Acordo de tratamento de dados

1. Partes e razão de ser deste acordo

Este acordo aplica-se entre a organização que utiliza Passavo — a RESPONSÁVEL PELO TRATAMENTO — e Fades Management EOOD, Legis Center, Blvd. 6-ti Septemvri 152, Office 3-8B, 4000 Plovdiv, Bulgária, número de empresa 208607050 — o SUBCONTRATANTE.

O artigo 28.º do RGPD obriga o responsável pelo tratamento a estabelecer por escrito, com cada subcontratante, o que este pode fazer com os dados. Esta página é esse documento.

Faz parte das condições gerais. Se precisar de um modelo próprio para um processo de subsídio ou um concurso público, escreva-nos para info@passavo.eu: nós assinamo-lo.

Quando este acordo e as condições gerais se contradisserem quanto ao tratamento de dados pessoais, prevalece este acordo.

2. Objeto, natureza e finalidade

OBJETO: o tratamento de dados pessoais de visitantes e compradores da organização, na medida do necessário para o funcionamento da plataforma.

NATUREZA DO TRATAMENTO: recolha, conservação, consulta, organização, transmissão para os serviços que a própria organização ligou, e apagamento.

FINALIDADE: a venda de bilhetes, a sua entrega e validação, a caixa no local, a comunicação com o comprador sobre a sua encomenda, e os relatórios à organização. Para nada mais.

Não usamos estes dados para fins próprios. Não criamos perfis com eles, não treinamos nada com eles, não os vendemos e não os usamos para servir outros clientes.

3. Duração

Este acordo entra em vigor assim que a organização começa a utilizar a plataforma e vigora enquanto vigorar o contrato principal.

O que, pela sua natureza, deve continuar a aplicar-se por mais tempo — a confidencialidade e as regras sobre devolução e eliminação — continua a aplicar-se também após o fim.

4. Tipos de dados e titulares

TITULARES: visitantes e compradores da organização, e as pessoas a quem a própria organização dá acesso à sua conta.

TIPOS DE DADOS:

• identificação: nome e endereço de e-mail, e o que mais a organização acrescentar ao seu formulário de encomenda;
• dados da encomenda: que bilhetes, que horário, valor e estado do pagamento;
• dados do bilhete: o número do bilhete, o passe na carteira do telemóvel quando o comprador o escolhe, e o momento da leitura à porta;
• o número de um passe de tarifa social, quando a organização trabalha com a tarifa social;
• dados técnicos: endereço IP e hora nos registos.

NENHUMA CATEGORIA ESPECIAL. A plataforma não se destina a dados sobre saúde, religião, convicções políticas, orientação sexual ou origem étnica, e a organização garante que não os introduz — nem num campo de texto livre nem numa observação a uma encomenda.

Um número de tarifa social não é, por si só, uma categoria especial, mas diz algo sobre a situação financeira de um visitante. Por isso tratamo-lo com o mesmo cuidado: só é visível para quem precisa dele na caixa.

5. Instruções

Tratamos os dados exclusivamente com base em instruções documentadas da organização. Essas instruções consistem em: este acordo, as condições gerais e as definições que a organização faz na sua conta. O que ela aí configura é o que executamos.

Se o direito da União Europeia ou de um Estado-Membro nos obrigar a um tratamento para o qual não há instrução, informamos previamente a organização, salvo se esse direito o proibir.

Se considerarmos que uma instrução viola o RGPD, dizemo-lo, e não a executamos às cegas.

6. Confidencialidade

Só as pessoas que precisam dos dados para fazer o seu trabalho têm acesso a eles. Do nosso lado, é um círculo restrito.

Todas as pessoas com acesso estão sujeitas a sigilo, e essa obrigação mantém-se depois de terminada a colaboração.

O acesso para suporte é feito a pedido da organização e fica registado.

7. Segurança

Tomamos medidas técnicas e organizativas adequadas (art. 32.º do RGPD). Concretamente:

• CIFRAGEM EM TRÂNSITO: todo o tráfego de e para a plataforma passa por TLS. Isso aplica-se também à app de leitura e às ligações com prestadores de pagamentos.
• CIFRAGEM EM REPOUSO: as palavras-passe são guardadas com uma função de hash moderna e lenta. Segredos como as chaves de um prestador de pagamentos estão cifrados na base de dados, com uma chave que não está na base de dados.
• GESTÃO DE ACESSOS POR FUNÇÃO: quem pode ver ou fazer o quê depende da sua função na sua própria organização. Além disso, cada consulta está ligada a essa organização, para que os dados de dois clientes nunca se possam cruzar.
• DIÁRIO APPEND-ONLY: o diário de caixa só pode ser acrescentado. Uma venda registada não pode ser alterada nem apagada depois; um engano é corrigido com uma nova linha que remete para a anterior. Para clientes alemães, cada transação é ainda assinada tecnicamente.
• CÓPIAS DE SEGURANÇA: diárias, guardadas cifradas, e testamos se é possível restaurá-las.
• SEPARAÇÃO DE AMBIENTES: o desenvolvimento e os testes não funcionam com dados reais de clientes.
• ACOMPANHAMENTO: acompanhamos as atualizações do sistema e dos componentes em que assenta, e conservamos os registos durante 90 dias para poder investigar um incidente.

Avaliamos estas medidas regularmente e podemos substituí-las por medidas pelo menos equivalentes.

8. Subcontratantes ulteriores

A organização dá-nos autorização geral para recorrer aos subcontratantes ulteriores abaixo indicados. Com cada um deles foi celebrado um acordo de tratamento de dados que impõe pelo menos as mesmas obrigações que este.

• Contabo GmbH (DE) — servidores e cópias de segurança, num centro de dados na Alemanha
• Wattify B.V. (BE) — o envio e a receção do nosso e-mail
• Mollie B.V. (NL) — pagamentos dos visitantes, diretamente na conta da organização (apenas quando aplicável)
• Stripe Payments Europe Ltd. (IE) — pagamentos dos visitantes, diretamente na conta da organização (apenas quando aplicável)
• Payconiq International S.A. (LU) — pagamentos dos visitantes, diretamente na conta da organização (apenas quando aplicável)
• Apple Inc. (US) — o bilhete como passe no Apple Wallet (apenas quando aplicável)
• Google Ireland Ltd. (IE) — o bilhete como passe no Google Wallet (apenas quando aplicável)
• publiq vzw (BE) — a tarifa social: verificação do número do passe e registo da venda (apenas quando aplicável)
• fiskaly GmbH (DE) — a assinatura legalmente obrigatória do diário de caixa para clientes alemães (apenas quando aplicável)
• Apple Inc. / Google Ireland Ltd. (US/IE) — a distribuição e as atualizações da app de leitura (apenas quando aplicável)

Se quisermos acrescentar ou substituir algum, informamos por e-mail com pelo menos 30 dias de antecedência. Se a organização tiver uma objeção fundamentada, procuramos uma solução em conjunto; se não chegarmos a acordo, ela pode cancelar sem custos com efeito na data em que a alteração entra em vigor.

Perante a organização, continuamos a ser integralmente responsáveis pelo que um subcontratante ulterior faz.

9. Assistência nos pedidos dos titulares

Se um visitante pedir acesso, retificação, apagamento, limitação ou portabilidade dos seus dados, é a organização que decide — ela é a responsável, não nós.

Ajudamo-la com meios técnicos adequados: pesquisar, exportar e apagar os dados de um visitante é algo que ela própria faz no sistema, a partir do endereço de e-mail dele — numa encomenda ou em Definições → Exportar dados. O que ela tem de conservar por lei, como faturas emitidas, mantém-se. Se não for possível, fazemo-lo nós por ela.

Se um pedido desses nos chegar por engano, não lhe respondemos nós. Reencaminhamo-lo para a organização no prazo de cinco dias úteis e informamos o visitante de a quem se deve dirigir.

Esta assistência está incluída no preço da assinatura. Só em caso de um número ou volume excessivo de pedidos podemos cobrar os custos efetivos, e nesse caso avisamos previamente.

10. Assistência nas avaliações de impacto sobre a proteção de dados

Se a organização tiver de fazer uma avaliação de impacto sobre a proteção de dados (art. 35.º do RGPD) ou consultar a sua autoridade de controlo (art. 36.º do RGPD), fornecemos as informações que só nós temos: que dados estão onde, como estão protegidos e quem mais os vê.

Ajudamos também no cumprimento dos artigos 32.º a 36.º do RGPD, na proporção da natureza do tratamento e do que razoavelmente sabemos.

11. Violações de dados

Se detetarmos uma violação de dados pessoais, informamos a organização em causa no prazo de 48 horas após a deteção. Não no prazo de 72 horas: essas 72 horas são o prazo em que ELA tem de informar a sua autoridade de controlo, e só o consegue cumprir se souber por nós mais cedo.

A nossa notificação contém o que sabemos nesse momento: o que aconteceu, que tipos de dados e aproximadamente quantos titulares estão em causa, quais as consequências prováveis e o que fizemos ou vamos fazer. O que ainda não sabemos, dizemo-lo com franqueza e completamos assim que soubermos.

Não notificamos a autoridade de controlo em nome da organização nem informamos nós próprios os seus visitantes: essa decisão é dela. Mas ajudamo-la nisso.

12. Devolução e eliminação no fim

Quando o contrato termina, a organização escolhe: devolução ou eliminação.

• DEVOLUÇÃO: pode exportar ela própria os seus dados num formato de ficheiro corrente: CSV, por lista ou tudo junto num zip, em Definições → Exportar dados. Essa possibilidade fica aberta durante 30 dias após o fim.
• ELIMINAÇÃO: depois disso eliminamos os dados dos sistemas ativos, e das cópias de segurança assim que estas expirarem segundo o calendário normal.

O que temos de conservar por lei — faturas e o diário de caixa assinado de um cliente alemão — mantém-se até ao fim desse prazo, e durante esse período não é usado para mais nada.

Se a organização o pedir, confirmamos a eliminação por escrito.

13. Auditoria

A organização pode verificar se fazemos o que aqui consta. A seu pedido, fornecemos as informações necessárias para demonstrar o cumprimento do artigo 28.º do RGPD.

Se quiser uma auditoria no local ou por um auditor independente, é possível, com um pré-aviso razoável, durante o horário de expediente, no máximo uma vez por ano — e com mais frequência quando houver um motivo concreto, como uma violação de dados.

O auditor não pode ser nosso concorrente e está sujeito a sigilo. Os dados de outros clientes ficam fora da auditoria.

Os custos de uma auditoria ficam a cargo da organização, a menos que dela resulte que estivemos em incumprimento.

14. Alterações

Se a lei mudar, ou se mudar a forma como a plataforma funciona, ajustamos este acordo. Anunciamo-lo por e-mail com pelo menos 30 dias de antecedência.

Se a organização não concordar, pode cancelar com efeito na data em que a alteração entra em vigor, sem custos.

A data da versão no topo indica que versão está a ler. A versão aceite no registo fica guardada junto da organização.