Acordo de Tratamento de Dados

1. Partes e objeto

Subcontratante: Positive Vibes Unipessoal, Lda., NIF 517193256, Av. Humberto Delgado, Lote 35 – 2975-311 Quinta do Conde, que presta o serviço TrainPack.

Responsável pelo tratamento: a entidade cliente titular do workspace, identificada no contrato de subscrição.

Este acordo regula o tratamento de dados pessoais realizado pela TrainPack por conta do cliente e faz parte integrante dos Termos de Serviço.

2. Repartição de papéis

O cliente é o responsável pelo tratamento dos dados de formadores, formandos, presenças, avaliações e documentos que introduz na aplicação, determinando finalidades e meios.

A TrainPack é subcontratante quanto a esses dados e trata-os exclusivamente por conta do cliente.

A TrainPack é responsável autónoma apenas quanto aos dados da conta do cliente, faturação, suporte, segurança e registos técnicos.

3. Objeto, duração, natureza e finalidade

Objeto: alojamento, processamento e produção documental no âmbito da gestão de ações de formação.

Duração: enquanto vigorar a subscrição, acrescida dos prazos de conservação aplicáveis.

Categorias de titulares: colaboradores do cliente, formadores e formandos.

Categorias de dados: identificação, contactos, habilitações, assiduidade, avaliações e conteúdos documentais.

[A validar] Tratamento de categorias especiais de dados: em princípio não permitido sem acordo escrito prévio.

4. Instruções de tratamento

A TrainPack trata os dados apenas segundo instruções documentadas do cliente, que incluem a utilização normal das funcionalidades da aplicação e este acordo.

Se a lei da União ou de um Estado-Membro impuser um tratamento adicional, a TrainPack informa o cliente antes de o executar, salvo proibição legal.

A TrainPack informa o cliente se considerar que uma instrução viola o RGPD.

5. Confidencialidade

O acesso aos dados é limitado às pessoas que dele necessitem para prestar o serviço, sujeitas a dever de confidencialidade escrito ou legal.

O acesso administrativo aos dados de um workspace é registado em auditoria.

6. Segurança do tratamento

Medidas técnicas e organizativas aplicadas: isolamento por workspace com políticas ao nível da linha, autenticação com verificação de palavras-passe comprometidas, acesso apenas por convite, reautenticação para operações críticas, armazenamento privado com ligações assinadas temporárias, cifra em trânsito e em repouso, registos de auditoria e cópias de segurança diárias.

A lista de medidas pode ser atualizada, desde que o nível de proteção não seja reduzido.

7. Subcontratantes ulteriores

O cliente autoriza de forma geral o recurso aos subcontratantes indicados na página «Subcontratantes».

Alterações a essa lista são comunicadas com pré-aviso de 30 dias, podendo o cliente opor-se com fundamento e, não havendo solução, resolver a subscrição.

A TrainPack impõe a cada subcontratante ulterior obrigações equivalentes às deste acordo e responde pelo cumprimento das mesmas.

8. Incidentes de segurança

A TrainPack notifica o cliente sem demora injustificada, e em regra no prazo de 48 horas após tomar conhecimento de uma violação de dados pessoais que o afete.

A notificação inclui a natureza do incidente, categorias e volume aproximado de dados e titulares, consequências prováveis e medidas adotadas.

A comunicação à autoridade de controlo e aos titulares compete ao cliente, com a colaboração razoável da TrainPack.

9. Pedidos dos titulares

A TrainPack não responde autonomamente a pedidos de titulares relativos a dados tratados por conta do cliente; encaminha-os para o cliente sem demora.

A aplicação disponibiliza funcionalidades de consulta, correção, exportação e eliminação que permitem ao cliente responder aos pedidos.

10. Eliminação ou devolução

Terminada a prestação, o cliente pode exportar os dados durante 30 dias.

Findo esse prazo, os dados são eliminados, salvo obrigação legal de conservação e salvo documentos finais retidos com metadados de rastreabilidade, nos termos da política de conservação.

A eliminação definitiva é executada por um fluxo auditado e irreversível.

11. Auditorias

A TrainPack disponibiliza ao cliente a informação necessária para demonstrar o cumprimento das obrigações do artigo 28.º do RGPD.

[A validar] Condições de auditoria no local: periodicidade máxima anual, pré-aviso de 30 dias, custos e obrigação de confidencialidade: {condicoes_de_auditoria}.

[A validar] Certificações independentes (ISO 27001, SOC 2) não são atualmente detidas nem invocáveis.

12. Transferências internacionais

O alojamento principal dos dados é realizado na União Europeia (Irlanda).

[A validar] Quando algum subcontratante ulterior trate dados fora do Espaço Económico Europeu, a transferência é feita ao abrigo de Cláusulas Contratuais-Tipo e de avaliação de impacto da transferência, a confirmar contrato a contrato.

13. Disposições finais

Em caso de conflito, este acordo prevalece sobre os Termos de Serviço quanto ao tratamento de dados pessoais.

Aplica-se a lei portuguesa e o RGPD.

Texto-modelo pendente de validação por advogado, contabilista certificado e responsável de proteção de dados. Não constitui aconselhamento jurídico.