Em linguagem clara
- Quando as suas fontes ligadas contêm dados pessoais, a sua organização é o responsável pelo tratamento e nós somos o subcontratante.
- Tratamos apenas mediante as suas instruções, apenas os metadados e as permissões que a sua aprovação OAuth expõe.
- Cinco subcontratantes, com aviso prévio antes de acrescentarmos um. Notificação de violação no prazo de 48 horas após o conhecimento.
- As Cláusulas Contratuais-Tipo da UE abrangem as transferências internacionais.
- Aquando da cessação, pode exportar tudo e, posteriormente, eliminamo-lo.
1. Partes, âmbito e funções
Este Acordo de Tratamento de Dados ("DPA") faz parte dos Termos de Serviço entre a Enterprise.Systems ("Subcontratante") e a organização cliente ("Responsável pelo Tratamento"). Aplica-se sempre que os Dados de Origem do Cliente tratados na plataforma contenham dados pessoais na aceção do GDPR ou de legislação semelhante. Em caso de conflito relativo ao tratamento de dados pessoais, este DPA prevalece sobre os Termos.
2. Definições
"GDPR" designa o Regulamento (UE) 2016/679. "Dados pessoais", "tratamento", "titular dos dados", "responsável pelo tratamento", "subcontratante" e "autoridade de controlo" têm os significados atribuídos no GDPR. "Dados de Origem do Cliente" tem o significado atribuído nos Termos de Serviço.
3. Detalhes do tratamento
- Objeto — análise da postura de segurança das fontes ligadas do Responsável pelo Tratamento.
- Duração — a vigência do acordo acrescida do período de tolerância para eliminação.
- Natureza e finalidade — enumeração apenas de leitura de recursos, permissões e principais através de âmbitos OAuth aprovados pelo Responsável pelo Tratamento; avaliação face a regras de segurança; geração de constatações e explicações, incluindo análise assistida por IA.
- Categorias de dados pessoais — metadados de recursos (nomes, identificadores, definições de partilha) e identidades de principais (nomes, endereços de email, funções) dos utilizadores, colaboradores e agentes de serviço/IA do Responsável pelo Tratamento. Sem conteúdos de ficheiros; não são procuradas categorias especiais, e quaisquer presentes nos metadados são incidentais.
- Titulares dos dados — os colaboradores, parceiros e partes externas do Responsável pelo Tratamento que detêm permissões nas fontes ligadas.
4. Tratamento mediante instruções
O Subcontratante trata os dados pessoais apenas com base nas instruções documentadas do Responsável pelo Tratamento — as quais consistem nos Termos, no presente DPA e na configuração da plataforma pelo Responsável pelo Tratamento (quais as fontes a ligar, quais os escopos a aprovar, as definições de retenção) — salvo se exigido por lei, caso em que o Subcontratante informa o Responsável pelo Tratamento antes do tratamento, sempre que tal seja legalmente permitido. O Subcontratante informará o Responsável pelo Tratamento se, na sua opinião, uma instrução violar a legislação de proteção de dados.
5. Confidencialidade
As pessoas autorizadas a tratar dados pessoais estão vinculadas a obrigações de confidencialidade contratuais ou legais.
6. Medidas de segurança (Art. 32)
O Subcontratante implementa e mantém medidas técnicas e organizativas adequadas, incluindo:
- Cifragem em trânsito (TLS 1.2+) e cifragem das credenciais de fontes armazenadas em repouso (AES-256-GCM com uma chave de cifragem de chaves dedicada).
- Acesso de apenas leitura e de privilégio mínimo às fontes ligadas, limitado aos escopos OAuth aprovados pelo Responsável pelo Tratamento.
- Controlo de acesso baseado em funções na plataforma (proprietário/administrador/visualizador) e isolamento de inquilinos ao nível dos dados.
- Um registo de auditoria apenas de adição das ações na plataforma.
- Gestão de vulnerabilidades e aplicação atempada de correções às dependências da plataforma.
7. Subsubcontratantes
O Responsável pelo Tratamento concede autorização geral para os subcontratantes enumerados na Política de Privacidade (Anthropic, Cloudflare, RunPod, PayPal e Resend, quando as funcionalidades de email estiverem ativas). O Subcontratante impõe a cada subcontratante obrigações de proteção de dados não menos protetoras do que as previstas neste DPA e mantém-se plenamente responsável pelo seu desempenho. O Subcontratante dá um aviso com pelo menos 14 dias de antecedência antes de acrescentar ou substituir um subcontratante; o Responsável pelo Tratamento pode opor-se por motivos razoáveis de proteção de dados, caso em que as partes procurarão uma solução e, na sua falta, o Responsável pelo Tratamento pode rescindir o serviço afetado e receber um reembolso proporcional das taxas pagas antecipadamente.
8. Assistência no exercício dos direitos dos titulares dos dados
Tendo em conta a natureza do tratamento, o Subcontratante assiste o Responsável pelo Tratamento na resposta a pedidos dos titulares dos dados, incluindo através das ferramentas de autoexportação e eliminação da plataforma, e reencaminha para o Responsável pelo Tratamento, sem demora indevida, qualquer pedido que receba diretamente.
9. Violação de dados pessoais
O Subcontratante notifica o Responsável pelo Tratamento sem demora indevida e, em qualquer caso, no prazo de 48 horas após tomar conhecimento de uma violação de dados pessoais que afete os Dados de Fonte do Cliente, fornecendo as informações razoavelmente necessárias ao cumprimento das obrigações do Responsável pelo Tratamento nos termos dos Artigos 33.º a 34.º do GDPR, e coopera na correção.
10. Transferências internacionais
As transferências de dados pessoais do EEE, do Reino Unido ou da Suíça para países sem uma decisão de adequação são regidas pelas Cláusulas Contratuais-Tipo da UE (Módulo 2: responsável pelo tratamento para subcontratante), que são incorporadas no presente DPA por referência, juntamente com o Adendo do Reino Unido e as adaptações suíças, conforme aplicável. Israel beneficia de uma decisão de adequação da UE.
11. Auditorias
O Subcontratante disponibiliza as informações razoavelmente necessárias para demonstrar o cumprimento do presente DPA, incluindo resumos de avaliações de segurança, e permite auditorias pelo Responsável pelo Tratamento ou pelo seu auditor mandatado não mais do que uma vez por ano, mediante pré-aviso de pelo menos 30 dias, durante o horário de expediente, sob confidencialidade e a expensas do Responsável pelo Tratamento, salvo se a auditoria revelar incumprimento material.
12. Devolução e eliminação
Após a cessação, o Responsável pelo Tratamento pode exportar os Dados de Origem do Cliente e as conclusões através da plataforma durante 30 dias. Posteriormente, o Subcontratante elimina os dados pessoais no prazo de 30 dias, salvo se a conservação for exigida por lei, e confirma a eliminação mediante pedido. As credenciais de origem armazenadas são destruídas imediatamente após a desconexão ou a eliminação da conta.
13. Responsabilidade e precedência
A responsabilidade ao abrigo deste DPA está sujeita às limitações previstas nos Termos de Serviço, na medida do permitido pela legislação de proteção de dados. Este DPA substitui quaisquer termos anteriores de tratamento de dados entre as partes.
14. Contacto
Contacto para proteção de dados: [email protected].