Acordo de Tratamento de Dados

1. Âmbito e Papéis

Este Acordo de Tratamento de Dados («DPA») faz parte dos Termos de Serviço entre Rediacc OÜ («Rediacc», o «Subcontratante») e o Cliente, quando o Cliente utiliza os Serviços como empresa e a Rediacc trata Dados Pessoais do Cliente por conta do Cliente. Os termos definidos nos Termos de Serviço têm aqui o mesmo significado. Esta página está redigida em inglês. As traduções são fornecidas apenas para conveniência; se uma tradução diferir da versão inglesa, prevalece a versão inglesa.

Quanto aos Dados Pessoais do Cliente, o Cliente é o responsável pelo tratamento (ou um subcontratante que atua por conta do seu próprio responsável) e a Rediacc é o subcontratante (ou subcontratante ulterior). Quanto aos registos de Conta, de faturação e de aceitação e aos Dados de Telemetria, a Rediacc é responsável pelo tratamento independente, conforme descrito na Política de Privacidade, e este DPA não se aplica a esse tratamento.

Os Dados do Cliente nas Máquinas do Cliente não são tratados pela Rediacc. O armazenamento encriptado de configurações e as cópias de segurança alojadas são encriptados com chaves que a Rediacc não detém, pelo que a Rediacc armazena esses blobs mas não consegue ler o seu conteúdo.

2. Definições

• "Leis de Proteção de Dados" designa o Regulamento Geral sobre a Proteção de Dados da UE (Regulamento (UE) 2016/679, «RGPD»), o RGPD do Reino Unido e qualquer outra lei de proteção de dados aplicável ao tratamento ao abrigo deste DPA.
• "Dados Pessoais do Cliente" designa os dados pessoais que a Rediacc trata por conta do Cliente na prestação da Plataforma, como os nomes e os endereços de correio eletrónico dos Utilizadores Autorizados e dos membros da equipa convidados pelo Cliente, e os dados encriptados que o Cliente armazena na Plataforma.
• "Violação de Dados Pessoais", "tratamento", "responsável pelo tratamento", "subcontratante" e "titular dos dados" têm o significado que lhes é dado no RGPD.
• "CCT" designa as cláusulas contratuais-tipo aprovadas pela Decisão de Execução (UE) 2021/914 da Comissão Europeia.
• "Subcontratante Ulterior" designa um terceiro contratado pela Rediacc para tratar Dados Pessoais do Cliente.

3. Tratamento Segundo Instruções

A Rediacc trata os Dados Pessoais do Cliente apenas segundo as instruções documentadas do Cliente, que são os Termos de Serviço, este DPA e a utilização e configuração dos Serviços pelo Cliente, salvo se a lei exigir de outro modo, caso em que a Rediacc informa o Cliente antes do tratamento, a menos que a lei o proíba. A Rediacc informa o Cliente se considerar que uma instrução viola as Leis de Proteção de Dados.

4. Pormenores do Tratamento

• Objeto e finalidade: a prestação da Plataforma, incluindo a gestão da Conta e da equipa, a emissão de licenças, o armazenamento encriptado de configurações, o armazenamento de cópias de segurança alojado e o apoio
• Duração: a vigência dos Termos de Serviço, acrescida do prazo de eliminação previsto na Secção 11
• Natureza do tratamento: recolha, armazenamento, transmissão, consulta e eliminação
• Categorias de titulares dos dados: os Utilizadores Autorizados do Cliente, os membros da equipa convidados e os contactos de parceiros
• Categorias de dados pessoais: nomes, endereços de correio eletrónico, organização e função, dados de autenticação (hashes de palavras-passe, chaves públicas de chaves de acesso), endereços de rede e agentes de utilizador das sessões, e quaisquer dados pessoais contidos nos dados encriptados que o Cliente armazena na Plataforma
• Categorias especiais: nenhuma prevista; o Cliente não deve armazenar na Plataforma categorias especiais de dados sem encriptação

5. Confidencialidade

A Rediacc assegura que todas as pessoas autorizadas a tratar Dados Pessoais do Cliente estão vinculadas por uma obrigação de confidencialidade.

6. Segurança

A Rediacc aplica medidas técnicas e organizativas adequadas nos termos do artigo 32.º do RGPD, incluindo:

• encriptação em trânsito (TLS 1.2 ou superior) e em repouso, e encriptação do lado do cliente do armazenamento de configurações e das cópias de segurança alojadas com chaves que a Rediacc não detém
• acesso aos sistemas de produção limitado a pessoal autorizado, com autenticação multifator
• separação lógica dos dados dos clientes e armazenamento regional de dados
• registo e monitorização dos sistemas de produção, e testes regulares das medidas de segurança

7. Subcontratantes Ulteriores

O Cliente autoriza a Rediacc a contratar Subcontratantes Ulteriores. A Rediacc impõe a cada Subcontratante Ulterior obrigações de proteção de dados não menos protetoras do que as deste DPA e continua a ser responsável pelo desempenho dos seus Subcontratantes Ulteriores. Os Subcontratantes Ulteriores atuais são:

• Cloudflare, Inc. (Estados Unidos; rede global): alojamento do portal de conta e da API (Workers), da base de dados da conta (D1), do armazenamento de cópias de segurança e de objetos (R2), da entrega de conteúdos e do DNS, e da proteção contra bots nos formulários (Turnstile)
• Amazon Web Services, Inc. (Amazon Simple Email Service, na região AWS que serve a região da conta do Cliente): envio de correio eletrónico transacional, como ligações de início de sessão, avisos e faturas
• Stripe, Inc. e as suas afiliadas (Estados Unidos e Irlanda): processamento de pagamentos, faturação de subscrições, emissão de faturas e cálculo de impostos das Subscrições pagas
• Hostinger (servidores virtuais na União Europeia): alojamento do ponto de extremidade de telemetria e observabilidade (otlp.rediacc.io) que recebe os Dados de Telemetria e os registos de serviço

A Rediacc avisa com, pelo menos, trinta (30) dias de antecedência antes de acrescentar ou substituir um Subcontratante Ulterior, atualizando esta página e notificando o correio eletrónico da Conta. O Cliente pode opor-se, por motivos razoáveis de proteção de dados, dentro desse prazo. Se as partes não conseguirem resolver a oposição, o Cliente pode pôr termo aos Serviços afetados e receber o reembolso dos preços pré-pagos relativos ao período posterior à cessação.

A análise de tráfego do sítio web (Plausible) não trata Dados Pessoais do Cliente e é abrangida pela Política de Privacidade.

8. Transferências Internacionais

Quando Dados Pessoais do Cliente são transferidos para um país fora do Espaço Económico Europeu que não beneficie de uma decisão de adequação, as CCT são incorporadas neste DPA por remissão: Módulo Dois (de responsável pelo tratamento para subcontratante) quando o Cliente é responsável pelo tratamento, e Módulo Três (de subcontratante para subcontratante) quando o Cliente é subcontratante. Quanto às CCT: aplica-se a cláusula de adesão facultativa (Cláusula 7); aplica-se a Cláusula 9, alínea a), Opção 2 (autorização geral), com o prazo de aviso da Secção 7; a formulação facultativa da Cláusula 11 não se aplica; as Cláusulas 17 e 18 escolhem a lei e os tribunais de Estônia; e os Anexos I e II são preenchidos pelas Secções 1, 4 e 6, e o Anexo III pela Secção 7 deste DPA.

Quanto às transferências sujeitas ao RGPD do Reino Unido, aplica-se, em conjunto com as CCT, a Adenda de Transferência Internacional de Dados emitida pelo Information Commissioner do Reino Unido. A Rediacc baseia-se no Quadro de Privacidade de Dados UE-EUA quanto aos Subcontratantes Ulteriores nele certificados.

9. Pedidos de Titulares de Dados e Assistência

A Rediacc encaminha prontamente ao Cliente qualquer pedido de um titular de dados sobre Dados Pessoais do Cliente e não responde por si, salvo segundo as instruções do Cliente. Tendo em conta a natureza do tratamento, a Rediacc assiste o Cliente na resposta a esses pedidos e no cumprimento das suas obrigações ao abrigo dos artigos 32.º a 36.º do RGPD, incluindo avaliações de impacto sobre a proteção de dados e consultas prévias.

10. Violação de Dados Pessoais

A Rediacc notifica o Cliente sem demora injustificada e, em qualquer caso, no prazo de setenta e duas (72) horas após ter conhecimento de uma Violação de Dados Pessoais que afete Dados Pessoais do Cliente. A notificação descreve, na medida do conhecido, a natureza da violação, as categorias e o número aproximado de titulares de dados e de registos em causa, as consequências prováveis e as medidas tomadas ou propostas. A Rediacc toma medidas razoáveis para conter e corrigir a violação.

11. Eliminação ou Devolução

No final dos Serviços, o Cliente pode exportar os Dados Pessoais do Cliente no prazo de trinta (30) dias. A Rediacc elimina então os Dados Pessoais do Cliente dos sistemas ativos e, no prazo de noventa (90) dias, das cópias de segurança, salvo se a lei obrigar a Rediacc a conservá-los.

12. Auditorias

A Rediacc disponibiliza ao Cliente as informações necessárias para demonstrar o cumprimento do artigo 28.º do RGPD, principalmente através de respostas escritas a questionários de segurança razoáveis e dos relatórios de auditoria e certificações disponíveis da Rediacc e dos seus Subcontratantes Ulteriores. Quando essas informações forem insuficientes ou uma autoridade de controlo o exija, o Cliente pode realizar uma auditoria, a expensas suas, com aviso prévio de trinta (30) dias, durante o horário de expediente, no máximo uma vez por ano, sujeita a obrigações de confidencialidade e de modo a não perturbar os Serviços nem outros clientes.

13. Responsabilidade e Precedência

A responsabilidade de cada parte ao abrigo deste DPA está sujeita às limitações dos Termos de Serviço, exceto quando as Leis de Proteção de Dados o não permitam. Se este DPA estiver em conflito com os Termos de Serviço, prevalece este DPA quanto ao tratamento de Dados Pessoais do Cliente; se as CCT estiverem em conflito com este DPA, prevalecem as CCT.

14. Origem Deste DPA

Partes deste DPA são adaptadas dos Common Paper Data Processing Agreement Standard Terms Version 1.1 (commonpaper.com/standards/data-processing-agreement/1.1), publicados pela Common Paper, Inc. ao abrigo da licença Creative Commons Attribution 4.0 International (CC BY 4.0). O texto foi modificado: foi reestruturado, abreviado e adaptado aos Serviços. A Common Paper, Inc. não subscreve este DPA.