Acordo de Tratamento de Dados

1. Partes e celebração

Responsável pelo tratamento: o Cliente que contratou uma Subscrição do FrameCRM (o “Responsável pelo Tratamento”).

Subcontratante: Pavlo Okhmak, empresário em nome individual (pessoa singular que exerce atividade empresarial) inscrito no registo de atividades comerciais da República Checa (živnostenský rejstřík), número de identificação empresarial (IČO) 29485941, com sede (local de exercício da atividade) em Bezručova 4201, 430 03 Chomutov, República Checa, não sujeito a IVA (o “Subcontratante”).

O presente Acordo de Tratamento de Dados (o “DPA”) faz parte dos Termos e Condições. O Responsável pelo Tratamento aceita-o ao confirmar o seu consentimento no registo no FrameCRM; não é necessária assinatura. O DPA cumpre o requisito de contrato previsto no art. 28.º, n.º 3, do Regulamento (UE) 2016/679 (RGPD).

A versão checa do presente DPA é a única vinculativa; este texto em português é uma tradução disponibilizada apenas a título informativo e, em caso de divergência, prevalece a versão checa. Em matéria de proteção de dados pessoais, o DPA prevalece sobre os Termos e Condições.

2. Objeto, duração, natureza e finalidade

• Objeto: tratamento dos dados pessoais que o Responsável pelo Tratamento ou os seus utilizadores introduzem no FrameCRM.
• Duração: durante a vigência da Subscrição e, posteriormente, até à eliminação dos dados nos termos do Artigo 10.
• Natureza do tratamento: recolha (incluindo pedidos e marcações provenientes do website ou do formulário de reserva online do Responsável pelo Tratamento, se utilizados), conservação, organização, visualização, pesquisa, alteração, exportação, preparação de lembretes e mensagens que os utilizadores do Responsável pelo Tratamento enviam eles próprios aos clientes (por exemplo, através de uma ligação do WhatsApp), notificações aos utilizadores do Responsável pelo Tratamento (através do Telegram, se ativado pelo Responsável pelo Tratamento), emissão de documentos como faturas, cópia de segurança e eliminação.
• Finalidade: prestação do serviço FrameCRM — registo dos clientes, veículos, ordens de serviço, calendário, lembretes, avaliações, faturas, stock, remunerações e estatísticas do Responsável pelo Tratamento.

3. Categorias de titulares dos dados e de dados pessoais

Titulares dos dados: os clientes e potenciais clientes do Responsável pelo Tratamento, as respetivas pessoas de contacto, os trabalhadores e outros utilizadores do Responsável pelo Tratamento.

Categorias de dados:

• dados de identificação e de contacto (nome, telefone, e-mail, morada);
• dados do veículo (marca, modelo, matrícula, VIN, quilometragem);
• histórico de ordens de serviço, marcações, preços e registos de pagamentos, notas;
• dados de faturação (nome para faturação, morada, número de identificação empresarial / número de IVA);
• fotografias (sobretudo de veículos), que podem também conter outros dados pessoais;
• comunicações com clientes e avaliações;
• dados sobre os utilizadores do Responsável pelo Tratamento (nome, e-mail, telefone, função, registos de início de sessão, registo de atividade) e, se o Responsável pelo Tratamento utilizar a funcionalidade de remunerações, as respetivas regras de remuneração, rendimentos e pagamentos.

Não está previsto o tratamento de categorias especiais de dados (art. 9.º do RGPD) nem de dados relativos a condenações penais; o Responsável pelo Tratamento não introduz esses dados no FrameCRM.

4. Obrigações do Responsável pelo Tratamento

O Responsável pelo Tratamento é responsável por dispor de fundamento jurídico para o tratamento, por informar devidamente os titulares dos dados, pela exatidão dos dados introduzidos e por garantir que as instruções que dá ao Subcontratante estão em conformidade com a lei. O Responsável pelo Tratamento protege as credenciais de acesso dos seus utilizadores.

5. Obrigações do Subcontratante

O Subcontratante:

• trata os dados pessoais apenas mediante instruções documentadas do Responsável pelo Tratamento — consideram-se como tais os Termos e Condições, o presente DPA e as definições e ações do Responsável pelo Tratamento na aplicação —, incluindo no que respeita a transferências para países terceiros; informa imediatamente o Responsável pelo Tratamento se considerar que uma instrução é ilícita;
• assegura que as pessoas autorizadas a tratar os dados assumiram um compromisso de confidencialidade;
• adota as medidas técnicas e organizativas previstas no art. 32.º do RGPD (Artigo 7);
• cumpre as condições para a contratação de subcontratantes ulteriores (Artigo 6);
• presta assistência ao Responsável pelo Tratamento na resposta aos pedidos dos titulares dos dados — em especial através das funcionalidades da aplicação para pesquisar, retificar, exportar e eliminar dados;
• presta assistência ao Responsável pelo Tratamento no cumprimento das obrigações previstas nos art. 32.º a 36.º do RGPD, tendo em conta a natureza do tratamento e a informação disponível;
• elimina ou devolve os dados após a cessação do serviço (Artigo 10);
• disponibiliza ao Responsável pelo Tratamento as informações necessárias para demonstrar o cumprimento e permite auditorias (Artigo 11);
• não utiliza os dados do Responsável pelo Tratamento para fins próprios.

6. Subcontratantes ulteriores

O Responsável pelo Tratamento concede uma autorização geral para a contratação de subcontratantes ulteriores. À data de entrada em vigor do presente DPA, são os seguintes:

Os pagamentos da Subscrição são processados pela Stripe; no entanto, a Stripe não trata dados pessoais dos clientes do Responsável pelo Tratamento.

As mensagens aos clientes através do WhatsApp são enviadas pelos utilizadores do Responsável pelo Tratamento a partir da sua própria aplicação WhatsApp (ligação click-to-chat); por conseguinte, o WhatsApp (Meta) não é subcontratante ulterior do Subcontratante, e a utilização do WhatsApp pelo Responsável pelo Tratamento rege-se pela sua própria relação com a Meta. Quando um utilizador descodifica um VIN, apenas o VIN (sem quaisquer outros dados) é enviado para a base de dados pública e gratuita NHTSA vPIC (Departamento de Transportes dos EUA) para identificar a marca e o modelo; as moradas dos estúdios podem ser pesquisadas no OpenStreetMap (Nominatim).

O Subcontratante informa o Responsável pelo Tratamento por e-mail, com uma antecedência mínima de 14 dias, de qualquer intenção de acrescentar ou substituir um subcontratante ulterior. O Responsável pelo Tratamento pode opor-se com fundamentos razoáveis relacionados com a proteção de dados; se as partes não encontrarem uma solução, o Responsável pelo Tratamento pode cancelar a Subscrição com efeitos a partir da data da alteração. O Subcontratante impõe aos seus subcontratantes ulteriores as mesmas obrigações em matéria de proteção de dados e continua a ser responsável pelo seu cumprimento.

As transferências para países terceiros só ocorrem com as garantias previstas no Capítulo V do RGPD (decisões de adequação, cláusulas contratuais-tipo).

7. Medidas técnicas e organizativas

• cifragem em trânsito (HTTPS/TLS) e cifragem dos dados armazenados pelo fornecedor da base de dados;
• início de sessão com palavras-passe ou ligações de acesso de utilização única (válidas por tempo limitado), sessões seguras, funções e permissões de utilizadores na conta;
• separação lógica dos dados de cada cliente;
• acesso do Subcontratante aos dados de produção apenas na medida do necessário (suporte, resolução de problemas), protegido por autenticação forte;
• cópias de segurança regulares junto do fornecedor da base de dados, com possibilidade de restauro;
• atualização contínua do software e das dependências, gestão de segredos fora do código-fonte;
• registos de operações e de eventos de segurança;
• minimização de dados — não são enviados dados pessoais de clientes para ferramentas de análise;
• um procedimento de resposta a incidentes de segurança.

8. Violações de dados pessoais

O Subcontratante notifica o Responsável pelo Tratamento de uma violação de dados pessoais sem demora injustificada e, o mais tardar, 48 horas após ter tido conhecimento da mesma. A notificação contém as informações previstas no art. 33.º, n.º 3, do RGPD de que o Subcontratante disponha e será completada à medida que forem sendo obtidas mais informações. O Subcontratante adota medidas razoáveis para atenuar as consequências.

9. Pedidos dos titulares dos dados

Se o Subcontratante receber um pedido de um titular dos dados relativo aos dados do Responsável pelo Tratamento, reencaminha-o para o Responsável pelo Tratamento sem demora injustificada e não lhe responde diretamente, salvo se autorizado pelo Responsável pelo Tratamento.

10. Eliminação e devolução dos dados

Durante a Subscrição, o Responsável pelo Tratamento pode exportar e eliminar dados a qualquer momento. Após a cessação da Subscrição, o Subcontratante conserva os dados durante 90 dias, período durante o qual o Responsável pelo Tratamento os pode solicitar num formato legível por máquina. O Subcontratante elimina depois os dados definitivamente; as cópias existentes nas cópias de segurança expiram no âmbito da rotação das cópias de segurança no prazo máximo de mais 30 dias. O disposto não se aplica quando a conservação seja exigida por lei.

11. Informações e auditorias

Mediante pedido, o Subcontratante faculta ao Responsável pelo Tratamento as informações necessárias para demonstrar o cumprimento do art. 28.º do RGPD, normalmente sob a forma de respostas escritas e documentação. O Responsável pelo Tratamento, ou um auditor por ele mandatado e sujeito a confidencialidade, pode realizar uma auditoria ou inspeção no local mediante aviso prévio de, pelo menos, 30 dias, no máximo uma vez por ano (salvo para investigar uma violação de dados pessoais ou a pedido de uma autoridade de controlo), a expensas do Responsável pelo Tratamento.

12. Responsabilidade e disposições finais

A responsabilidade das partes rege-se pelo art. 82.º do RGPD e, quanto ao mais, pelos Termos e Condições. O presente DPA mantém-se em vigor enquanto o Subcontratante tratar dados do Responsável pelo Tratamento. Rege-se pela lei da República Checa.

Contacto para questões de proteção de dados: info@frame-webs.com.