindo as dez certificações profissionais nos domínios For Schools, For Higher Education e For Work), são tratadas as mesmas categorias de dados de avaliação psicométrica e de avaliação situacional assistida por IA descritas acima, juntamente com:

• Dados de função profissional e contexto de domínio fornecidos durante o registo, quando aplicável
• Dados de alinhamento com o quadro de competências específico da certificação profissional avaliada

Dados de Acreditação de Programas

• Documentação de programas apresentada pelas instituições
• Listas de participantes (nome e correio eletrónico institucional) fornecidas para questionários de qualidade
• Respostas a questionários de qualidade e satisfação
• Registos de avaliação de alinhamento do programa (dados de alinhamento com ESCO, EQF, Tuning e o quadro WEF Future of Jobs)

Dados de Monitorização da Integridade de Avaliações

Em conexão com o EASEC Assessment Integrity Framework (AIF), a EASEC pode tratar as seguintes categorias de dados com a finalidade de detetar e prevenir fraude nas avaliações:

• Dados de análise de padrões de resposta (deteção de anomalias em tempo, consistência e indicadores comportamentais)
• Sinais de deteção de conteúdo gerado por IA
• Metadados de sessão (dispositivo, navegador, endereço IP, padrões temporais)

Este tratamento baseia-se no interesse legítimo da EASEC em manter a integridade e credibilidade da sua norma de certificação. Os dados tratados para fins de monitorização de integridade são conservados apenas durante o tempo necessário para completar a revisão de integridade e, quando uma infração é confirmada, durante o tempo necessário para sustentar a aplicação e os recursos.

Dados do Registo de Credenciais em Blockchain

Quando uma credencial é registada no registo público de credenciais em blockchain, a EASEC trata e publica os seguintes dados:

• Um hash criptográfico da credencial (uma derivação matemática unidirecional que não permite reconstruir a credencial nem identificar o seu titular)
• A data de emissão

Nenhum dado pessoal, nome de competência, resultado de avaliação, identificador de credencial ou qualquer outro conteúdo da credencial é publicado na blockchain. O tratamento destes dados é descrito em detalhe na Secção 13A.

Dados de Plataforma e Técnicos

• Endereço IP e geolocalização aproximada
• Tipo de dispositivo, navegador e sistema operativo
• Registos de atividade de sessão e dados de navegação
• Eventos de segurança e registos de acesso

Dados de Comunicações

• Pedidos de suporte e correspondência
• Respostas de feedback e questionários
• Preferências de newsletters e comunicações

Dados de Faturação e Comerciais

• Nome da entidade legal, morada de faturação e identificação fiscal (B2B) ou nome e morada de faturação individual (B2C)
• Referências de transações de pagamento (processadas pela Stripe — a EASEC não armazena dados de cartões)
• Registos de faturas e contratos
• Datas de ativação de créditos e períodos de validade de créditos

9. Finalidades do Tratamento e Bases Legais

10. Tomada de Decisões Automatizada e Resultados de Certificação

O processo de certificação de competências da EASEC envolve pontuação automatizada que pode produzir um efeito legal ou igualmente significativo — concretamente, se uma credencial de competência é ou não emitida.

O processo de certificação automatizado:

• Aplica modelos psicométricos validados e regras de pontuação predefinidas alinhadas com quadros de competências internacionalmente reconhecidos (ESCO, EQF, Tuning, WEF, UNESCO, O*NET)
• É concebido para garantir consistência, objetividade e comparabilidade em todas as avaliações
• Não envolve juízo humano subjetivo no cálculo da pontuação
• Produz um resultado de nível de proficiência (Emerging, Foundational, Intermediate, Advanced ou Mastery) e determina se o limiar mínimo de certificação é alcançado

Quando os relatórios ou análises da plataforma EASEC for Work são gerados automaticamente com base em dados de avaliação, estes constituem resultados informativos para apoiar a tomada de decisões pelos empregadores e não constituem, por si só, decisões automatizadas com efeito legal para os indivíduos.

10A. EASEC AI Engine — Dimensão de Avaliação Situacional

10A.1 Natureza e Finalidade

O EASEC AI Engine é um componente qualitativo de avaliação integrado nos instrumentos de avaliação diagnóstica e de certificação da EASEC nas três verticais. Apresenta ao participante um cenário situacional contextualizado gerado por um modelo de linguagem de IA, calibrado segundo a competência avaliada do participante, o seu segmento, faixa etária aproximada e contexto cultural. A resposta em texto livre do participante é analisada pelo AI Engine para produzir uma leitura interpretativa.

Esta dimensão é de natureza interpretativa e de desenvolvimento. Não constitui, influencia nem modifica a pontuação certificada de competência do participante, que é determinada exclusivamente pelo instrumento psicométrico validado e pelo modelo de pontuação automatizado descritos na Secção 10. A saída do AI Engine não é partilhada com nenhuma instituição, empregador, partner ou terceiro — é acessível exclusivamente ao participante individual através da sua conta pessoal do EASEC Wallet.

10A.2 Divulgação de Transparência no Momento da Interação

Antes de iniciar a dimensão do AI Engine, os participantes são informados dentro da interface de avaliação de todos os seguintes aspetos:

• (a) que o cenário situacional foi gerado por um sistema de inteligência artificial (o EASEC AI Engine), calibrado segundo o seu perfil;
• (b) que a sua resposta em texto aberto será tratada por um sistema de IA para produzir uma análise qualitativa interpretativa;
• (c) que esta análise é interpretativa, de desenvolvimento, e não faz parte da sua pontuação certificada de avaliação;
• (d) que a dimensão de IA opera com total independência metodológica relativamente à pontuação psicométrica;
• (e) que pode solicitar revisão da análise interpretativa por um avaliador qualificado da EASEC em qualquer momento, e que está disponível um procedimento formal de recursos e reclamações alinhado com a ISO/IEC 17024;
• (f) as referências regulamentares aplicáveis: Regulamento da IA da UE 2024/1689, Artigo 50; RGPD Artigo 22.

A ação explícita do participante de continuar (clicando no botão de início) constitui reconhecimento informado destas divulgações. O participante pode optar por não completar a dimensão do AI Engine sem afetar o seu acesso à avaliação psicométrica ou à certificação.

10A.3 Subcontratantes de IA

Ambos os prestadores estão contratados ao abrigo de acordos de tratamento de dados (DPA) que: (a) proíbem expressamente a utilização de dados de participantes da EASEC para treino, ajuste fino ou melhoria de modelos de IA; (b) garantem que os dados transmitidos via API não são conservados pelo prestador para além do tempo necessário para gerar a resposta da API; (c) exigem o cumprimento da legislação de proteção de dados da UE através das Cláusulas Contratuais-Tipo.

10A.4 Armazenamento de Dados e Infraestrutura

Todos os dados do AI Engine — incluindo respostas em texto aberto, análises geradas por IA, dados de tempo de resposta e indicadores internos de competência — são armazenados exclusivamente na infraestrutura de nuvem da EASEC localizada dentro do Espaço Económico Europeu: Google Cloud Platform (região da UE) e DigitalOcean (região da UE). Nenhum dado do AI Engine é armazenado permanentemente fora do EEE.

10A.5 O Que as Instituições e Empregadores Veem e Não Veem

Os Centros de Certificação institucionais e os clientes empregadores com acesso à plataforma da EASEC recebem:

• Resultados de certificação psicométrica (nível de proficiência e se o limiar de certificação foi alcançado)
• A credencial digital emitida (diploma, Open Badge, Europass EDC) associada ao indivíduo
• Análises de coorte derivadas de dados de avaliação certificados (agregadas ou por indivíduo, conforme acordado no contrato institucional)

Os Centros de Certificação institucionais e os clientes empregadores NÃO recebem, e a EASEC não partilha com eles:

• A resposta em texto aberto situacional escrita pelo participante durante a dimensão do AI Engine
• A análise interpretativa gerada por IA (pontos fortes, oportunidades, contextos de desempenho, próximos passos)
• O indicador interno de competência gerado pelo AI Engine

10A.6 Protocolo de Revisão Humana

Os participantes têm o direito de solicitar a revisão da sua análise interpretativa do AI Engine por um avaliador qualificado da EASEC. Este direito é apresentado aos participantes dentro da interface de avaliação no final da dimensão do AI Engine. Os pedidos de revisão podem também ser submetidos em qualquer momento para [email protected]. A EASEC compromete-se a reconhecer os pedidos de revisão num prazo de cinco (5) dias úteis.

10A.7 Direitos Relativos ao Tratamento por IA

A análise interpretativa do AI Engine constitui tratamento automatizado de dados pessoais para produzir uma saída que descreve as características do indivíduo. Nos termos do Artigo 22.º do RGPD, os participantes têm o direito de: (a) obter revisão humana da análise do AI Engine; (b) expressar o seu ponto de vista; (c) contestar a análise quando considerem que não os representa com precisão. Além disso, os participantes podem submeter um recurso formal através do procedimento de recursos e reclamações da EASEC alinhado com a ISO/IEC 17024 (Política P-APR-01). Para exercer estes direitos, contacte [email protected] ou [email protected].

11. Participação de Menores

Os serviços EASEC for Schools são especificamente concebidos para estudantes do ensino secundário com idades entre os 15 e os 18 anos. Os serviços EASEC for Higher Education e EASEC for Work destinam-se a indivíduos com 18 anos ou mais. As compras diretas B2C estão disponíveis apenas para indivíduos com 18 anos ou mais.

As instituições não devem inscrever estudantes com idade inferior a 15 anos em qualquer serviço da EASEC.

12. Contas Pessoais do EASEC Wallet

Ao completar a sua primeira avaliação de competências EASEC — seja através de uma instituição educativa, de um empregador, de um Authorised Partner, do International Cooperation Programme ou através de uma compra direta B2C — cada indivíduo recebe automaticamente uma conta pessoal do EASEC Wallet. Esta conta:

• Pertence ao indivíduo e é independente de qualquer relação contratual institucional, do empregador ou do partner com a EASEC
• Persiste indefinidamente, enquanto o indivíduo optar por mantê-la
• Armazena todas as certificações de competências e certificações profissionais emitidas a esse indivíduo, de forma permanente e sem expiração do registo
• Armazena as análises interpretativas do AI Engine geradas para esse indivíduo, acessíveis exclusivamente ao próprio
• Permite ao indivíduo descarregar, partilhar e gerir as suas credenciais em qualquer momento, incluindo a partilha no LinkedIn e noutras plataformas profissionais
• Não pode ser encerrada ou restringida por nenhuma instituição, empregador, partner ou programa de cooperação
• Permite ao indivíduo configurar as suas próprias preferências de tratamento de dados e definições de permissão diretamente na plataforma

Os indivíduos podem solicitar o encerramento da sua conta do Wallet em qualquer momento contactando [email protected]. O encerramento da conta do Wallet não elimina os registos de emissão de certificações mantidos pela EASEC para fins de verificação e auditoria.

12A. Controlo Individual de Dados e Gestão de Permissões

Cada indivíduo com conta pessoal do EASEC Wallet tem controlo total sobre as permissões de acesso a dados concedidas às instituições e empregadores que lhe administraram avaliações EASEC. Através das definições da sua conta do Wallet, os indivíduos podem:

• (a) Ver quais as instituições e empregadores que têm atualmente acesso aos seus resultados de avaliação, registos de credenciais e dados de perfil;
• (b) Revogar permissões de acesso concedidas a qualquer instituição ou empregador específico em qualquer momento, com efeito imediato;
• (c) Configurar se a EASEC pode utilizar os seus dados individuais (para além do que é necessário para a integridade da certificação) para fins de investigação e melhoria interna;
• (d) Exercer todos os direitos aplicáveis dos titulares dos dados ao abrigo do RGPD diretamente através da interface da plataforma.

Efeito de Revogar o Acesso Institucional

• A instituição ou empregador perde imediatamente toda a visibilidade dos dados identificativos do indivíduo, incluindo nome, apelidos, endereço de correio eletrónico, resultados de avaliação, registos de credenciais e dados de desempenho histórico.
• Os dados do indivíduo são anonimizados do ponto de vista da instituição. Os dados agregados e de benchmarking podem permanecer disponíveis para a instituição apenas em forma completamente não identificável.
• A EASEC continua a conservar os registos de certificação do indivíduo e os dados pessoais do Wallet em conformidade com esta Política.
• As obrigações da EASEC enquanto emissora de certificações são independentes de qualquer relação institucional.
• As credenciais emitidas permanecem permanentemente verificáveis através da infraestrutura de verificação pública da EASEC, uma vez que a integridade do registo de certificação é uma função central do papel da EASEC enquanto autoridade de certificação independente e não pode ser afetada pela revogação do acesso institucional.

Efeito de Revogar ou Restringir o Tratamento da Própria EASEC

• Os registos de emissão de certificações e os metadados de credenciais não podem ser eliminados do registo de certificação da EASEC, uma vez que a sua conservação é necessária para preservar a integridade do sistema de verificação do qual dependem as partes confiantes (empregadores, instituições, organismos reguladores em todo o mundo).
• Os dados do AI Engine (resposta em texto aberto, análise interpretativa, indicador interno) podem ser eliminados mediante um pedido de apagamento válido, sujeito ao período de retenção de 24 meses estabelecido na Secção 18, quando não se aplique nenhum interesse legítimo prevalecente.
• Todas as demais categorias de dados pessoais estão sujeitas a direitos de eliminação ou restrição conforme estabelecido na Secção 20.

13. Credenciais Digitais e Verificação Pública

A EASEC emite credenciais nos seguintes formatos:

• Diploma digital com marca partilhada — PDF com os logotipos da EASEC e da instituição ou empregador, com código de verificação único e código QR
• Credencial digital verificável — partilhável diretamente no LinkedIn e outras plataformas profissionais
• Open Badge 3.0 — compatível com qualquer carteira digital ou plataforma de insígnias que cumpra as normas
• Europass Digital Credential (EDC) — compatível com a infraestrutura e o portfólio Europass
• Credencial ancorada em blockchain — uma camada adicional de integridade e verificação baseada no Ethereum Attestation Service (EAS) implantado na rede Base, conforme descrito na Secção 13A

Os metadados das credenciais incluem dados de alinhamento com quadros mapeados para ESCO, EQF, Tuning, WEF Future of Jobs, UNESCO e O*NET conforme aplicável.

Cada credencial tem uma validade declarada de três (3) anos a partir da emissão. O registo da credencial nunca é eliminado do registo de certificação da EASEC. As credenciais são verificáveis publicamente em https://cert.easec.eu/certificates/verify. O serviço de verificação não expõe dados de resposta de avaliação nem saídas do AI Engine.

13A. Registo Público de Credenciais em Blockchain

13A.1 O Que Fazemos

Quando a EASEC emite uma credencial digital (Open Badge), pode registar uma prova da sua existência num registo público baseado em tecnologia blockchain: a rede Base, através do Ethereum Attestation Service (EAS). Este registo permite a qualquer parte verificar que uma credencial foi emitida pela EASEC, em que data, que não foi alterada e se foi revogada, sem necessidade de consultar diretamente a EASEC.

13A.2 Que Dados São Publicados

Os seguintes dados — e apenas os seguintes dados — são publicados na blockchain para cada credencial registada:

• Um hash criptográfico da credencial: um código matemático unidirecional calculado a partir da credencial. O hash permite a qualquer parte na posse da credencial verificar a sua autenticidade e integridade calculando o hash de forma independente e comparando-o com o registo publicado. O hash não permite reconstruir a credencial nem identificar o seu titular.
• A data de emissão.

13A.3 Que Dados Não São Publicados

Nenhum dado pessoal é publicado na blockchain. Especificamente, não estão incluídos no registo on-chain: o nome do titular, o endereço de correio eletrónico, o identificador de credencial, a competência avaliada, o resultado da avaliação, o nível de proficiência, nem qualquer outro conteúdo da credencial. A partir do hash criptográfico apenas, não é possível determinar a quem pertence uma credencial: apenas uma parte que já possua a credencial pode calcular o seu hash e verificar a correspondência.

13A.4 Base Legal

Este tratamento baseia-se no interesse legítimo da EASEC e de terceiros que verificam credenciais (empregadores, instituições educativas, organismos reguladores, entre outros) em garantir a autenticidade e integridade das credenciais emitidas e prevenir a sua falsificação [Art. 6(1)(f) RGPD]. A EASEC limitou os dados publicados ao mínimo necessário para essa finalidade.

13A.5 Natureza Permanente

Devido à natureza da tecnologia blockchain, a informação registada na rede não pode ser modificada nem eliminada uma vez publicada, nem pela EASEC nem por qualquer terceiro. Se uma credencial for revogada, a EASEC marca a atestação on-chain correspondente como revogada, mas o hash criptográfico e a data de emissão permanecem na rede.

13A.6 Revogabilidade

Cada atestação on-chain é registada como revogável. Se a EASEC revogar uma credencial nos seus próprios sistemas, marca igualmente a atestação blockchain correspondente como revogada.

13A.7 Arquitetura Técnica

A EASEC utiliza o contrato padrão do EAS já implantado na rede Base e não implanta nem mantém contratos inteligentes proprietários. Tal elimina a necessidade de desenvolver, auditar ou manter código blockchain personalizado.

13A.8 Destinatários e Transferências Internacionais

O registo blockchain é público e é replicado nos nós da rede Base, operados por terceiros em diversos países, incluindo países situados fora do Espaço Económico Europeu. Para enviar atestações à rede, a EASEC utiliza um prestador de acesso a infraestrutura blockchain que atua como subcontratante ao abrigo de um acordo de tratamento de dados.

13A.9 Retenção

O hash criptográfico e a data de emissão são conservados na rede blockchain indefinidamente devido à sua natureza imutável. Nos sistemas da EASEC, a ligação entre a credencial de um indivíduo e o seu registo blockchain é conservada enquanto a credencial existir.

13A.10 O Seu Direito de Oposição

Pode opor-se ao registo da sua credencial no registo público de credenciais em blockchain escrevendo para [email protected] ou [email protected]:

• Antes da emissão: se se opuser antes da emissão da credencial, a EASEC não a registará na blockchain.
• Após o registo: se a credencial já tiver sido registada, a EASEC marcará a atestação on-chain como revogada e eliminará dos seus próprios sistemas a ligação entre a sua credencial e o registo blockchain, de modo que o hash criptográfico publicado já não esteja associado a si nos sistemas da EASEC. O hash criptográfico e a data de emissão permanecerão na blockchain devido à natureza imutável da tecnologia; contudo, o hash apenas não permite a sua identificação.

O exercício deste direito não afeta a validade da sua credencial nem o seu acesso a qualquer outro serviço da EASEC.

13A.11 Relação com a Verificação Primária

O registo público de credenciais em blockchain é uma camada adicional de integridade e verificação. Não substitui nem modifica o sistema primário de verificação de credenciais disponível em cert.easec.eu/certificates/verify. O registo blockchain não certifica por si só a identidade do titular nem confere à credencial qualquer validade legal ou reconhecimento oficial para além do que a credencial já possui.

13A.12 Europass Digital Credentials

As Europass Digital Credentials (EDC) não estão incluídas no registo público de credenciais em blockchain nesta fase. Se a EASEC decidir incluí-las no futuro, será registado um esquema de atestação separado para esse efeito. O registo de um esquema adicional não afeta as atestações existentes nem o esquema atual.

14. Marca Partilhada e Perfis Institucionais

As credenciais emitidas ao abrigo de um acordo institucional incluem a marca partilhada da EASEC e da instituição ou empregador participante. Esta marca partilhada não transfere qualquer responsabilidade de Responsável pelo Tratamento para a instituição no que respeita aos registos de certificação da EASEC, nem altera o estatuto da EASEC como única autoridade legal emissora.

Quando uma instituição opera como Centro de Certificação EASEC ou detém o estatuto de Acreditação de Programa, a EASEC publica e mantém um perfil institucional no sítio web da EASEC durante a vigência do acordo. O estatuto de Acreditação de Programa é concedido quando o programa de uma instituição demonstra pelo menos 80% de alinhamento com os quadros de competências internacionais aplicáveis (ESCO, EQF, Tuning e WEF Future of Jobs). Este perfil pode incluir o nome da instituição, logotipo, dados de contacto, número de indivíduos certificados, áreas de competência e estatuto de acreditação. As instituições podem configurar o seu perfil através da sua conta de administrador em cert.easec.eu.

15. Serviços de Terceiros e Prestadores de Tecnologia

«CCT» refere-se às Cláusulas Contratuais-Tipo da UE nos termos do Artigo 46.º do RGPD.

A EASEC não vende dados pessoais a terceiros e não utiliza dados pessoais para publicidade comportamental dirigida a utilizadores individuais com base no conteúdo das suas avaliações ou resultados de certificação.

16. Partilha de Dados

• Instituições e empregadores participantes — para análises de coorte, relatórios de qualidade e gestão de programas, em conformidade com os acordos institucionais e as definições de permissão do indivíduo no seu EASEC Wallet
• Authorised Partners — apenas quando explicitamente autorizados no Acordo de Partner aplicável e limitados aos dados necessários para a função autorizada do partner
• Prestadores de tecnologia e infraestrutura — listados na Secção 15, para a operação e manutenção das plataformas EASEC
• Sistemas e infraestruturas de verificação de credenciais — incluindo integrações Europass e LinkedIn, quando os indivíduos optam por partilhar as suas credenciais através desses canais
• Prestador de infraestrutura blockchain — quando uma credencial é registada no registo público de credenciais em blockchain, o prestador de acesso a infraestrutura blockchain recebe exclusivamente o hash criptográfico e a data de emissão para submeter a atestação à rede Base. Os indivíduos podem exercer o direito de oposição conforme descrito na Secção 13A.10.
• Rede pública de blockchain — quando uma credencial é registada, o hash criptográfico e a data de emissão são publicados na rede Base e são acessíveis a qualquer parte. Nenhum dado pessoal está incluído no registo on-chain.
• Autoridades competentes e organismos de supervisão — quando exigido pela legislação aplicável, decisão judicial ou investigação regulamentar
• Innzpira LLC — quando a faturação e a prestação de serviços EASEC for Work denominados em USD exige troca de dados entre as duas entidades do grupo, regulada por um acordo de transferência de dados intragrupo que incorpora as salvaguardas adequadas

17. Transferências Internacionais de Dados

• Cláusulas Contratuais-Tipo da UE (CCT) — aplicadas a transferências para prestadores nos EUA e outros países sem decisão de adequação, nos termos do Artigo 46(2)(c) do RGPD
• Decisões de adequação — utilizadas quando a Comissão Europeia determinou que um país destinatário proporciona um nível adequado de proteção
• Acordo intragrupo — que rege os fluxos de dados entre INNZPIRA ANALYTICS S.L. e Innzpira LLC, incorporando CCT
• Rede pública de blockchain — os dados de atestação de credenciais (hash criptográfico e data de emissão) são publicados na rede Base e replicados nos nós operados por terceiros em várias jurisdições, incluindo jurisdições fora do EEE. Uma vez que os dados publicados não constituem dados pessoais (o hash apenas não permite identificação), esta replicação não constitui uma transferência de dados pessoais na aceção do Capítulo V do RGPD. A transferência da EASEC para o prestador de acesso a infraestrutura blockchain é regulada por um acordo de tratamento de dados que incorpora as salvaguardas adequadas.

17A. Conformidade Regulamentar Global

A EASEC opera em mais de 64 países e compromete-se a cumprir as normas de proteção de dados aplicáveis em cada jurisdição onde os seus serviços são acedidos. O seguinte resume a abordagem da EASEC aos principais quadros regulamentares internacionais para além do RGPD da UE.

Índia — Digital Personal Data Protection Act 2023 (DPDP Act)

Para avaliações envolvendo participantes localizados na Índia, a EASEC atua como Data Fiduciary nos termos da DPDP Act. A EASEC trata dados pessoais com base no consentimento obtido através do mecanismo de consentimento de avaliação. Os participantes na Índia têm o direito de aceder, corrigir e eliminar os seus dados pessoais, e a obter repressão de prejuízos através do EPD da EASEC. As transferências transfronteiriças de dados pessoais indianos para a infraestrutura EEE da EASEC são realizadas ao abrigo dos mecanismos de transferência lícitos aplicáveis ao abrigo da DPDP Act e das suas regras de aplicação.

Brasil — Lei Geral de Proteção de Dados (LGPD)

Para participantes brasileiros, a EASEC trata dados pessoais com base na execução de contrato e no interesse legítimo conforme previsto na LGPD. Nos termos do Artigo 20 da LGPD, os participantes têm o direito de solicitar a revisão de decisões automatizadas. Este direito é operacionalizado através do Protocolo de Revisão Humana descrito nas Secções 10 e 10A.6, e através do procedimento de recursos alinhado com a ISO/IEC 17024.

Colômbia — Ley 1581 de 2012

Para participantes colombianos, a EASEC obtém autorização expressa para o tratamento de categorias de dados sensíveis (incluindo respostas de avaliação psicométrica e situacional, que podem relacionar-se com características psicológicas) em conformidade com os requisitos da Ley 1581. O mecanismo de consentimento de avaliação constitui a autorização expressa exigida.

Chile — Ley 21.096 e Ley 19.628

Para participantes chilenos, a EASEC aplica os princípios de limitação da finalidade, proporcionalidade e direitos de habeas data em conformidade com a legislação chilena de proteção de dados aplicável. Os participantes podem exercer direitos de acesso, retificação, cancelamento e oposição através do EPD.

Singapura — Personal Data Protection Act 2012 (PDPA)

Para participantes e clientes institucionais de Singapura, a EASEC cumpre as obrigações da PDPA, incluindo a limitação da finalidade, a exatidão dos dados, a proteção e a limitação de retenção. As transferências transfronteiriças são realizadas ao abrigo dos mecanismos contratuais exigidos pela PDPA.

Japão — Act on the Protection of Personal Information (APPI)

Para participantes japoneses, a EASEC trata dados pessoais em conformidade com os requisitos da APPI relativos à especificação da finalidade, limitação de utilização e restrições de divulgação a terceiros. As transferências transfronteiriças de dados cumprem as regras da APPI.

Argentina — Ley 25.326 de Protección de Datos Personales

Para participantes argentinos, a EASEC trata dados pessoais em conformidade com a Ley 25.326, aplicando os princípios de qualidade, finalidade, consentimento e segurança. Os dados sensíveis (incluindo dados psicométricos) são tratados apenas com o consentimento expresso do titular dos dados.

México — Ley Federal de Protección de Datos Personales en Posesión de los Particulares

Para participantes mexicanos, a EASEC atua como Responsable del tratamiento e cumpre a LFPDPPP, incluindo a obrigação de disponibilizar um Aviso de Privacidad e de respeitar os direitos ARCO (Acceso, Rectificación, Cancelación, Oposición).

Outras Jurisdições

Para participantes e clientes em jurisdições não especificamente mencionadas acima, o quadro de tratamento conforme ao RGPD da EASEC proporciona um nível de proteção que cumpre ou excede os requisitos da maioria das leis nacionais de proteção de dados aplicáveis. Os indivíduos em qualquer jurisdição podem exercer os seus direitos através dos dados de contacto do EPD estabelecidos na Secção 4.

18. Retenção de Dados

19. Medidas de Segurança

A EASEC implementa medidas de segurança técnicas e organizativas em conformidade com a sua certificação ISO 27001, incluindo:

• Cifra de dados em trânsito (TLS/HTTPS) e em repouso
• Controlos de acesso baseados em funções que limitam o acesso a dados ao pessoal autorizado
• Monitorização contínua, deteção de intrusões e registo de eventos de segurança
• Ambientes de alojamento na nuvem seguros (Google Cloud Platform, DigitalOcean) com redundância geográfica dentro do EEE
• Cópias de segurança automatizadas regulares e procedimentos de recuperação testados
• Revisões de segurança periódicas e avaliações de vulnerabilidades
• Procedimentos de resposta a incidentes alinhados com os requisitos de notificação de violações em 72 horas ao abrigo do RGPD
• Avaliação de segurança de fornecedores para todos os prestadores terceiros com acesso a dados pessoais, incluindo subcontratantes de IA
• Formação interna em proteção de dados para todo o pessoal da EASEC
• Medidas de monitorização da integridade de avaliações ao abrigo do AIF, concebidas e operadas em conformidade com os princípios de minimização de dados e limitação da finalidade
• Quando as credenciais ancoradas em blockchain estão ativadas, a publicação de hashes criptográficos num livro-razão distribuído e imutável proporciona uma camada adicional de evidência de manipulação que permite a verificação independente da integridade das credenciais sem dependência da própria infraestrutura da EASEC

Em caso de violação de dados pessoais suscetível de resultar num risco elevado para os direitos e liberdades dos indivíduos, a EASEC notificará os indivíduos afetados sem demora injustificada e notificará a Agencia Española de Protección de Datos (AEPD) no prazo de 72 horas.

20. Direitos dos Titulares dos Dados

Os pedidos podem ser enviados para [email protected] ou diretamente ao EPD em [email protected]. A EASEC verificará a identidade do requerente antes de processar o pedido e responderá num prazo de trinta (30) dias corridos.

21. Cookies

A EASEC utiliza cookies e tecnologias de rastreio semelhantes em www.easec.eu. O consentimento de cookies é gerido através do CookieYes, uma plataforma de gestão de consentimento conforme ao RGPD.

Pode gerir as suas preferências em qualquer momento através do painel de definições de cookies disponível no rodapé do sítio web.

Apenas os cookies estritamente necessários são ativados sem o seu consentimento. Todas as demais categorias — Analítica, Marketing e Funcional — requerem o seu consentimento explícito antes de serem ativadas. Para informações completas, consulte a Política de Cookies da EASEC.

22. Investigação, Benchmarking e Desenvolvimento de Normas

• Melhoria e validação de instrumentos de avaliação psicométrica e do EASEC AI Engine
• Desenvolvimento de referências internacionais de competências e perfis alinhados com ESCO, EQF, Tuning, WEF, UNESCO e O*NET
• Elaboração de relatórios anonimizados sectoriais ou regionais sobre tendências de competências
• Avanço da investigação sobre competências de empregabilidade em colaboração com parceiros académicos ou institucionais
• Apoio à evolução da norma de certificação EASEC
• Publicações académicas, contribuições em conferências e projetos de investigação colaborativa

A EASEC não vende dados pessoais. A EASEC não utiliza dados pessoais para publicidade comportamental. Os resultados de investigação não incluem qualquer informação individualmente identificável. Os indivíduos podem configurar as suas preferências de tratamento para investigação através das definições da conta do seu EASEC Wallet.

23. Alterações a Esta Política

A EASEC pode atualizar esta Política de Privacidade para refletir alterações na legislação aplicável, práticas operacionais ou serviços oferecidos. As alterações materiais serão comunicadas através da atualização da data de «Última atualização» no topo desta Política e, quando aplicável, através de notificação direta a utilizadores registados, Authorised Partners ou instituições.

A utilização continuada dos serviços da EASEC após a publicação de uma Política atualizada constitui aceitação dos termos revistos. As versões anteriores podem ser obtidas contactando [email protected].

24. Contacto