1. Partes e papéis
O cliente é o controlador dos dados pessoais dos convidados e decide para que e como eles são tratados. Fortuly Apps, com o número de identificação fiscal [A PREENCHER: NIF] e sede em [A PREENCHER: morada da sede] ([A PREENCHER: país da sede]), é o operador e trata esses dados por conta do cliente.
O acordo é aceito no momento em que o cliente cria a sua organização Pro, e essa aceitação fica registrada. Quem quiser uma cópia assinada pode pedi-la para privacy@seatalia.com.
2. Objeto, duração e natureza do tratamento
O objeto é prestar o serviço Seatalia: guardar, organizar, acomodar, exportar e mostrar os dados dos convidados (incluindo a página QR e o RSVP). A duração é a da assinatura Pro, mais o tempo necessário para devolver ou excluir os dados.
3. Tipos de dados e titulares
Os titulares são os convidados e acompanhantes dos eventos do cliente, e os usuários da sua organização. Os dados tratados podem ser:
- nome, sobrenome, grupo familiar, grupo e mesa;
- adulto, criança ou bebê e idade ou faixa etária;
- prato, etiquetas de restrição alimentar ou alergia e notas sobre restrições alimentares, que podem ser dados de saúde (artigo 9º);
- e-mail e telefone, se o RSVP os pedir ou se o cliente os inserir;
- e-mail e nome dos usuários da organização.
4. O que o Seatalia se compromete a fazer
Como operador, o Seatalia se compromete a:
- tratar os dados apenas segundo as instruções documentadas do cliente (este acordo e o uso que ele faz do serviço) e avisá-lo se considerar que uma instrução viola o GDPR;
- garantir que as pessoas autorizadas a tratar os dados estão vinculadas por confidencialidade;
- aplicar as medidas de segurança do artigo 32, descritas mais abaixo;
- só recorrer a outros operadores com a autorização geral do cliente, impondo-lhes obrigações equivalentes. A lista está publicada e avisamos de alterações com 30 dias de antecedência, podendo o cliente se opor;
- ajudar o cliente a responder aos pedidos dos titulares, com as ferramentas de exportação em CSV e de exclusão do serviço;
- ajudar o cliente a cumprir as obrigações dos artigos 32 a 36 (segurança, violações de dados, avaliações de impacto e consulta prévia);
- notificar o cliente de qualquer violação de dados pessoais sem demora injustificada e, sempre que possível, nas 48 horas seguintes a tomarmos conhecimento;
- no fim do serviço, devolver os dados (exportação) ou excluí-los, o que acontece automaticamente 90 dias depois da data de cada evento, sem prejuízo da retenção legal. Os dados excluídos desaparecem das cópias de segurança no prazo de 30 dias;
- colocar à disposição do cliente a informação necessária para demonstrar o cumprimento e permitir auditorias razoáveis, com aviso prévio;
- não transferir dados para fora do Espaço Econômico Europeu sem garantias adequadas, como as Cláusulas Contratuais-Padrão.
5. O que o cliente se compromete a fazer
O cliente se compromete a:
- ter uma base legal para tratar os dados dos convidados e informá-los sobre o tratamento;
- inserir só os dados de que precisa, e registrar restrições alimentares e alergias apenas se forem necessárias para o buffet;
- decidir se ativa a página QR e o RSVP e por quanto tempo;
- dar as suas instruções por escrito e responder aos titulares dos dados;
- garantir que os seus usuários usam o serviço de acordo com os termos.
6. Eventos criados por meio do link do espaço
Quando um casal cria o seu evento por meio do link de um espaço, o casal mantém a sua conta e o seu evento. O espaço só tem acesso ao mapa depois que o casal aceita a ligação. Os dados que o espaço recebe passam a ser tratados por ele como controlador, nos termos deste acordo.
7. Medidas de segurança
Aplicamos, entre outras, as seguintes medidas técnicas e organizacionais:
- hospedagem na UE e conexão criptografada (TLS);
- criptografia em repouso no disco e nas cópias de segurança, e criptografia campo a campo das notas sobre restrições alimentares;
- entrada sem senha, por links de uso único com validade de 15 minutos;
- links de compartilhamento, QR e RSVP com códigos aleatórios longos e limites de pedidos;
- página QR que só mostra o primeiro nome e a mesa, nunca restrições alimentares, e sem rastreadores;
- acesso interno aos dados dos convidados apenas a pedido do cliente e com registro;
- cópias de segurança com retenção de 30 dias e registro de erros sem dados pessoais.
8. Responsabilidade
A responsabilidade de cada parte perante os titulares rege-se pelo artigo 82 do GDPR. Entre as partes, aplicam-se os limites dos termos de uso, na medida em que a lei permitir.
9. Duração e lei aplicável
Este acordo vigora enquanto o cliente usar o serviço e as obrigações de exclusão e de confidencialidade continuam depois disso. É regido por: [A PREENCHER: lei aplicável e tribunal competente].
10. Contato
Para exercer direitos ou pedir uma cópia assinada: privacy@seatalia.com.