Acordo de Tratamento de Dados

O presente acordo (“Acordo”) faz parte do contrato entre a organização que utiliza o EUlabel (o “Cliente”) e a Búzios e Tartarugas, Lda., Rua Gil Vicente, 2, 2775-198 Parede, Portugal (“EUlabel”). Cumpre os requisitos do artigo 28.º do Regulamento (UE) 2016/679 (RGPD). Os termos definidos no RGPD têm aqui o mesmo significado.

O Cliente aceita o presente Acordo juntamente com os Termos da Plataforma. Não é necessária assinatura. O texto em português prevalece sobre qualquer tradução. Para receber uma cópia assinada pela EUlabel, escreva para legal@eulabel.eu.

1. Papéis e âmbito

1.1 Relativamente aos dados pessoais incluídos nos Dados do Cliente, o Cliente é o responsável pelo tratamento, ou um subcontratante de outro responsável pelo tratamento, e a EUlabel é o subcontratante, ou um subcontratante ulterior. O Cliente confirma que qualquer responsável pelo tratamento em nome do qual atue autorizou o presente Acordo.

1.2 O Anexo 1 descreve o objeto, a duração, a natureza e a finalidade do tratamento, o tipo de dados pessoais e as categorias dos titulares dos dados.

1.3 A EUlabel é um responsável pelo tratamento autónomo quanto aos dados que o seu aviso de privacidade descreve como próprios: o seu sítio Web, newsletter, início de sessão, segurança das contas e registos contratuais. O presente Acordo não abrange esses dados.

2. Instruções

2.1 A EUlabel trata os dados pessoais apenas mediante instruções documentadas do Cliente, incluindo no que respeita a transferências. As instruções do Cliente são o presente Acordo, os Termos da Plataforma, a utilização que o Cliente faz do painel de controlo e da API, e qualquer outra instrução escrita acordada por ambas as partes.

2.2 Se o direito da União ou de um Estado-Membro exigir outro tratamento, a EUlabel informa previamente o Cliente, salvo se esse direito o proibir.

2.3 A EUlabel informa imediatamente o Cliente se considerar que uma instrução viola a legislação de proteção de dados, e pode suspender essa instrução até que o Cliente a confirme ou altere.

2.4 A EUlabel não vende dados pessoais nem os utiliza para fins próprios.

3. Responsabilidades do Cliente

O Cliente é responsável por ter um fundamento jurídico, por informar os titulares dos dados, pela exatidão dos dados e por decidir o que publicar. Os campos públicos dos passaportes são visíveis para qualquer pessoa, pelo que o Cliente não pode neles colocar dados pessoais, salvo se pretender publicá-los. O Cliente não pode introduzir categorias especiais de dados nem dados relativos a condenações penais. Cada página de produto inclui uma ligação para o aviso da EUlabel, e o Cliente pode acrescentar o seu em Settings → Data and legal.

4. Confidencialidade

A EUlabel assegura que todas as pessoas autorizadas a tratar dados pessoais estão vinculadas a um dever de confidencialidade, por contrato ou por lei.

5. Segurança

5.1 A EUlabel mantém as medidas técnicas e organizativas constantes do Anexo 2, como exige o artigo 32.º do RGPD.

5.2 A EUlabel pode atualizar essas medidas, desde que o nível de proteção não diminua.

5.3 O Cliente é responsável pelas medidas que estão sob o seu controlo, incluindo a gestão de membros, funções, chaves de API e concessões de acesso.

6. Subcontratantes ulteriores

6.1 O Cliente concede à EUlabel uma autorização geral para recorrer a subcontratantes ulteriores. Os utilizados na data de aceitação constam do Anexo 3.

6.2 A EUlabel avisa os proprietários (owners) do Cliente na plataforma, por email, com pelo menos 30 dias de antecedência, antes de adicionar ou substituir um subcontratante ulterior. O email identifica o subcontratante ulterior e indica que o Cliente dá o seu acordo, salvo se se opuser em tempo útil. Só se aplica um prazo mais curto se o Cliente o aceitar por email.

6.3 O Cliente pode opor-se, por qualquer motivo razoável, no prazo de 14 dias a contar do aviso. As partes procuram então resolver a oposição, e a EUlabel não utiliza o novo subcontratante ulterior para os dados desse Cliente até que a oposição esteja resolvida ou o contrato cesse. Se não for resolvida, o Cliente pode pôr termo ao contrato sem encargos, e a EUlabel pode pôr-lhe termo nos termos da cláusula 13 dos Termos da Plataforma.

6.4 A EUlabel vincula contratualmente cada subcontratante ulterior a obrigações de proteção de dados que, em substância, não sejam menos protetoras do que as do presente Acordo, e continua a ser plenamente responsável perante o Cliente pelo cumprimento do subcontratante ulterior, nos termos explicados na cláusula 13.1.

6.5 Os subcontratantes ulteriores recorrem aos seus próprios subcontratantes ulteriores, de acordo com as respetivas listas publicadas, para as quais remete a página de subcontratantes ulteriores.

7. Transferências para fora do EEE

7.1 A EUlabel transfere dados pessoais para fora do Espaço Económico Europeu apenas mediante instruções do Cliente e nos termos do Capítulo V do RGPD. O Anexo 3 identifica as transferências e as respetivas garantias. Ao aceitar o presente Acordo, o Cliente dá instruções à EUlabel para efetuar essas transferências.

7.2 Quando uma transferência assente nas cláusulas contratuais-tipo (Decisão de Execução (UE) 2021/914 da Comissão), a EUlabel celebrou o Módulo Três com o subcontratante ulterior através dos termos de tratamento de dados desse subcontratante ulterior. A EUlabel fornece uma cópia a pedido, expurgada dos termos comerciais.

7.3 Se uma garantia deixar de ser válida, as partes recorrem a outra garantia lícita. Se não existir nenhuma, a EUlabel informa o Cliente, e o Cliente pode pôr termo ao contrato sem encargos.

7.4 Se o Cliente estiver estabelecido fora do EEE, aplica-se entre as partes o Módulo Quatro das mesmas cláusulas, sendo escolhidos para esse módulo o direito e os tribunais portugueses.

7.5 Se a EUlabel receber de uma autoridade pública um pedido de dados pessoais, remete a autoridade para o Cliente sempre que possível, informa o Cliente, salvo se a lei o proibir, e divulga apenas o que a lei exigir.

8. Assistência nos pedidos dos titulares dos dados

8.1 Se a EUlabel receber de um titular dos dados um pedido relativo aos Dados do Cliente, transmite-o ao Cliente sem demora injustificada e não lhe responde, exceto para remeter a pessoa para o Cliente.

8.2 A EUlabel ajuda o Cliente a responder, através do painel de controlo, da API e da exportação e, quando estes não forem suficientes, com assistência adicional razoável.

9. Violações de dados pessoais

9.1 A EUlabel notifica os proprietários (owners) do Cliente na plataforma, por email, sem demora injustificada e, em qualquer caso, no prazo de 48 horas após ter conhecimento de uma violação de dados pessoais que afete os Dados do Cliente.

9.2 A notificação indica, na medida do conhecido, a natureza da violação, as categorias e o número aproximado de titulares dos dados e de registos, as consequências prováveis, as medidas adotadas ou propostas e um ponto de contacto. Podem ser prestadas informações adicionais por fases.

9.3 A EUlabel adota medidas razoáveis para conter e sanar a violação e mantém um registo da mesma. A notificação de uma violação não constitui admissão de culpa.

10. Assistência no cumprimento

Tendo em conta a natureza do tratamento e a informação de que dispõe, a EUlabel presta ao Cliente uma assistência razoável em matéria de segurança, notificação de violações, avaliações de impacto sobre a proteção de dados e consulta prévia (artigos 32.º a 36.º do RGPD).

11. Apagamento ou devolução dos dados

11.1 Durante o contrato, o próprio Cliente pode exportar e apagar os Dados do Cliente.

11.2 Quando o contrato cessa, aplica-se o período de recuperação previsto nos Termos da Plataforma. A EUlabel apaga depois os Dados do Cliente, e as cópias de segurança são sobrescritas no prazo de 30 dias, salvo se o direito da União ou de um Estado-Membro exigir a conservação dos dados.

11.3 Durante o contrato, a EUlabel apaga os registos de acordo com o Anexo 1.

12. Auditorias e informação

12.1 A EUlabel disponibiliza todas as informações necessárias para demonstrar o cumprimento do artigo 28.º do RGPD e responde a questões escritas razoáveis no prazo de 30 dias.

12.2 A EUlabel facilita e contribui para as auditorias, incluindo as inspeções, conduzidas pelo Cliente ou por um auditor por este mandatado que esteja vinculado a um dever de confidencialidade. O Cliente dá um pré-aviso de 30 dias, exceto após uma violação de dados pessoais ou quando uma autoridade de controlo exija outra coisa, e evita perturbações não razoáveis.

12.3 Quando as informações previstas na cláusula 12.1 não forem suficientes para demonstrar o cumprimento, pode realizar-se uma auditoria. As auditorias não abrangem as instalações ou os sistemas dos subcontratantes ulteriores para além do que os respetivos termos permitam. As certificações e os relatórios por estes publicados constituem o principal meio de prova.

12.4 Cada parte suporta os seus próprios custos de auditoria.

13. Responsabilidade, duração e ordem de prevalência

13.1 A responsabilidade entre as partes ao abrigo do presente Acordo, incluindo pelo cumprimento de um subcontratante ulterior (cláusula 6.4) e pelo direito de regresso previsto no artigo 82.º, n.º 5, do RGPD, rege-se pela cláusula 18 dos Termos da Plataforma, com as exceções aí enumeradas e na medida em que a lei o permita. Nada no presente Acordo limita a responsabilidade de qualquer das partes perante os titulares dos dados ou as autoridades de controlo.

13.2 O presente Acordo vigora enquanto a EUlabel tratar Dados do Cliente.

13.3 O presente Acordo prevalece sobre os Termos da Plataforma em matéria de proteção de dados. As cláusulas contratuais-tipo, quando aplicáveis, prevalecem sobre ambos.

13.4 A EUlabel pode alterar o presente Acordo nos termos da cláusula 19 dos Termos da Plataforma, ou quando a lei ou uma autoridade de controlo o exija. As alterações não podem reduzir a proteção do Cliente sem o seu acordo.

13.5 O presente Acordo rege-se pela lei portuguesa, e são competentes os tribunais indicados nos Termos da Plataforma.

Anexo 1: Descrição do tratamento

Objeto. Alojamento e publicação de passaportes digitais de produtos e de rótulos eletrónicos do vinho, resolução de identificadores de produto, controlo do acesso restrito e, quando o Cliente o escolha, contagem de leituras.

Duração. O período de vigência do contrato e o período de recuperação e, depois, até as cópias de segurança serem sobrescritas.

Natureza e finalidade. Armazenamento, organização, recuperação, publicação, transmissão e apagamento dos Dados do Cliente, com vista à prestação do serviço.

Categorias de titulares dos dados.

• Pessoas indicadas nos registos de fornecedores, operadores ou instalações, como empresários em nome individual e contactos
• Pessoas indicadas nos passaportes, como representantes autorizados ou reparadores
• Pessoas ou organizações a quem foi concedido acesso restrito, identificadas nas concessões de acesso
• Pessoas que leem o código de uma página de produto, quando o Cliente tenha ativado a contagem, durante o tempo em que um endereço IP e os dados do pedido são tratados para determinar o país e excluir o tráfego automatizado. Os registos de leituras armazenados não se destinam a identificar ninguém
• Membros da organização do Cliente, conforme indicados em eventos e registos

Tipos de dados pessoais.

• Nomes, contactos profissionais, números de IVA e de localização de pessoas singulares nos registos de fornecedores e instalações
• Tudo o que o Cliente introduzir nos campos de passaportes, unidades e eventos
• Nome e número de localização do beneficiário, prova da concessão e utilizador que a criou
• Registos de leituras restritas: concessão, produto, número de série, destinatário e hora
• Registos de leituras: produto, GTIN, país e dia. Não é armazenado qualquer endereço IP, dado do navegador ou identificador. A contagem está desativada, salvo se o Cliente a ativar em Settings → Data and legal, depois de fornecer uma ligação para o seu próprio aviso de privacidade. Essa é a sua instrução e a sua decisão enquanto responsável pelo tratamento. Os produtos vitivinícolas nunca são contados
• Identificadores de utilizador associados a eventos de passaportes e de unidades

Categorias especiais. Nenhuma. A cláusula 3 proíbe-as.

Frequência. Contínua.

Conservação.

Anexo 2: Medidas técnicas e organizativas

Localização e alojamento. As funções da aplicação são executadas na região de Frankfurt. A base de dados está armazenada na região de Frankfurt. As páginas são distribuídas através de uma rede global, conforme descrito no Anexo 3.

Cifragem. Todo o tráfego utiliza TLS, com HTTP Strict Transport Security. O prestador da base de dados cifra os dados em repouso com AES-256.

Segredos. As palavras-passe são armazenadas como hashes scrypt e verificadas face a violações conhecidas quando são definidas. As chaves de API e os tokens de acesso são armazenados como hashes SHA-256 e mostrados uma única vez. Os segredos de dois fatores são cifrados, e os tokens da Google ou da Microsoft não são conservados após o início de sessão.

Controlo de acesso. Quatro funções na organização, com as permissões verificadas em cada pedido e ação no painel de controlo. O acesso aos Dados do Cliente através do painel de controlo e da API é verificado face à organização do Cliente. As chaves de API podem ser limitadas por permissão e a um projeto, e podem ser revogadas. Os membros podem utilizar chaves de acesso (passkeys) e autenticação de dois fatores, e podem rever e terminar as suas sessões. Os campos restritos dos passaportes são filtrados no servidor, e os tokens de acesso podem ter validade limitada e ser revogados.

Segurança das aplicações. Limites de frequência de início de sessão, verificação da origem dos pedidos nas alterações autenticadas por cookie, uma Content Security Policy e outros cabeçalhos de segurança em cada aplicação, e validação dos dados de entrada nas rotas da API.

Gestão de alterações e de vulnerabilidades. As alterações de código são sujeitas a verificações automáticas de tipos, testes e auditorias de dependências, e as atualizações de dependências são monitorizadas automaticamente. As comunicações de vulnerabilidades devem ser enviadas para security@eulabel.eu.

Registos. Cada leitura restrita é registada. As alterações de estado dos passaportes e os eventos de unidades são registados com a respetiva data e, quando efetuados por uma pessoa, com o utilizador. Ainda não existe um registo de auditoria completo das ações dos administradores.

Disponibilidade. O prestador da base de dados oferece restauro para um momento específico. A EUlabel não promete qualquer tempo de recuperação. O alojamento inclui mitigação de DDoS ao nível da plataforma.

Minimização dos dados. Os registos de leituras não contêm endereços IP nem dados do navegador. Os produtos vitivinícolas não são contados. Nenhum sítio Web executa scripts de análise ou de publicidade. Uma tarefa diária apaga os dados cujo prazo de conservação tenha terminado.

Pessoal. O acesso aos sistemas de produção é limitado a quem dele necessita, e essas pessoas estão vinculadas a um dever de confidencialidade.

Limites. A EUlabel não detém certificação ISO 27001 nem SOC 2 e ainda não encomendou um teste de intrusão externo. Os seus prestadores de alojamento e de base de dados detêm as suas próprias certificações, indicadas na página de subcontratantes ulteriores.

Anexo 3: Subcontratantes ulteriores e transferências

A lista atual e as ligações para a lista própria de cada subcontratante ulterior constam da página de subcontratantes ulteriores.