Este Contrato de tratamento de dados (o “DPA”) é parte integrante do Contrato entre ELXAO SASU (o “Processador”) e o cliente (o “Controlador”) e implementa o Artigo 28 do Regulamento (UE) 2016/679 (o “GDPR”) e a Lei Francesa de Proteção de Dados (Lei n° 78-17 de 6 de janeiro de 1978 conforme alterada). Aplica-se sempre que ELXAO processa dados pessoais em nome do Controlador no decurso da prestação dos Serviços.
Definições
Os termos “dados pessoais”, “processamento”, “controlador”, “processador”, “subprocessador”, “titular dos dados”, “dados de categoria especial” e “violação de dados pessoais” têm os significados atribuídos no Artigo 4 do RGPD. Os termos do Contrato aplicam-se a este DPA, exceto quando este DPA os substituir expressamente.
Assunto, duração e natureza do processamento
| Item | Descrição |
|---|---|
| Assunto | Prestação de serviços de operações de marketing (sites, SEO, meios pagos, análises, CRM/e-mail, branding, meios social, localização, PM/eventos) em nome do Controlador. |
| Duração | Duração do Compromisso, mais os períodos de retenção definidos abaixo. |
| Natureza e propósito | Armazenamento, organização, análise, transferência, alojamento e exclusão de dados pessoais conforme necessário para a prestação dos Serviços. |
| Categorias de titulares de dados | Utilizadores finais, clientes potenciais, clientes, assinantes, funcionários, fornecedores e participantes do evento do Controlador. |
| Categorias de dados pessoais | Dados de identificação (nome, cargo), dados de contacto (e-mail, telefone, morada), dados profissionais (empresa, função), identificadores online (IP, cookies, IDs de dispositivos), dados comportamentais (cliques, sessões, conversões), dados comerciais (encomendas, faturação), dados de eventos (registos, presenças, crachás, gravações). |
| Dados de categoria especial | Não processado por defeito. Qualquer exceção requer instruções por escrito e salvaguardas adicionais. |
Funções e instruções
O Controlador determina as finalidades e meios de processamento. ELXAO processa dados pessoais exclusivamente de acordo com as instruções documentadas do Controlador, que são formalizadas pelo Contrato, pelos encomendas, pelos SLAs, pela Política de Privacidade do Controlador e por quaisquer instruções específicas por escrito enviadas posteriormente. ELXAO informará o Controlador sem demora injustificada se considerar uma instrução que infringe a lei de proteção de dados.
Confidencialidade do pessoal
ELXAO garante que cada indivíduo autorizado a processar dados pessoais está vinculado a uma obrigação de confidencialidade executória (contrato de trabalho, contrato de freelancer ou NDA) e recebeu formação em proteção de dados pessoais adequada à sua função.
Medidas de segurança
ELXAO implementa medidas técnicas e organizacionais adequadas (artigo 32.º do RGPD), incluindo:
- Criptografia TLS 1.2+ em trânsito e criptografia AES-256 em repouso para armazenamentos de dados de produção.
- Controlo de acesso baseado em funções com princípio de menor privilégio; autenticação multifator obrigatória para todos os administradores.
- Infraestrutura robusta alojada na UE com verificação e correção regulares de vulnerabilidades.
- Revisão de código, gestão de segredos, SDLC seguro e separação de ambientes de produção/preparação.
- Registo centralizado e com integridade protegida; com alertas para eventos suspeitos de autenticação e exportação de dados.
- Backups criptografados e separados geograficamente com testes de restauração documentados.
- Procedimentos de integração/desligamento de pessoal, geridor de palavra-passes, laptops seguros com criptografia completa de disco.
- Planos de continuidade de negócios e resposta a incidentes revisados pelo menos anualmente.
Subprocessamento
O Controlador concede ELXAO uma autorização geral para contratar subprocessadores para o desempenho de atividades de processamento específicas (alojamento, entrega de e-mail, análises, plataformas de anúncios, ferramentas de suporte ao cliente, plataformas de gestão de eventos). ELXAO mantém uma lista atualizada de subprocessadores, disponível mediante solicitação em [email protected], e notificará com pelo menos trinta (30) dias de antecedência sobre qualquer adição ou substituição pretendida, durante a qual o Controlador poderá se opor por motivos razoáveis de proteção de dados. ELXAO impõe a cada subprocessador obrigações de proteção de dados não menos protetoras do que as estabelecidas neste DPA.
Transferências internacionais
Os dados pessoais são processados principalmente no Espaço Económico Europeu (EEE). Quando o processamento envolve uma transferência fora do EEE para um país sem uma decisão de adequação, ELXAO conta com salvaguardas apropriadas nos termos do Artigo 46 do RGPD, principalmente as Cláusulas Contratuais Padrão (SCCs) da Comissão Europeia de 4 de junho de 2021, complementadas por quaisquer medidas adicionais exigidas pela avaliação de impacto da transferência.
Assistência ao Controlador
ELXAO auxilia o Controlador, através de medidas técnicas e organizacionais adequadas, no cumprimento das suas obrigações de responder às solicitações dos titulares dos dados (artigos 12.º a 22.º do RGPD) e a garantir a conformidade com os artigos 32.º a 36.º do RGPD (segurança, notificação de violação, DPIA, consulta prévia). A assistência padrão está incluída nos Serviços; trabalho substancial superior a um (1) Dia Útil por solicitação poderá ser cobrado de acordo com as taxas profissionais vigentes em ELXAO, após notificação por escrito.
Violação de dados pessoais
ELXAO notifica o Controlador sem demora injustificada e, em qualquer caso, dentro de setenta e duas (72) horas após tomar conhecimento de uma violação de dados pessoais que afeta os dados do Controlador. A notificação inclui a natureza da violação, as categorias e os volumes aproximados afetados, as consequências prováveis e as medidas tomadas ou propostas para a resolver.
Auditorias
ELXAO disponibiliza ao Controlador, mediante pedido fundamentado e não mais do que uma vez por ano (exceto após uma violação), as informações necessárias para demonstrar a conformidade com este DPA, incluindo relatórios do tipo ISO 27001/SOC 2 de subprocessadores, quando disponíveis. As auditorias no local podem ser conduzidas pelo Controlador ou por um auditor terceirizado mutuamente aprovado e vinculado à confidencialidade, às custas do Controlador, com aviso prévio razoável e durante o horário comercial, de uma maneira que não interrompa injustificadamente as operações de ELXAO.
Devolução ou exclusão de dados
Após a rescisão do Contrato, ELXAO irá, à escolha do Controlador expressa no prazo de trinta (30) dias, devolver todos os dados pessoais num formato estruturado, comumente usado e legível por máquina, ou excluí-los de todos os sistemas operativos e de produção. As cópias de backup são excluídas no ciclo de rotação padrão (até noventa (90) dias) e podem ser retidas além desse período apenas quando exigido pela lei aplicável, caso em que permanecem sujeitas às obrigações de segurança e confidencialidade deste DPA.
Responsabilidade
As disposições de responsabilidade da MSA aplicam-se a reclamações decorrentes deste DPA. Cada parte permanece responsável perante os titulares dos dados e as autoridades de supervisão, de acordo com o Artigo 82 do RGPD.
Contacto
Para qualquer questão, solicitação ou notificação sobre proteção de dados sob este DPA, entre em contacto com ELXAO em [email protected].