Este documento é uma tradução do original em inglês. Em caso de divergência entre as duas versões, prevalece a versão inglesa.

💡 O tratamento de dados é regido pelo Regulamento Geral sobre a Proteção de Dados da União Europeia e é igualmente acessível no sítio web da CNIL

1. Preâmbulo#

O presente acordo aplica-se ao tratamento de dados pessoais efetuado pelo Cliente, na qualidade de Responsável pelo tratamento, e pela Nonli, na qualidade de subcontratante, no contexto da disponibilização de uma solução de análise da audiência do sítio web do cliente, de análise de tendências e de publicação nas redes sociais. O presente acordo constitui um documento autónomo que visa definir as obrigações respetivas das Partes para assegurar o cumprimento da legislação em vigor em matéria de tratamento de dados pessoais e o respeito pela vida privada.

Os Dados Pessoais são utilizados apenas para que o cliente se possa autenticar com autenticação de dois fatores e, assim, utilizar a plataforma. Comprometemo-nos a garantir a confidencialidade dos dados pessoais, a assegurar que as pessoas autorizadas a tratar esses dados pessoais respeitam a confidencialidade ou estão sujeitas a uma obrigação legal de confidencialidade e que recebem a formação necessária em matéria de proteção de dados pessoais.

As Partes comprometem-se a respeitar os princípios do artigo 25.º do Regulamento relativo à «Proteção de dados desde a conceção e por defeito».

Os dados anónimos recolhidos pelo SDK são utilizados apenas por ordem e em benefício do nosso cliente.

A autoavaliação da CNIL relativa ao SDK da Nonli está disponível aqui: Autoavaliação da CNIL - SDK da Nonli.

Comprometemo-nos a não utilizar os dados dos nossos clientes para os nossos próprios fins.

2. Medidas técnicas e organizativas#

Comprometemo-nos a aplicar todas as medidas de segurança especificadas a seguir:

2.1. Subcontratação#

À exceção dos prestadores de alojamento, de e-mail e de alertas internos enumerados na secção «Suporte ao cliente», não subcontratamos qualquer tratamento de dados pessoais; se tal vier a acontecer, informaremos o nosso cliente e asseguraremos a confidencialidade dos dados junto do subcontratante.

Asseguraremos que o subcontratante apresenta as mesmas garantias suficientes quanto à aplicação das medidas técnicas e organizativas exigidas pelo Regulamento.

2.2. Transferência para fora da União Europeia (UE)#

Em caso de transferência de dados pessoais para fora da UE, garantimos o cumprimento das obrigações previstas no CAPÍTULO V «Transferências de dados pessoais para países terceiros ou organizações internacionais» do Regulamento.

A Slack, um prestador enumerado na secção «Suporte ao cliente», pode tratar fora da UE os dados dos alertas que lhe são enviados.

Poderemos fornecer todas as garantias que o nosso cliente tem o direito de exigir para assegurar a conformidade das transferências de dados para fora da UE.

2.3. Direito de informação dos titulares dos dados#

Cabe ao cliente prestar informações às pessoas abrangidas pelas operações de tratamento no momento da recolha dos dados.

2.4. Exercício dos direitos dos titulares dos dados#

Comprometemo-nos a ajudar o nosso cliente a cumprir a sua obrigação de responder aos pedidos dos titulares dos dados para o exercício dos seus direitos: direito de acesso, de retificação, de apagamento e de oposição, direito à limitação do tratamento, direito à portabilidade dos dados, direito de não ficar sujeito a uma decisão individual automatizada (incluindo a definição de perfis). Quando os titulares dos dados apresentam pedidos para exercer os seus direitos, reencaminhamos esses pedidos para o nosso cliente.

2.5. Notificação de violações de dados pessoais#

Notificaremos o nosso cliente por e-mail de qualquer violação de dados pessoais logo que possível após dela termos conhecimento e, em qualquer caso, em prazos que permitam ao nosso cliente cumprir os prazos impostos pelo regulamento geral sobre a proteção de dados. Esta notificação será acompanhada de toda a documentação útil para permitir ao cliente notificar a violação à autoridade de controlo competente e aos titulares dos dados, quando tais notificações sejam exigidas pela Regulamentação sobre Dados Pessoais.

2.6. Encarregado da proteção de dados#

Nos termos do artigo 37.º, não somos obrigados a designar um DPO, uma vez que não somos um organismo público e a nossa atividade não consiste em operações de tratamento de dados pessoais.

2.7. Destino dos Dados Pessoais#

Nos termos do artigo 28.º, n.º 3, alínea g), do Regulamento, no termo da prestação de serviços relativos ao tratamento desses dados, comprometemo-nos a devolver os dados pessoais ao cliente ou a qualquer subcontratante por ele designado — na forma tecnicamente mais adequada, num formato não proprietário, estruturado e consolidado — e a destruir todas as cópias existentes nos nossos sistemas de informação.

2.8. Gestão da conta de cliente/fornecedor#

Este tratamento destina-se à gestão da conta de cliente e de fornecedor de cada uma das Partes, tal como a relação comercial, a gestão administrativa, a faturação, o tratamento de incidentes técnicos e a gestão de reclamações. Este tratamento é efetuado por cada uma das Partes como Responsável pelo tratamento distinto. Este tratamento é necessário para a execução do Contrato; responde igualmente aos interesses legítimos de cada uma das Partes, bem como ao interesse legítimo de cada Parte em disponibilizar meios de comunicação ao seu pessoal.

As pessoas abrangidas por estas operações de tratamento são os trabalhadores de cada parte.

Os Dados Pessoais em causa são os dados de identidade dos Contactos: Apelido – Nome próprio – Número de telefone – E-mail. O prazo de conservação dos dados pessoais acima referidos limita-se a três (3) anos a contar do fim da relação comercial entre as Partes, podendo ser apagados imediatamente se o cliente o solicitar.

2.9. Suporte ao cliente#

Este tratamento destina-se a tratar os pedidos de suporte e os incidentes técnicos comunicados pelos utilizadores da plataforma, a partir do chat integrado na aplicação ou por e-mail. Tal como a gestão da conta de cliente acima descrita, é efetuado pela Nonli como Responsável pelo tratamento. É necessário para a execução do Contrato e responde ao interesse legítimo da Nonli em tratar os pedidos dos seus clientes e em manter a plataforma segura.

As pessoas abrangidas são os utilizadores do cliente que contactam o suporte e as pessoas adicionadas a uma conversa através do seu endereço de e-mail.

Os Dados Pessoais em causa são:

• a identidade do contacto: apelido, nome próprio, endereço de e-mail, número de telefone, empresa, função e idioma;
• o conteúdo das trocas: mensagens, anexos e respostas enviadas por e-mail;
• o contexto da conta apresentado à equipa de suporte: se o endereço de e-mail está confirmado, se a autenticação de dois fatores está ativada, versão da aplicação, página atualmente visualizada e páginas visualizadas recentemente na aplicação;
• dados de ligação: endereço IP, localização aproximada (cidade e país) derivada do endereço IP, fuso horário, navegador, sistema operativo, tipo de dispositivo, tamanho do ecrã e idioma do navegador.

A localização aproximada é calculada nos nossos servidores, sem enviar o endereço IP a terceiros. O endereço IP é acessível apenas à equipa de suporte da Nonli.

Os prazos de conservação são os seguintes:

• o endereço IP é apagado automaticamente trinta (30) dias após a última ligação a partir desse endereço;
• a localização aproximada e os dados do navegador e do dispositivo são conservados com a conversa;
• as conversas e os respetivos anexos são conservados durante três (3) anos a contar do fim da relação comercial entre as Partes e são apagados com a empresa quando esta é eliminada da Nonli.

Um utilizador ou a equipa de suporte pode adicionar participantes a uma conversa introduzindo o respetivo endereço de e-mail. Os participantes têm acesso ao histórico da conversa. Um participante recebe por e-mail as mensagens que não leu no chat, ou todas as mensagens se participar apenas por e-mail. As respostas enviadas por e-mail são adicionadas à conversa. Cada participante pode cancelar a subscrição dos e-mails de uma conversa.

Para este tratamento, a Nonli utiliza os seguintes prestadores:

• OVHcloud: alojamento da base de dados e dos anexos, em França;
• Mailgun: envio e receção dos e-mails relacionados com as conversas, na infraestrutura da Mailgun situada na União Europeia;
• Slack: alerta interno enviado à equipa de suporte no seu canal do Slack, contendo o nome do cliente, o nome da sua empresa, o número da conversa e um excerto da última mensagem (no máximo 280 carateres).

Perguntas e respostas

3. Garantem o cumprimento dos prazos legais de conservação de dados? Prazos de conservação e justificação.#

Sim, comprometemo-nos a cumprir os prazos legais de conservação de dados. Os prazos de conservação dependem do tipo de dados e da finalidade do tratamento. Conservamos os dados pessoais durante o tempo necessário para alcançar as finalidades para as quais foram recolhidos, em conformidade com os requisitos legais e regulamentares aplicáveis. Os prazos de conservação justificam-se pelo cumprimento de obrigações legais e regulamentares, bem como pelos interesses legítimos do nosso cliente.