Tradução meramente informativa. Em caso de divergência, prevalece a versão original em inglês, sob a jurisdição da Irlanda (Cuandeoro Limited, CRO 813028).
Acordo de Tratamento de Dados da Veripass
Faz parte dos Termos de Serviço.
1. Partes e papéis. O Cliente é o responsável pelo tratamento. A Cuandeoro Limited t/a Veripass é o subcontratante relativamente aos dados pessoais contidos nos documentos do Cliente e no conteúdo da conta («Dados Pessoais do Cliente»).
2. Objeto, natureza e finalidade. Armazenamento, extração, análise e publicação de dados de passaportes de produto e de bateria, exclusivamente para prestar o Serviço.
3. Duração. A duração da subscrição acrescida do período de eliminação previsto na cláusula 11.
4. Categorias de titulares de dados. Pessoal e utilizadores do Cliente; contactos dos fornecedores, clientes e laboratórios do Cliente mencionados nos documentos carregados.
5. Categorias de dados. Nomes, dados de contacto profissional, cargos, assinaturas e identificadores que constem dos documentos; dados de conta de utilizador. Não se preveem categorias especiais de dados. O Cliente não as carregará.
5A. Obrigações do Cliente. O Cliente assegura que dispõe de um fundamento jurídico para o tratamento e dá instruções lícitas, informa os titulares dos dados conforme exigido e não carrega categorias especiais de dados.
6. Obrigações do subcontratante. A Veripass:
- (a) tratará os dados apenas mediante instruções documentadas do Cliente, incluindo no que respeita a transferências para países terceiros, salvo se for obrigada a fazê-lo por força do direito da União ou do Estado-Membro, caso em que a Veripass informa o Cliente dessa exigência jurídica antes do tratamento, a menos que esse direito o proíba por motivos importantes de interesse público;
- (b) assegurará que as pessoas autorizadas a tratar os dados estão sujeitas a um dever de confidencialidade;
- (c) aplicará as medidas técnicas e organizativas constantes do Anexo 2;
- (d) prestará assistência ao Cliente nos pedidos dos titulares dos dados e nos termos dos Arts. 32-36 GDPR, tendo em conta a natureza do tratamento;
- (e) disponibilizará as informações necessárias para demonstrar o cumprimento;
- (f) informará imediatamente o Cliente se considerar que uma instrução viola a legislação em matéria de proteção de dados.
7. Subcontratantes ulteriores.
- O Cliente concede autorização geral para os subcontratantes ulteriores constantes do Anexo 3.
- A Veripass notifica por correio eletrónico os novos subcontratantes ulteriores com 30 dias de antecedência. O Cliente pode opor-se com fundamento razoável e, se não for acordada uma solução, resolver o contrato sem penalização.
- A Veripass impõe a cada subcontratante ulterior obrigações equivalentes em matéria de proteção de dados e permanece responsável por eles.
8. Transferências internacionais. Os Dados Pessoais do Cliente podem ser tratados nos Estados Unidos pelo prestador de alojamento da Veripass (Cloud Clusters, Inc.) e pela Google (API Gemini, nível pago), ao abrigo das Cláusulas Contratuais-Tipo (Decisão (UE) 2021/914 da Comissão) e, quando aplicável, do Quadro de Privacidade de Dados UE-EUA, com medidas suplementares (cifragem em trânsito e em repouso). Os ficheiros de demonstração são eliminados após 24 horas.
9. Tratamento por IA. Os documentos são tratados pelos prestadores de IA indicados no Anexo 3, ao abrigo de condições que não lhes permitem utilizar os dados do Cliente para treinar os seus modelos. Não utilizamos os documentos nem os dados do Cliente para treinar qualquer modelo de IA.
10. Violações de dados pessoais. A Veripass notifica o Cliente sem demora injustificada e, em qualquer caso, no prazo de 48 horas após ter conhecimento de uma violação que afete Dados Pessoais do Cliente, com as informações exigidas pelo Art. 33(3) GDPR à medida que se tornem disponíveis.
11. Devolução e eliminação. À escolha do Cliente, a Veripass devolve ou elimina os Dados Pessoais do Cliente. No prazo de 60 dias após a cessação, o Cliente pode exportar os seus dados. Depois disso, a Veripass elimina os Dados Pessoais do Cliente no prazo de 30 dias, incluindo as cópias de segurança no respetivo ciclo de rotação (máximo de 35 dias), salvo se o direito da União ou do Estado-Membro exigir a sua conservação.
12. Auditorias. A Veripass permite e contribui para auditorias, incluindo inspeções, realizadas pelo Cliente ou por um auditor independente por este mandatado e sujeito a confidencialidade. As auditorias realizam-se uma vez por cada 12 meses, mediante pré-aviso de 30 dias (com maior frequência após uma violação ou quando uma autoridade de controlo o exija), durante o horário de expediente e a expensas do Cliente. Um questionário escrito precede a auditoria, sempre que seja suficiente.
13. Responsabilidade. Sujeita às limitações previstas nos Termos de Serviço, exceto quando o GDPR não permita a limitação.
14. Precedência. Em caso de conflito, o presente DPA prevalece sobre os Termos em matéria de proteção de dados.
Anexo 1 · Pormenores do tratamento
Conforme as cláusulas 2 a 5.
Anexo 2 · Medidas técnicas e organizativas
- TLS 1.2 ou superior em trânsito; cifragem AES-256 em repouso.
- Acesso baseado em funções, MFA para o pessoal, privilégio mínimo.
- Dados do Cliente logicamente separados por conta.
- Registo de auditoria das validações e publicações.
- Cópias de segurança diárias cifradas, rotação de 35 dias.
- Ficheiros de demonstração eliminados após 24 h.
- Correção de vulnerabilidades críticas no prazo de 7 dias.
- Revisão anual destas medidas.
Anexo 3 · Subcontratantes ulteriores
| Subcontratante ulterior | Finalidade | Localização |
|---|---|---|
| Cloud Clusters, Inc. | Alojamento da aplicação e das páginas de passaporte | Estados Unidos |
| Google (API Gemini, nível pago) | Extração de documentos | Estados Unidos |
| Cloud Clusters, Inc. (servidor de correio próprio, mailcow) | Correio eletrónico | Estados Unidos |
A Stripe trata os dados de faturação da própria Veripass; não trata Dados Pessoais do Cliente provenientes de documentos.