Acordo de Processamento de Dados

1. Introdução e Âmbito

Este Acordo de Processamento de Dados ("DPA") faz parte do Acordo de Serviço entre a TR7 Ltd ("TR7", o "Subcontratante") e o cliente ("Cliente", o "Responsável pelo tratamento"). Este DPA estabelece os termos ao abrigo dos quais a TR7 processa dados pessoais em nome do Cliente em conformidade com o Regulamento Geral de Proteção de Dados do Reino Unido (UK GDPR), o Regulamento Geral de Proteção de Dados da União Europeia (EU GDPR 2016/679) e a Data Protection Act 2018.

2. Definições

Neste DPA, os termos "dados pessoais", "titular dos dados", "tratamento", "responsável pelo tratamento", "subcontratante", "subcontratante ulterior" e "autoridade de controlo" terão os significados que lhes são atribuídos no UK GDPR e no EU GDPR. "Leis de Proteção de Dados" designa o UK GDPR, o EU GDPR, a Data Protection Act 2018 e qualquer legislação nacional de aplicação aplicável, conforme alterada periodicamente.

3. Funções e Responsabilidades

O Cliente atua como Responsável pelo tratamento e determina as finalidades e os meios de tratamento de dados pessoais. A TR7 atua como Subcontratante e processa dados pessoais exclusivamente em nome e de acordo com as instruções documentadas do Cliente. A TR7 não processará dados pessoais para qualquer finalidade que não a instruída pelo Cliente, a menos que tal seja exigido pela legislação aplicável, caso em que a TR7 informará o Cliente antes do tratamento (salvo se proibido por lei).

4. Categorias de Dados

As seguintes categorias de dados pessoais podem ser processadas ao abrigo deste DPA:

Titulares dos dados: Funcionários, contratados, utilizadores finais e contactos autorizados do Cliente.

Categorias de Dados Pessoais:
• Informações de contacto (nome, endereço de e-mail, número de telefone, cargo)
• Credenciais de conta (nomes de utilizador, palavras-passe encriptadas)
• Registos de acesso ao sistema e endereços IP
• Comunicações de suporte técnico e conteúdo de tickets
• Metadados de configuração associados a utilizadores identificados

Categorias Especiais: A TR7 não processa intencionalmente categorias especiais de dados pessoais (por exemplo, dados de saúde, dados biométricos). O Cliente não deve submeter dados de categorias especiais à TR7 sem acordo prévio por escrito.

5. Finalidade e Duração do Tratamento

A TR7 processa dados pessoais exclusivamente para as seguintes finalidades:

• Fornecimento e operação do Software TR7 e serviços relacionados
• Prestação de suporte técnico e serviços profissionais
• Gestão de contas de utilizador e controlos de acesso
• Geração de análises de utilização e relatórios de desempenho (anonimizados sempre que possível)
• Cumprimento de obrigações legais e regulamentares

O tratamento continuará durante a vigência do Acordo de Serviço e cessará após a sua cessação, sujeito à Secção 10 (Retenção e Eliminação de Dados).

6. Medidas de Segurança

A TR7 implementa e mantém medidas técnicas e organizativas adequadas para proteger dados pessoais, incluindo, mas não se limitando a:

• Encriptação: Os dados em trânsito são encriptados usando TLS 1.2 ou superior. Os dados em repouso são encriptados usando AES-256 ou equivalente.
• Controlo de Acesso: Controlo de acesso baseado em funções (RBAC) com princípios de privilégio mínimo. Autenticação multifator (MFA) para todo o pessoal da TR7 que acede a dados do Cliente.
• Segurança de Rede: Proteção por firewall, sistemas de deteção de intrusões e segmentação de rede para isolar os ambientes do Cliente.
• Monitorização: Monitorização contínua de segurança, análise de registos e alertas automatizados para atividades suspeitas.
• Pessoal: Todo o pessoal da TR7 com acesso a dados pessoais está sujeito a obrigações de confidencialidade e recebe formação regular em proteção de dados.
• Segurança Física: Os centros de dados utilizados pela TR7 mantêm controlos de segurança física padrão da indústria, incluindo vigilância 24/7, acesso biométrico e controlos ambientais.
• Resposta a Incidentes: Procedimentos documentados de resposta a incidentes com funções definidas, protocolos de comunicação e processos de revisão pós-incidente.
• Continuidade de Negócio: Cópias de segurança regulares, procedimentos de recuperação de desastres e medidas de redundância para garantir a disponibilidade dos dados.

7. Subcontratantes Ulteriores

O Cliente concede autorização escrita geral para que a TR7 contrate subcontratantes ulteriores para o tratamento de dados pessoais, sujeito às seguintes condições:

• A TR7 manterá uma lista dos subcontratantes ulteriores atuais, disponível mediante pedido.
• A TR7 notificará o Cliente com pelo menos trinta (30) dias de antecedência antes de contratar um novo subcontratante ulterior ou substituir um existente.
• O Cliente pode opor-se a um novo subcontratante ulterior no prazo de catorze (14) dias após a notificação. Se o Cliente se opuser por motivos razoáveis e a TR7 não puder acomodar a objeção, qualquer das partes pode cessar os serviços afetados.
• A TR7 imporá a cada subcontratante ulterior obrigações de proteção de dados não menos rigorosas do que as estabelecidas neste DPA.
• A TR7 permanecerá plenamente responsável pelos atos e omissões dos seus subcontratantes ulteriores.

8. Direitos dos Titulares dos Dados

A TR7 assistirá o Cliente na resposta a pedidos de titulares dos dados que exerçam os seus direitos ao abrigo das Leis de Proteção de Dados, incluindo o direito de acesso, retificação, apagamento, limitação do tratamento, portabilidade dos dados e o direito de oposição. A TR7 notificará prontamente o Cliente se receber diretamente um pedido de um titular dos dados e não responderá a tal pedido sem as instruções prévias por escrito do Cliente, salvo se exigido por lei.

9. Notificação de Violação de Dados

A TR7 notificará o Cliente sem demora injustificada, e em qualquer caso no prazo de 72 horas, após tomar conhecimento de uma violação de dados pessoais. A notificação incluirá:

• A natureza da violação, incluindo as categorias e o número aproximado de titulares dos dados e registos afetados
• As consequências prováveis da violação
• As medidas tomadas ou propostas para resolver a violação e mitigar os seus efeitos
• Os dados de contacto do ponto de contacto de proteção de dados da TR7

A TR7 cooperará com o Cliente e tomará todas as medidas razoáveis para assistir na investigação, mitigação e remediação da violação.

10. Retenção e Eliminação de Dados

Após a cessação do Acordo de Serviço, a TR7, por opção do Cliente, devolverá todos os dados pessoais ao Cliente ou eliminará de forma segura todos os dados pessoais no prazo de noventa (90) dias, a menos que a retenção seja exigida pela legislação aplicável. A TR7 fornecerá confirmação escrita da eliminação a pedido do Cliente. Quaisquer dados pessoais retidos para fins de conformidade legal continuarão a ser protegidos em conformidade com este DPA.

11. Transferências Internacionais de Dados

A TR7 não transferirá dados pessoais para fora do Reino Unido ou do Espaço Económico Europeu (EEE) sem o consentimento prévio por escrito do Cliente e sem garantir que estão implementadas salvaguardas adequadas, tais como:

• Cláusulas Contratuais-Tipo (CCT) aprovadas pelo Information Commissioner's Office do Reino Unido (ICO) ou pela Comissão Europeia
• Uma decisão de adequação do Secretário de Estado do Reino Unido ou da Comissão Europeia
• Regras Vinculativas para as Empresas aprovadas pela autoridade de controlo competente

A TR7 realizará uma avaliação de impacto da transferência quando necessário e implementará medidas suplementares conforme necessário para garantir um nível essencialmente equivalente de proteção de dados.

12. Auditorias e Inspeções

A TR7 disponibilizará ao Cliente toda a informação necessária para demonstrar a conformidade com este DPA e permitirá e contribuirá para auditorias, incluindo inspeções, realizadas pelo Cliente ou por um auditor independente mandatado pelo Cliente. Tais auditorias serão realizadas com notificação prévia razoável (pelo menos trinta dias), durante o horário normal de expediente, e não interferirão de forma irrazoável com as operações da TR7. O Cliente suportará os custos de qualquer auditoria, a menos que a auditoria revele uma não conformidade material por parte da TR7.

13. Avaliação de Impacto sobre a Proteção de Dados

A TR7 prestará assistência razoável ao Cliente na realização de Avaliações de Impacto sobre a Proteção de Dados (AIPD) quando exigidas pelas Leis de Proteção de Dados, e em qualquer consulta prévia com a autoridade de controlo competente.

14. Responsabilidade

A responsabilidade de cada parte ao abrigo deste DPA estará sujeita às limitações estabelecidas no Acordo de Serviço e no Contrato de Licença de Utilizador Final (EULA). Cada parte será responsável pelos danos causados pelo tratamento que viole as Leis de Proteção de Dados, em conformidade com as disposições de responsabilidade do UK GDPR e do EU GDPR.

15. Contacto

Para questões sobre proteção de dados:

TR7 Ltd
Contacto de Proteção de Dados
EAGLE TOWER, Montpellier Drive, Office Suite 120
Cheltenham GL50 1TA, United Kingdom
Email: privacy@tr7.com

UK Information Commissioner's Office (ICO): ico.org.uk