Acordo de tratamento de dados

O presente acordo de tratamento de dados («DPA») faz parte das condições gerais da Delyst celebradas entre a E for connection («o subcontratante») e o cliente («o responsável pelo tratamento»). Rege o tratamento dos dados pessoais relativos aos subscritores e aos utilizadores finais do cliente. Os termos iniciados por maiúscula e não definidos neste documento têm o significado que lhes é atribuído pelo Regulamento Geral sobre a Proteção de Dados (RGPD).

1. Objeto e duração

O subcontratante trata os dados pessoais por conta do responsável pelo tratamento, com o único objetivo de fornecer a plataforma de automação de marketing Delyst. O tratamento dura enquanto a conta do responsável pelo tratamento existir, conforme descrito no artigo 9.

2. Categorias de dados e de titulares dos dados

• Titulares dos dados: os subscritores do responsável pelo tratamento e os membros da sua equipa que utilizam o serviço.

• Categorias de dados: endereço de email, número de telefone, nome, campos personalizados definidos pelo responsável pelo tratamento (por exemplo empresa, país, histórico de compras), endereço IP, metadados do dispositivo e do cliente de email, aberturas, cliques, rejeições e cancelamentos de subscrição.

• Categorias especiais: nenhuma tratada por predefinição. O responsável pelo tratamento não deve carregar dados sensíveis (saúde, religião, orientação sexual, etc.) sem acordo escrito separado.

3. Obrigações do subcontratante

• Tratar os dados pessoais apenas mediante instruções documentadas do responsável pelo tratamento.

• Assegurar que as pessoas autorizadas a tratar os dados estão vinculadas à confidencialidade.

• Aplicar as medidas técnicas e organizativas adequadas (ver o artigo 6 e a política de privacidade).

• Ajudar o responsável pelo tratamento a responder aos pedidos dos titulares dos dados e a cumprir as suas obrigações nos termos dos artigos 32 a 36 do RGPD.

• Notificar o responsável pelo tratamento de qualquer violação de dados pessoais sem demora injustificada e, em qualquer caso, no prazo de 48 horas após ter tido conhecimento da mesma.

4. Subcontratantes ulteriores

O responsável pelo tratamento autoriza o subcontratante a recorrer aos subcontratantes ulteriores enumerados na política de privacidade. O subcontratante informará o responsável pelo tratamento de qualquer adição ou substituição prevista com pelo menos 14 dias de antecedência. O responsável pelo tratamento pode opor-se por escrito; se a objeção não puder ser resolvida, pode rescindir a parte do serviço em causa.

5. Transferências internacionais

Quando dados pessoais são transferidos para fora do EEE, o subcontratante baseia-se nas cláusulas contratuais-tipo adotadas pela Comissão Europeia (decisão 2021/914), incorporadas no presente acordo por remissão. Uma cópia das cláusulas assinadas para um determinado subcontratante ulterior está disponível mediante pedido para support@delyst.com.

6. Medidas de segurança

• TLS 1.2 ou superior para os dados em trânsito.

• Cifragem AES-256-GCM dos segredos e das chaves armazenados.

• Hash das palavras-passe com bcrypt.

• Autenticação de dois fatores disponível para todas as contas.

• Segmentação de rede, firewall, acesso à produção segundo o princípio do menor privilégio.

• Registo de auditoria das ações de administração.

• Cópias de segurança da base de dados feitas pela OVH, apagadas no fim do respetivo prazo de conservação.

7. Direitos dos titulares dos dados

Dentro dos limites técnicos do serviço, o subcontratante ajuda o responsável pelo tratamento a responder aos pedidos de acesso, retificação, apagamento, limitação, portabilidade e oposição. A maioria destas operações pode ser realizada diretamente no painel da Delyst.

8. Auditorias

O responsável pelo tratamento pode auditar o cumprimento do presente DPA uma vez por ano civil, mediante aviso prévio por escrito de 30 dias, durante o horário de expediente, e sob reserva de obrigações razoáveis de confidencialidade. Mediante pedido, o subcontratante fornece relatórios de auditoria independentes, quando existam, em vez de uma auditoria no local.

9. Eliminação ou devolução dos dados

O responsável pelo tratamento pode exportar os seus contactos a qualquer momento a partir da aplicação (CSV). Os dados mantêm-se enquanto a conta existir, incluindo após o cancelamento da subscrição. Quando o responsável pelo tratamento elimina a sua conta (Definições, ou support@delyst.com), o subcontratante apaga imediata e definitivamente os dados pessoais dos sistemas ativos; as cópias de segurança são apagadas no fim do respetivo prazo de conservação. Mantêm-se apenas as provas que a lei impõe conservar.

10. Como o assinar

A maioria dos clientes não precisa de assinar um DPA separado. As disposições deste documento aplicam-se automaticamente no âmbito das condições gerais. Se o departamento jurídico da sua organização exigir um exemplar contra-assinado, escreva para support@delyst.com e enviar-lhe-emos um PDF assinado no prazo de 5 dias úteis.