Em linguagem simples
- Quando as suas fontes conectadas contêm dados pessoais, a sua organização é o responsável pelo tratamento e nós somos o subcontratante.
- Tratamos os dados apenas de acordo com as suas instruções, apenas os metadados e as permissões que a sua aprovação expõe, e só alteramos os acessos nas suas fontes se ativar a opção Auto-remediate.
- Cinco subcontratantes, com aviso prévio antes de acrescentarmos um. Notificação de violação no prazo de 48 horas após conhecimento.
- As Cláusulas Contratuais-Tipo da UE abrangem as transferências internacionais.
- Aquando da cessação, pode exportar tudo, e em seguida eliminamos os dados.
1. Partes, âmbito e funções
O presente Acordo de Tratamento de Dados («DPA») faz parte integrante dos Termos de Serviço entre a Enterprise.Systems («Subcontratante») e a organização cliente («Responsável pelo Tratamento»). Aplica-se sempre que os Dados de Fonte do Cliente tratados na plataforma contenham dados pessoais na aceção do GDPR ou de leis semelhantes. Em caso de conflito relativo ao tratamento de dados pessoais, o presente DPA prevalece sobre os Termos.
2. Definições
"GDPR" designa o Regulamento (UE) 2016/679. "Dados pessoais", "tratamento", "titular dos dados", "responsável pelo tratamento", "subcontratante" e "autoridade de controlo" têm os significados que lhes são atribuídos no GDPR. "Dados de Origem do Cliente" tem o significado que lhe é atribuído nos Termos de Serviço.
3. Detalhes do tratamento
- Objeto — análise da postura de segurança das origens conectadas do Responsável pelo Tratamento.
- Duração — o prazo do acordo acrescido do período de tolerância para eliminação.
- Natureza e finalidade — enumeração apenas de leitura de recursos, permissões e principais através de âmbitos OAuth aprovados pelo Responsável pelo Tratamento; avaliação face a regras de segurança; geração de constatações, explicações e resumos assistidos por IA; e, apenas quando o Responsável pelo Tratamento ativa a Correção Automática, arma uma política e concede os âmbitos de escrita necessários, revogação ou redução de acesso na origem conectada conforme essa política determine.
- Categorias de dados pessoais — metadados de recursos (nomes, identificadores, definições de partilha) e identidades de principais (nomes, endereços de correio eletrónico, funções) dos utilizadores, colaboradores e agentes de serviço/IA do Responsável pelo Tratamento. Nenhum conteúdo de ficheiros; não são procuradas categorias especiais e quaisquer que estejam presentes nos metadados são incidentais.
- Titulares dos dados — os trabalhadores, colaboradores e partes externas do Responsável pelo Tratamento que detêm permissões nas origens conectadas.
4. Tratamento mediante instruções
O Subcontratante trata dados pessoais apenas mediante as instruções documentadas do Responsável pelo Tratamento — estas consistem nos Termos, no presente DPA e na configuração da plataforma pelo Responsável pelo Tratamento (que origens conectar, que âmbitos aprovar, se ativa a Correção Automática e que políticas arma, definições de retenção) — salvo se exigido por lei, caso em que o Subcontratante informa o Responsável pelo Tratamento antes do tratamento, quando legalmente permitido. O Subcontratante informará o Responsável pelo Tratamento se, na sua opinião, uma instrução violar a legislação de proteção de dados.
5. Confidencialidade
As pessoas autorizadas a tratar dados pessoais estão vinculadas a obrigações contratuais ou legais de confidencialidade.
6. Medidas de segurança (Art. 32.º)
O Subcontratante implementa e mantém medidas técnicas e organizativas adequadas, incluindo:
- Encriptação em trânsito (TLS 1.2+) e encriptação das credenciais de origem armazenadas em repouso (AES-256-GCM com uma chave de encriptação de chaves dedicada).
- Acesso de privilégio mínimo às origens conectadas, limitado aos âmbitos aprovados pelo Responsável pelo Tratamento: apenas de leitura para monitorização; âmbitos de escrita apenas quando o Responsável pelo Tratamento os conceda para a Correção Automática, revogáveis a qualquer momento.
- Controlo de acesso baseado em funções dentro da plataforma (proprietário/administrador/visualizador) e isolamento de inquilinos na camada de dados.
- Um registo de auditoria apenas de adição das ações na plataforma.
- Gestão de vulnerabilidades e aplicação atempada de correções às dependências da plataforma.
7. Subsubcontratantes
O Responsável pelo Tratamento concede autorização geral para os subsubcontratantes enumerados na Política de Privacidade (Anthropic, Resend, PayPal, RunPod e Cloudflare). O Subcontratante impõe a cada subsubcontratante obrigações de proteção de dados não menos protetoras do que as do presente DPA e mantém-se plenamente responsável pelo seu desempenho. O Subcontratante informa o Responsável pelo Tratamento antes de adicionar ou substituir um subsubcontratante; o Responsável pelo Tratamento pode opor-se com fundamentos razoáveis de proteção de dados, caso em que as partes procurarão uma solução e, na sua falta, o Responsável pelo Tratamento pode rescindir o serviço afetado e receber um reembolso proporcional das taxas pré-pagas.
8. Assistência com os direitos dos titulares dos dados
Tendo em conta a natureza do tratamento, o Subcontratante presta assistência ao Responsável pelo Tratamento na resposta aos pedidos dos titulares dos dados, incluindo através das ferramentas de exportação e eliminação de autosserviço da plataforma, e reencaminha para o Responsável pelo Tratamento, sem demora indevida, qualquer pedido que receba diretamente.
9. Violação de dados pessoais
O Subcontratante notifica o Responsável pelo Tratamento, sem demora indevida e, em qualquer caso, no prazo de 48 horas, após tomar conhecimento de uma violação de dados pessoais que afete os Dados de Origem do Cliente, fornecendo as informações razoavelmente necessárias para as obrigações do Responsável pelo Tratamento nos termos dos Artigos 33.º a 34.º do GDPR, e coopera na correção.
10. Transferências internacionais
As transferências de dados pessoais do EEE, do Reino Unido ou da Suíça para países sem uma decisão de adequação são regidas pelas Cláusulas Contratuais-Tipo da UE (Módulo 2: responsável pelo tratamento para subcontratante), que são incorporadas neste DPA por referência, juntamente com o Adendo do Reino Unido e as adaptações suíças, conforme aplicável. Israel beneficia de uma decisão de adequação da UE.
11. Auditorias
O Subcontratante disponibiliza as informações razoavelmente necessárias para demonstrar a conformidade com este DPA, incluindo resumos das avaliações de segurança, e permite auditorias pelo Responsável pelo Tratamento ou pelo seu auditor mandatado, no máximo uma vez por ano, mediante pré-aviso de pelo menos 30 dias, durante o horário de expediente, sob confidencialidade, e a expensas do Responsável pelo Tratamento, salvo se a auditoria revelar incumprimento material.
12. Devolução e eliminação
Após a cessação, o Responsável pelo Tratamento pode exportar os Dados de Origem do Cliente e as conclusões através da plataforma durante 30 dias. Posteriormente, o Subcontratante elimina os dados pessoais no prazo de 30 dias, salvo se a conservação for exigida por lei, e confirma a eliminação mediante pedido. As credenciais de origem armazenadas são destruídas imediatamente após a desconexão ou eliminação da conta.
13. Responsabilidade e prevalência
A responsabilidade ao abrigo deste DPA está sujeita às limitações previstas nos Termos de Serviço na medida do permitido pela legislação de proteção de dados. Este DPA substitui quaisquer termos anteriores de tratamento de dados entre as partes.
14. Contacto
Contacto de proteção de dados: [email protected].