Acordo de Tratamento de Dados

O presente DPA regula o tratamento, pela HansaChat, dos Dados Pessoais do Cliente para a prestação do serviço. O objeto, a natureza, a finalidade, as categorias de dados, os titulares dos dados e a duração são especificados no Anexo 1.

O Cliente determina as finalidades e os meios essenciais do tratamento dos conteúdos do espaço de trabalho. A HansaChat trata esses dados por conta do Cliente. O presente DPA não abrange os dados pessoais que a HansaChat trata como responsável pelo tratamento independente para faturação, administração de contas, segurança do serviço, prevenção de abusos, administração do apoio ou conformidade; esse tratamento está descrito na Política de Privacidade.

A HansaChat tratará os Dados Pessoais do Cliente apenas com base em instruções documentadas do Cliente, incluindo o Contrato de Prestação de Serviços, o presente DPA, a utilização e a configuração do serviço pelo Cliente e instruções posteriores enviadas em forma textual. A HansaChat poderá tratar dados quando a lei da União ou de um Estado-Membro o exigir e informará o Cliente antes de o fazer, salvo se a lei proibir essa comunicação por razões importantes de interesse público.

A HansaChat informará de imediato o Cliente se, na sua opinião, uma instrução infrigir o RGPD ou outra legislação aplicável da União ou de um Estado-Membro em matéria de proteção de dados e poderá suspender a instrução afetada até que esta seja confirmada ou alterada.

A HansaChat assegura que cada pessoa autorizada a tratar os Dados Pessoais do Cliente está vinculada por um dever de confidencialidade ou por um dever legal adequado e recebe acesso apenas quando necessário para a operação, a manutenção, a resolução de problemas, a segurança, a prevenção de abusos, a conformidade legal ou o apoio solicitado pelo Cliente.

Quando se aplica a secção 3 da lei alemã de proteção de dados dos serviços digitais de telecomunicações (TDDDG), a HansaChat protege igualmente o conteúdo e as circunstâncias das comunicações como segredo das telecomunicações. A HansaChat não obterá conhecimento para além do necessário para prestar o serviço de comunicação ou proteger os seus sistemas técnicos e utilizará esse conhecimento para outra finalidade apenas quando uma lei o permita expressamente em relação às telecomunicações.

O dever de confidencialidade mantém-se após o fim da atividade da pessoa e após a cessação do Contrato de Prestação de Serviços.

Tendo em conta o estado da técnica, os custos de implementação e a natureza, o âmbito, o contexto e as finalidades do tratamento, a HansaChat manterá medidas técnicas e organizacionais adequadas ao abrigo do artigo 32.º do RGPD. As medidas atuais estão descritas no Anexo 2 e na página de Segurança.

A HansaChat poderá atualizar essas medidas à medida que a tecnologia e o risco evoluam, desde que o nível global de proteção não seja materialmente reduzido durante o Contrato de Prestação de Serviços.

O Cliente concede à HansaChat autorização geral por escrito para utilizar os subcontratantes subsequentes do Anexo 3. A HansaChat imporá a cada subcontratante subsequente obrigações de proteção de dados substancialmente equivalentes, manter-se-á responsável pelo seu desempenho ao abrigo do presente DPA e manterá a lista atualizada.

A HansaChat comunicará com um mínimo de 30 dias de antecedência, por e-mail para o contacto de conta do Cliente ou através de um aviso proeminente no serviço, antes de acrescentar ou substituir um subcontratante subsequente que trate Dados Pessoais do Cliente. Poderá ser utilizado um prazo mais curto quando necessário para fazer face a um risco urgente de segurança, legal ou de disponibilidade; nesse caso, a HansaChat comunicará o mais rapidamente possível.

O Cliente pode opor-se durante o prazo de aviso com fundamentos razoáveis de proteção de dados. As partes trabalharão de boa-fé numa solução comercialmente razoável. Se nenhuma estiver disponível, o Cliente pode rescindir o serviço afetado antes de o novo subcontratante subsequente iniciar o tratamento, sem penalização pelo período pré-pago não utilizado desse serviço.

O armazenamento principal do espaço de trabalho está localizado na Alemanha. As cópias de segurança Restic encriptadas são armazenadas em Frankfurt e em Estocolmo. A entrega pela rede e as funcionalidades de apoio opcionais podem envolver outras localizações, conforme indicado no Anexo 3.

A HansaChat não transferirá Dados Pessoais do Cliente para um país terceiro ou organização internacional, salvo se instruída pelo Cliente, se necessário para prestar uma funcionalidade ativada do serviço ou se exigido por lei, e apenas quando os requisitos do Capítulo V do RGPD estiverem cumpridos. As salvaguardas aplicáveis podem incluir uma decisão de adequação, as Cláusulas Contratuais Tipo da Comissão Europeia e medidas técnicas e organizacionais suplementares.

Se a HansaChat receber um pedido de um titular dos dados relativo a Dados Pessoais do Cliente, reencaminhará prontamente o pedido para o Cliente e não lhe responderá, salvo se autorizada pelo Cliente ou se exigido por lei.

Tendo em conta a natureza do tratamento e a informação disponível, a HansaChat apoiará razoavelmente o Cliente no exercício dos direitos dos titulares dos dados e no cumprimento das suas obrigações ao abrigo dos artigos 32.º a 36.º do RGPD, incluindo segurança, avaliação de violações, avaliações de impacto sobre a proteção de dados e consulta prévia.

A HansaChat notificará o Cliente sem demora indevida após tomar conhecimento de uma violação de dados pessoais que afete Dados Pessoais do Cliente. A notificação incluirá a informação de que a HansaChat dispõe e de que o Cliente razoavelmente necessita para as suas obrigações ao abrigo dos artigos 33.º e 34.º do RGPD, podendo ser fornecida informação adicional em fases, à medida que estiver disponível.

A HansaChat tomará medidas razoáveis para conter, investigar, remediar e mitigar a violação e cooperará com o Cliente. A notificação não constitui reconhecimento de culpa ou de responsabilidade.

À escolha do Cliente, a HansaChat devolverá ou eliminará os Dados Pessoais do Cliente após o fim dos serviços de tratamento e eliminará as cópias existentes, salvo se a lei da União ou de um Estado-Membro exigir a sua conservação. O Cliente deve solicitar a devolução antes da data de eliminação do espaço de trabalho; se o Cliente não der instruções, é selecionada a eliminação.

Os espaços de trabalho pagos e de avaliação cancelados permanecem utilizáveis durante o período pago ou de avaliação em curso, depois ficam apenas de leitura durante 90 dias e são eliminados. A eliminação solicitada pelo proprietário torna o espaço de trabalho imediatamente apenas de leitura e elimina-o após um período de tolerância de 30 dias, salvo cancelamento. Os espaços de demonstração são eliminados após 24 horas. Os espaços de trabalho gratuitos continuam graváveis e são eliminados após 90 dias sem uma mensagem persistida. As bases de dados dos espaços de trabalho e os objetos carregados são removidos pelo processo de eliminação aplicável; os dados dos espaços de trabalho eliminados são removidos progressivamente das cópias de segurança encriptadas de acordo com o calendário do Anexo 2.

A HansaChat disponibilizará a informação razoavelmente necessária para demonstrar o cumprimento do artigo 28.º do RGPD e do presente DPA. O Cliente pode auditar o tratamento abrangido por si próprio ou através de um auditor independente e qualificado vinculado pela confidencialidade.

Normalmente, as auditorias devem começar pela documentação disponível e por uma análise remota. A inspeção no local está disponível quando a documentação for insuficiente ou existirem indícios razoáveis de incumprimento, com aviso prévio razoável e sem comprometer outros clientes, a segurança ou segredos comerciais. O Cliente suporta os custos razoáveis da auditoria, salvo se esta identificar um incumprimento material da HansaChat. Os poderes das autoridades de controlo não são limitados.

O presente DPA inicia quando se torna vinculativo na secção Estado do contrato e mantém-se em vigor até a HansaChat ter eliminado todos os Dados Pessoais do Cliente. Se a HansaChat não puder cumprir o presente DPA, informará prontamente o Cliente. O Cliente pode suspender o tratamento ou rescindir o serviço afetado quando um incumprimento material não for remediado num prazo razoável.

A responsabilidade, a lei aplicável e o foro seguem o Contrato de Prestação de Serviços, salvo quando a legislação imperativa de proteção de dados exigir o contrário. Nada no presente DPA limita os direitos dos titulares dos dados ou os poderes de uma autoridade de controlo competente.