O presente Acordo de tratamento de dados faz parte dos Termos do serviço do Sunset Docs celebrados entre o cliente e Esteve Castells Calpe, Barcelona, Spain. Aplica-se automaticamente sempre que o Sunset Docs trate Dados pessoais do cliente por conta do cliente. Um acordo de tratamento de dados assinado em separado prevalece quando esteja expressamente em conflito com o presente documento.
1. Definições
RGPD designa o Regulamento (UE) 2016/679. Responsável pelo tratamento, subcontratante, dados pessoais, tratamento, titular dos dados e violação de dados pessoais têm o significado que lhes é atribuído no RGPD. Dados pessoais do cliente designa os dados pessoais enviados para um espaço de trabalho do cliente, ou gerados nele, que o Sunset Docs trata por conta do cliente.
Legislação de proteção de dados designa o RGPD e qualquer outra legislação de privacidade ou de proteção de dados aplicável ao tratamento abrangido pelo presente Acordo. Serviço e Cliente têm o significado que lhes é atribuído nos Termos.
2. Funções e âmbito
O cliente é o responsável pelo tratamento ou um subcontratante que atua por conta de outro responsável pelo tratamento. O Sunset Docs é o subcontratante ou subcontratante ulterior. Cada parte cumprirá as suas próprias obrigações nos termos da Legislação de proteção de dados.
Quando o cliente atue como subcontratante, confirma que o responsável pelo tratamento em causa autorizou as suas instruções e a contratação do Sunset Docs. O Anexo 1 descreve o tratamento abrangido pelo presente Acordo.
3. Instruções documentadas
O Sunset Docs trata Dados pessoais do cliente apenas mediante instruções documentadas constantes dos Termos, do presente Acordo, da configuração do serviço feita pelo cliente e da utilização autorizada das funcionalidades. Se o direito da União ou de um Estado-Membro exigir outro tratamento, informaremos o cliente antes do tratamento, salvo se a lei proibir essa informação.
Informaremos o cliente se considerarmos que uma instrução viola a Legislação de proteção de dados e podemos suspender o tratamento afetado enquanto as partes resolvem a questão.
4. Confidencialidade
Todas as pessoas autorizadas pelo Sunset Docs a tratar Dados pessoais do cliente estão sujeitas a obrigações de confidencialidade contratuais ou legais e só recebem acesso quando necessário para as suas funções.
5. Segurança
O Sunset Docs mantém medidas técnicas e organizativas adequadas aos riscos do tratamento, tendo em conta as técnicas mais avançadas, os custos de aplicação e a natureza, o âmbito, o contexto e as finalidades do tratamento. As medidas atuais estão descritas no Anexo 2.
Podemos atualizar as medidas à medida que o serviço evolui, desde que a atualização não reduza de forma significativa a proteção global dos Dados pessoais do cliente.
6. Subcontratantes ulteriores
O cliente dá autorização geral por escrito para os subcontratantes ulteriores identificados na página de subcontratantes ulteriores. Avisaremos com pelo menos 30 dias de antecedência antes de acrescentar ou substituir um subcontratante ulterior que vá tratar Dados pessoais do cliente. O cliente pode opor-se dentro desse prazo por motivos razoáveis de proteção de dados.
Impomos a cada subcontratante ulterior obrigações de proteção de dados que garantam uma proteção substancialmente equivalente para o tratamento em causa. Continuamos a responder perante o cliente pelo desempenho do subcontratante ulterior, nos termos exigidos por lei. Se, após uma oposição válida, não existir alternativa razoável, o cliente pode pôr termo ao serviço afetado e receber o reembolso proporcional das quantias pagas antecipadamente relativas ao período não utilizado.
7. Pedidos dos titulares dos dados
Tendo em conta a natureza do tratamento, prestaremos assistência técnica e organizativa razoável na resposta a pedidos de exercício dos direitos dos titulares dos dados. Se um titular dos dados nos contactar diretamente a propósito de Dados pessoais do cliente, reencaminharemos o pedido para o cliente sem demora injustificada e não responderemos quanto ao mérito, salvo se autorizados ou legalmente obrigados.
8. Violações de dados pessoais
Notificaremos o cliente sem demora injustificada após termos conhecimento de uma violação de dados pessoais que afete Dados pessoais do cliente. Forneceremos a informação razoavelmente disponível sobre a natureza da violação, as categorias afetadas e o seu número aproximado, as consequências prováveis e as medidas adotadas ou propostas.
A informação pode ser fornecida por fases. Não atrasaremos uma notificação inicial apenas por ainda não se conhecerem todos os pormenores e prestaremos assistência razoável ao cliente no cumprimento das suas obrigações de notificação e comunicação.
9. Outra assistência
Tendo em conta a natureza do tratamento e a informação ao nosso dispor, prestaremos assistência razoável no cumprimento das obrigações de segurança, nas avaliações de impacto sobre a proteção de dados e nas consultas prévias às autoridades de controlo, quando digam respeito ao Serviço.
10. Transferências internacionais
Uma transferência sujeita a restrições só ocorrerá ao abrigo de um mecanismo permitido pelo Capítulo V do RGPD. Consoante o destinatário, pode tratar-se de uma decisão de adequação, do Quadro de Privacidade de Dados UE-EUA quando o destinatário esteja certificado, ou de cláusulas contratuais-tipo da Comissão Europeia, com medidas suplementares quando necessário. Os dados dos prestadores estão publicados na página de subcontratantes ulteriores.
11. Informações e auditorias
Disponibilizaremos as informações razoavelmente necessárias para demonstrar o cumprimento do artigo 28.º do RGPD, incluindo respostas a questionários de segurança escritos e proporcionados. O cliente pode auditar o cumprimento no máximo uma vez a cada 12 meses, com pelo menos 30 dias de pré-aviso, em horário de expediente, a expensas suas e sob confidencialidade, sem perturbar o serviço nem aceder a dados de outro cliente.
Os limites de frequência e de pré-aviso não se aplicam após uma suspeita de violação, provas credíveis de incumprimento significativo ou um pedido de uma autoridade de controlo. Sempre que a análise documental possa razoavelmente satisfazer o pedido, deve ser utilizada antes de uma auditoria presencial.
12. Devolução e eliminação
O calendário de eliminação configurado é uma instrução documentada contínua e não é prolongado pelo cancelamento da subscrição. O cliente pode eliminar dados mais cedo. Antes de o tratamento terminar, o cliente pode obter os originais cuja transferência o proprietário tenha ativado ou pedir uma exportação razoável, ao nível do serviço, dos Dados pessoais do cliente ativos.
Quando o tratamento terminar, o cliente pode instruir-nos para devolver e eliminar os Dados pessoais do cliente ativos ou para os eliminar sem devolução, salvo se o direito da União ou de um Estado-Membro exigir a sua conservação. Se o cliente não der outra instrução, os calendários de eliminação existentes continuam a aplicar-se. Os resíduos cifrados nas cópias de segurança da base de dados expiram no prazo de 30 dias e permanecem protegidos até serem eliminados.
Os registos mínimos de eliminação sem conteúdo e os registos de auditoria podem ser conservados durante 12 meses por razões de segurança e de responsabilização. Mediante pedido escrito, confirmaremos a conclusão do processo de eliminação aplicável.
13. Responsabilidade
As disposições sobre responsabilidade dos Termos aplicam-se ao presente Acordo. Não limitam os direitos dos titulares dos dados, os poderes das autoridades de controlo nem a responsabilidade que a Legislação de proteção de dados não permita às partes excluir ou limitar.
14. Vigência e prevalência
O presente Acordo aplica-se enquanto o Sunset Docs tratar Dados pessoais do cliente. Prevalece sobre os Termos em matéria de proteção de dados. As alterações ao presente Acordo seguem o processo de alteração previsto nos Termos, mas uma alteração exigida por lei pode produzir efeitos mais cedo, mediante aviso.
Anexo 1: Descrição do tratamento
Objeto: prestação e suporte do serviço de receção de documentos Sunset Docs. Duração: o prazo do contrato acrescido de cada prazo de eliminação configurado, de qualquer período de exportação acordado e do ciclo das cópias de segurança protegidas.
Natureza e finalidades: receber, validar, analisar quanto a malware, cifrar, armazenar, pré-visualizar, apresentar, notificar, imprimir quando ativado, permitir transferências de originais autorizadas pelo proprietário, auditar e eliminar documentos temporários.
Titulares dos dados: remetentes de documentos, utilizadores e pessoal do cliente, clientes, prestadores de serviços, fornecedores e outras pessoas cujas informações constem dos documentos enviados. Os dados pessoais podem incluir nomes, contactos, dados de identificação, informações empresariais, profissionais e financeiras, conteúdo de documentos, nomes de ficheiros, e-mail do remetente, metadados, dados de segurança derivados do endereço IP e atividade de acesso.
As categorias especiais de dados e os dados de risco elevado não estão previstos nem autorizados, salvo acordo escrito em separado. O cliente não pode enviar dados de crianças, dados relativos a condenações penais, dados completos de cartões de pagamento, credenciais, segredos ou dados que não tenha legitimidade para tratar.
Anexo 2: Medidas técnicas e organizativas
As medidas incluem a cifragem AES-256-GCM dos objetos dos documentos ao nível da aplicação; chaves por documento encapsuladas separadamente; TLS em trânsito; infraestrutura privada; uma réplica privada cifrada no R2; controlos de acesso ao espaço de trabalho; verificação em dois passos TOTP opcional; hash de palavras-passe com Argon2id; sessões seguras e proteção contra CSRF; quarentena, validação de conteúdo e análise de malware.
As medidas incluem também autorizações de curta duração no visualizador; controlos de cache restritivos; caminhos de objetos não públicos; registo das ações relevantes sobre documentos; prazos definidos de conservação das cópias de segurança; eliminação programada e manual; acesso restrito à produção; obrigações de confidencialidade; avaliação de prestadores; e procedimentos de resposta a incidentes.
Anexo 3: Subcontratantes ulteriores
Os subcontratantes ulteriores atuais, as suas finalidades, as categorias de dados, as regiões de tratamento e as garantias de transferência estão publicados em sunsetdocs.com/subprocessors. Apenas os prestadores aí identificados como subcontratantes ulteriores fazem parte do presente Anexo no que respeita aos Dados pessoais do cliente.
15. Contacto
As questões, oposições, confirmações de eliminação e cópias assinadas podem ser pedidas através de [email protected].