1. Partes e papéis
O cliente é o responsável pelo tratamento dos dados pessoais dos convidados e decide para que e como são tratados. Fortuly Apps, com o número de identificação fiscal [A PREENCHER: NIF] e sede em [A PREENCHER: morada da sede] ([A PREENCHER: país da sede]), é o subcontratante e trata esses dados por conta do cliente.
O acordo é aceite no momento em que o cliente cria a sua organização Pro, e essa aceitação fica registada. Quem pretender uma cópia assinada pode pedi-la para privacy@seatalia.com.
2. Objeto, duração e natureza do tratamento
O objeto é prestar o serviço Seatalia: guardar, organizar, sentar, exportar e mostrar os dados dos convidados (incluindo a página QR e o RSVP). A duração é a da subscrição Pro, mais o tempo necessário para devolver ou apagar os dados.
3. Tipos de dados e titulares
Os titulares são os convidados e acompanhantes dos eventos do cliente, e os utilizadores da sua organização. Os dados tratados podem ser:
- nome próprio, apelido, agregado, grupo e mesa;
- adulto, criança ou bebé e idade ou escalão etário;
- prato, etiquetas de dieta ou alergia e notas de dieta, que podem ser dados de saúde (artigo 9.º);
- email e telefone, se o RSVP os pedir ou se o cliente os introduzir;
- email e nome dos utilizadores da organização.
4. O que o Seatalia se compromete a fazer
Como subcontratante, o Seatalia compromete-se a:
- tratar os dados apenas segundo as instruções documentadas do cliente (este acordo e o uso que faz do serviço) e avisá-lo se considerar que uma instrução viola o RGPD;
- garantir que as pessoas autorizadas a tratar os dados estão vinculadas por confidencialidade;
- aplicar as medidas de segurança do artigo 32.º, descritas mais abaixo;
- só recorrer a outros subcontratantes com a autorização geral do cliente, impondo-lhes obrigações equivalentes. A lista está publicada e avisamos de alterações com 30 dias de antecedência, podendo o cliente opor-se;
- ajudar o cliente a responder aos pedidos dos titulares, com as ferramentas de exportação em CSV e de apagamento do serviço;
- ajudar o cliente a cumprir as obrigações dos artigos 32.º a 36.º (segurança, violações de dados, avaliações de impacto e consulta prévia);
- notificar o cliente de qualquer violação de dados pessoais sem demora injustificada e, sempre que possível, nas 48 horas seguintes a tomarmos conhecimento;
- no fim do serviço, devolver os dados (exportação) ou apagá-los, o que acontece automaticamente 90 dias depois da data de cada evento, sem prejuízo da retenção legal. Os dados apagados desaparecem das cópias de segurança no prazo de 30 dias;
- pôr à disposição do cliente a informação necessária para demonstrar o cumprimento e permitir auditorias razoáveis, com aviso prévio;
- não transferir dados para fora do Espaço Económico Europeu sem garantias adequadas, como as Cláusulas Contratuais-Tipo.
5. O que o cliente se compromete a fazer
O cliente compromete-se a:
- ter uma base legal para tratar os dados dos convidados e informá-los do tratamento;
- introduzir só os dados de que precisa, e registar dietas e alergias apenas se forem necessárias para o catering;
- decidir se ativa a página QR e o RSVP e durante quanto tempo;
- dar as suas instruções por escrito e responder aos titulares dos dados;
- garantir que os seus utilizadores usam o serviço de acordo com os termos.
6. Eventos criados através do link do espaço
Quando um casal cria o seu evento através do link de um espaço, o casal mantém a sua conta e o seu evento. O espaço só tem acesso ao plano depois de o casal aceitar a ligação. Os dados que o espaço recebe passam a ser tratados por ele como responsável pelo tratamento, nos termos deste acordo.
7. Medidas de segurança
Aplicamos, entre outras, as seguintes medidas técnicas e organizativas:
- alojamento na UE e ligação cifrada (TLS);
- cifra em repouso no disco e nas cópias de segurança, e cifra campo a campo das notas de dieta;
- entrada sem palavra-passe, por links de uso único com validade de 15 minutos;
- links de partilha, QR e RSVP com códigos aleatórios longos e limites de pedidos;
- página QR que só mostra o primeiro nome e a mesa, nunca dietas, e sem rastreadores;
- acesso interno aos dados dos convidados apenas a pedido do cliente e com registo;
- cópias de segurança com retenção de 30 dias e registo de erros sem dados pessoais.
8. Responsabilidade
A responsabilidade de cada parte perante os titulares rege-se pelo artigo 82.º do RGPD. Entre as partes, aplicam-se os limites dos termos de utilização, na medida em que a lei o permita.
9. Duração e lei aplicável
Este acordo vigora enquanto o cliente usar o serviço e as obrigações de apagamento e de confidencialidade continuam depois disso. Rege-se por: [A PREENCHER: lei aplicável e tribunal competente].
10. Contacto
Para exercer direitos ou pedir uma cópia assinada: privacy@seatalia.com.