Acordo de subcontratação RGPD

1. Âmbito de aplicação e objeto do acordo

O presente Acordo de subcontratação RGPD (Adenda de tratamento de dados) constitui parte integrante do contrato entre a Anatole e o Utilizador. Aplica-se às operações de tratamento de dados pessoais efetuadas pela Anatole por conta do Utilizador no âmbito da utilização dos Serviços Anatole.

Este documento constitui o Acordo de subcontratação RGPD integrado nos [Termos e Condições da Anatole](/pt/terms), em conformidade com o artigo 7.3 dos Termos. Formaliza as obrigações respetivas do Utilizador (Responsável pelo tratamento) e da Anatole (Subcontratante) para a proteção dos dados pessoais dos Convidados, em aplicação do artigo 28 do RGPD.

As Partes reconhecem que, para estes tratamentos, o Utilizador é Responsável pelo tratamento e a Anatole atua na qualidade de Subcontratante na aceção da Regulamentação Aplicável em matéria de proteção de dados (RGPD e leis nacionais).

Este Acordo tem por objeto definir as condições em que a Anatole se compromete a tratar os dados pessoais por conta do Utilizador, bem como os direitos e obrigações de cada parte. É celebrado sem assinatura separada, considerando-se a sua aceitação adquirida mediante a aceitação dos Termos e Condições online.

Salvo menção em contrário no presente Acordo, os termos utilizados têm a definição que lhes é dada no RGPD. Em particular, "dados pessoais", "titular dos dados", "tratamento", "Responsável pelo tratamento", "Subcontratante", "violação de dados pessoais" têm o significado que lhes é atribuído pelo artigo 4 do RGPD.

2. Descrição dos tratamentos efetuados pela Anatole

A Anatole está autorizada a tratar por conta do Utilizador os dados pessoais necessários à prestação dos Serviços tal como definidos nos Termos e Condições. As características destes tratamentos são resumidas na tabela seguinte, em conformidade com as exigências do artigo 28 do RGPD:

Observações: As categorias de pessoas em causa por estes tratamentos são principalmente os Convidados designados pelo Utilizador (família, amigos, entes queridos convidados para o casamento). O Utilizador pode também introduzir dados relativos aos seus co-organizadores (ex. dados de contacto de uma testemunha ou membro da família que ajuda na organização) na plataforma – estes dados de utilizadores do Utilizador correspondem geralmente à própria conta de Utilizador e são tratados no âmbito do funcionamento do serviço (ex. gestão de acessos). Por último, os dados próprios do Utilizador (como as suas informações pessoais, os seus identificadores) são tratados pela Anatole na qualidade de Responsável pelo tratamento no âmbito da gestão da relação contratual (cf. Política de Privacidade da Anatole), e não são aqui detalhados porque estão fora do âmbito do presente Acordo.

Fica acordado que se o Utilizador utilizar os Serviços para tratar Dados ou categorias de Dados ou no âmbito de finalidades diferentes das acima descritas, fá-lo por sua conta e risco. A Anatole não poderá ser responsabilizada em caso de incumprimento da regulamentação decorrente de tratamentos não previstos pelas Partes. O Utilizador compromete-se a utilizar a plataforma unicamente para as finalidades para as quais está prevista, em conformidade com os Termos e Condições e a presente tabela.

3. Obrigações do utilizador (responsável pelo tratamento)

Na qualidade de Responsável pelo tratamento, o Utilizador compromete-se a:

• Conformidade e instruções documentadas: Respeitar em todos os pontos a regulamentação aplicável aos dados pessoais (RGPD, leis nacionais) para os tratamentos que efetua através da Anatole. O Utilizador determina as finalidades e meios dos tratamentos confiados à Anatole e garante que as instruções que dá à Anatole estão documentadas, são conformes ao contrato e à regulamentação. Qualquer instrução do Utilizador que exceda o perímetro do Serviço ou seja contrária à regulamentação não será executada pela Anatole. O Utilizador utilizará a plataforma de forma conforme aos documentos contratuais e não instruirá a Anatole para tratar dados em violação das leis.

• Licitude dos dados tratados: Assegurar que os dados pessoais confiados à Anatole foram recolhidos e são tratados pelo Utilizador em conformidade com o RGPD. Isto inclui, sem limitação: a informação prévia das pessoas em causa aquando da recolha dos seus dados, comunicando-lhes todas as menções obrigatórias (identidade do responsável pelo tratamento, finalidade do convite para o casamento, base legal – consentimento ou interesse legítimo, direitos das pessoas, etc.). O Utilizador deve fornecer aos Convidados informação clara, por exemplo através da sua própria política de privacidade ou de um texto fornecido aquando da recolha dos e-mails. Quando a base legal do tratamento for o consentimento (nomeadamente para o envio de e-mails/SMS a particulares), obter um consentimento válido e demonstrável de cada pessoa em causa previamente ao envio de convites. O Utilizador deve poder provar que o Convidado consentiu em receber os convites ou, na falta disso, que o envio se baseia noutra base legal válida (por exemplo, interesse legítimo com direito de oposição respeitado). Ter em conta os direitos de oposição das pessoas (ex.: se um Convidado se opôs a receber solicitações, assegurar que não é mais importado ou convidado). De modo geral, tratar através da Anatole apenas dados adequados, pertinentes e limitados ao que é necessário relativamente às finalidades prosseguidas (princípio da minimização).

• Exatidão e atualização: Zelar pela exatidão dos dados dos Convidados e atualizá-los se necessário. A Anatole fornece ferramentas que permitem ao Utilizador retificar ou eliminar dados; cabe ao Utilizador atender aos eventuais pedidos de retificação das pessoas em causa. A Anatole pode, na medida do possível, ajudar o Utilizador a manter dados exatos segundo as suas instruções.

• Medidas de segurança do Utilizador: Implementar medidas de segurança apropriadas do lado do Utilizador para assegurar a proteção dos dados aquando da sua utilização da plataforma. Por exemplo, o Utilizador deve proteger o acesso à sua conta (palavras-passe fortes, autenticação dupla se disponível), e zelar pela confidencialidade dos dados quando exporta ou descarrega informações da Anatole.

• Utilização conforme da plataforma: Não desviar as funcionalidades da Anatole para recolher ou tratar dados sensíveis ou altamente pessoais sem acordo prévio da Anatole. A plataforma pode conter campos livres (por exemplo, possibilidade para o Utilizador de introduzir uma mensagem personalizada) que não se destinam a conter dados sensíveis (tais como dados de saúde, origem racial, opiniões religiosas, etc.). O Utilizador compromete-se a não introduzir tais dados especiais. A Anatole declina toda a responsabilidade em caso de utilização não conforme destes campos pelo Utilizador.

• Cooperação: Mais genericamente, colaborar de boa-fé com a Anatole para permitir a conformidade do tratamento. Por exemplo, em caso de pedido de auditoria ou de informação (ver secção 4.5), o Utilizador participará dentro do razoável.

O Utilizador reconhece que conserva a total responsabilidade pelos Dados pessoais tratados por sua conta. O Utilizador permanece responsável pela conformidade global do tratamento face às pessoas em causa e às autoridades, no âmbito das suas obrigações enquanto Responsável pelo tratamento. A Anatole assume a sua responsabilidade de Subcontratante em conformidade com o artigo 28 do RGPD, nomeadamente em matéria de segurança, confidencialidade e cooperação. Em caso de violação pelo Utilizador das suas obrigações de Responsável pelo tratamento, as consequências financeiras e jurídicas daí decorrentes são da sua responsabilidade, sem prejuízo da responsabilidade própria da Anatole enquanto Subcontratante.

4. Obrigações da Anatole (subcontratante)

Na qualidade de Subcontratante, a Anatole compromete-se a respeitar as obrigações seguintes, em conformidade com o artigo 28 do RGPD:

4.1. Tratamento conforme às instruções

A Anatole tratará os dados pessoais dos Convidados apenas mediante instrução documentada do Utilizador e com o único fim de fornecer os Serviços tal como definidos no Contrato. Isto inclui as operações técnicas necessárias como o alojamento, o armazenamento, o envio de e-mails/SMS, a formatação dos convites, o acompanhamento das respostas, a gestão da prenda monetária, a manutenção e o apoio.

A Anatole não decidirá sobre as finalidades ou os meios do tratamento fora das instruções do Utilizador. A Anatole abster-se-á nomeadamente de qualquer utilização dos dados para outros fins (marketing próprio, perfilagem, etc.), de qualquer venda ou aluguer dos dados, e de qualquer fusão dos dados dos Convidados com outras bases, salvo obrigação legal em contrário.

Se a Anatole considerar que uma instrução do Utilizador constitui uma violação do RGPD ou de outras disposições aplicáveis, informará prontamente o Utilizador. Do mesmo modo, se a Anatole for obrigada pelo direito da União ou direito nacional a proceder a um tratamento que vá além das instruções (por ex. uma divulgação por ordem judicial), informará o Utilizador antes do tratamento (salvo se a lei o proibir por motivos importantes de interesse público).

4.2. Confidencialidade dos dados

A Anatole garante que os dados pessoais tratados por conta do Utilizador serão mantidos estritamente confidenciais. Para o efeito, a Anatole compromete-se a:

• Divulgar os dados dos Convidados apenas aos membros do seu pessoal, subcontratantes ou prestadores que necessitem de aceder aos mesmos para as necessidades da execução dos Serviços, e unicamente na medida estritamente necessária à sua intervenção.
• Assegurar que estas pessoas autorizadas estão sujeitas a uma obrigação legal ou contratual de confidencialidade. A Anatole integra nos contratos de trabalho ou prestações cláusulas de confidencialidade conformes às exigências do presente Acordo.
• Não copiar, reproduzir ou utilizar os dados dos Convidados para fins diferentes dos previstos pelo Contrato, e não conservar cópias dos dados para além do necessário para o serviço ou para cumprir a lei.
• Zelar para que o seu pessoal que trata os dados esteja formado nas exigências de proteção de dados e sensibilizado para a importância da confidencialidade.

Esta obrigação de confidencialidade perdura mesmo após o fim do contrato.

4.3. Segurança dos tratamentos

A Anatole implementará todas as medidas de segurança técnicas e organizativas apropriadas a fim de garantir um nível de segurança adaptado ao risco, em conformidade com o artigo 32 do RGPD. A Anatole compromete-se a manter um nível de segurança conforme ao estado da arte. Tendo em conta o estado dos conhecimentos, os custos de implementação e a natureza dos dados, a Anatole toma nomeadamente as medidas seguintes:

• Segurança lógica dos dados: Proteção dos servidores e bases de dados contra intrusões (firewalls, sistemas de deteção de intrusões), encriptação das comunicações (ex.: TLS para as interfaces web, SMTP seguro para os e-mails enviados), políticas de controlo de acesso rigorosas (acesso aos dados reservado às pessoas autorizadas mencionadas acima, com autenticação forte). Os dados dos Convidados armazenados nos servidores estão alojados num ambiente seguro que respeita as normas da indústria (centros de dados seguros, vigilância 24/7, etc.).
• Segurança física: Os dados estão alojados através de serviços de alojamento cloud reconhecidos pela sua segurança (ver Subcontratação ulterior abaixo).
• Resiliência e integridade: Cópias de segurança regulares dos dados (backups) para prevenir a perda de dados, testes de integridade, plano de recuperação de atividade em caso de incidente grave, a fim de assegurar a disponibilidade dos dados do Utilizador na medida do possível.
• Testes e auditorias de segurança: A Anatole realiza periodicamente avaliações de segurança da sua plataforma (testes internos, auditorias externas se necessário) para identificar e corrigir as vulnerabilidades. Estes testes são conduzidos de forma confidencial e os resultados podem ser comunicados ao Utilizador mediante pedido legítimo, sob reserva de confidencialidade.

A Anatole compromete-se a notificar o Utilizador de qualquer violação de dados pessoais (incidente de segurança que acarrete acidental ou ilicitamente a destruição, perda, alteração, divulgação não autorizada ou o acesso não autorizado a dados pessoais) de que tenha conhecimento e que diga respeito aos dados do Utilizador. Esta notificação será efetuada nas 24 horas seguintes à descoberta do incidente. A Anatole fornecerá ao Utilizador todas as informações pertinentes sobre a natureza da violação, os dados potencialmente afetados, as consequências prováveis e as medidas corretivas tomadas, a fim de permitir ao Utilizador, se necessário, notificar este incidente à autoridade de proteção de dados competente (CNPD) e/ou às pessoas em causa, em conformidade com os artigos 33 e 34 do RGPD. As Partes cooperarão de boa-fé em caso de incidente para atenuar os seus efeitos.

4.4. Subcontratação ulterior (subprocessadores)

O Utilizador consente expressamente que a Anatole possa recorrer a subcontratantes ulteriores (também designados subcontratantes subordinados ou prestadores terceiros) para realizar atividades de tratamento específicas por conta do Utilizador, no âmbito da prestação do Serviço. Pode tratar-se nomeadamente das categorias seguintes: alojamento cloud, serviços de envio de e-mails e SMS, ferramentas de análises técnicas, correção de dados por IA, etc.

Os subcontratantes atuais a que a Anatole recorre incluem (lista não exaustiva):

• Supabase – Base de dados e Alojamento de ficheiros: A Supabase é o nosso fornecedor de infraestrutura aplicacional. Função: alojamento da base de dados PostgreSQL contendo os dados da Anatole (contas, casamentos, convites, respostas, prenda monetária, etc.), e armazenamento dos ficheiros associados (por ex. fotos do vosso casamento) num espaço dedicado. Localização: União Europeia. Utilizamos os servidores europeus da Supabase (região UE) para que todos os dados e ficheiros estejam alojados exclusivamente na Europa. Os dados armazenados estão encriptados em repouso e só são acessíveis às aplicações Anatole e aos nossos administradores habilitados.

• Vercel – Alojamento front-end: A Vercel é a plataforma de alojamento do front-end da nossa aplicação (site web e interface de utilizador da Anatole). Função: difusão da aplicação web e dos conteúdos estáticos aos utilizadores finais, através de uma rede mundial de difusão (CDN) para um desempenho ótimo. Localização: principalmente nos Estados Unidos (Vercel Inc.), com CDN através do mundo (incluindo servidores na Europa). Garantias de transferência: A Vercel está certificada ao abrigo do EU-US Data Privacy Framework e propõe um Data Processing Addendum standard conforme ao RGPD.

• Bird – Envio de e-mails transacionais: serviço de e-mailing utilizado para encaminhar os e-mails gerados pela Anatole. Função: envio fiável dos e-mails transacionais relacionados com o casamento (ex. convites, confirmações de presença, lembretes, informações sobre a prenda monetária) em nome dos noivos. Localização: principalmente nos Estados Unidos, com infraestruturas redundantes. Garantias de transferência: A Bird propõe um Data Processing Addendum standard conforme às exigências RGPD e garantias contratuais para as transferências internacionais.

• Bird – Envio de SMS transacionais: plataforma utilizada para o envio de SMS (por exemplo os convites ou lembretes por SMS, ou as mensagens de verificação) aos convidados que forneceram um número de telefone. Função: encaminhar os SMS para os operadores telefónicos dos vossos contactos. Localização: A Bird Inc. é uma sociedade americana, mas dispõe de pontos de presença na UE. Garantias de transferência: A Bird dispõe de Binding Corporate Rules (BCR) aprovadas pelas autoridades europeias de proteção de dados e propõe um Data Processing Addendum conforme ao RGPD.

• CookieYes – Consent Management Platform: ferramenta de gestão dos consentimentos de cookies. A CookieYes implementa no nosso site o banner de cookies e regista as escolhas de cada utilizador em matéria de cookies. Função: garantir que os rastreadores não essenciais só são ativados com consentimento, e conservar a prova do consentimento ou recusa do utilizador. Localização: CookieYes Limited é uma sociedade registada no Reino Unido.

• OpenAI – Inteligência artificial: serviço de IA avançada que utilizamos via API para funcionalidades específicas (ex.: correção de dados mal formatados, geração de imagens a pedido). Função: tratamento algorítmico do conteúdo que lhe submetemos a fim de produzir um resultado (ficheiro corrigido ou imagem gerada) devolvido à Anatole. Localização: Estados Unidos (OpenAI, Inc.). Garantias: Em conformidade com as condições de utilização da API OpenAI, os dados que transmitimos não são utilizados pela OpenAI para treinar os seus modelos de IA e são automaticamente eliminados dos seus sistemas num prazo máximo de 30 dias após tratamento.

• OVH – Gestão do nome de domínio e DNS: A OVHcloud é o nosso registador e alojador DNS para o domínio anatole.wedding. Função: gestão técnica do nome de domínio, dos registos DNS e alojamento de certas funções anexas. Localização: França (OVH, sociedade francesa). Dados pessoais: muito poucos dados na realidade – a OVH trata essencialmente dados técnicos (consultas DNS dos visitantes).

A Anatole assegura que todos os seus subcontratantes ulteriores dispõem de mecanismos de transferência validados para os países terceiros (BCR, Cláusulas Contratuais Tipo, decisão de adequação) e que os seus DPA standards respeitam as exigências do artigo 28 do RGPD. A Anatole compromete-se a que cada subcontratante ulterior ofereça garantias suficientes quanto à implementação de medidas técnicas e organizativas apropriadas, de forma a que o tratamento responda às exigências do RGPD e garanta a proteção dos direitos das pessoas em causa. A Anatole celebra com cada um destes subcontratantes um contrato escrito que impõe obrigações de proteção de dados equivalentes às do presente Acordo, nomeadamente em termos de confidencialidade, segurança e notificação das violações.

A Anatole permanece plenamente responsável face ao Utilizador pela execução pelos seus subcontratantes ulteriores das suas obrigações de proteção de dados. A Anatole supervisionará estes subcontratantes e permanecerá o interlocutor único do Utilizador.

Informação e direito de oposição: A Anatole manterá o Utilizador informado de qualquer alteração prevista relativa à adição ou substituição de subcontratantes ulteriores importantes que impliquem um tratamento de dados pessoais do Utilizador. Esta informação será fornecida através de uma notificação (por exemplo, na interface de administrador do Utilizador ou por e-mail) pelo menos 15 dias antes da alteração. O Utilizador dispõe da faculdade de emitir objeções razoáveis e legítimas contra estas alterações neste prazo de 15 dias. Uma objeção deverá ser motivada de boa-fé, por exemplo se o Utilizador estimar que um novo subcontratante apresenta garantias insuficientes de conformidade.

Em caso de objeção não resolvida relativa a um novo subcontratante, a Anatole poderá, à sua escolha, renunciar a contratar esse subcontratante ou propor uma solução alternativa ao Utilizador. Se não for encontrada nenhuma solução aceitável, o Utilizador poderá rescindir o contrato sem penalização devido a esta objeção. Esta rescisão será considerada como legítima e não culposa do lado da Anatole.

5. Destino dos dados no final do contrato

No termo da relação contratual, ou seja, em caso de rescisão ou expiração dos Termos e Condições, o Utilizador dispõe da faculdade de recuperar o conjunto dos dados pessoais tratados por sua conta através da Anatole. A Anatole fornece, mediante pedido do Utilizador, os dados num formato standard legível (por exemplo, exportação CSV das listas de convidados e respostas).

O Utilizador deverá exercer esta opção de restituição antes da data de fim do contrato ou o mais tardar nos 15 dias seguintes. Para além disso, a Anatole procederá à eliminação completa dos dados pessoais do Utilizador ainda em sua posse, segundo o calendário seguinte:

• Eliminação ativa imediata: Imediatamente após o fim do contrato, a Anatole tornará inacessíveis os dados do Utilizador na plataforma (conta desativada). Os dados poderão ser conservados temporariamente nas cópias de segurança dos sistemas.
• Apagamento definitivo: Na ausência de instrução contrária do Utilizador, a Anatole apagará todos os dados pessoais do Utilizador num prazo máximo de 90 dias após a data do casamento ou a rescisão do contrato, consoante o que ocorrer primeiro. Isto inclui a eliminação das bases de dados ativas e a sobrescrita ou encriptação das cópias de segurança que ainda contenham estes dados. Mediante pedido escrito do Utilizador, a Anatole poderá atestar por escrito a destruição efetiva dos dados uma vez realizada.

Se o Utilizador desejar uma restituição de dados antes da eliminação, a Anatole poderá assisti-lo (este serviço pode ser faturado se gerar um custo importante). Em todo o caso, a Anatole não conservará nenhum dado pessoal do Utilizador para além do período mencionado, salvo obrigação legal de conservação mais longa. Por exemplo, a Anatole poderá conservar registos de ligação ou transações contendo acessoriamente dados pessoais se a lei o impuser, mas nesse caso estes dados permanecerão protegidos e arquivados separadamente.

As obrigações da Anatole em matéria de confidencialidade e segurança continuam a aplicar-se enquanto a Anatole conservar os dados.

Em caso de rescisão de urgência (suspensão imediata por incumprimento grave), o Utilizador dispõe de um prazo de 7 dias para recuperar os seus dados através de exportação automatizada desde a sua interface. Decorrido este prazo, aplica-se o procedimento normal de eliminação (prazo de 90 dias máximo segundo as modalidades definidas acima).

6. Contacto e encarregado da proteção de dados

Para qualquer questão ou instrução relativa à proteção dos dados pessoais no âmbito do presente Acordo, o Utilizador pode contactar o referente de proteção de dados da Anatole. Este referente não dispõe do estatuto de DPO na aceção do artigo 37 RGPD. As coordenadas de contacto são indicadas na Política de Privacidade e/ou no site Anatole (ex. um endereço de e-mail dedicado tal como privacy@anatole.wedding).

A Anatole compromete-se a tratar qualquer pedido do Utilizador relativo ao presente Acordo nos melhores prazos.

7. Disposições finais

7.1. Hierarquia dos documentos

O presente Acordo faz parte dos Termos e Condições. Em caso de contradição entre uma disposição dos Termos e Condições e uma disposição do presente Acordo relativa ao tratamento dos dados pessoais, o Acordo prevalecerá. Em caso de conflito entre documentos contratuais e obrigações legais imperativas, estas últimas prevalecem automaticamente. As outras estipulações dos Termos e Condições permanecem plenamente aplicáveis para tudo o que não é tratado no Acordo.

7.2. Duração

As obrigações da Anatole enquanto Subcontratante em virtude do presente Acordo aplicam-se durante toda a duração da prestação de Serviços que implique um tratamento de dados pessoais por conta do Utilizador, e até à eliminação dos dados. As obrigações que por natureza perduram (confidencialidade, assistência, etc.) sobreviverão tanto quanto necessário após o fim do contrato.

7.3. Lei aplicável e jurisdição

O presente Acordo está sujeito à mesma lei que os Termos e Condições (ver artigo 9 dos Termos e Condições). Qualquer litígio relativo à sua execução ou interpretação será resolvido segundo as modalidades de resolução de litígios previstas nos Termos e Condições. Não obstante, em caso de litígio específico sobre a proteção de dados, as Partes cooperarão de boa-fé para encontrar uma solução conforme à regulamentação e, se necessário, consultarão a autoridade de controlo competente (ex. a CNPD) para aconselhamento.

7.4. Integralidade e modificação

Este Acordo constitui o acordo integral das Partes quanto à proteção de dados para os Serviços Anatole. Pode ser complementado ou modificado por um escrito assinado pelas duas Partes (incluindo por consentimento eletrónico explícito). A Anatole reserva-se o direito de propor atualizações deste Acordo em caso de evolução da regulamentação ou dos Serviços, seguindo as mesmas modalidades que a modificação dos Termos e Condições. O Utilizador será informado de qualquer modificação substancial e poderá recusá-la rescindindo o Serviço antes da sua entrada em vigor se lhe for prejudicial.

Em caso de declaração de nulidade de uma cláusula por um tribunal, as partes comprometem-se a negociar de boa-fé a sua substituição por uma cláusula equivalente e lícita.

Ao assinar ou aceitar eletronicamente os Termos e Condições, o Utilizador e a Anatole reconhecem ter lido e compreendido o presente Acordo e comprometem-se a respeitar todas as suas disposições.

KAWLET EURL Capital social: 1.000 € 15 Square Rameau 59000 Lille, França RCS Lille: 993 159 250 SIRET: 99315925000014 E-mail: privacy@anatole.wedding