Contrato de subcontratação

Responsável pelo tratamento: o negócio titular da conta, identificado no painel de gestão. Subcontratante: a Pontualio, identificada nos termos e condições.

Objeto: o tratamento de dados pessoais de clientes finais e de utilizadores do negócio realizado pela Pontualio por conta do responsável, no âmbito da prestação do serviço de gestão de marcações.

O tratamento dura enquanto vigorar a subscrição, acrescida dos prazos de conservação previstos no ponto 9. A natureza do tratamento inclui recolha, registo, organização, conservação, consulta, alteração, comunicação por e-mail e apagamento. A finalidade é permitir ao responsável receber e gerir marcações, comunicar com os seus clientes e manter o histórico da sua atividade.

• Titulares: clientes finais do negócio; pessoas da equipa do negócio com acesso ao painel; profissionais apresentados na página de marcação.
• Dados: nome, e-mail, telemóvel, serviço, profissional, estabelecimento, data e hora, notas do cliente, notas internas do negócio, histórico de marcações e cancelamentos, preços praticados, registos técnicos de acesso e segurança.
• Categorias especiais: não são pedidas nem solicitadas pelo serviço. Se o responsável as introduzir em campos livres, assume a responsabilidade exclusiva por essa decisão, incluindo pela verificação de uma condição do artigo 9.º, n.º 2, do RGPD.

A Pontualio trata os dados apenas segundo instruções documentadas do responsável. Constituem instruções documentadas os termos e condições, o presente contrato, as configurações escolhidas no painel e os pedidos de suporte formulados pelo responsável.

Se a Pontualio considerar que uma instrução viola o RGPD ou outra disposição de proteção de dados, informa o responsável de imediato e pode suspender a execução dessa instrução. Se a lei da União ou de um Estado-Membro impuser à Pontualio um tratamento adicional, esta informa previamente o responsável, salvo se tal for proibido por motivo de interesse público relevante.

A Pontualio assegura que as pessoas autorizadas a tratar os dados estão sujeitas a dever de confidencialidade, contratual ou legal, e recebem acesso limitado ao estritamente necessário às suas funções.

Atendendo ao estado da técnica, aos custos e aos riscos, a Pontualio aplica, entre outras, as seguintes medidas:

• cifra do tráfego em trânsito (TLS) e dos dados em repouso;
• autenticação com palavras-passe guardadas apenas como derivação criptográfica, bloqueio após tentativas falhadas e expiração de sessões;
• segregação lógica dos dados por marca e controlo de acessos por função;
• limitação de pedidos e proteção contra abusos nas páginas públicas;
• cópias de segurança periódicas, com testes de reposição, e registo de acessos administrativos;
• processo documentado de resposta a incidentes e revisão periódica das medidas.

O responsável autoriza, de forma geral, o recurso aos subcontratantes ulteriores abaixo indicados. A Pontualio impõe-lhes, por contrato, obrigações de proteção de dados equivalentes às aqui assumidas e responde pelo seu incumprimento.

Alterações a esta lista são comunicadas com 30 dias de antecedência por e-mail e nesta página. O responsável pode opor-se com fundamento em motivos de proteção de dados; não havendo solução alternativa, pode resolver a subscrição sem encargos, com reembolso da parte não prestada.

O alojamento da base de dados e dos ficheiros é feito no Reino Unido (região aws eu-west-2, Londres), ao abrigo da decisão de adequação da Comissão Europeia. Qualquer outra transferência para país terceiro assenta em decisão de adequação ou nas Cláusulas Contratuais-Tipo aprovadas pela Comissão Europeia, complementadas por medidas técnicas adicionais.

A Pontualio, na medida do possível e tendo em conta a natureza do tratamento:

• disponibiliza no painel as funcionalidades necessárias ao atendimento dos pedidos de acesso, retificação, apagamento, limitação, portabilidade e oposição, e presta apoio adicional quando solicitada;
• encaminha ao responsável, sem demora, os pedidos de titulares que receba diretamente, sem lhes dar resposta de mérito;
• apoia o responsável no cumprimento dos artigos 32.º a 36.º do RGPD, incluindo avaliações de impacto e consulta prévia;
• notifica o responsável sem demora injustificada e, em regra, no prazo de 48 horas a contar do conhecimento de uma violação de dados pessoais, com a informação disponível para que este possa cumprir os seus deveres de notificação.

Cessado o serviço, a Pontualio disponibiliza a exportação dos dados durante 30 dias e, findo esse prazo, elimina-os dos sistemas ativos. A eliminação das cópias de segurança ocorre no prazo máximo de 35 dias. São exceção os dados que a Pontualio deva conservar por imposição legal.

A Pontualio disponibiliza ao responsável a informação necessária para demonstrar o cumprimento do artigo 28.º e permite auditorias, incluindo inspeções, realizadas pelo responsável ou por auditor por si mandatado. As auditorias são marcadas com 30 dias de antecedência, realizadas em horário de expediente, no máximo uma vez por ano civil, salvo ocorrência de incidente de segurança, e não podem comprometer a confidencialidade dos dados de outros clientes da Pontualio. Os custos diretos de auditorias adicionais correm por conta do responsável.

Cada parte responde nos termos dos artigos 82.º e seguintes do RGPD. Aplica-se a lei portuguesa e o foro convencionado nos termos e condições.