Adenda de Tratamento de Dados, em linguagem clara.

01Funções e âmbito

Esta Adenda de Tratamento de Dados («Adenda» ou «DPA») faz parte do acordo entre si («Responsável pelo tratamento») e a Purple SaaS, LLC (DBA SureForm), 30 N Gould St Ste R, Sheridan, WY 82801, EUA («Subcontratante», «nós») relativo ao seu uso do criador de formulários e dos formulários alojados da SureForm (o «Serviço»).

Aplica-se quando tratamos dados pessoais por sua conta ao abrigo do Regulamento Geral sobre a Proteção de Dados (RGPD), do RGPD do Reino Unido, da LPD suíça ou de legislação equivalente. Existem duas relações distintas, e importa saber qual está a ler:

• Dados de resposta: você é o responsável, nós somos o subcontratante. As respostas que as pessoas enviam através dos seus formulários. É você quem decide o que é recolhido e para quê; nós apenas os tratamos para lhe prestar o Serviço. Esta Adenda rege esses dados.
• Dados da conta: o responsável somos nós. O seu nome, email, dados de faturação e utilização do produto. Esse tratamento rege-se pela nossa Política de Privacidade, não por esta Adenda.

Não é necessária assinatura: esta Adenda produz efeitos quando aceita os Termos de Serviço e mantém-se em vigor enquanto tratarmos dados de resposta por sua conta.

02As suas instruções

Tratamos dados de resposta apenas de acordo com as suas instruções documentadas. As suas instruções são: esta Adenda, os Termos de Serviço e as escolhas que faz no produto — os campos que adiciona a um formulário, as integrações que ativa, a retenção que configura, as pessoas que convida para o seu espaço de trabalho.

Não vendemos os dados de resposta, não os usamos para treinar modelos, não os usamos para publicidade nem os usamos para fins próprios de todo. Se alguma vez considerarmos que uma instrução sua viola a legislação de proteção de dados aplicável, informá-lo-emos prontamente e poderemos suspender esse tratamento em vez de o executar.

É da sua responsabilidade dispor de fundamento legal para recolher o que os seus formulários recolhem, as informações e o consentimento que apresenta a quem responde, e não colocar num formulário categorias de dados que as suas próprias obrigações de conformidade não permitam.

03Confidencialidade e pessoal

Todas as pessoas que podem aceder a dados de resposta estão vinculadas por obrigações escritas de confidencialidade que subsistem após o fim da relação. O acesso é concedido segundo os princípios do privilégio mínimo e da necessidade de conhecer, está associado a uma pessoa identificada e é revogado quando deixa de ser necessário.

Não lemos as respostas aos seus formulários. O acesso do pessoal a dados de produção ocorre apenas quando estritamente necessário — por exemplo, para resolver um pedido de apoio que tenha aberto ou para investigar um incidente — e fica registado.

04Medidas de segurança

Implementamos e mantemos medidas técnicas e organizativas adequadas nos termos do artigo 32.º do RGPD, tendo em conta o estado da técnica, os custos de aplicação e o risco para os titulares. As medidas em vigor estão descritas no Anexo B.

Podemos atualizar essas medidas à medida que a tecnologia evolui, desde que não reduzamos materialmente o nível global de proteção.

05Subcontratantes

Concede-nos uma autorização geral por escrito para recorrer a subcontratantes que nos ajudem a prestar o Serviço. Os nossos subcontratantes atuais estão publicados em sureform.io/pt/subprocessors.

• Todos os subcontratantes estão vinculados por contrato escrito que impõe obrigações de proteção de dados não menos protetoras do que as desta Adenda.
• Continuamos plenamente responsáveis perante si pelo cumprimento das obrigações de cada subcontratante.
• Damos um pré-aviso de pelo menos 30 dias antes de acrescentar ou substituir um subcontratante. Subscreva as notificações na página de subcontratantes para as receber.
• Se se opuser de forma razoável por motivos de proteção de dados dentro desses 30 dias, escreva-nos para [email protected]. Procuraremos consigo uma alternativa razoável; se não existir, poderá rescindir a parte afetada do Serviço e receber o reembolso proporcional das quantias pagas e não utilizadas.

06Pedidos dos titulares

O Serviço disponibiliza-lhe ferramentas de autoatendimento para pesquisar, exportar, corrigir e eliminar respostas individuais, o que resolverá a maioria dos pedidos sem nos envolver.

Se uma pessoa que respondeu nos contactar diretamente sobre dados dos seus formulários, não responderemos em seu nome: encaminhá-la-emos para si e informá-lo-emos prontamente. Quando não conseguir resolver um pedido com as ferramentas integradas, prestaremos assistência razoável, tendo em conta a natureza do tratamento e a informação de que dispomos.

07Notificação de violações

Se tomarmos conhecimento de uma violação de dados pessoais que afete dados de resposta que tratamos por sua conta, notificá-lo-emos sem demora injustificada e, em qualquer caso, no prazo de 72 horas após a confirmação, para o contacto administrativo da sua conta.

A notificação descreverá, na medida do que soubermos nesse momento: a natureza da violação, as categorias e o número aproximado de registos afetados, as consequências prováveis e as medidas tomadas ou propostas. Mantê-lo-emos informado à medida que a investigação avança e ajudá-lo-emos com os seus próprios deveres de notificação às autoridades de controlo e aos titulares. Não adiaremos a comunicação pelo facto de a nossa investigação estar incompleta.

08Transferências internacionais

Estamos estabelecidos nos Estados Unidos, pelo que tratar dados de resposta por sua conta implica geralmente uma transferência para fora do EEE, do Reino Unido e da Suíça.

• Para transferências a partir do EEE baseamo-nos nas Cláusulas Contratuais-Tipo da Comissão Europeia (Decisão 2021/914), Módulo Dois (responsável para subcontratante), que são incorporadas nesta Adenda por referência e produzem efeitos automaticamente quando aplicáveis.
• Para o Reino Unido aplica-se o UK International Data Transfer Addendum a essas cláusulas.
• Para a Suíça, as cláusulas aplicam-se com as adaptações exigidas pela LPD, sendo o Comissário Federal Suíço da Proteção de Dados e da Transparência a autoridade de controlo.

Quando as cláusulas exigem uma escolha, o docking é permitido, a lei aplicável e o foro seguem os valores predefinidos das cláusulas para a jurisdição exportadora, e os Anexos I e II das cláusulas são preenchidos pelo Anexo A e pelo Anexo B desta Adenda. Realizamos avaliações de impacto das transferências quando necessário e informá-lo-emos se ficarmos legalmente impossibilitados de cumprir estes compromissos.

09Auditorias e assistência

Mediante pedido, disponibilizaremos a informação razoavelmente necessária para demonstrar a nossa conformidade com o artigo 28.º do RGPD — normalmente fornecendo a nossa documentação de segurança atual e respondendo a um questionário de segurança.

Se isso for genuinamente insuficiente para a sua autoridade de controlo ou para as suas próprias obrigações de conformidade, poderá auditar-nos (ou nomear um auditor independente que não seja nosso concorrente e que assine um acordo de confidencialidade) no máximo uma vez em cada 12 meses, com pré-aviso escrito de pelo menos 30 dias, em horário laboral e sem perturbação irrazoável do Serviço. Os custos da auditoria são suportados por si, salvo se esta revelar um incumprimento material desta Adenda. Ajudá-lo-emos ainda com avaliações de impacto sobre a proteção de dados e consultas prévias nos termos dos artigos 35.º e 36.º quando o seu uso do Serviço as tornar necessárias.

10Devolução e eliminação

Pode exportar os dados de resposta a qualquer momento enquanto a sua conta estiver aberta. Ao encerrar a conta, dispõe de 30 dias para os exportar antes de os eliminarmos dos sistemas ativos; as cópias de segurança cifradas expiram segundo o seu ciclo documentado, e os dados nelas contidos permanecem sujeitos a esta Adenda até lá.

Eliminaremos mais cedo mediante o seu pedido escrito, salvo se a lei aplicável nos obrigar a conservar algo — caso em que lhe diremos o quê e porquê, e continuaremos a tratá-lo apenas para essa finalidade.

11Responsabilidade e prevalência

A responsabilidade de cada parte ao abrigo desta Adenda está sujeita às limitações e exclusões dos Termos de Serviço, exceto quando a legislação de proteção de dados aplicável não o permitir.

Se esta Adenda entrar em conflito com os Termos de Serviço numa questão de tratamento de dados, prevalece esta Adenda. Se esta Adenda entrar em conflito com as Cláusulas Contratuais-Tipo, prevalecem as Cláusulas.

12Anexo A — Detalhes do tratamento

Este Anexo preenche o Anexo I das Cláusulas Contratuais-Tipo.

• Exportador: você, o cliente, na qualidade de responsável pelos dados de resposta.
• Importador: Purple SaaS, LLC (DBA SureForm), na qualidade de subcontratante.
• Objeto: prestação do criador de formulários e dos formulários alojados da SureForm.
• Duração: a vigência da sua subscrição, mais o prazo de eliminação da secção 10.
• Natureza e finalidade: recolher, armazenar, organizar, transmitir, apresentar e eliminar respostas de formulários para que possa criar formulários, receber submissões e analisar resultados.
• Categorias de titulares: as pessoas que submetem os seus formulários — determinadas inteiramente por si. Tipicamente clientes, colaboradores, candidatos, participantes em eventos, participantes em inquéritos ou visitantes de sites.
• Categorias de dados pessoais: determinadas inteiramente por si através dos campos que cria. Habitualmente nome, endereço de email, telefone, morada, respostas de texto livre, ficheiros carregados e metadados técnicos como endereço IP, data e hora e user agent captados com uma submissão.
• Categorias especiais de dados: não são solicitadas por nós nem exigidas pelo Serviço. Pode configurar formulários que as recolham (por exemplo, dados de saúde), caso em que é responsável pelas salvaguardas adicionais e pelo fundamento legal exigidos pelo artigo 9.º
• Frequência: contínua, enquanto os seus formulários estiverem ativos.
• Autoridade de controlo competente: a do seu estabelecimento no EEE, ou a do Estado-Membro onde o seu representante esteja estabelecido.

13Anexo B — Medidas de segurança

Este Anexo preenche o Anexo II das Cláusulas Contratuais-Tipo.

• Cifragem em trânsito: TLS 1.2 ou superior em todas as ligações, HSTS aplicado e apenas conjuntos de cifras modernos.
• Cifragem em repouso: dados de resposta e cópias de segurança cifrados em repouso com AES-256 ou equivalente.
• Controlo de acessos: acesso baseado em funções e privilégio mínimo; contas individuais nominativas; autenticação multifator obrigatória para acesso administrativo; acessos revistos e revogados prontamente em caso de mudança de função ou saída.
• Isolamento entre clientes: separação lógica dos dados de cada espaço de trabalho, aplicada na camada aplicacional em cada pedido.
• Segurança de rede: infraestrutura protegida por firewall, sem acesso público direto às bases de dados, cabeçalhos HTTP de segurança reforçados e uma política estrita de segurança de conteúdos nas nossas propriedades web.
• Segurança aplicacional: proteção CSRF, validação de entradas e codificação de saídas, monitorização de dependências e revisão de segurança das alterações antes do lançamento.
• Registo e monitorização: eventos administrativos e de autenticação registados, conservados e monitorizados para deteção de anomalias.
• Cópias de segurança e resiliência: cópias automáticas cifradas com testes periódicos de restauro e objetivos de recuperação documentados.
• Gestão de vulnerabilidades: canal de divulgação em [email protected], correção priorizada e aplicação rápida de patches a dependências e infraestrutura.
• Pessoal: obrigações escritas de confidencialidade e requisitos de sensibilização para a segurança para todos os que têm acesso a produção.
• Garantias sobre subcontratantes: diligência prévia antes da contratação e transmissão contratual destas obrigações.
• Eliminação: rotinas de eliminação documentadas no encerramento da conta e mediante pedido, conforme descrito na secção 10.

14Contacto e assinatura

Esta Adenda já está em vigor: não precisa de a assinar. Se o seu processo de compras ou de conformidade exigir uma cópia assinada em papel, escreva para [email protected] indicando a denominação da sua entidade legal e a sede social e devolvê-la-emos assinada.

Questões de privacidade: [email protected]. Comunicações de segurança: [email protected]. Notificações legais: Purple SaaS, LLC (DBA SureForm), Attn: Legal, 30 N Gould St Ste R, Sheridan, WY 82801, EUA.