Acordo de subcontratação de tratamento de dados (DPA)

Em resumo

• Tratamento conforme ao RGPD: o cliente é responsável pelo tratamento (ou subcontratante), a FoxPlan atua como subcontratante (ou subcontratante ulterior).
• Alojamento em França com a Scaleway; sem transferência para fora da UE sem garantias.
• Cifragem em trânsito e em repouso; controlo de acessos rigoroso; registo; cópias de segurança e alta disponibilidade.
• Reversibilidade: devolução ou eliminação dos dados no prazo de 30 dias (JSON); certificado de eliminação mediante pedido.
• Subcontratantes ulteriores vinculados a obrigações equivalentes de segurança e confidencialidade; a FoxPlan permanece plenamente responsável.
• Incidentes: o cliente é notificado sem demora injustificada e no prazo de 24 horas; assistência na notificação à CNIL no prazo de 72 horas.
• Auditorias: uma vez por ano, com um mês de pré-aviso, por um auditor independente e não concorrente.
• A propriedade dos dados permanece do cliente; sem revenda nem utilização para fins de marketing.
• Os dados de utilização do serviço (ecrãs, módulos, sessões) são tratados pela FoxPlan enquanto responsável pelo tratamento independente, para apoiar o cliente e melhorar o serviço; cada utilizador pode opor-se a partir do seu perfil.

1. Objeto e âmbito

O presente acordo de subcontratação de tratamento de dados (o “DPA”) faz parte integrante do contrato de prestação de serviços (o “Contrato”) celebrado entre a FoxPlan SAS (“FoxPlan”) e a entidade cliente (o “Cliente”).

O DPA define as condições em que a FoxPlan trata dados pessoais estritamente para a execução do Contrato, por conta do Cliente, em conformidade com o RGPD (UE 2016/679) e com a legislação aplicável em matéria de proteção de dados.

Aplica-se quando o Cliente atua como responsável pelo tratamento (ou subcontratante) e a FoxPlan atua como subcontratante (ou subcontratante ulterior). As atividades de tratamento em que a FoxPlan atua como responsável pelo tratamento regem-se pela política de privacidade da FoxPlan.

2. Definições

Os termos têm o significado que lhes é atribuído no artigo 4.º do RGPD, nomeadamente “dados pessoais”, “tratamento”, “responsável pelo tratamento”, “subcontratante”, “subcontratante ulterior” e “violação de dados pessoais”.

3. Funções e responsabilidades

A FoxPlan enquanto subcontratante: a FoxPlan trata os dados pessoais apenas mediante instruções documentadas do Cliente e estritamente para os fins do Contrato. Nenhuma utilização para marketing, definição de perfis ou revenda.

O Cliente enquanto responsável pelo tratamento (ou subcontratante): o Cliente determina as finalidades e os meios do tratamento, assegura a sua licitude e a informação prestada aos titulares dos dados, e transmite à FoxPlan instruções conformes ao RGPD.

A FoxPlan enquanto responsável pelo tratamento independente dos dados de utilização do serviço: a FoxPlan regista a forma como o serviço é utilizado — ecrãs e módulos abertos, número e duração das sessões, data da última visita — e associa essa informação à conta de utilizador, a fim de apoiar o Cliente, acompanhar a adoção do serviço e melhorá-lo. Este tratamento limitado é realizado pela FoxPlan enquanto responsável pelo tratamento independente, com fundamento no seu interesse legítimo, no âmbito da sua política de privacidade. Nunca abrange os conteúdos armazenados pelos utilizadores no serviço. Cada utilizador pode opor-se a qualquer momento a partir do seu perfil FoxPlan; a atividade de um utilizador que se oponha deixa de ser associada ao seu nome.

4. Natureza, finalidade e categorias de dados

Finalidade: disponibilização e operação do serviço FoxPlan; alojamento, cópias de segurança e administração; gestão de contas e de acessos; suporte e manutenção; análises de utilização para melhorar a qualidade do serviço (ver secção 3 relativamente aos dados de utilização tratados pela FoxPlan enquanto responsável pelo tratamento independente).

Categorias de dados: dados de identificação (nome, correio eletrónico), credenciais, registos de utilização, metadados técnicos e os conteúdos armazenados pelos utilizadores no serviço.

Titulares dos dados: os utilizadores finais, colaboradores, prestadores e parceiros autorizados do Cliente.

Duração: a vigência do Contrato, acrescida do período necessário à reversibilidade ou à conservação legal.

5. Localização e alojamento

Os dados são alojados em França, em centros de dados operados pela Scaleway SAS. Não é efetuada qualquer transferência para fora da União Europeia sem garantias adequadas, como as cláusulas contratuais-tipo da UE ou uma decisão de adequação. O tratamento pela Scaleway rege-se pelo acordo de tratamento de dados da Scaleway.

6. Medidas de segurança

A FoxPlan aplica medidas técnicas e organizativas adequadas para garantir a confidencialidade, a integridade e a disponibilidade, nomeadamente:

• Cifragem em trânsito e em repouso (TLS 1.2+ / TLS 1.3; AES-256 ou equivalente).
• Controlo de acessos rigoroso segundo o princípio do menor privilégio, autenticação segura e registo dos acessos.
• Isolamento dos ambientes e segmentação da rede; WAF e monitorização de intrusões.
• Ciclo de desenvolvimento de software seguro, aplicação de correções e gestão de vulnerabilidades.
• Cópias de segurança regulares com restauros testados, e procedimentos de continuidade de negócio / recuperação de desastres.
• Acesso às bases de dados de produção limitado a pessoal autorizado, com autenticação forte e registo; cópias de segurança cifradas armazenadas em instalações seguras da Scaleway em França.

7. Cópias de segurança e alta disponibilidade

• Cópias de segurança completas diárias dos dados do cliente, conservadas de acordo com a política interna e os requisitos legais.
• Replicação e arquitetura de alta disponibilidade para minimizar o risco de perda de dados.
• Procedimentos de restauro documentados e testados periodicamente.

8. Subcontratantes ulteriores

A FoxPlan pode recorrer a subcontratantes ulteriores (alojamento, cópias de segurança, suporte, mensagens). A FoxPlan impõe-lhes obrigações de proteção de dados equivalentes às do presente DPA e permanece plenamente responsável pelo respetivo cumprimento.

Uma lista atualizada dos subcontratantes ulteriores está disponível mediante pedido para dpo@fox-plan.com.

9. Assistência no exercício dos direitos dos titulares

Tendo em conta a natureza do tratamento, a FoxPlan presta assistência ao Cliente, na medida do possível, na satisfação dos pedidos dos titulares dos dados (acesso, retificação, apagamento, limitação, portabilidade, oposição) e no cumprimento das suas obrigações decorrentes do RGPD, incluindo o apoio às avaliações de impacto sobre a proteção de dados, quando aplicável.

10. Notificação de incidentes e de violações

Em caso de violação de dados pessoais, a FoxPlan notifica o Cliente sem demora injustificada e no prazo de 24 horas após ter tido conhecimento da mesma, fornecendo os elementos conhecidos: natureza da violação, categorias e volume de dados, consequências prováveis e medidas tomadas.

A FoxPlan coopera com o Cliente em qualquer notificação regulamentar exigida, incluindo à CNIL francesa no prazo de 72 horas, quando aplicável, e nas comunicações aos titulares dos dados, se necessário.

11. Auditorias

O Cliente pode realizar, ou mandatar, uma auditoria de segurança por ano, mediante pré-aviso escrito de um mês, através de um auditor independente e não concorrente, durante o horário normal de funcionamento, sem perturbar as operações e no respeito das políticas de segurança e de confidencialidade da FoxPlan. As vulnerabilidades críticas são corrigidas sem demora injustificada.

12. Reversibilidade: devolução e eliminação

No termo do Contrato, e à escolha do Cliente, a FoxPlan devolve ou elimina todos os dados pessoais do cliente no prazo de 30 dias, salvo obrigação legal de conservação.

• Formato de exportação padrão: JSON, sem custos adicionais.
• Serviços adicionais de extração ou de assistência estão disponíveis mediante pedido e são orçamentados separadamente.
• A eliminação é confirmada por um certificado de eliminação escrito, mediante pedido.

13. Propriedade dos dados

O Cliente permanece o único proprietário dos dados pessoais tratados através do serviço FoxPlan. A FoxPlan não adquire qualquer direito sobre esses dados e não os utiliza para qualquer fim que não seja a execução do Contrato, com a única exceção dos dados de utilização do serviço descritos na secção 3.

14. Responsabilidade

Cada parte é responsável pelas suas próprias violações do presente DPA e da legislação aplicável em matéria de proteção de dados. A responsabilidade da FoxPlan limita-se aos danos diretos comprovadamente resultantes da sua violação do presente DPA ou das suas obrigações decorrentes do RGPD; a FoxPlan não é responsável por danos indiretos ou consequentes, nem por danos resultantes de instruções ilícitas dadas pelo Cliente ou de uma utilização indevida dos serviços.

15. Lei aplicável e foro competente

O presente DPA rege-se pela lei francesa. Qualquer litígio fica sujeito à jurisdição exclusiva dos tribunais de Versalhes (França), sem prejuízo das regras imperativas de competência em matéria de consumo ou de proteção de dados, quando aplicáveis.

16. Contacto e encarregado da proteção de dados

FoxPlan SAS, 4 Place Maurice Berteaux, 78400 Chatou, França. EPD e contacto para questões de privacidade: dpo@fox-plan.com. O presente DPA aplica-se automaticamente a todos os clientes que utilizam os serviços FoxPlan e faz parte integrante do contrato-quadro de prestação de serviços.