Acordo de tratamento de dados

1. Partes e objeto

O presente acordo é celebrado entre o cliente, na qualidade de responsável pelo tratamento, e EAS International, Klybeckstr. 141, 4057 Basel, Schweiz, na qualidade de subcontratante (o Fornecedor). Representante do Fornecedor na União nos termos do artigo 27.º do RGPD: Urs Zimmermann, Eichacker 2, 79418 Schliengen, Germany.

Tem por objeto o tratamento dos dados pessoais que o cliente introduz no Batteriepass Online ou recolhe através dele. A natureza, a finalidade, os tipos de dados e as categorias de titulares dos dados são descritos no anexo 1. O acordo aplica-se durante a vigência do contrato de serviço, incluindo a fase de leitura prevista no ponto 8 dos Termos.

2. Instruções

O Fornecedor trata os dados exclusivamente no âmbito do contrato de serviço e mediante instruções documentadas do cliente. O cliente dá instruções através da utilização das funções do software (como publicar um passaporte, atribuir níveis de acesso, enviar um pedido a um fornecedor, exportar, eliminar) e em forma de texto para info@batteriepass-online.eu. As instruções que excedam o âmbito acordado são tratadas como pedidos de alteração e podem ser faturadas separadamente.

Se o Fornecedor considerar que uma instrução é ilícita, informa o cliente sem demora e pode suspender a sua execução até à confirmação.

A disponibilização dos conteúdos dos passaportes ao público, às pessoas com interesse legítimo e às autoridades é efetuada nos termos do Regulamento (UE) 2023/1542, na configuração escolhida pelo cliente, e considera-se uma instrução do cliente.

3. Obrigações do Fornecedor

• Confidencialidade: todas as pessoas envolvidas no tratamento estão vinculadas à confidencialidade. Só se acede aos dados do cliente quando necessário para o funcionamento, a assistência ou a resolução de avarias.
• Segurança: o Fornecedor aplica as medidas técnicas e organizativas do anexo 3 e adapta-as ao estado da técnica sem reduzir o nível de proteção.
• Assistência: o Fornecedor presta assistência ao cliente, com os meios do software (exportação, retificação, eliminação, registo de acessos), no cumprimento dos direitos dos titulares dos dados, bem como nas avaliações de impacto sobre a proteção de dados e nas consultas à autoridade de controlo, na medida em que as informações estejam na posse do Fornecedor.
• Notificação: o Fornecedor notifica o cliente das violações de dados pessoais que afetem dados do cliente sem demora injustificada, o mais tardar no prazo de 48 horas após ter tido conhecimento das mesmas, para o endereço de e-mail registado na conta, com as informações disponíveis nos termos do artigo 33.º, n.º 3, do RGPD.
• Pedidos dos titulares dos dados: se os titulares dos dados contactarem diretamente o Fornecedor, este reencaminha o pedido para o cliente sem dar uma resposta própria quanto ao mérito, na medida em que o pedido diga respeito a dados do cliente.
• Comprovação: a pedido, o Fornecedor disponibiliza as informações necessárias para demonstrar o cumprimento do presente acordo, em especial uma descrição das medidas do anexo 3 e relatórios sobre incidentes de segurança.
• Eliminação: após o termo do tratamento, o Fornecedor elimina os dados nos termos do ponto 8 dos Termos, salvo se existir uma obrigação legal de conservação. No caso dos passaportes da bateria publicados, a obrigação legal de os manter disponíveis nos termos do artigo 77.º, n.º 8, do Regulamento (UE) 2023/1542 considera-se uma obrigação de conservação.

4. Direitos de auditoria do cliente

O cliente pode verificar o cumprimento do presente acordo uma vez por ano e sempre que exista um motivo concreto. A verificação é feita, em primeiro lugar, através da análise de documentação, relatórios e confirmações dos subcontratantes ulteriores. É possível uma auditoria no local mediante aviso prévio com um prazo razoável (pelo menos 14 dias), durante o horário normal de expediente, desde que não ponha em perigo os dados de outros clientes. Pelas auditorias que excedam uma por ano ou que não sejam motivadas por um incidente, o Fornecedor pode cobrar o esforço daí resultante a uma tarifa razoável.

5. Subcontratantes ulteriores

O cliente consente na utilização dos subcontratantes ulteriores enumerados no anexo 2. O Fornecedor vincula-os a obrigações em matéria de proteção de dados equivalentes às aqui acordadas.

O Fornecedor informa o cliente por e-mail das alterações previstas (aditamento ou substituição) com, pelo menos, 30 dias de antecedência. Dentro desse prazo, o cliente pode opor-se por motivos importantes de proteção de dados. Em caso de oposição, qualquer das partes pode denunciar o contrato de serviço com efeitos na data da alteração; o ponto 8 dos Termos não é afetado.

6. Tratamento em países terceiros

Os dados são armazenados em servidores na Alemanha. O Fornecedor está estabelecido na Suíça, relativamente à qual existe uma decisão de adequação da Comissão Europeia; o acesso a partir da Suíça é, por conseguinte, permitido. O tratamento noutros países terceiros só ocorre com o consentimento do cliente e com base em garantias adequadas nos termos do capítulo V do RGPD.

7. Obrigações do cliente

O cliente é responsável pela licitude do tratamento, em especial pelo fundamento jurídico para a publicação de informações sobre pessoas singulares nos passaportes, pela informação dos titulares dos dados e pela licitude do contacto com fornecedores e requerentes. Atribui os níveis de acesso e as autorizações de acesso sob a sua própria responsabilidade e verifica se os dados tornados acessíveis através do software cumprem os requisitos legais.

O cliente indica na conta um endereço de e-mail contactável para questões de proteção de dados e mantém-no atualizado.

8. Responsabilidade, duração, disposições finais

Em matéria de responsabilidade, aplica-se o ponto 11 dos Termos; o artigo 82.º do RGPD não é afetado. O presente acordo cessa com o contrato de serviço, mas mantém-se em vigor enquanto o Fornecedor mantiver dados do cliente disponíveis nos termos do ponto 8 dos Termos. Quanto ao resto, aplicam-se as disposições finais dos Termos. Em caso de conflito entre o presente acordo e os Termos, prevalece o presente acordo em matéria de proteção de dados.

Anexo 1 – Objeto do tratamento

• Natureza e finalidade: alojamento, armazenamento, apresentação, exportação e transmissão de conteúdos de passaportes da bateria e dos respetivos documentos; envio de e-mails em nome do cliente (pedidos a fornecedores, decisões sobre acessos); registo dos acessos a conteúdos protegidos; disponibilização da API e dos webhooks.
• Tipos de dados: nomes, funções e contactos de pessoas de contacto do cliente, dos seus fornecedores e de requerentes de autorizações de acesso (endereço de e-mail, organização, papel, finalidade, documentos comprovativos); conteúdos dos campos dos passaportes e dos documentos, na medida em que contenham informações sobre pessoas singulares (como a pessoa responsável do operador económico, os signatários das declarações de conformidade); registos de acessos (endereço IP truncado e sujeito a hash, user agent, hora, nível de acesso); dados transmitidos pelo cliente à API.
• Categorias de titulares dos dados: trabalhadores e pessoas de contacto do cliente, dos seus fornecedores e parceiros comerciais; pessoas que pedem acesso a conteúdos protegidos dos passaportes (autoridades, operadores de reparação e de reciclagem, compradores); visitantes das páginas públicas dos passaportes.
• As categorias especiais de dados (artigo 9.º do RGPD) não são objeto de tratamento; o cliente não introduz esses dados no software.

Anexo 2 – Subcontratantes ulteriores

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Alemanha – serviços de centro de dados (servidores, base de dados, armazenamento de documentos, cópias de segurança) em Falkenstein e Nuremberga.
• STRATO GmbH, Otto-Ostrowski-Str. 7, 10249 Berlin, Alemanha – envio de e-mails em nome do cliente.
• A Stripe Payments Europe Ltd., Dublin, Irlanda, trata os dados de pagamento do cliente na qualidade de responsável pelo tratamento autónomo e não é um subcontratante ulterior para os dados do cliente na aceção do presente acordo.

Anexo 3 – Medidas técnicas e organizativas

• Acesso físico e aos sistemas: servidores em centros de dados da Hetzner certificados segundo a ISO 27001; administração apenas através de SSH com autenticação por chave e de uma rede privada; a base de dados não é acessível a partir da Internet pública.
• Acesso aos dados: permissões baseadas em funções (proprietário, editor, leitor) por organização; separação de clientes ao nível da base de dados através do ID da organização em cada consulta; os níveis de acesso aos conteúdos dos passaportes (público, interesse legítimo, autoridade) são aplicados no servidor numa única função de filtro.
• Autenticação: palavras-passe como hashes scrypt; sessões com tokens aleatórios na base de dados, 30 dias; verificação do e-mail antes do acesso de escrita; limites às tentativas de início de sessão, registo e reposição; chaves de API guardadas apenas como hashes.
• Transmissão: TLS em todas as ligações; Content Security Policy; webhooks assinados (HMAC) com segredos guardados de forma cifrada.
• Integridade: cada publicação de um passaporte cria uma versão com cadeia de hash (hash anterior); registo de auditoria de todas as operações de escrita; nada é eliminado fisicamente antes de decorridos os prazos contratuais.
• Disponibilidade: cópia de segurança diária da base de dados e do armazenamento de documentos com conservação de, pelo menos, 30 dias num segundo local; testes de restauro regulares; monitorização da disponibilidade.
• Separação: dados de produção separados dos ambientes de desenvolvimento e de teste; os passaportes do plano Pilot são assinalados como dados de teste.
• Organização: minimização dos dados integrada no software (apenas os campos exigidos para o passaporte); análise de segurança em cada alteração do serviço; documentação de incidentes; atualizações regulares dos componentes do sistema.