Acordo de tratamento de dados

Esta página descreve o nosso acordo de tratamento de dados normalizado para que o possa analisar antes de o pedir. Não constitui, em si mesma, um acordo e não cria quaisquer obrigações. O que prevalece é o DPA celebrado, com os respetivos anexos, e, quando esta página divergir dele, prevalece o DPA celebrado.

Sempre que construímos, alojamos, mantemos ou damos apoio a um sistema que contém dados pessoais pertencentes a si ou aos seus utilizadores. O cliente é o responsável pelo tratamento (ou a «business»); a DCI Brands LLC é o subcontratante (ou prestador de serviços). O DPA faz parte do acordo de projeto. Quando estiverem envolvidas informações de saúde protegidas, é também assinado um Business Associate Agreement e, relativamente a esses dados, prevalecem os termos deste.

Tudo o que o artigo 28.º, n.º 3, do RGPD exige, bem como os equivalentes ao abrigo do RGPD do Reino Unido e da Lei Federal suíça sobre a Proteção de Dados (LPD):

1. A descrição do tratamento: objeto, duração, natureza e finalidade, tipos de dados pessoais e categorias de titulares dos dados, num anexo específico do seu projeto.
2. Tratamento apenas segundo as suas instruções documentadas, incluindo no que respeita a transferências, e o nosso compromisso de o informar se considerarmos que uma instrução viola a legislação de proteção de dados.
3. Confidencialidade: todas as pessoas que autorizamos a tratar os seus dados estão vinculadas por uma obrigação de confidencialidade escrita.
4. Segurança: as medidas técnicas e organizativas constantes do anexo, que cumprem o artigo 32.º. Podemos atualizá-las desde que a proteção não seja substancialmente reduzida.
5. Subcontratantes ulteriores: a sua autorização geral por escrito, a transmissão escrita, por nós, de obrigações equivalentes e a nossa responsabilidade pelo desempenho destes.
6. Assistência relativa aos direitos dos titulares dos dados: acesso, retificação, apagamento, portabilidade, limitação e oposição, tendo em conta a natureza do tratamento.
7. Assistência relativa aos artigos 32.º a 36.º: segurança, notificação de violações, avaliações de impacto sobre a proteção de dados e consulta prévia, tendo em conta as informações de que dispomos.
8. Eliminação ou devolução no final do projeto, à sua escolha.
9. Informações e auditorias, conforme descrito na secção 8.
10. Termos de transferência: as cláusulas contratuais-tipo, a Adenda do Reino Unido e as alterações suíças, com os anexos preenchidos.
11. Termos estaduais dos EUA: atuamos como prestador de serviços ou subcontratante, não vendemos nem partilhamos os seus dados, não os conservamos, utilizamos ou divulgamos fora da relação comercial direta ou para qualquer finalidade que não seja a execução do projeto, e não os combinamos com dados de outras fontes.
12. As suas garantias: que dispõe de um fundamento de licitude, que prestou as informações e obteve os consentimentos devidos aos seus utilizadores e que as suas instruções são lícitas.

Tratamo-los apenas segundo as suas instruções documentadas e apenas para executar o projeto: construir, testar, implementar, alojar, monitorizar, criar cópias de segurança e dar apoio ao sistema. Não os utilizamos para os nossos próprios fins e não os vendemos.

Não utilizamos os seus dados pessoais para treinar, afinar ou melhorar qualquer modelo, e os nossos subcontratantes ulteriores estão contratualmente configurados para também não o fazerem. Podemos gerar estatísticas agregadas sobre o funcionamento do sistema apenas quando não possam ser associadas a si, aos seus utilizadores ou a qualquer pessoa singular.

Recorremos a subcontratantes ulteriores apenas quando o projeto deles necessite, ao abrigo de termos escritos pelo menos tão protetores quanto o DPA, e continuamos a ser responsáveis pelo que fazem. Categorias: infraestrutura na nuvem na região indicada no seu orçamento, envio de e-mails transacionais e fornecedores de voz, de linguagem e de modelos, quando uma funcionalidade o exija e o orçamento o indique. O DPA celebrado enumera os fornecedores específicos do seu projeto.

Avisamos com 30 dias de antecedência antes de acrescentar um. Pode opor-se dentro desse prazo por motivos razoáveis de proteção de dados, trabalharemos consigo de boa-fé e, se não conseguirmos resolver a questão, qualquer das partes pode fazer cessar o serviço afetado, com reembolso proporcional dos honorários pré-pagos não utilizados. Esse é o único meio de reparação. As entregas nas instalações do cliente e em ambientes isolados (air-gapped) eliminam totalmente o subcontratante ulterior de infraestrutura.

Os sistemas entregues incluem as medidas previstas no anexo de segurança: no mínimo, encriptação em trânsito e em repouso, controlo de acesso baseado em funções, registo de auditoria estruturado e eliminação segura de ficheiros temporários. O acesso do pessoal está limitado a pessoas identificadas que dele necessitam e é registado. Os projetos em setores regulados acrescentam os controlos indicados no seu anexo.

Notificamo-lo sem demora injustificada após termos tido conhecimento de uma violação de dados pessoais que afete os seus dados e, em qualquer caso, no prazo de 72 horas após dela termos tido conhecimento. A notificação indica o que sabemos, o que fizemos e o que recomendamos; uma primeira notificação pode ser preliminar e completamo-la à medida que obtemos mais informações. Não comunicamos tentativas de acesso mal sucedidas, varrimentos ou pings, e uma notificação não constitui uma admissão de culpa ou de responsabilidade.

Ajudamo-lo a responder a pedidos de acesso, retificação, apagamento e portabilidade dentro do prazo que a lei lhe concede.

As auditorias começam pelos documentos. Mediante pedido, uma vez em cada período de 12 meses, fornecemos a nossa documentação de segurança, o nosso anexo de medidas e um questionário de segurança preenchido. Quando isso for genuinamente insuficiente, ou após uma violação confirmada que afete os seus dados, ou quando uma autoridade de controlo o exija, pode auditar-nos mediante aviso escrito com 30 dias de antecedência, uma vez em cada período de 12 meses, durante o horário de expediente, a expensas suas, sob confidencialidade, sem perturbar as nossas operações nem os dados de outros clientes, e recorrendo a um auditor que não seja nosso concorrente.

Os dados de produção em repouso permanecem na região indicada no seu orçamento. O acesso administrativo a partir de outros locais, e qualquer transferência inevitável a partir do EEE, do Reino Unido ou da Suíça, estão abrangidos pelas cláusulas contratuais-tipo e pelas adendas aplicáveis.

Devolvemos ou eliminamos os seus dados pessoais, à sua escolha, e certificamos a eliminação. As cópias em cópias de segurança encriptadas são eliminadas no ciclo normal de cópias de segurança e permanecem protegidas até lá. Conservamos apenas o que a lei nos obriga a conservar.

Escreva para constantine@vavusai.com indicando a referência do seu orçamento. Enviamo-lo para assinatura juntamente com o acordo de projeto. Analisaremos o seu próprio DPA e assiná-lo-emos quando os seus termos forem substancialmente compatíveis com os nossos; caso contrário, prevalece o nosso.