Acordo de Tratamento de Dados

Este Acordo de Tratamento de Dados ("ATD") faz parte dos Termos de Serviço entre a Passport Digital Limited ("nós", o subcontratante) e o cliente ("o cliente", o responsável pelo tratamento). Aplica-se sempre que tratamos dados pessoais em seu nome ao fornecer o MyProductPassport e cumpre o artigo 28.º do UK GDPR e, quando aplicável, do RGPD da UE. Se um parceiro gerir o seu espaço de trabalho e detiver o seu contrato, somos subcontratante desse parceiro nestes mesmos termos.

1. Detalhes do tratamento

• Objeto e duração: fornecer-lhe o MyProductPassport enquanto durar o contrato e até os dados serem eliminados conforme descrito abaixo.
• Natureza e finalidade: alojamento, armazenamento, publicação, tradução e apresentação dos seus dados de produtos e passaportes; produção de estatísticas de visualização dos passaportes; suporte; e cópias de segurança.
• Quando os utilizar, também: pedir informações aos fornecedores que escolher, manter um histórico assinado de cada passaporte publicado e fazer com que a sua equipa inicie sessão através do seu fornecedor de identidade.
• Pessoas abrangidas: o seu pessoal e membros da equipa; pessoas mencionadas nos seus dados de produtos e documentos; e pessoas que veem os seus passaportes publicados.
• Tipos de dados pessoais: nomes, contactos profissionais e funções; quaisquer dados pessoais que inclua nos dados de produtos ou documentos; e, para quem vê passaportes, o país, tipo de dispositivo, navegador, sistema operativo, página de referência e um identificador codificado do visitante (nunca o endereço IP).
• Quando ativar o pós-venda: registar os proprietários dos seus produtos e manter os dados das respetivas garantias, transmitir entre si e os seus clientes os pedidos de assistência, as suas respostas e as fotografias dos clientes, permitir que os proprietários transfiram um produto e verificar que um artigo é autêntico.
• Pessoas abrangidas, quando utilizar o pós-venda: pessoas que registam um dos seus produtos, lhe enviam um pedido de assistência, recebem um produto do proprietário ou verificam que um artigo é autêntico.
• Tipos de dados pessoais sobre elas: nome e endereço de email; o que escolham acrescentar, como telefone, país, data e local de compra, número de série, mensagens e fotografias; se aceitaram receber notícias suas, com o texto exato que viram; e, nas verificações de autenticidade, o país e um identificador de visitante codificado (nunca o endereço IP).
• Quando pede informações a fornecedores: os contactos dos seus fornecedores (nome, endereço de email e empresa) e as respostas e os ficheiros que estes enviam. Quando utiliza o início de sessão único: o nome e o endereço de email que o seu fornecedor de identidade envia relativamente a cada pessoa. O histórico assinado de um passaporte conserva cada versão publicada tal como era, incluindo valores anteriores dos campos. É eliminado com o seu espaço de trabalho, e removeremos versões anteriores mediante instrução sua se for necessário apagar delas dados pessoais.

O serviço não foi concebido para categorias especiais de dados (como dados de saúde). Por favor, não os carregue.

Decide o que é comunicado aos seus clientes. Cada formulário e email de pós-venda inclui uma ligação para o seu aviso de privacidade, e essas funções ficam desativadas até o adicionar. Os emails para os seus clientes saem em seu nome, com o seu endereço de resposta, através do nosso fornecedor de envio.

2. As nossas obrigações

Comprometemo-nos a:

• tratar dados pessoais apenas de acordo com as suas instruções documentadas, que são estes termos e a sua utilização do serviço, salvo se a lei exigir outra coisa, caso em que o informaremos primeiro, salvo se a lei o proibir;
• informá-lo se considerarmos que uma instrução viola a legislação de proteção de dados;
• garantir que todas as pessoas que autorizamos a tratar os dados estão sujeitas a confidencialidade;
• aplicar as medidas de segurança descritas abaixo;
• recorrer a subcontratantes apenas nos termos indicados abaixo;
• ajudá-lo a responder a pedidos de pessoas que exercem os seus direitos;
• ajudá-lo a cumprir as suas obrigações de segurança, notificação de violações, avaliações de impacto sobre a proteção de dados e consulta prévia, tendo em conta as informações de que dispomos;
• eliminar ou devolver os dados pessoais quando o contrato terminar, conforme descrito abaixo;
• disponibilizar as informações de que precisa para demonstrar o cumprimento destas obrigações, e permitir auditorias conforme descrito abaixo.

3. Subcontratantes

Autoriza-nos a recorrer a estes subcontratantes:

• DigitalOcean, através da Cloudways: alojamento, bases de dados e cópias de segurança (Londres, Reino Unido).
• Cloudflare: rede, segurança e entrega de conteúdos (rede global).
• Brevo (Sendinblue SAS): envio de emails de serviço para si e para a sua equipa e, quando usa o pós-venda, para os seus clientes (França).
• OpenAI: tradução automática do texto dos passaportes publicados, e leitura dos documentos que escolhe importar para um passaporte (Estados Unidos).
• Sentry (Functional Software, Inc.): monitorização de erros (Alemanha, região de dados da UE).
• Microsoft (Microsoft 365): email, para a correspondência de suporte.

Impomos a cada subcontratante obrigações de proteção de dados não menos protetoras do que este ATD e continuamos responsáveis perante si pelo seu trabalho. Informá-lo-emos de um novo subcontratante por e-mail ou na aplicação pelo menos 30 dias antes de começar. Pode opor-se por motivos razoáveis de proteção de dados; se não conseguirmos resolver a objeção, pode terminar o serviço afetado e reembolsaremos as taxas pagas por qualquer período após o seu termo.

4. Transferências internacionais

Os seus dados estão alojados no Reino Unido, que a Comissão Europeia reconhece como oferecendo proteção adequada. Quando um subcontratante trata dados pessoais num país sem decisão de adequação, recorremos às cláusulas contratuais-tipo da Comissão Europeia juntamente com o UK International Data Transfer Addendum, ou à certificação do subcontratante ao abrigo do Quadro de Privacidade de Dados UE-EUA e da sua Extensão para o Reino Unido.

5. Pedidos de particulares

O serviço permite-lhe ver, corrigir, exportar e eliminar dados por si próprio. Se alguém nos contactar sobre dados pessoais que controla, encaminharemos o pedido para si sem demora injustificada e não o responderemos nós mesmos, a menos que no-lo peça.

Os proprietários de produtos registados também podem deixar de receber os seus emails de marketing e apagar eles próprios o registo, a partir da sua página de proprietário.

6. Medidas de segurança

• Encriptação em trânsito: TLS em todas as ligações, com HTTP Strict Transport Security.
• Encriptação em repouso: o número de registo da empresa, o número de IVA e o número de telefone guardados nas contas de utilizador são encriptados na aplicação; as palavras-passe são guardadas apenas como hashes unidirecionais.
• Acesso: acesso baseado em funções nos espaços de trabalho (proprietário, administrador, editor, visualizador), autenticação de dois fatores opcional e tentativas de início de sessão limitadas. O acesso aos servidores de produção está restrito a administradores nomeados.
• Registo: as ações relevantes são registadas com o utilizador, a hora e o endereço IP, e guardadas durante 90 dias.
• Visitantes dos passaportes: os endereços IP nunca são guardados; apenas um identificador codificado criado com uma chave secreta.
• Pós-venda: os códigos ocultos dos artigos, as chaves das etiquetas seguras e as ligações privadas nos emails aos seus clientes são cifrados na aplicação; as fotografias enviadas pelos clientes são guardadas de forma privada e mostradas apenas à sua equipa e ao cliente que as enviou.
• Resiliência: cópias de segurança diárias da base de dados e proteção Cloudflare contra ataques de negação de serviço.
• Segurança da aplicação: uma Content Security Policy rigorosa com comunicação de violações.

7. Violações de dados pessoais

Se tomarmos conhecimento de uma violação de dados pessoais que afete os seus dados, iremos:

• informá-lo sem demora injustificada e, em qualquer caso, no prazo de 48 horas, por e-mail ao proprietário do seu espaço de trabalho;
• fornecer-lhe as informações de que precisa para notificar o Information Commissioner’s Office ou a sua autoridade de controlo no prazo de 72 horas, e atualizá-las à medida que soubermos mais;
• colaborar consigo para investigar e conter a violação, e registar o que aconteceu e o que fizemos a esse respeito.

Pode comunicar-nos um suspeito problema de segurança através de [email protected].

8. Auditorias

Responderemos a perguntas escritas razoáveis sobre o nosso cumprimento deste ATD. Se isso não bastar, pode realizar uma auditoria, a expensas suas:

• com pelo menos 30 dias de pré-aviso por escrito;
• durante o horário normal de expediente;
• por auditores sujeitos a confidencialidade;
• no máximo uma vez por ano, salvo se uma violação ou um regulador exigir outra.

9. Devolução e eliminação de dados

Pode exportar os seus dados a qualquer momento e pedir uma exportação completa quando o contrato terminar (consulte "Mudar para outro fornecedor" nos nossos Termos de Serviço). Quando elimina a sua conta, os dados pessoais nela contidos são eliminados de imediato. Se o contrato terminar de outra forma, eliminamos os dados 30 dias após o termo. As cópias em backups são substituídas no prazo de 60 dias depois disso. Conservamos apenas o que a lei exige, como faturas, e confirmamos a eliminação por escrito se o pedir.

A partir de 26 de outubro de 2026, os passaportes de baterias permanecem disponíveis após a eliminação da conta, conforme descrito nos Termos de Serviço (Regulamento (UE) 2023/1542, artigo 78.º, alínea e)).

Registos de pós-venda: um registo que ninguém confirma é apagado após 30 dias, e os dados de um novo proprietário convidado assim que a transferência é aceite, cancelada ou expira. Os proprietários podem apagar eles próprios o registo a partir da sua página de proprietário, e pode remover um registo ou eliminar um pedido de assistência no painel. Caso contrário, estes registos são eliminados com o seu espaço de trabalho.

10. Lei aplicável

Este ATD rege-se pela lei de Inglaterra e País de Gales, tal como os nossos Termos de Serviço. Quando o RGPD da UE exigir que se reja pela lei de um Estado-Membro da UE, aplica-se a lei irlandesa e são competentes os tribunais da Irlanda. Se este ATD entrar em conflito com os Termos de Serviço, prevalece este ATD quanto ao tratamento de dados pessoais.

Perguntas sobre este acordo de tratamento de dados: [email protected].