Acordo de tratamento de dados (DPA)

Aplicável a partir da sua publicação. O presente acordo complementa as Condições Gerais de Serviço da Metaventus.

1. Objeto e funções

O presente Acordo de Tratamento de Dados («DPA») enquadra, em conformidade com o artigo 28.º do RGPD, os tratamentos de dados pessoais que a VENTUS, sociedade por ações simplificada com um capital de 60 000 €, Registo Comercial de Ruão 917 982 969, 14 chemin des Tilleuls, 76130 Mont-Saint-Aignan («Metaventus», atuando na qualidade de subcontratante) realiza por conta do titular da conta («o Cliente», atuando na qualidade de responsável pelo tratamento) no âmbito da prestação dos Serviços.

Quando o próprio Cliente atua como subcontratante de um terceiro, a Metaventus intervém na qualidade de subcontratante ulterior e o Cliente garante que os seus próprios compromissos são compatíveis com o presente DPA.

Para os tratamentos que a Metaventus realiza por sua própria conta (gestão da conta cliente, faturação, segurança da plataforma, estatísticas), a Metaventus atua na qualidade de responsável pelo tratamento, em conformidade com a sua Política de Privacidade.

2. Instruções

A Metaventus trata os Dados do Cliente exclusivamente sob instrução documentada do Cliente. As Condições Gerais de Serviço, o presente DPA e a utilização das funcionalidades da plataforma pelo Cliente e pelos seus utilizadores constituem as instruções do Cliente. A Metaventus informa o Cliente se considerar que uma instrução viola o RGPD.

3. Descrição do tratamento

A descrição detalhada (natureza, finalidades, categorias de dados e de titulares, duração) figura no Anexo 1.

4. Confidencialidade

A Metaventus garante que as pessoas autorizadas a tratar os Dados do Cliente estão sujeitas a uma obrigação de confidencialidade e apenas lhes acedem na medida necessária às suas funções.

5. Segurança

A Metaventus aplica as medidas técnicas e organizativas apropriadas descritas no Anexo 2, em conformidade com o artigo 32.º do RGPD.

6. Subcontratantes ulteriores

O Cliente autoriza de forma geral o recurso aos subcontratantes ulteriores enumerados no Anexo 3. A Metaventus celebra com cada um deles um contrato que impõe obrigações de proteção de dados equivalentes às do presente DPA e continua responsável pela sua execução.

A Metaventus informa o Cliente (por e-mail ou notificação na plataforma) de qualquer adição ou substituição de subcontratante ulterior pelo menos trinta (30) dias antes da sua produção de efeitos. O Cliente pode opor-se por motivo legítimo; na falta de acordo, o Cliente pode rescindir a subscrição em causa antes da produção de efeitos da alteração.

7. Assistência ao responsável pelo tratamento

Tendo em conta a natureza do tratamento, a Metaventus assiste o Cliente através de medidas apropriadas (prioritariamente as funcionalidades da plataforma): para responder aos pedidos de exercício dos direitos dos titulares (acesso, retificação, apagamento, portabilidade, oposição); e para o cumprimento das suas obrigações ao abrigo dos artigos 32.º a 36.º do RGPD (segurança, notificação de violações, avaliações de impacto). Qualquer pedido de assistência que exceda as funcionalidades normais pode dar lugar a uma faturação razoável, acordada previamente.

8. Violações de dados

A Metaventus notifica o Cliente, com a maior brevidade após delas ter conhecimento, de qualquer violação de dados que afete os Dados do Cliente, para o endereço de e-mail do ou dos administradores da conta, com as informações previstas no artigo 33.º, n.º 3, do RGPD (natureza, categorias e volumes em causa, consequências prováveis, medidas tomadas ou propostas).

9. Transferências fora da União Europeia

Os Dados do Cliente são alojados na União Europeia. Determinados subcontratantes ulteriores (Anexo 3) podem tratar dados a partir de países terceiros; nesse caso, a transferência é enquadrada por uma decisão de adequação (incluindo o EU-U.S. Data Privacy Framework) e/ou pelas Cláusulas Contratuais-Tipo da Comissão Europeia, completadas, se necessário, por medidas adicionais.

10. Eliminação e restituição

Durante toda a vigência do contrato, o Cliente pode exportar os seus dados através das funcionalidades da plataforma. No termo do contrato, a Metaventus elimina os Dados do Cliente no prazo de trinta (30) dias, salvo obrigação legal de conservação. Mediante pedido escrito formulado antes do fim desse prazo, a Metaventus confirma a eliminação.

11. Registo e auditorias

A Metaventus mantém um registo das atividades de tratamento efetuadas por conta do Cliente (art. 30.º, n.º 2, RGPD). A Metaventus disponibiliza ao Cliente as informações necessárias para demonstrar o cumprimento do presente DPA (documentação, descrições das medidas, atestados disponíveis).

O Cliente pode realizar, no máximo uma (1) vez por período de doze (12) meses, uma auditoria limitada aos tratamentos realizados por sua conta, mediante pré-aviso escrito de trinta (30) dias, a suas expensas, durante o horário de expediente, sem acesso aos dados de outros clientes nem a segredos comerciais. Uma auditoria no local só é possível na falta de resposta satisfatória através da documentação.

12. Duração e responsabilidade

O presente DPA aplica-se durante toda a vigência das Condições Gerais de Serviço e enquanto a Metaventus tratar Dados do Cliente. Os limites e exclusões de responsabilidade das Condições Gerais de Serviço aplicam-se ao presente DPA.

Contacto de proteção de dados: contact@metaventus.com.

13. Língua

O presente DPA está redigido em francês. Se for fornecida uma tradução por conveniência, apenas a versão francesa faz fé.

Anexo 1 — Descrição do tratamento

Natureza e finalidades: alojamento, armazenamento, estruturação e consulta dos dados CRM do Cliente; envio de comunicações eletrónicas (e-mails, SMS, chamadas) por iniciativa do Cliente; marcação de reuniões; faturação aos clientes finais do Cliente; automatização de processos; funcionalidades de assistência por IA (a pedido dos utilizadores); registo técnico e estatísticas de utilização.

Categorias de titulares: utilizadores do Cliente; contactos, potenciais clientes e clientes do Cliente; participantes nas reuniões; destinatários das comunicações.

Categorias de dados: identidade e contactos (apelido, nome, e-mail, telefone, morada); dados profissionais (empresa, função); dados comerciais (oportunidades, orçamentos, faturas, marcações, notas); conteúdos das comunicações emitidas através da plataforma; dados técnicos (registos, endereços IP, identificadores). Está excluído o tratamento de categorias especiais de dados (art. 9.º RGPD) (cf. Condições Gerais de Utilização).

Duração: duração do contrato e, em seguida, eliminação em 30 dias (art. 10), sem prejuízo dos prazos de retenção configurados pelo Cliente na plataforma e das obrigações legais.

Anexo 2 — Medidas de segurança

• Cifragem dos fluxos (TLS) em todos os serviços expostos;
• Separação estrita dos dados por conta cliente (multi-inquilino);
• Controlo de acesso por perfis e permissões (RBAC) com granularidade fina;
• Autenticação forte: dupla autenticação disponível (SMS, TOTP, chaves de acesso/WebAuthn) e obrigatória para os perfis de administrador;
• Armazenamento dos segredos de autenticação com cifragem forte (AES-256-GCM) e palavras-passe em hash;
• Registos de auditoria datados (início de sessão, alterações de perfil, ações sensíveis) com prazos mínimos de conservação não reduzíveis;
• Depuração automática dos dados para além dos prazos de retenção;
• Política do menor privilégio para o pessoal; acessos de produção restritos e nominativos;
• Cópias de segurança periódicas geridas pelo fornecedor de alojamento (retenção e reposição);
• Ambientes de desenvolvimento e de produção separados;
• Rastreabilidade das aceitações contratuais (data e hora, versão, impressão SHA-256).

Anexo 3 — Subcontratantes ulteriores

Não são subcontratantes da Metaventus: os serviços de terceiros que o Cliente liga por sua própria iniciativa à sua conta (Google, Microsoft, Zoom, redes sociais, etc.) — essas integrações inserem-se na relação direta entre o Cliente e o editor terceiro em causa.