Adenda de Tratamento de Dados

1. Âmbito e funções

A presente Adenda de Tratamento de Dados ("DPA") aplica-se quando a entidade Vigilbase que contrata com o Cliente ("Vigilbase") Trata Dados Pessoais do Cliente em nome deste no âmbito da prestação dos Serviços. Em caso de conflito entre esta DPA e os Termos de Serviço ou um Formulário de Encomenda quanto ao Tratamento de Dados Pessoais, prevalece esta DPA.

Relativamente aos Dados Pessoais do Cliente, o Cliente é o responsável pelo tratamento e a Vigilbase é o seu subcontratante. Se o Cliente atuar como subcontratante dos seus próprios clientes, por exemplo, enquanto prestador de serviços geridos, a Vigilbase é o seu subcontratante ulterior e o Cliente confirma que o respetivo responsável pelo tratamento autorizou a nossa designação.

A Vigilbase é responsável pelo tratamento independente dos dados pessoais que Trata para os seus próprios fins, como a administração de contas, a faturação, a segurança dos Serviços, os nossos websites e o marketing. A nossa Política de Privacidade abrange esse Tratamento.

2. Definições

• "Dados Pessoais do Cliente" designa os Dados Pessoais contidos no Conteúdo do Cliente que a Vigilbase Trata em nome do Cliente.
• "Legislação de Proteção de Dados" designa toda a legislação relativa ao Tratamento de Dados Pessoais aplicável a uma parte, incluindo o RGPD (Regulamento Geral sobre a Proteção de Dados), o UK GDPR e o Data Protection Act 2018, o Swiss Federal Act on Data Protection, as leis estaduais de privacidade dos EUA, como o California Consumer Privacy Act, a LGPD do Brasil, o Protection of Personal Information Act da África do Sul, o Data Protection Act 2019 do Quénia, a DIFC Data Protection Law 2020 e a UAE Personal Data Protection Law.
• "Dados Pessoais", "Tratar", "responsável pelo tratamento", "subcontratante" e "titular dos dados" têm o significado que lhes é atribuído na Legislação de Proteção de Dados e incluem termos equivalentes, como "informações pessoais", "prestador de serviços", "parte responsável" e "operador".
• "Violação de Dados Pessoais" designa uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso não autorizados a Dados Pessoais do Cliente.
• "Subcontratante ulterior" designa qualquer subcontratante, incluindo uma Afiliada da Vigilbase, que a Vigilbase contrate para Tratar Dados Pessoais do Cliente.
• "Cláusulas Contratuais-Tipo" designa as cláusulas adotadas pela Decisão de Execução (UE) 2021/914 da Comissão Europeia.

3. Tratamento segundo as instruções do Cliente

A Vigilbase só Tratará Dados Pessoais do Cliente mediante instruções documentadas do Cliente. As instruções do Cliente são os Termos de Serviço, os seus Formulários de Encomenda, a configuração e a utilização que faz dos Serviços e quaisquer outras instruções escritas que acordemos. A Vigilbase informará o Cliente se considerar que uma instrução viola a Legislação de Proteção de Dados, podendo então suspender o Tratamento afetado.

Se uma lei exigir que a Vigilbase Trate Dados Pessoais do Cliente de outro modo, a Vigilbase informará o Cliente antes de o fazer, salvo se essa lei o proibir.

O objeto, a natureza, a finalidade e a duração do Tratamento, bem como os tipos de Dados Pessoais e as categorias de titulares dos dados, estão descritos no Anexo 1.

4. Pessoal

A Vigilbase só concederá acesso aos Dados Pessoais do Cliente ao pessoal que dele necessite para prestar os Serviços, que esteja vinculado a obrigações de confidencialidade e que tenha concluído formação em segurança e privacidade.

5. Segurança

A Vigilbase aplicará e manterá as medidas técnicas e organizativas previstas no Anexo 2. A Vigilbase mantém um programa de segurança da informação em conformidade com a ISO 27001 e o SOC 2 Type 2. Podemos atualizar as medidas à medida que a tecnologia e as ameaças evoluem, desde que o nível global de proteção não seja reduzido.

6. Subcontratantes ulteriores

O Cliente concede à Vigilbase uma autorização geral para contratar Subcontratantes ulteriores. Os Subcontratantes ulteriores atuais, incluindo as Afiliadas da Vigilbase, estão indicados no Trust Center da Vigilbase.

A Vigilbase atualizará a lista pelo menos 30 dias antes de um novo Subcontratante ulterior começar a Tratar Dados Pessoais do Cliente e notificará os administradores de conta dos clientes pagantes, bem como quem tenha pedido para ser notificado através de email para legal+privacy@vigilbase.com. Numa situação de emergência que afete a segurança ou a disponibilidade dos Serviços, podemos substituir um Subcontratante ulterior mais cedo e notificaremos o Cliente logo que possível.

O Cliente pode opor-se a um novo Subcontratante ulterior por motivos razoáveis relacionados com a proteção de dados no prazo de 14 dias a contar da notificação. Procuraremos então, de boa-fé e em conjunto com o Cliente, encontrar uma solução. Se tal não for possível, o Cliente pode pôr termo aos Serviços afetados mediante notificação escrita, e reembolsaremos os preços pagos antecipadamente relativos ao prazo remanescente.

A Vigilbase imporá a cada Subcontratante ulterior, por contrato escrito, obrigações de proteção de dados que protejam os Dados Pessoais do Cliente pelo menos tão bem como esta DPA, e continua a ser responsável perante o Cliente pelo cumprimento dessas obrigações pelos seus Subcontratantes ulteriores.

7. Assistência

Tendo em conta a natureza do Tratamento, a Vigilbase prestará assistência ao Cliente, através das funcionalidades dos Serviços e por outros meios na medida razoavelmente necessária, para responder aos pedidos dos titulares dos dados que exerçam os seus direitos. Se um titular dos dados nos contactar diretamente acerca de Dados Pessoais do Cliente, encaminhá-lo-emos para o Cliente.

A Vigilbase prestará ao Cliente informações e assistência razoáveis para as suas avaliações de impacto sobre a proteção de dados e consultas prévias às autoridades de controlo, na medida em que digam respeito ao nosso Tratamento.

8. Violações de Dados Pessoais

A Vigilbase notificará o Cliente sem demora injustificada e, em qualquer caso, no prazo de 72 horas após ter tomado conhecimento de uma Violação de Dados Pessoais. A notificação descreverá, na medida do que for conhecido nesse momento, a natureza da violação, as categorias e o número aproximado de titulares dos dados e de registos em causa, as suas consequências prováveis e as medidas adotadas ou propostas. Prestaremos informações adicionais à medida que forem ficando disponíveis.

A Vigilbase tomará medidas razoáveis para conter e corrigir a violação e ajudará o Cliente a cumprir as suas obrigações de notificação às autoridades de controlo e aos titulares dos dados. A notificação de uma violação ao Cliente não constitui reconhecimento de culpa ou de responsabilidade.

9. Auditorias

A Vigilbase disponibilizará as informações razoavelmente necessárias para demonstrar o cumprimento desta DPA. Mediante pedido, e sob reserva de confidencialidade, forneceremos o nosso relatório SOC 2 Type 2 e o nosso certificado ISO 27001 mais recentes e responderemos a um questionário de segurança razoável uma vez por ano.

Se essas informações não forem suficientes para demonstrar o cumprimento, se uma autoridade de controlo o exigir, ou após uma Violação de Dados Pessoais, o Cliente pode auditar o nosso Tratamento de Dados Pessoais do Cliente. As auditorias exigem um aviso prévio de 30 dias, realizam-se no máximo uma vez em cada período de 12 meses, durante o horário de expediente, são efetuadas pelo Cliente ou por um auditor independente vinculado a confidencialidade, correm por conta do Cliente e não podem aceder a dados de outros clientes nem comprometer a segurança.

10. Transferências internacionais

A Vigilbase e os seus Subcontratantes ulteriores Tratam Dados Pessoais do Cliente nos países indicados na página de subcontratantes ulteriores, incluindo os Estados Unidos. A Vigilbase só transferirá Dados Pessoais do Cliente para outros países em conformidade com a Legislação de Proteção de Dados.

EEE. Para transferências do Espaço Económico Europeu para um país que não beneficie de uma decisão de adequação, as Cláusulas Contratuais-Tipo são incorporadas nesta DPA. Aplica-se o Módulo Dois quando o Cliente é responsável pelo tratamento e o Módulo Três quando o Cliente é subcontratante. O Cliente é o exportador de dados e a Vigilbase é o importador de dados. Aplica-se a cláusula 7 (cláusula de adesão). Nos termos da cláusula 9, aplica-se a opção 2 (autorização geral por escrito), com o prazo de notificação previsto na secção 6. A redação facultativa da cláusula 11 não se aplica. Nos termos da cláusula 13, a autoridade de controlo competente é a determinada pelo estabelecimento ou pelo representante do Cliente. As cláusulas 17 e 18 designam a lei e os tribunais da Irlanda. Os Anexos I e II são preenchidos pelos Anexos 1 e 2 desta DPA, e o Anexo III pela página de subcontratantes ulteriores.

Reino Unido. Para transferências sujeitas à legislação de proteção de dados do Reino Unido, aplica-se o International Data Transfer Addendum to the EU Standard Contractual Clauses emitido pelo UK Information Commissioner. Os seus quadros são preenchidos com os dados constantes desta DPA, e nenhuma das partes lhe pode pôr termo ao abrigo da respetiva secção 19.

Suíça. Para transferências sujeitas ao Swiss Federal Act on Data Protection, as Cláusulas Contratuais-Tipo aplicam-se conforme acima referido, as referências ao RGPD incluem a lei suíça, o Federal Data Protection and Information Commissioner é uma autoridade de controlo competente e os titulares dos dados na Suíça podem intentar ações na Suíça.

Outros países. Quando outra Legislação de Proteção de Dados exija um mecanismo de transferência, como as cláusulas-padrão contratuais da LGPD do Brasil, a secção 72 do POPIA da África do Sul, as secções 48 a 50 do Data Protection Act do Quénia ou as regras de transferência da DIFC Data Protection Law, esta DPA e as cláusulas acima referidas destinam-se a proporcionar as garantias exigidas. Quando uma lei exija as suas próprias cláusulas-tipo, estas são incorporadas com os dados constantes desta DPA.

A Vigilbase assegurará que qualquer Afiliada que Trate Dados Pessoais do Cliente fique vinculada por termos escritos pelo menos tão protetores como a presente DPA, incluindo os mecanismos de transferência acima referidos. Se uma autoridade pública solicitar acesso a Dados Pessoais do Cliente, a Vigilbase notificará o Cliente quando a lei o permitir e contestará os pedidos que considere ilícitos.

11. Devolução e eliminação

Durante o prazo, o Cliente pode exportar o Conteúdo do Cliente através dos Serviços. No prazo de 30 dias após a cessação dos Serviços, a Vigilbase eliminará os Dados Pessoais do Cliente, salvo se a lei nos obrigar a conservá-los. As cópias existentes em cópias de segurança são eliminadas à medida que estas expiram, no prazo de 90 dias, e permanecem protegidas por esta DPA até lá.

12. Leis estaduais de privacidade dos EUA

Quando se apliquem leis estaduais de privacidade dos EUA, a Vigilbase é o prestador de serviços ou subcontratante do Cliente. A Vigilbase não venderá nem partilhará Dados Pessoais do Cliente, não os conservará, utilizará nem divulgará fora da relação comercial direta nem para qualquer finalidade que não seja a prestação dos Serviços, e não os combinará com informações pessoais provenientes de outras fontes, exceto na medida permitida por essas leis. A Vigilbase cumprirá essas leis, assegurará o mesmo nível de proteção que estas exigem, notificará o Cliente se deixar de poder cumprir as suas obrigações e permitirá que o Cliente tome medidas razoáveis para fazer cessar e corrigir utilizações não autorizadas.

13. Responsabilidade e prazo

A responsabilidade de cada parte ao abrigo desta DPA está sujeita às limitações previstas na secção 19 dos Termos de Serviço, exceto quando a Legislação de Proteção de Dados ou as Cláusulas Contratuais-Tipo não permitam essa limitação. Esta DPA aplica-se enquanto a Vigilbase Tratar Dados Pessoais do Cliente.

Anexo 1: Descrição do Tratamento

Anexo 2: Medidas técnicas e organizativas

• Governação. Um sistema de gestão da segurança da informação em conformidade com a ISO 27001 e auditado segundo o SOC 2 Type 2, com políticas revistas pelo menos anualmente e um responsável de segurança designado.
• Controlo de acessos. Autenticação única (single sign-on) e autenticação multifator para o pessoal, acesso baseado em funções segundo o princípio do privilégio mínimo, autenticação reforçada para ações sensíveis, revisões trimestrais de acessos e remoção imediata do acesso quando um membro do pessoal sai.
• Cifragem. TLS 1.2 ou superior em trânsito e AES-256 ou equivalente em repouso. Os segredos são guardados num cofre de segredos gerido, nunca no código-fonte.
• Isolamento entre clientes. Os dados dos clientes são separados por cliente (tenant) nas camadas de aplicação e de base de dados, e o isolamento é testado.
• Desenvolvimento seguro. Revisão de código em cada alteração, testes automatizados e análise de segurança na CI, monitorização de dependências e implementações em produção protegidas.
• Monitorização e registo. Registo centralizado de eventos administrativos e de segurança, alertas e cobertura 24/7 pelas nossas equipas distribuídas por vários fusos horários (follow-the-sun).
• Gestão de vulnerabilidades. Testes de intrusão regulares, um programa público de divulgação de vulnerabilidades e prazos de correção em função da gravidade.
• Resposta a incidentes. Um plano de resposta a incidentes documentado e testado, incluindo a notificação de violações conforme previsto na secção 8.
• Resiliência. Alojamento em fornecedores com infraestrutura redundante, cópias de segurança e procedimentos de recuperação documentados.
• Gestão de fornecedores. Análise de segurança e privacidade dos Subcontratantes ulteriores antes da sua utilização e, posteriormente, de forma periódica.
• Pessoas. Acordos de confidencialidade, formação em segurança e privacidade no momento da contratação e todos os anos, e verificação de antecedentes antes da contratação, quando a legislação local o permita.
• Segurança física. Assegurada pelos centros de dados certificados dos nossos fornecedores de alojamento. A Vigilbase não opera centros de dados próprios.