Acordo de tratamento de dados

Este acordo de tratamento de dados ("ATD") define a forma como o TicketPa trata dados pessoais por conta dos negócios que o utilizam, conforme exige o artigo 28.º do Regulamento Geral sobre a Proteção de Dados (RGPD). Faz parte dos nossos termos de serviço, e aceita-o quando aceita os termos.

Partes deste acordo

• Você, o negócio que utiliza o TicketPa, na qualidade de responsável pelo tratamento.
• O TicketPa, na qualidade de subcontratante, explorado pela seguinte pessoa: o titular do certificado de atividade individual n.º 777726, Vilnius, Lituânia.

O presente ATD abrange os dados pessoais dos seus clientes e de outras pessoas que tratamos por sua conta enquanto lhe fornecemos o TicketPa ("dados dos clientes"). O Anexo 1 descreve esses dados e o que fazemos com eles. Os dados pessoais seus e dos membros da sua equipa estão abrangidos, em vez disso, pela nossa política de privacidade, porque, quanto a esses dados, somos o responsável pelo tratamento.

Se este ATD e os termos divergirem quanto a dados pessoais, aplica-se este ATD.

O que fazemos com os dados dos clientes

Tratamos os dados dos clientes apenas para lhe fornecer o TicketPa e apenas mediante as suas instruções documentadas. As suas instruções são os termos e este ATD, e a forma como configura e utiliza o TicketPa: as suas definições, o que você e a sua equipa fazem na aplicação, e o que nos pede por escrito.

Se considerarmos que uma instrução viola a legislação de proteção de dados, informamo-lo. Se o direito da UE ou o direito lituano nos obrigar a tratar os dados dos clientes de outra forma, informamo-lo previamente, salvo se esse direito o proibir.

Confidencialidade

Todas as pessoas que, do nosso lado, podem aceder aos dados dos clientes estão obrigadas a manter a sua confidencialidade e só os podem utilizar nos termos permitidos por este ATD.

Segurança

Protegemos os dados dos clientes com as medidas técnicas e organizativas do Anexo 2, e mantemo-las adequadas aos riscos à medida que o TicketPa evolui. Podemos atualizar as medidas, desde que não se tornem menos protetoras.

Subcontratantes ulteriores

Autoriza-nos a recorrer a subcontratantes ulteriores, os prestadores de serviços enumerados no Anexo 3, para ajudar a fornecer o TicketPa. Impomos a cada um deles, por contrato, obrigações de proteção de dados pelo menos tão rigorosas como as nossas neste ATD, e continuamos a ser responsáveis perante si pelo trabalho deles.

Pelo menos 30 dias antes de acrescentarmos ou substituirmos um subcontratante ulterior, enviamos um email aos proprietários do seu negócio e atualizamos o Anexo 3. Se tiver motivos razoáveis relacionados com a proteção de dados para se opor, comunique-nos dentro desse prazo. Se não conseguirmos resolver a sua objeção, pode encerrar a sua conta antes da alteração, e reembolsamos as taxas que tiver pago antecipadamente relativas ao período posterior ao encerramento.

Como o ajudamos

Ajudamo-lo, na medida do razoavelmente possível e tendo em conta o que o TicketPa faz:

• com os pedidos dos seus clientes para exercerem os seus direitos ao abrigo do RGPD. Se um cliente nos escrever, encaminhamos o pedido para si e não lhe respondemos nós próprios, salvo se nos pedir que o façamos. Muitos pedidos pode tratá-los você mesmo no TicketPa; para os restantes, como apagar os dados de um cliente, escreva-nos e fazemo-lo por si.
• com as suas outras obrigações previstas nos artigos 32.º a 36.º do RGPD, como a segurança, as avaliações de impacto sobre a proteção de dados e a consulta de uma autoridade de controlo.

Violações de dados pessoais

Se tomarmos conhecimento de uma violação de segurança que afete dados dos clientes, informamo-lo sem demora injustificada e, o mais tardar, no prazo de 48 horas. Comunicamos-lhe o que sabemos sobre ela: o que aconteceu, que categorias de dados e aproximadamente quantas pessoas são afetadas, as consequências prováveis e o que estamos a fazer a esse respeito, e mantemo-lo informado à medida que soubermos mais. Tomamos medidas razoáveis para conter a violação e reduzir os seus efeitos.

Quando deixar de utilizar o TicketPa

Antes de a sua conta ser encerrada, pode descarregar as suas reservas, por exemplo o ficheiro CSV das reservas em Reports (Relatórios). No prazo de 90 dias após o encerramento do seu negócio no TicketPa, apagamos os dados dos clientes, salvo se o direito da UE ou o direito lituano nos obrigar a conservar parte deles. Depois disso, desaparecem automaticamente das nossas cópias de segurança no prazo de 30 dias. Mediante pedido, confirmamos o apagamento por escrito.

Informações e auditorias

Disponibilizamos-lhe as informações de que precisa para demonstrar que cumprimos este ATD. Você, ou um auditor independente à sua escolha que esteja obrigado a confidencialidade, pode auditar o nosso cumprimento uma vez por ano, ou com mais frequência após uma violação ou quando uma autoridade de controlo o solicitar. Avise-nos com pelo menos 30 dias de antecedência. As auditorias são realizadas a expensas suas, em horário de expediente, e sem acesso aos dados de outros negócios.

Transferências para fora do Espaço Económico Europeu

Só transferimos dados dos clientes para fora do Espaço Económico Europeu com as garantias exigidas pelo capítulo V do RGPD, como uma decisão de adequação da Comissão Europeia ou cláusulas contratuais-tipo. A Hostinger mantém os dados dos clientes na União Europeia, onde ficam também as nossas cópias de segurança na Cloudflare. No entanto, os pedidos ao TicketPa passam pela rede mundial da Cloudflare, normalmente pelo centro de dados mais próximo da pessoa que utiliza o TicketPa, que pode ficar fora do Espaço Económico Europeu. A Cloudflare, uma empresa norte-americana, está certificada ao abrigo do Quadro de Privacidade de Dados UE-EUA (EU-US Data Privacy Framework), e o seu contrato connosco inclui as cláusulas contratuais-tipo.

As suas responsabilidades

Você é responsável por:

• ter um fundamento jurídico para os dados dos clientes que recolhe e para os emails que decide enviar, como pedidos de avaliação;
• informar os seus clientes sobre a forma como utiliza os dados deles, no seu próprio aviso de privacidade;
• dar-nos apenas instruções lícitas;
• não pedir aos clientes categorias especiais de dados pessoais, como dados de saúde, salvo se precisar realmente deles e tiver um fundamento jurídico;
• decidir quem na sua equipa pode ver os dados dos clientes, através das funções atribuídas.

Responsabilidade e duração

A responsabilidade de cada parte ao abrigo deste ATD rege-se pelos termos de serviço, na medida em que a legislação de proteção de dados o permita. Este ATD aplica-se enquanto tratarmos dados dos clientes por sua conta, incluindo após o encerramento da sua conta e até os dados dos clientes serem apagados.

Anexo 1: Detalhes do tratamento

Anexo 2: Medidas de segurança

• Encriptação em trânsito: todas as páginas e pedidos são servidos através de HTTPS.
• Proteção contra ataques: todo o tráfego para o TicketPa passa pela Cloudflare, que trava os ataques, como avalanches de pedidos, antes de chegarem aos servidores. A ligação entre a Cloudflare e os servidores também é encriptada.
• Contas: as palavras-passe são guardadas apenas como hashes seguros, a autenticação de dois fatores está disponível para todas as contas, e as tentativas de início de sessão têm um limite de frequência.
• Encriptação em repouso dos segredos: os segredos de dois fatores, os códigos de recuperação e os segredos das sessões de pagamento são encriptados na base de dados.
• Separação entre negócios: cada registo pertence a um único negócio, e o TicketPa verifica, em cada pedido, se a pessoa com sessão iniciada é membro desse negócio. Testes automatizados verificam que um negócio não consegue aceder aos dados de outro negócio.
• Funções dentro do seu negócio: os proprietários, os gestores e os anfitriões veem coisas diferentes. Os anfitriões não veem os relatórios nem as definições de pagamento.
• O nosso próprio acesso: só as pessoas que gerem o TicketPa podem aceder aos servidores e ao painel de administração. O início de sessão nos servidores exige uma chave SSH, pois as palavras-passe estão desativadas, e um endereço que falha repetidamente o início de sessão é bloqueado automaticamente.
• Alojamento: os servidores estão num centro de dados na União Europeia, protegidos por uma firewall que só permite as ligações de que o TicketPa precisa. As atualizações de segurança do sistema operativo são instaladas automaticamente.
• Cópias de segurança: é feita uma cópia de segurança da base de dados a cada 6 horas para um armazenamento privado e encriptado na União Europeia, separado dos servidores. Cada cópia é apagada automaticamente ao fim de 30 dias. As fotografias e os logótipos carregados são copiados diariamente para o mesmo local e guardados durante 7 dias.
• Pagamentos: os dados dos cartões são tratados apenas pela Stripe, que tem certificação PCI DSS. O TicketPa guarda IDs e montantes de pagamentos, nunca números de cartões.
• Minimização dos dados: as fotografias e os logótipos carregados são recodificados, o que remove dados ocultos como a localização GPS; os registos de eventos da Stripe e as tarefas em segundo plano falhadas, que podem conter dados dos clientes, são apagados após 30 dias; os convites expirados são apagados.

Anexo 3: Subcontratantes ulteriores

Serviços que você próprio liga. Se ativar os pagamentos online, os dados de pagamento dos seus clientes vão para a sua própria conta Stripe, ao abrigo do contrato que celebrou com a Stripe. Para esse efeito, a Stripe não é nosso subcontratante ulterior.

Questões sobre este ATD: hello@ticketpa.com.