Acordo de tratamento de dados

1.Partes e âmbito

O presente Acordo de tratamento de dados (o «Acordo de tratamento») é celebrado entre o negócio que tem uma conta Hournook (o «Responsável pelo tratamento», «o utilizador») e Theocharis Panagiotis Siozos (ΣΙΩΖΟΣ ΘΕΟΧΑΡΗΣ ΠΑΝΑΓΙΩΤΗΣ), empresário em nome individual que opera com a designação comercial DevTaskHub.com, Markou Mpotsari 83, 546 44 Thessaloniki, Greece. Número de identificação fiscal (ΑΦΜ) 169481343, Registo Comercial Geral da Grécia (Γ.Ε.ΜΗ.) n.º 186989906000 (o «Subcontratante», «nós»). Faz parte dos Termos de serviço e aplica-se automaticamente, sem necessidade de assinatura separada, sempre que tratamos dados pessoais por sua conta no âmbito da prestação do Hournook.

Termos como «dados pessoais», «tratamento», «responsável pelo tratamento», «subcontratante», «titular dos dados» e «violação de dados pessoais» têm o significado que lhes é atribuído pelo Regulamento (UE) 2016/679 (o «RGPD»). Em caso de conflito entre o presente Acordo de tratamento e os Termos em matéria de proteção de dados, prevalece o presente Acordo de tratamento.

2.Detalhes do tratamento

• Objeto e finalidade: prestar-lhe o Hournook: alojamento da sua página de reservas, receção e gestão de reservas, armazenamento de fichas de clientes, envio de e-mails de marcações em seu nome, estatísticas, exportações e apoio.
• Duração: enquanto utilizar o Hournook e até que os dados sejam eliminados conforme descrito abaixo.
• Natureza do tratamento: recolha através da página de reservas ou dos seus registos, conservação, organização, consulta, apresentação a si e à sua equipa, transmissão por e-mail, exportação e apagamento.
• Titulares dos dados: os seus clientes e potenciais clientes que reservam ou que adiciona; o seu pessoal e os membros da sua equipa.
• Categorias de dados pessoais: nome, endereço de e-mail, número de telefone, detalhes das marcações (serviço, membro do pessoal, data, hora, preço, estado, histórico), mensagens dos clientes, notas que escreve, e nomes e horários do pessoal.
• Categorias especiais: o Hournook não foi concebido para categorias especiais de dados (como dados de saúde). Não as introduzirá, a menos que a lei o permita e tenha assegurado as garantias exigidas; se o fizer, as medidas de segurança do presente Acordo de tratamento também se lhes aplicam.

3.Tratamento apenas mediante as suas instruções

Tratamos os dados pessoais apenas mediante as suas instruções documentadas, que consistem nestes Termos e no presente Acordo de tratamento, bem como nas definições e ações que utiliza no Hournook. Não os utilizamos para fins próprios, não os vendemos nem os combinamos com outros dados, exceto se o direito da UE ou o direito grego nos obrigar a tratá-los; nesse caso, informá-lo-emos previamente, salvo se a lei o proibir.

Informá-lo-emos imediatamente se, na nossa opinião, uma instrução violar o RGPD ou outra legislação de proteção de dados.

4.Confidencialidade

Todas as pessoas autorizadas por nós a aceder aos dados pessoais estão sujeitas a um dever de confidencialidade e só lhes acedem na medida necessária para prestar, proteger ou apoiar o serviço.

5.Medidas de segurança (artigo 32.º)

Aplicamos medidas técnicas e organizativas adequadas, tendo em conta as técnicas mais avançadas, os custos e os riscos. Atualmente incluem:

• Cifragem em trânsito (HTTPS com HSTS; ligações cifradas à base de dados).
• Cifragem em repouso assegurada pelos nossos fornecedores de alojamento e de base de dados.
• Separação lógica dos dados de cada negócio, aplicada em cada pedido, e permissões baseadas em funções para os membros da equipa.
• Hash unidirecional robusto das palavras-passe, cookies de sessão seguros, limitação das tentativas de início de sessão e bloqueio de contas, bem como limitação da frequência de ações sensíveis.
• Uma política de segurança de conteúdos e outros cabeçalhos de segurança em todas as páginas.
• Um registo de auditoria das ações relevantes sobre contas e dados.
• Cópias de segurança mantidas pelo nosso fornecedor de base de dados, que permitem a reposição após um incidente.
• Acesso aos sistemas de produção restrito ao titular do prestador, com autenticação multifator nas contas junto dos fornecedores.
• Minimização dos dados e eliminação automática, conforme previsto na nossa política de privacidade.

Podemos atualizar estas medidas desde que o nível global de segurança não seja reduzido.

6.Subcontratantes ulteriores

Concede-nos uma autorização geral para contratar subcontratantes ulteriores. Os subcontratantes ulteriores que atualmente tratam os dados dos seus clientes são:

Impomos a cada subcontratante ulterior obrigações de proteção de dados equivalentes às do presente Acordo de tratamento e continuamos a ser responsáveis perante si pelo seu cumprimento. Informaremos os titulares de contas por e-mail pelo menos 30 dias antes de acrescentar ou substituir um subcontratante ulterior. Pode opor-se por motivos razoáveis de proteção de dados dentro desse prazo; se não pudermos dar resposta razoável à sua objeção, pode resolver o serviço afetado e receber o reembolso proporcional dos montantes pagos antecipadamente.

7.Transferências internacionais

Quando um subcontratante ulterior trata dados pessoais fora do Espaço Económico Europeu, asseguramos que a transferência cumpre o capítulo V do RGPD, através de uma decisão de adequação (como o Quadro de Privacidade de Dados UE-EUA para prestadores certificados) ou das cláusulas contratuais-tipo da Comissão Europeia, com medidas complementares sempre que necessário.

8.Assistência com pedidos dos titulares dos dados e conformidade

O Hournook permite-lhe responder por si próprio à maioria dos pedidos: consultar, retificar e exportar dados de clientes, apagar um cliente e eliminar o seu negócio. Se recebermos um pedido diretamente de um dos seus clientes, não lhe responderemos nós (exceto para o reencaminhar para si) e transmiti-lo-emos a si sem demora injustificada.

Tendo em conta a natureza do tratamento e a informação ao nosso dispor, prestar-lhe-emos também assistência razoável no cumprimento das suas obrigações em matéria de segurança, notificação de violações, avaliações de impacto sobre a proteção de dados e consulta prévia (artigos 32.º a 36.º do RGPD).

9.Violações de dados pessoais

Notificá-lo-emos sem demora injustificada e, em qualquer caso, no prazo de 48 horas após termos tomado conhecimento de uma violação de dados pessoais que afete os seus dados, por e-mail enviado ao titular da conta. A notificação descreverá, na medida do que for então conhecido, a natureza da violação, as categorias e o número aproximado de titulares dos dados e de registos afetados, as consequências prováveis e as medidas adotadas ou propostas. Tomaremos medidas razoáveis para conter a violação e prestaremos informações adicionais à medida que forem disponibilizadas, para que possa cumprir as suas próprias obrigações de notificação à autoridade de controlo e de comunicação aos titulares dos dados.

10.Eliminação e devolução dos dados

Pode exportar os seus dados a qualquer momento. Quando apaga um cliente, os respetivos dados pessoais são removidos de imediato e ficam apenas registos anónimos de marcações para as suas estatísticas. Quando elimina o seu negócio, todos os respetivos dados são apagados de imediato dos nossos sistemas em produção. Em ambos os casos, os dados são substituídos nas cópias de segurança do nosso fornecedor de base de dados no prazo de 30 dias, salvo se o direito da UE ou o direito grego nos obrigar a conservá-los. Se a sua subscrição terminar sem que elimine o seu negócio, os seus dados continuam à sua disposição até os eliminar.

11.Informações e auditorias

Disponibilizaremos as informações razoavelmente necessárias para demonstrar o cumprimento do artigo 28.º do RGPD e responderemos às suas perguntas escritas sobre o nosso tratamento. Se tal não for suficiente, pode auditar o nosso cumprimento, incluindo através de um auditor independente sujeito a confidencialidade, mediante pré-aviso escrito de pelo menos 30 dias, no máximo uma vez por ano (salvo exigência de uma autoridade de controlo ou após uma violação), durante o horário de expediente e de forma a não comprometer os dados de outros clientes nem a nossa segurança. Cada parte suporta os seus próprios custos.

12.Responsabilidade e vigência

A responsabilidade ao abrigo do presente Acordo de tratamento está sujeita às limitações previstas nos Termos, exceto quando a lei não as permita. O presente Acordo de tratamento cessa automaticamente quando deixarmos de tratar dados pessoais por sua conta; as obrigações de eliminação e de confidencialidade mantêm-se até lá. Rege-se pela mesma lei e pelos mesmos tribunais que os Termos.

13.Contacto

Questões sobre o presente Acordo de tratamento ou pedidos de uma cópia também assinada por nós: devtaskhub@devtaskhub.com.