Acordo de Tratamento de Dados

Versão 2026-10-08 · em vigor desde 8 de outubro de 2026

Descarregar PDF

Versão 2026-10-08

O presente acordo de tratamento de dados (o «Acordo») é celebrado entre o Cliente identificado no anexo I, na qualidade de responsável pelo tratamento, e Sebastian Drożdż, que atua sob o nome comercial Special Services, na qualidade de subcontratante («nós»), que presta o serviço TransferCRM. O Acordo faz parte dos Termos de Serviço do TransferCRM.

1. As cláusulas

1.1 As partes acordam nas cláusulas contratuais-tipo constantes do anexo da Decisão de Execução (UE) 2021/915 da Comissão, reproduzidas abaixo sem alterações (as «Cláusulas»). Os anexos I a IV abaixo completam-nas.

1.2 Quando as Cláusulas oferecem uma escolha, as partes escolheram: na cláusula 1, alínea a), o artigo 28.º, n.ºs 3 e 4, do Regulamento (UE) 2016/679 (opção 1); a cláusula 5 (cláusula de adesão) é aplicável; na cláusula 7.7, alínea a), a autorização geral por escrito (opção 2), sendo as alterações comunicadas com, pelo menos, 30 dias de antecedência.

1.3 Em caso de contradição entre os Termos de Serviço ou qualquer outro acordo entre as partes e as Cláusulas, prevalecem as Cláusulas (cláusula 4).

2. Alterações dos subcontratantes ulteriores

2.1 Informamos o Cliente de qualquer aditamento ou substituição prevista de um subcontratante ulterior com, pelo menos, 30 dias de antecedência em relação à data em que produz efeitos, por correio eletrónico ao proprietário e aos administradores da conta e por um aviso na conta. Não recorremos ao novo subcontratante ulterior antes dessa data.

2.2 O Cliente pode opor-se à alteração, na conta ou por correio eletrónico para privacy@transfercrm.com. Se a oposição se basear em motivos razoáveis relacionados com a proteção de dados e as partes não a resolverem antes de a alteração produzir efeitos, o Cliente pode resolver o contrato celebrado ao abrigo dos Termos de Serviço sem qualquer penalização, com efeitos, o mais tardar, nessa data. Os montantes pagos antecipadamente relativos ao período posterior à cessação são reembolsados proporcionalmente.

3. Devolução e apagamento dos dados (cláusula 10, alínea d))

3.1 O Cliente pode exportar os seus dados em qualquer momento através das exportações disponíveis na conta. Mediante pedido enviado para privacy@transfercrm.com, fornecemos uma exportação completa dos dados do Cliente no prazo de 30 dias.

3.2 Quando o Cliente elimina a sua conta, os seus dados pessoais são apagados do serviço 30 dias após o pedido. As respetivas cópias permanecem nas nossas cópias de segurança até estas serem sobrescritas, o mais tardar 12 meses após o apagamento (anexo III); até lá, as Cláusulas continuam a aplicar-se-lhes. As cópias de segurança são conservadas apenas para repor o serviço após uma avaria e não são utilizadas para qualquer outra finalidade. Se alguma vez for reposta uma cópia de segurança, os apagamentos efetuados desde a sua criação são executados novamente antes de o serviço reposto ser utilizado. Confirmamos o apagamento por correio eletrónico ao proprietário que fez o pedido, indicando a data do apagamento e a data até à qual as cópias de segurança expiram.

4. Adesão de outras entidades (cláusula 5)

Outra entidade jurídica pode aderir às Cláusulas nos termos da cláusula 5, mediante pedido escrito e datado enviado para privacy@transfercrm.com e aceite por escrito por ambas as partes. A entidade aderente fornece os seus dados para o anexo I. Registamos a adesão e confirmamo-la por correio eletrónico.

5. Vigência

O presente Acordo aplica-se enquanto existir a conta do Cliente e, posteriormente, até ao apagamento dos dados pessoais do Cliente nos termos da cláusula 10, alínea d), e da secção 3.

6. Lei aplicável e foro

O presente Acordo rege-se pela lei da República da Polónia e da União Europeia. Quaisquer litígios serão resolvidos pelo tribunal competente de Cracóvia, Polónia, tal como nos Termos de Serviço. O disposto não prejudica os direitos dos titulares dos dados nem os poderes das autoridades de controlo.

7. Celebração em formato eletrónico

O presente Acordo é celebrado em formato eletrónico (artigo 28.º, n.º 9, do Regulamento (UE) 2016/679) quando o proprietário da conta do Cliente o aceita na conta. Guardamos o registo da versão e da língua aceites, da pessoa que o aceitou e do momento da aceitação. Na conta pode ser descarregado um PDF do texto aceite com uma confirmação da celebração. A versão linguística aceite é vinculativa.

Cláusulas contratuais-tipo

SECÇÃO I

Cláusula 1 — Finalidade e âmbito de aplicação

a) As presentes cláusulas contratuais-tipo (cláusulas) visam assegurar a conformidade com o artigo 28.º, n.ºs 3 e 4, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados).

b) Os responsáveis pelo tratamento e os subcontratantes enumerados no anexo I acordaram nas presentes cláusulas a fim de assegurar o cumprimento do disposto no artigo 28.º, n.ºs 3 e 4, do Regulamento (UE) 2016/679 e/ou no artigo 29.º, n.ºs 3 e 4, do Regulamento (UE) 2018/1725.

c) As presentes cláusulas são aplicáveis ao tratamento de dados pessoais, conforme especificado no anexo II.

d) Os anexos I a IV são parte integrante das cláusulas.

e) As presentes cláusulas não prejudicam as obrigações a que o responsável pelo tratamento está sujeito por força do Regulamento (UE) 2016/679 e/ou do Regulamento (UE) 2018/1725.

f) As presentes cláusulas não garantem, por si só, o cumprimento das obrigações relacionadas com as transferências internacionais em conformidade com o capítulo V do Regulamento (UE) 2016/679 e/ou do Regulamento (UE) 2018/1725.

Cláusula 2 — Invariabilidade das cláusulas

a) As Partes comprometem-se a não alterar as cláusulas, exceto para acrescentar informações nos anexos ou atualizar as informações neles contidas.

b) Tal não impede as Partes de incluírem as cláusulas contratuais-tipo estabelecidas nas presentes cláusulas num contrato mais abrangente ou de acrescentarem outras cláusulas ou garantias adicionais, desde que não colidam, direta ou indiretamente, com as cláusulas, e sem prejuízo dos direitos ou das liberdades fundamentais dos titulares dos dados.

Cláusula 3 — Interpretação

a) Caso as presentes cláusulas utilizem os termos definidos no Regulamento (UE) 2016/679 ou no Regulamento (UE) 2018/1725, respetivamente, esses termos terão o mesmo significado que lhes é atribuído no regulamento em causa.

b) As presentes cláusulas devem ser lidas e interpretadas à luz das disposições do Regulamento (UE) 2016/679 ou do Regulamento (UE) 2018/1725, respetivamente.

c) As presentes cláusulas não devem ser interpretadas de forma contrária aos direitos e obrigações previstos no Regulamento (UE) 2016/679/Regulamento (UE) 2018/1725, sem prejuízo dos direitos e das liberdades fundamentais dos titulares dos dados.

Cláusula 4 — Hierarquia

Em caso de contradição entre as presentes cláusulas e as disposições de acordos conexos celebrados entre as Partes que se encontrem em vigor no momento em que as presentes cláusulas sejam acordadas ou que sejam celebrados posteriormente, prevalecem as presentes cláusulas.

Cláusula 5 — Facultativa — Cláusula de adesão

a) Qualquer entidade que não seja Parte nas presentes cláusulas pode, com o acordo de todas as Partes, aderir, em qualquer momento, às presentes cláusulas, como responsável pelo tratamento ou como subcontratante, preenchendo os anexos e assinando o anexo I.

b) Uma vez preenchidos e assinados os anexos referidos na alínea a), a entidade aderente é tratada como Parte nas presentes cláusulas e tem os direitos e as obrigações de um responsável pelo tratamento ou subcontratante, em conformidade com a sua designação no anexo I.

c) A entidade aderente não tem quaisquer direitos ou obrigações decorrentes das presentes cláusulas em relação ao período antes de se ter tornado Parte.

SECÇÃO II — OBRIGAÇÕES DAS PARTES

Cláusula 6 — Descrição do(s) tratamento(s)

Os pormenores das operações de tratamento, em particular as categorias de dados pessoais e as finalidades do tratamento para as quais os dados pessoais são tratados por conta do responsável pelo tratamento, são especificados no anexo II.

Cláusula 7 — Obrigações das Partes

7.1. Instruções

a) O subcontratante deve proceder ao tratamento de dados pessoais apenas mediante instruções documentadas do responsável pelo tratamento, salvo se for obrigado a fazê-lo pelo direito da União ou pelo direito do Estado-Membro a que esteja sujeito. Neste caso, o subcontratante deve informar o responsável pelo tratamento desse requisito jurídico antes do tratamento, salvo se a lei o proibir por motivos importantes de interesse público. O responsável pelo tratamento pode dar instruções subsequentes ao longo de toda a duração do tratamento de dados pessoais. Estas instruções devem ser sempre documentadas.

b) O subcontratante deve informar imediatamente o responsável pelo tratamento se, no seu entender, as instruções dadas pelo responsável pelo tratamento violarem o Regulamento (UE) 2016/679/Regulamento (UE) 2018/1725 ou as disposições aplicáveis do direito da União ou do direito dos Estados-Membros em matéria de proteção de dados.

7.2. Limitação das finalidades

O subcontratante deve proceder ao tratamento dos dados pessoais apenas para a(s) finalidade(s) específica(s) do tratamento, conforme estabelecido no anexo II, salvo se receber instruções adicionais do responsável pelo tratamento.

7.3. Duração do tratamento de dados pessoais

O tratamento pelo subcontratante só pode ocorrer durante o período especificado no anexo II.

7.4. Segurança do tratamento

a) O subcontratante deve, pelo menos, aplicar as medidas técnicas e organizativas especificadas no anexo III para garantir a segurança dos dados pessoais. Tal inclui a proteção dos dados contra uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso não autorizados aos dados (violação de dados pessoais). Ao avaliar o nível de segurança adequado, as Partes devem ter em devida conta as técnicas mais avançadas, os custos de aplicação, a natureza, o âmbito, o contexto e as finalidades do tratamento e os riscos para os titulares dos dados.

b) O subcontratante só deve conceder acesso aos dados pessoais objeto de tratamento aos membros do seu pessoal na medida estritamente necessária para a execução, a gestão e o acompanhamento do contrato. O subcontratante deve assegurar que as pessoas autorizadas a tratar os dados pessoais assumiram um compromisso de confidencialidade ou estão sujeitas às obrigações legais de confidencialidade adequadas.

7.5. Dados sensíveis

Se o tratamento envolver dados pessoais que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas ou a filiação sindical, dados genéticos ou biométricos destinados a identificar uma pessoa singular de forma inequívoca, dados relativos à saúde, à vida sexual ou à orientação sexual de uma pessoa ou dados relacionados com condenações penais e com infrações («dados sensíveis»), o subcontratante deve aplicar limitações específicas e/ou garantias adicionais.

7.6 Documentação e cumprimento

a) As Partes devem poder demonstrar o cumprimento das presentes cláusulas.

b) O subcontratante deve responder, rápida e adequadamente, aos pedidos de informação do responsável pelo tratamento sobre o tratamento de dados, em conformidade com as presentes cláusulas.

c) O subcontratante deve disponibilizar ao responsável pelo tratamento todas as informações necessárias para demonstrar o cumprimento das obrigações previstas nas presentes cláusulas decorrentes diretamente do Regulamento (UE) 2016/679 e/ou do Regulamento (UE) 2018/1725. A pedido do responsável pelo tratamento, o subcontratante deve igualmente facilitar e contribuir para as auditorias das operações de tratamento abrangidas pelas presentes cláusulas, a intervalos razoáveis ou se houver indícios de incumprimento. Ao decidir sobre uma revisão ou uma auditoria, o responsável pelo tratamento pode ter em conta as certificações pertinentes detidas pelo subcontratante.

d) O responsável pelo tratamento pode optar por realizar, ele próprio, a auditoria ou mandatar um auditor independente. As auditorias podem igualmente incluir inspeções nos edifícios ou nas instalações físicas do subcontratante, devendo, se for caso disso, ser realizadas com uma antecedência razoável.

e) As Partes devem disponibilizar as informações referidas na presente cláusula, incluindo os resultados de quaisquer auditorias, à(s) autoridade de controlo competente(s), mediante pedido.

7.7. Recurso a subcontratantes ulteriores

a) O subcontratante tem a autorização geral do responsável pelo tratamento para a contratação de subcontratantes ulteriores a partir de uma lista acordada. O subcontratante deve informar especificamente o responsável pelo tratamento, por escrito, das alterações pretendidas a efetuar a essa lista quanto ao aumento do número ou à substituição de subcontratantes ulteriores com uma antecedência mínima de 30 dias, dando assim ao responsável pelo tratamento tempo suficiente para se opor a essas alterações antes da contratação do(s) subcontratante(s) ulterior(es) em causa. O subcontratante deve fornecer ao responsável pelo tratamento as informações necessárias para que este último possa exercer o direito de oposição.

b) Caso o subcontratante contrate um subcontratante ulterior para realizar operações específicas de tratamento (por conta do responsável pelo tratamento), deve fazê-o através de um contrato que imponha ao subcontratante ulterior, do ponto de vista material, as mesmas obrigações em matéria de proteção de dados que as impostas ao subcontratante em conformidade com as presentes cláusulas. O subcontratante deve assegurar o cumprimento, pelo subcontratante ulterior, das obrigações a que o subcontratante está sujeito nos termos das presentes cláusulas e do Regulamento (UE) 2016/679 e/ou do Regulamento (UE) 2018/1725.

c) O subcontratante deve facultar ao responsável pelo tratamento, a pedido do mesmo, uma cópia do referido acordo de subcontratação e de quaisquer alterações subsequentes. Na medida do necessário para proteger segredos comerciais ou outras informações confidenciais, incluindo dados pessoais, o subcontratante pode editar o texto do acordo antes de partilhar a cópia.

d) O subcontratante continua a ser inteiramente responsável, perante o responsável pelo tratamento, pelo cumprimento das obrigações que incumbem ao subcontratante ulterior em conformidade com o seu contrato com o subcontratante. O subcontratante deve notificar o responsável pelo tratamento de qualquer incumprimento, pelo subcontratante ulterior, das obrigações contratuais que lhe incumbem.

e) O subcontratante deve acordar com o subcontratante ulterior uma cláusula do terceiro beneficiário nos termos da qual - em caso de desaparecimento de facto, de extinção legal ou de insolvência do subcontratante - o responsável pelo tratamento tem o direito de rescindir o contrato do subcontratante ulterior e de dar instruções ao subcontratante ulterior para apagar ou devolver os dados pessoais.

7.8. Transferências internacionais

a) Qualquer transferência de dados para um país terceiro ou para uma organização internacional pelo subcontratante só pode ser efetuada com base em instruções documentadas do responsável pelo tratamento ou a fim de cumprir um requisito específico ao abrigo do direito da União ou do direito do Estado-Membro a que o subcontratante esteja sujeito e deve ter lugar em conformidade com o capítulo V do Regulamento (UE) 2016/679 ou do Regulamento (UE) 2018/1725.

b) O responsável pelo tratamento concorda que, caso o subcontratante contrate um subcontratante ulterior, em conformidade com a cláusula 7.7, para realizar operações específicas de tratamento (por conta do responsável pelo tratamento) e essas operações de tratamento envolvam uma transferência de dados pessoais na aceção do capítulo V do Regulamento (UE) 2016/679, o subcontratante e o subcontratante ulterior podem assegurar o cumprimento do capítulo V do Regulamento (UE) 2016/679 recorrendo às cláusulas contratuais-tipo adotadas pela Comissão em conformidade com o artigo 46.º, n.º 2, do Regulamento (UE) 2016/679, desde que as condições para o recurso a essas cláusulas contratuais-tipo sejam cumpridas.

Cláusula 8 — Assistência ao responsável pelo tratamento

a) O subcontratante deve notificar imediatamente o responsável pelo tratamento de qualquer pedido que tenha recebido do titular dos dados. Não pode responder ele próprio a esse pedido, salvo se autorizado a fazê-lo pelo responsável pelo tratamento.

b) O subcontratante deve prestar assistência ao responsável pelo tratamento no cumprimento das suas obrigações de resposta aos pedidos de exercício de direitos apresentados pelos titulares dos dados, tendo em conta a natureza do tratamento. No cumprimento das obrigações que lhe incumbem por força das alíneas a) e b), o subcontratante deve cumprir as instruções do responsável pelo tratamento.

c) Para além da obrigação que incumbe ao subcontratante de prestar assistência ao responsável pelo tratamento nos termos da cláusula 8, alínea b), o subcontratante deve ainda prestar assistência ao responsável pelo tratamento para assegurar o cumprimento das obrigações a seguir indicadas, tendo em conta a natureza do tratamento de dados e as informações ao seu dispor:

  • 1) a obrigação de proceder a uma avaliação do impacto das operações de tratamento previstas na proteção de dados pessoais (uma «avaliação de impacto relativa à proteção de dados») caso um tipo de tratamento seja suscetível de constituir um elevado risco para os direitos e as liberdades das pessoas singulares;

  • 2) a obrigação de consultar a(s) autoridade de controlo competente(s) antes de proceder ao tratamento quando a avaliação de impacto relativa à proteção de dados indicar que o tratamento resultaria num elevado risco na ausência das medidas tomadas pelo responsável pelo tratamento para atenuar o risco;

  • 3) a obrigação de assegurar que os dados pessoais sejam exatos e atualizados, informando sem demora o responsável pelo tratamento se o subcontratante tomar conhecimento de que os dados pessoais que está a tratar são inexatos ou estão desatualizados;

  • 4) as obrigações previstas no artigo 32.º do Regulamento (UE) 2016/679.

d) As Partes devem estabelecer, no anexo III, as medidas técnicas e organizativas adequadas através das quais o subcontratante é obrigado a prestar assistência ao responsável pelo tratamento na aplicação da presente cláusula, bem como o âmbito e a amplitude da assistência necessária.

Cláusula 9 — Notificação de violação de dados pessoais

Em caso de violação de dados pessoais, o subcontratante deve cooperar com o responsável pelo tratamento e prestar-lhe assistência para que este cumpra as obrigações que lhe incumbem por força dos artigos 33.º e 34.º do Regulamento (UE) 2016/679 ou dos artigos 34.º e 35.º do Regulamento (UE) 2018/1725, se aplicável, tendo em conta a natureza do tratamento e as informações ao seu dispor.

9.1 Violação de dados relativa a dados tratados pelo responsável pelo tratamento

Em caso de violação de dados pessoais relativa a dados tratados pelo responsável pelo tratamento, o subcontratante deve prestar assistência ao responsável pelo tratamento:

a) Na notificação da violação de dados pessoais à(s) autoridade de controlo competente(s), sem demora injustificada, após o responsável pelo tratamento ter tomado conhecimento da violação, quando pertinente/(salvo se essa violação não for suscetível de constituir um risco para os direitos e para as liberdades das pessoas singulares);

b) Na obtenção das informações a seguir enumeradas que, nos termos do artigo 33.º, n.º 3, do Regulamento (UE) 2016/679, devem ser indicadas na notificação do responsável pelo tratamento e têm de incluir, pelo menos:

  • 1) A natureza dos dados pessoais, incluindo, se possível, as categorias e o número aproximado de titulares de dados afetados, e as categorias e o número aproximado de registos de dados pessoais em causa,

  • 2) As consequências prováveis da violação de dados pessoais,

  • 3) As medidas adotadas ou propostas pelo responsável pelo tratamento para reparar a violação de dados pessoais, incluindo, se for caso disso, medidas para atenuar os seus eventuais efeitos negativos.

Caso, e na medida em que, não seja possível comunicar todas estas informações ao mesmo tempo, a notificação inicial deve conter as informações então disponíveis, devendo outras informações, à medida que fiquem disponíveis, ser fornecidas posteriormente sem demora injustificada.

c) No cumprimento, nos termos do artigo 34.º do Regulamento (UE) 2016/679, da obrigação de comunicar, sem demora injustificada, a violação de dados pessoais ao titular dos dados, caso a violação de dados pessoais seja suscetível de constituir um elevado risco para os direitos e as liberdades das pessoas singulares.

9.2 Violação de dados relativa a dados tratados pelo subcontratante

Em caso de violação de dados pessoais relativa a dados tratados pelo subcontratante, o subcontratante deve notificar o responsável pelo tratamento, sem demora injustificada, após ter tomado conhecimento da violação. Esta notificação deve conter, pelo menos, os seguintes elementos:

a) Uma descrição da natureza da violação (incluindo, se possível, as categorias e o número aproximado de titulares de dados afetados e de registos de dados em causa);

b) Os dados de um ponto de contacto onde possam ser obtidas mais informações relativas à violação de dados pessoais;

c) As consequências prováveis da violação e as medidas adotadas ou propostas para a reparar, incluindo para atenuar os seus eventuais efeitos negativos.

Caso, e na medida em que, não seja possível comunicar todas estas informações ao mesmo tempo, a notificação inicial deve conter as informações então disponíveis, devendo outras informações, à medida que fiquem disponíveis, ser fornecidas posteriormente sem demora injustificada.

As Partes devem estabelecer, no anexo III, todos os outros elementos a fornecer pelo subcontratante aquando da prestação de assistência ao responsável pelo tratamento no cumprimento das obrigações que lhe incumbem por força dos artigos 33.º e 34.º do Regulamento (UE) 2016/679.

SECÇÃO III — DISPOSIÇÕES FINAIS

Cláusula 10 — Incumprimento das cláusulas e rescisão

a) Sem prejuízo de quaisquer disposições do Regulamento (UE) 2016/679 e/ou do Regulamento (UE) 2018/1725, caso o subcontratante viole as obrigações que lhe incumbem por força das presentes cláusulas, o responsável pelo tratamento pode dar instruções ao subcontratante para suspender o tratamento de dados pessoais até que este último cumpra as presentes cláusulas ou até que o contrato seja rescindido. O subcontratante deve informar imediatamente o responsável pelo tratamento caso, por qualquer motivo, não possa cumprir as presentes cláusulas.

b) O responsável pelo tratamento tem o direito de rescindir o contrato, na medida em que este diga respeito ao tratamento de dados pessoais em conformidade com as presentes cláusulas, se:

  • 1) o tratamento de dados pessoais pelo subcontratante tiver sido suspenso pelo responsável pelo tratamento nos termos da alínea a) e o cumprimento das presentes cláusulas não for restabelecido num prazo razoável e, em todo o caso, no prazo de um mês após a suspensão;

  • 2) o subcontratante violar, de forma substancial ou persistente, as presentes cláusulas ou as obrigações que lhe incumbem por força do Regulamento (UE) 2016/679 e/ou do Regulamento (UE) 2018/1725;

  • 3) o subcontratante não cumprir uma decisão vinculativa de um tribunal competente ou da(s) autoridade de controlo competente(s) relativamente às obrigações que lhe incumbem nos termos das presentes cláusulas ou do Regulamento (UE) 2016/679 e/ou do Regulamento (UE) 2018/1725.

c) O subcontratante tem o direito de rescindir o contrato, na medida em que este diga respeito ao tratamento de dados pessoais ao abrigo das presentes cláusulas, caso, após ter informado o responsável pelo tratamento de que as suas instruções violam os requisitos legais aplicáveis nos termos da cláusula 7.1, alínea b), o responsável pelo tratamento insista no cumprimento das instruções.

d) Na sequência da rescisão do contrato, o subcontratante deve, consoante a escolha do responsável pelo tratamento, apagar todos os dados pessoais tratados por conta deste último e certificar ao responsável pelo tratamento que o fez ou devolver todos os dados pessoais ao responsável pelo tratamento e apagar as cópias existentes, salvo se a conservação dos dados pessoais for exigida ao abrigo do direito da União ou do direito dos Estados-Membros. Até que os dados sejam apagados ou devolvidos, o subcontratante deve continuar a assegurar o cumprimento das presentes cláusulas.

Anexo I — Lista das partes

Responsável pelo tratamento

Nome: ______________
Morada: ______________
N.º de IVA: ______________

Pessoa de contacto: ______________, proprietário da conta, ______________
Correio eletrónico de faturação: ______________
Função: responsável pelo tratamento
Assinatura e data de adesão: por aceitação eletrónica na conta; a pessoa e a data constam da confirmação da celebração.

Subcontratante

Nome: Sebastian Drożdż, que atua sob o nome comercial Special Services
Morada: Skrzynka 7a, 32-410 Dobczyce, PL
NIP (número de identificação fiscal polaco): 6793148834
Contacto: privacy@transfercrm.com (não foi designado encarregado da proteção de dados)
Função: subcontratante
Assinatura e data de adesão: pela aceitação eletrónica do Cliente na conta, na mesma data.

Anexo II — Descrição do tratamento

Categorias de titulares dos dados cujos dados pessoais são tratados

  • Os passageiros do Cliente e as pessoas que reservam viagens para eles.
  • As pessoas de contacto dos clientes do Cliente (empresas, agências, hotéis).
  • Os motoristas e o pessoal do Cliente que utilizam o serviço.
  • As pessoas de contacto dos parceiros do Cliente (outras empresas de transporte).

Categorias de dados pessoais tratados

  • Dados de identificação e de contacto: nome, número de telefone, endereço de correio eletrónico, empresa.
  • Dados de reserva e de itinerário: moradas e horas de recolha e de destino, números de voo, número de passageiros e de bagagens, observações.
  • A localização de um motorista em serviço, enviada pela aplicação do motorista.
  • Estado do pagamento e montantes das viagens e das faturas. Sem números de cartão: os cartões ficam no prestador de pagamentos do Cliente.
  • Mensagens enviadas através do serviço: correio eletrónico, SMS, WhatsApp e chat.
  • Assinaturas apostas em orçamentos.
  • Dados das contas de utilizador: nome, endereço de correio eletrónico, função, registos de início de sessão.

Dados sensíveis tratados

O serviço não se destina a categorias especiais de dados nem a dados relacionados com condenações penais e infrações. Pode conter necessidades de acessibilidade que um passageiro indique para uma viagem (por exemplo, uma cadeira de rodas) e documentos sobre os seus motoristas que o Cliente decida carregar, que podem incluir um atestado médico ou psicológico ou um certificado de registo criminal. Cabe ao Cliente decidir se os regista. Além das medidas do anexo III, aplicam-se-lhes as seguintes restrições (cláusula 7.5):

  • Os documentos carregados são guardados fora da parte pública do servidor e não têm qualquer ligação pública. Um ficheiro guardado na ficha do motorista só pode ser aberto por um utilizador com sessão iniciada na conta do Cliente com a função de proprietário, administrador ou operador; só um proprietário ou um administrador o pode eliminar. Os utilizadores com a função de contabilista ou observador podem ver que existe um documento de um motorista e quando expira, mas não o ficheiro.
  • Os motoristas, os parceiros, os passageiros, os portais de clientes e de agentes e as chaves de API não têm acesso a estes documentos.
  • Um ficheiro anexado a uma viagem pode ser aberto por qualquer utilizador que possa abrir essa viagem. Por isso, os documentos deste tipo devem ser guardados na ficha do motorista e não numa viagem.
  • As necessidades de acessibilidade só são mostradas com a viagem a que dizem respeito: aos utilizadores da conta do Cliente e ao motorista ou parceiro a quem o Cliente atribua essa viagem. Um motorista só vê as viagens que lhe são atribuídas.
  • Eliminar um documento elimina o respetivo ficheiro; todos os documentos são apagados com a conta (secção 3).

Natureza do tratamento

Alojamento e armazenamento; organização e apresentação na conta; transmissão (mensagens de correio eletrónico, SMS, notificações push, ligações para passageiros e parceiros); atribuição de viagens a motoristas e parceiros; cálculo de preços e de documentos; apagamento.

Finalidade(s) para as quais os dados pessoais são tratados por conta do responsável pelo tratamento

Prestar ao Cliente o serviço TransferCRM nos termos dos Termos de Serviço: reservas, despacho, frota, clientes, faturação e comunicação com passageiros, motoristas e parceiros.

Duração do tratamento

Enquanto existir a conta do Cliente e até ao apagamento dos seus dados pessoais: do serviço, 30 dias após um pedido de eliminação da conta, e das cópias de segurança, quando estas forem sobrescritas, o mais tardar 12 meses após esse apagamento (secção 3.2). Durante esse período, os dados de localização dos motoristas são conservados durante 60 dias e os registos de comunicação durante 365 dias; o anexo III indica os restantes prazos de conservação. Todos os outros dados são conservados até o Cliente os eliminar ou a conta ser apagada; os dados que o Cliente elimina permanecem nas cópias de segurança até estas serem sobrescritas, o mais tardar 12 meses depois.

Tratamento por subcontratantes ulteriores

O objeto e a natureza do tratamento são indicados para cada subcontratante ulterior no anexo IV. A duração é a mesma indicada acima.

Anexo III — Medidas técnicas e organizativas, incluindo medidas técnicas e organizativas destinadas a garantir a segurança dos dados

Alojamento e localização

  • O serviço e a sua base de dados funcionam em servidores alojados pela Hostinger em Frankfurt am Main, Alemanha (UE).
  • O nosso próprio servidor de correio (Exim) e o nosso próprio servidor de tempo real (soketi) funcionam no mesmo servidor, pelo que as mensagens de correio eletrónico que enviamos e as atualizações em tempo real não passam por nenhum prestador terceiro. Excetuam-se os serviços que o Cliente liga por sua iniciativa (anexo IV).

Cifragem

  • Todas as ligações ao serviço são cifradas em trânsito (TLS).
  • As definições da empresa e as credenciais guardadas (por exemplo, as chaves dos serviços ligados) são cifradas em repouso.
  • As palavras-passe dos utilizadores são guardadas apenas sob a forma de hash.

Separação dos clientes

  • Cada registo contém o identificador da empresa a que pertence, e este isolamento ao nível da linha é aplicado no código.

Controlo de acessos

  • Seis funções: proprietário, administrador, operador, contabilista, motorista, observador.
  • A autenticação de dois fatores está disponível para cada utilizador. Uma empresa pode exigi-la ao seu pessoal de escritório (proprietários, administradores, operadores, contabilistas, observadores); os motoristas não estão abrangidos por essa regra.
  • Os inícios de sessão podem ser revogados. A alteração de um segundo fator termina os inícios de sessão anteriores.

Disponibilidade e recuperação

  • Uma cópia da base de dados a cada 15 minutos, guardada no servidor até 48 horas.
  • Todas as noites, uma cópia da base de dados, dos ficheiros armazenados e das caixas de correio, guardada no servidor durante 14 dias; uma cópia por semana é guardada durante 8 semanas e uma por mês durante 12 meses.
  • As cópias no servidor só podem ser lidas pela conta de administrador do operador do serviço.
  • De hora a hora, as cópias são transferidas por uma ligação cifrada para um disco cifrado guardado pelo operador do serviço na Polónia, onde nenhuma é conservada por mais de 12 meses.
  • Todas as semanas, a cópia noturna mais recente é reposta numa base de dados separada, comparada com a do serviço em funcionamento e eliminada.
  • Se for reposta uma cópia de segurança, os apagamentos de contas efetuados desde a sua criação são executados novamente antes de o serviço reposto ser utilizado.

Registo de eventos

  • Os registos de acesso são conservados durante 14 dias.

Minimização dos dados e conservação limitada

  • Os números de cartão nunca chegam até nós: os cartões ficam no prestador de pagamentos do Cliente.
  • Nenhuma cópia de segurança é conservada por mais de 12 meses.
  • Os dados de localização dos motoristas são apagados após 60 dias e os registos de comunicação após 365 dias.
  • As tarefas em segundo plano falhadas são apagadas após 30 dias e os ficheiros de exportação temporários após 24 horas.
  • Uma conta eliminada é apagada 30 dias após o pedido, e o apagamento é confirmado (secção 3).

Portabilidade

  • O Cliente pode exportar os seus dados na conta em qualquer momento. Mediante pedido, é fornecida uma exportação completa no prazo de 30 dias (secção 3).

Assistência ao responsável pelo tratamento

  • Pedidos dos titulares dos dados: a conta disponibiliza as ferramentas para lhes dar resposta, nomeadamente a exportação, a retificação e o apagamento de passageiros, clientes e motoristas. Um pedido que nos chegue é reencaminhado para o Cliente no prazo de 5 dias úteis; não lhe respondemos diretamente, salvo instrução do Cliente.
  • Avaliação de impacto sobre a proteção de dados e consulta prévia: mediante pedido, fornecemos as informações de que dispomos no prazo de 30 dias.
  • Violações de dados pessoais: notificamos o Cliente sem demora injustificada e, o mais tardar, 48 horas após termos tomado conhecimento da violação, por correio eletrónico ao proprietário da conta e por um aviso na conta, com as informações exigidas pela cláusula 9.2.
  • Não foi designado encarregado da proteção de dados, por não ser obrigatório. Contacto: privacy@transfercrm.com.

Anexo IV — Lista de subcontratantes ulteriores

O Cliente concede uma autorização geral por escrito para os subcontratantes ulteriores enumerados abaixo (cláusula 7.7, alínea a), opção 2). As alterações são comunicadas nos termos da secção 2. A lista em vigor é também publicada em transfercrm.com/legal.

Subcontratantes ulteriores que contratamos

Nome Tratamento Localização Garantia de transferência
Hostinger International Ltd. (61 Lordou Vironos str., 6023 Larnaca, Cyprus, gdpr@hostinger.com) Alojamento dos servidores em que funcionam o serviço e a sua base de dados. Frankfurt am Main, DE (EU) Tratamento na UE/EEE
Google LLC — Firebase Cloud Messaging (1600 Amphitheatre Parkway, Mountain View, CA 94043, USA, https://firebase.google.com/support/privacy/dpo) Notificações push para a aplicação do motorista: hora, local e número de uma viagem, e aviso de nova mensagem. EUA e outras localizações da Google Quadro de Privacidade de Dados UE-EUA e cláusulas contratuais-tipo

Destinatários que atuam como responsáveis pelo tratamento independentes

Decidem por si, nos termos das suas próprias condições, como tratam os dados que recebem; não são nossos subcontratantes ulteriores.

Nome Tratamento Localização Garantia de transferência
Google Ireland Limited — Google Maps Platform (Gordon House, Barrow Street, Dublin 4, Ireland, legal-notices@google.com) Moradas e coordenadas das viagens, para mapas, pesquisa de moradas (Places), geocodificação e rotas. A Google trata-as como responsável pelo tratamento independente, nos termos das suas próprias condições. IE (EU) Destinatário na UE/EEE (sem transferência da nossa parte)
European Commission — VIES (Rue de la Loi 200, 1049 Brussels, Belgium) Validação de números de IVA nos registos nacionais de IVA. No caso de um empresário em nome individual, o número de IVA pode ser um dado pessoal. O VIES é gerido pela Comissão por conta das autoridades tributárias dos Estados-Membros, que são os seus responsáveis pelo tratamento. BE (EU) Destinatário na UE/EEE (sem transferência da nossa parte)

Serviços que não recebem dados pessoais

  • FlightAware LLC (11 Greenway Plaza, Suite 2900, Houston, TX 77046, USA): Estado do voo para viagens com número de voo. Recebe apenas o número do voo (por exemplo, LH1234), sem nome, data ou qualquer outro dado da viagem.

Serviços que liga por sua iniciativa

Tratados por sua instrução, ao abrigo do seu próprio contrato com o prestador: transmitimos os dados, e o prestador não é nosso subcontratante ulterior.

  • O seu próprio servidor de correio (SMTP) ou conta Google (Gmail) para o envio de mensagens de correio eletrónico
  • Contas Stripe e PayPal para os pagamentos dos seus clientes
  • Prestadores de SMS (por exemplo, Twilio, SMSAPI)
  • WhatsApp Business (Meta)
  • Contabilidade, faturação e faturação eletrónica (por exemplo, Fakturownia, wFirma, QuickBooks, Xero, InvoiceXpress, KSeF, Peppol, SdI)
  • Calendários Google Calendar e Microsoft Outlook
  • A sua central telefónica, para as notificações de chamadas
  • A sua própria conta de dados de voos (FlightAware, AeroDataBox)
  • A sua própria chave de IA (Anthropic)
  • Webhooks e integrações de API que configura