Acordo de subcontratação de tratamento de dados (DPA)

Em resumo

• Tratamento conforme ao RGPD: o cliente é responsável pelo tratamento (ou subcontratante), a FoxPlan atua como subcontratante (ou subcontratante ulterior).
• Alojamento em França com a Scaleway; sem transferência para fora da UE sem garantias.
• Cifragem em trânsito e em repouso; controlo de acessos rigoroso; registo; cópias de segurança e alta disponibilidade.
• Reversibilidade: devolução ou eliminação dos dados no prazo de 30 dias (JSON); certificado de eliminação mediante pedido.
• Subcontratantes ulteriores vinculados a obrigações equivalentes de segurança e confidencialidade; a FoxPlan permanece plenamente responsável.
• Incidentes: o cliente é notificado sem demora injustificada e no prazo de 24 horas; assistência na notificação à CNIL no prazo de 72 horas.
• Auditorias: uma vez por ano, com um mês de pré-aviso, por um auditor independente e não concorrente.
• A propriedade dos dados permanece do cliente; sem revenda nem utilização para fins de marketing.

1. Objeto e âmbito

O presente acordo de subcontratação de tratamento de dados (o “DPA”) faz parte integrante do contrato de prestação de serviços (o “Contrato”) celebrado entre a FoxPlan SAS (“FoxPlan”) e a entidade cliente (o “Cliente”).

O DPA define as condições em que a FoxPlan trata dados pessoais estritamente para a execução do Contrato, por conta do Cliente, em conformidade com o RGPD (UE 2016/679) e com a legislação aplicável em matéria de proteção de dados.

Aplica-se quando o Cliente atua como responsável pelo tratamento (ou subcontratante) e a FoxPlan atua como subcontratante (ou subcontratante ulterior). As atividades de tratamento em que a FoxPlan atua como responsável pelo tratamento regem-se pela política de privacidade da FoxPlan.

2. Definições

Os termos têm o significado que lhes é atribuído no artigo 4.º do RGPD, nomeadamente “dados pessoais”, “tratamento”, “responsável pelo tratamento”, “subcontratante”, “subcontratante ulterior” e “violação de dados pessoais”.

3. Funções e responsabilidades

A FoxPlan enquanto subcontratante: a FoxPlan trata os dados pessoais apenas mediante instruções documentadas do Cliente e estritamente para os fins do Contrato. Nenhuma utilização para marketing, definição de perfis ou revenda.

O Cliente enquanto responsável pelo tratamento (ou subcontratante): o Cliente determina as finalidades e os meios do tratamento, assegura a sua licitude e a informação prestada aos titulares dos dados, e transmite à FoxPlan instruções conformes ao RGPD.

4. Natureza, finalidade e categorias de dados

Finalidade: disponibilização e operação do serviço FoxPlan; alojamento, cópias de segurança e administração; gestão de contas e de acessos; suporte e manutenção; análises anonimizadas para melhorar a qualidade do serviço.

Categorias de dados: dados de identificação (nome, correio eletrónico), credenciais, registos de utilização, metadados técnicos e os conteúdos armazenados pelos utilizadores no serviço.

Titulares dos dados: os utilizadores finais, colaboradores, prestadores e parceiros autorizados do Cliente.

Duração: a vigência do Contrato, acrescida do período necessário à reversibilidade ou à conservação legal.

5. Localização e alojamento

Os dados são alojados em França, em centros de dados operados pela Scaleway SAS. Não é efetuada qualquer transferência para fora da União Europeia sem garantias adequadas, como as cláusulas contratuais-tipo da UE ou uma decisão de adequação. O tratamento pela Scaleway rege-se pelo acordo de tratamento de dados da Scaleway.

6. Medidas de segurança

A FoxPlan aplica medidas técnicas e organizativas adequadas para garantir a confidencialidade, a integridade e a disponibilidade, nomeadamente:

• Cifragem em trânsito e em repouso (TLS 1.2+ / TLS 1.3; AES-256 ou equivalente).
• Controlo de acessos rigoroso segundo o princípio do menor privilégio, autenticação segura e registo dos acessos.
• Isolamento dos ambientes e segmentação da rede; WAF e monitorização de intrusões.
• Ciclo de desenvolvimento de software seguro, aplicação de correções e gestão de vulnerabilidades.
• Cópias de segurança regulares com restauros testados, e procedimentos de continuidade de negócio / recuperação de desastres.
• Acesso às bases de dados de produção limitado a pessoal autorizado, com autenticação forte e registo; cópias de segurança cifradas armazenadas em instalações seguras da Scaleway em França.

7. Cópias de segurança e alta disponibilidade

• Cópias de segurança completas diárias dos dados do cliente, conservadas de acordo com a política interna e os requisitos legais.
• Replicação e arquitetura de alta disponibilidade para minimizar o risco de perda de dados.
• Procedimentos de restauro documentados e testados periodicamente.

8. Subcontratantes ulteriores

A FoxPlan pode recorrer a subcontratantes ulteriores (alojamento, cópias de segurança, suporte, mensagens). A FoxPlan impõe-lhes obrigações de proteção de dados equivalentes às do presente DPA e permanece plenamente responsável pelo respetivo cumprimento.

Uma lista atualizada dos subcontratantes ulteriores está disponível mediante pedido para dpo@fox-plan.com.

9. Assistência no exercício dos direitos dos titulares

Tendo em conta a natureza do tratamento, a FoxPlan presta assistência ao Cliente, na medida do possível, na satisfação dos pedidos dos titulares dos dados (acesso, retificação, apagamento, limitação, portabilidade, oposição) e no cumprimento das suas obrigações decorrentes do RGPD, incluindo o apoio às avaliações de impacto sobre a proteção de dados, quando aplicável.

10. Notificação de incidentes e de violações

Em caso de violação de dados pessoais, a FoxPlan notifica o Cliente sem demora injustificada e no prazo de 24 horas após ter tido conhecimento da mesma, fornecendo os elementos conhecidos: natureza da violação, categorias e volume de dados, consequências prováveis e medidas tomadas.

A FoxPlan coopera com o Cliente em qualquer notificação regulamentar exigida, incluindo à CNIL francesa no prazo de 72 horas, quando aplicável, e nas comunicações aos titulares dos dados, se necessário.

11. Auditorias

O Cliente pode realizar, ou mandatar, uma auditoria de segurança por ano, mediante pré-aviso escrito de um mês, através de um auditor independente e não concorrente, durante o horário normal de funcionamento, sem perturbar as operações e no respeito das políticas de segurança e de confidencialidade da FoxPlan. As vulnerabilidades críticas são corrigidas sem demora injustificada.

12. Reversibilidade: devolução e eliminação

No termo do Contrato, e à escolha do Cliente, a FoxPlan devolve ou elimina todos os dados pessoais do cliente no prazo de 30 dias, salvo obrigação legal de conservação.

• Formato de exportação padrão: JSON, sem custos adicionais.
• Serviços adicionais de extração ou de assistência estão disponíveis mediante pedido e são orçamentados separadamente.
• A eliminação é confirmada por um certificado de eliminação escrito, mediante pedido.

13. Propriedade dos dados

O Cliente permanece o único proprietário dos dados pessoais tratados através do serviço FoxPlan. A FoxPlan não adquire qualquer direito sobre esses dados e não os utiliza para qualquer fim que não seja a execução do Contrato.

14. Responsabilidade

Cada parte é responsável pelas suas próprias violações do presente DPA e da legislação aplicável em matéria de proteção de dados. A responsabilidade da FoxPlan limita-se aos danos diretos comprovadamente resultantes da sua violação do presente DPA ou das suas obrigações decorrentes do RGPD; a FoxPlan não é responsável por danos indiretos ou consequentes, nem por danos resultantes de instruções ilícitas dadas pelo Cliente ou de uma utilização indevida dos serviços.

15. Lei aplicável e foro competente

O presente DPA rege-se pela lei francesa. Qualquer litígio fica sujeito à jurisdição exclusiva dos tribunais de Versalhes (França), sem prejuízo das regras imperativas de competência em matéria de consumo ou de proteção de dados, quando aplicáveis.

16. Contacto e encarregado da proteção de dados

FoxPlan SAS, 4 Place Maurice Berteaux, 78400 Chatou, França. EPD e contacto para questões de privacidade: dpo@fox-plan.com. O presente DPA aplica-se automaticamente a todos os clientes que utilizam os serviços FoxPlan e faz parte integrante do contrato-quadro de prestação de serviços.