Acordo de tratamento de dados
Este acordo abrange os dados pessoais que uma equipa coloca no Subsigno — os nomes das suas pessoas, os e-mails profissionais, os dados de funções, as assinaturas guardadas, as fotografias, os logótipos e os banners. Quanto a esses dados, a equipa é a responsável pelo tratamento e o Subsigno é o subcontratante. Faz parte dos Termos e é aceite ao utilizar contas de equipa.
Rascunho — em revisão jurídica, não é aconselhamento jurídico. Pode mudar antes de produzir efeitos.
Quem é quem
O Cliente é a equipa, através de quem for proprietário dela. O subcontratante é Ruben José Dos Santos Marques (RJDSM), o empresário em nome individual que opera o Subsigno como marca da Solvetus; o aviso legal tem a identificação completa. Quanto aos dados de início de sessão de proprietários e membros, e ao registo de segurança, o Subsigno decide ele próprio as finalidades e é responsável pelo tratamento por direito próprio, como explica a página de Privacidade.
O que é tratado, e durante quanto tempo
Objeto: fornecer contas de equipa, imagens alojadas e ligações permanentes, e assinaturas de equipa guardadas. Titulares dos dados: os proprietários e membros do Cliente e os utilizadores das suas caixas partilhadas. Dados: nomes, e-mails profissionais, cargos, departamentos, números de telefone, dados da empresa, ligações sociais, fotografias, logótipos, banners e conteúdo das assinaturas, e ainda dados de início de sessão. Não se pretende tratar categorias especiais de dados, e o Cliente não deve colocar nenhuma. Duração: enquanto a equipa existir, e depois apenas o tempo que a página de Privacidade indica em “Durante quanto tempo guardamos os dados”.
Instruções e confidencialidade
O Subsigno só trata os dados para prestar o serviço e segundo instruções documentadas do Cliente — as ações dos proprietários nas páginas da conta, e os Termos. Avisa o Cliente se uma instrução parecer violar a lei de proteção de dados. Todos os que podem aceder aos dados estão obrigados a confidencialidade.
Segurança
O Subsigno aplica medidas adequadas ao risco, entre elas: cifragem em trânsito (HTTPS com HSTS) e das cópias de segurança; início de sessão sem palavras-passe, com uma chave de acesso como segundo passo para os proprietários; a área do operador atrás do Cloudflare Access; identificadores aleatórios; resumos unidirecionais com chave para os códigos de início de sessão e os contadores; imagens reescritas para eliminar metadados incorporados; limites de pedidos; nenhum registo dos pedidos das imagens alojadas; uma cópia de segurança cifrada fora do local, restaurada em teste todos os trimestres; e um procedimento escrito para violações de dados pessoais.
Subcontratantes ulteriores
O Cliente aceita estes subcontratantes ulteriores: a Cloudflare (alojamento, a base de dados D1, o armazenamento de imagens R2 na jurisdição da UE, DNS e cache); a Microsoft (entrega dos e-mails de início de sessão e de aviso através do Microsoft 365); a OVH (cópias de segurança cifradas, em França). O Subsigno continua responsável por eles e vincula cada um a condições de proteção de dados. Avisa os proprietários por e-mail 30 dias antes de acrescentar ou substituir um; um proprietário que se oponha pode descarregar os dados da equipa e eliminá-la antes de a alteração produzir efeitos.
Transferências para fora do EEE
A Cloudflare e a Microsoft são empresas dos EUA. Quando os dados lhes chegam fora do Espaço Económico Europeu, a transferência baseia-se no Quadro de Privacidade de Dados UE–EUA ou nas cláusulas contratuais-tipo da Comissão Europeia.
Ajudar o Cliente
Os proprietários podem descarregar os dados da equipa (página Resumo) e eliminá-la por si próprios (página Zona de perigo), e cada pessoa pode descarregar os seus dados (página Perfil) e eliminar a sua conta (página Eliminar a minha conta). Para tudo o resto — um pedido de um titular dos dados, uma avaliação de impacto, uma pergunta de uma autoridade — escreva para privacy(at)subsigno.com e o Subsigno ajuda num prazo razoável.
Violações de dados pessoais
Se o Subsigno tiver conhecimento de uma violação de dados pessoais que afete os dados da equipa, informa os proprietários da equipa sem demora injustificada, com o que souber: a natureza da violação, os dados e as pessoas em causa, as consequências prováveis e o que está a fazer a esse respeito.
Eliminação e devolução
A qualquer momento os proprietários podem descarregar os dados da equipa e pedir a sua eliminação. Passada a janela de 30 dias, os dados são apagados; as cópias de segurança e a janela de reposição da base de dados expiram segundo o calendário da página de Privacidade. Só se guardam para sempre identificadores aleatórios e uma data, que não contêm dados pessoais.
Auditorias
O Subsigno dá ao Cliente a informação necessária para demonstrar que cumpre este acordo e permite uma auditoria do Cliente ou do seu auditor, com 30 dias de aviso, no máximo uma vez por ano, a expensas do Cliente e sem acesso aos dados de outros clientes.
Aceitação e alterações
Uma equipa aceita este acordo ao utilizar contas de equipa, como dizem os Termos. O Subsigno pode alterá-lo avisando os proprietários com 30 dias de antecedência.