Acordo de tratamento de dados

Partes e âmbito

Este acordo é celebrado entre a organização cliente (responsável pelo tratamento) e a ExpertFusion Software and Marketplace L.L.C-FZ, entidade que explora o PestLove (subcontratante). Faz parte dos termos de serviço e aplica-se automaticamente a todas as subscrições, sem necessidade de assinatura. Em caso de conflito com os termos quanto ao tratamento de dados pessoais, prevalece este acordo.

Abrange os dados pessoais que a organização e os seus utilizadores introduzem ou geram no PestLove. O tratamento próprio da entidade exploradora para contas, faturação, segurança e website está descrito na política de privacidade.

Instruções e confidencialidade

Tratamos os dados pessoais do cliente apenas segundo as instruções documentadas da organização — os termos, este acordo e a configuração e utilização do serviço pela organização —, salvo quando a lei exija outra coisa, caso em que informamos previamente a organização sempre que permitido. Avisamos a organização se considerarmos que uma instrução viola a lei de proteção de dados.

Todas as pessoas autorizadas a tratar dados pessoais do cliente estão sujeitas a confidencialidade e o acesso limita-se ao necessário para prestar, apoiar e proteger o serviço.

Medidas de segurança

Mantemos medidas técnicas e organizativas adequadas, incluindo: isolamento entre organizações aplicado em cada pedido e chamada à API; permissões baseadas em funções e partilha explícita entre organizações; ligações cifradas (TLS); palavras-passe com hash e limitação de tentativas de início de sessão; tokens de API com âmbito definido; registos de auditoria operacional; acesso mínimo necessário aos sistemas de produção; versões controladas e testadas; e cópias de segurança das bases de dados.

Podemos atualizar estas medidas desde que o nível global de proteção não diminua.

Subcontratantes ulteriores

A organização autoriza os seguintes subcontratantes ulteriores: Vultr (alojamento, bases de dados e armazenamento de ficheiros, Amesterdão, Países Baixos; e o nosso servidor de envio de email, Madrid, Espanha) e Expo / 650 Industries, Inc. (notificações push móveis, Estados Unidos). A Stripe trata os dados de pagamento como responsável independente.

Avisamos por email com pelo menos 30 dias de antecedência antes de acrescentar ou substituir um subcontratante ulterior. A organização pode opor-se por motivos razoáveis de proteção de dados; se não for possível resolver a objeção, pode terminar o serviço afetado e receber o reembolso proporcional dos valores pagos antecipadamente. Impomos obrigações de proteção de dados equivalentes a cada subcontratante ulterior e continuamos responsáveis por eles.

Transferências internacionais

Os dados pessoais do cliente estão alojados nos Países Baixos. Quando são transferidos para fora do EEE, do Reino Unido ou da Suíça — incluindo para a entidade exploradora nos Emirados Árabes Unidos e para subcontratantes nos Estados Unidos —, as Cláusulas Contratuais-Tipo da Comissão Europeia (Decisão 2021/914, Módulo 2: responsável para subcontratante, regidas pela lei irlandesa) ficam incorporadas neste acordo, juntamente com o Adendo de Transferência Internacional de Dados do Reino Unido e as adaptações suíças, quando aplicáveis.

Assistência, violações e auditorias

O serviço permite à organização aceder, retificar, exportar e apagar os seus dados. Reencaminhamos para a organização qualquer pedido de um titular dos dados e ajudamos a responder, e prestamos informação razoável para avaliações de impacto sobre a proteção de dados.

Notificamos a organização sem demora injustificada, e sempre no prazo de 48 horas após tomarmos conhecimento, de qualquer violação de dados pessoais que afete os seus dados, com a informação disponível nesse momento, e mantemo-la informada à medida que soubermos mais.

Disponibilizamos a informação necessária para demonstrar o cumprimento deste acordo. A organização pode auditar o nosso cumprimento uma vez por ano, com aviso escrito de 30 dias, ou após uma violação, sob confidencialidade e a expensas suas.

Devolução e eliminação

Durante a subscrição e nos 30 dias seguintes ao seu termo, a organização pode exportar os seus dados. Depois, apagamos os dados pessoais do cliente dos sistemas ativos e as cópias de segurança são removidas quando expiram na rotação de backups, salvo se a lei exigir a sua conservação. Confirmamos a eliminação por escrito, se nos for pedido.

Descrição do tratamento

Objeto e finalidade: disponibilização do software PestLove para controlo de pragas, segurança alimentar (HACCP), auditorias, formação e fluxos laboratoriais. Duração: o período da subscrição mais o período de exportação. Natureza: alojamento, armazenamento, organização, visualização, transmissão por email e notificação push, relatórios, exportação, cópias de segurança e eliminação.

Titulares dos dados: utilizadores da organização, os seus clientes e respetivos contactos, pessoal das instalações referido nos registos, formandos e signatários. Categorias de dados: nomes, funções, contactos profissionais, identificadores de conta, moradas das instalações, registos de serviço, inspeção e auditoria, leituras, fotografias, assinaturas e registos de formação. Não se prevê o tratamento de categorias especiais de dados.

A responsabilidade ao abrigo deste acordo está sujeita aos limites dos termos de serviço, exceto quando a lei de proteção de dados não o permita.