Acordo de Subcontratação (DPA) – Plattio

O presente Acordo de Subcontratação (o "DPA") faz parte integrante dos Termos de Serviço da Plattio (os "Termos") e é aceite juntamente com eles. Regula o tratamento de dados pessoais que a Plattio LLC ("Plattio") realiza por conta do cliente (o "Cliente") na prestação do Serviço, em conformidade com o artigo 28.º do Regulamento (UE) 2016/679 ("RGPD"). Em matéria de proteção de dados, este DPA prevalece sobre os Termos, e as Cláusulas Contratuais-Tipo referidas na cláusula 9 prevalecem sobre ambos.

1. Partes e funções

O Cliente atua como Responsável pelo tratamento e a Plattio como Subcontratante. Os termos "dados pessoais", "tratamento", "titular dos dados", "violação de dados pessoais" e análogos têm o significado que lhes é atribuído pelo RGPD.

2. Detalhes do tratamento

• Objeto e natureza: alojamento e gestão de reservas e listas de espera, mensagens (confirmações, lembretes e campanhas), CRM, análises e relatórios (incluindo as funções de inteligência artificial) e suporte técnico.
• Finalidade: a prestação do Serviço em conformidade com os Termos.
• Duração: a vigência do contrato, acrescida dos prazos de eliminação da cláusula 10.
• Categorias de titulares dos dados: clientes finais do Cliente (comensais) e pessoal do Cliente.
• Tipos de dados: dados de identificação e contacto, dados de reservas, histórico e notas, preferências e dados de utilização da plataforma.
• O Cliente obriga-se a não introduzir categorias especiais de dados (art. 9.º do RGPD) nem dados de menores abaixo da idade mínima aplicável.

3. Instruções

A Plattio tratará os dados pessoais exclusivamente de acordo com as instruções documentadas do Cliente, constantes dos Termos, deste DPA e da configuração do Serviço efetuada pelo Cliente. A Plattio informará o Cliente se, no seu entender, uma instrução violar o RGPD ou outra legislação aplicável de proteção de dados.

4. Confidencialidade do pessoal

A Plattio garante que as pessoas autorizadas a tratar dados pessoais se comprometeram com a confidencialidade ou estão sujeitas a uma obrigação legal de confidencialidade, e que acedem aos dados apenas na medida necessária para prestar o Serviço.

5. Segurança

A Plattio aplica as medidas técnicas e organizativas adequadas (art. 32.º do RGPD), que incluem: encriptação TLS/AES, controlo de acesso baseado em funções, autenticação multifator para administradores, registos de acesso e auditoria, cópias de segurança encriptadas com testes periódicos, separação de ambientes, testes de segurança e proteção contra ataques DDoS. Estas medidas constituem o Anexo II para efeitos das Cláusulas Contratuais-Tipo referidas na cláusula 9.

6. Subcontratantes

O Cliente autoriza de forma geral a contratação de subcontratantes. A lista em vigor consta da secção de subcontratantes da Política de Privacidade e está disponível através de [email protected]. A Plattio comunicará as adições ou substituições com pelo menos 30 dias de antecedência (por email ou aviso na plataforma); o Cliente poderá opor-se por motivos razoáveis relacionados com a proteção de dados e, se não for alcançada uma solução, resolver a parte afetada do Serviço. A Plattio impõe a cada subcontratante, por contrato, obrigações de proteção de dados equivalentes às deste DPA e responde perante o Cliente pelo cumprimento dos seus subcontratantes.

7. Assistência e notificação de violações

Tendo em conta a natureza do tratamento, a Plattio prestará assistência ao Cliente: (a) no tratamento dos direitos dos titulares dos dados, reencaminhando-lhe sem demora os pedidos que receba e disponibilizando as ferramentas do Serviço; e (b) no cumprimento das obrigações de segurança, notificação de violações, avaliações de impacto e consultas prévias (arts. 32.º a 36.º do RGPD), com a informação de que disponha. A Plattio notificará o Cliente de qualquer violação de dados pessoais sem demora injustificada e, o mais tardar, nas 72 horas seguintes a ter tido conhecimento da mesma, com a informação disponível nos termos do art. 33.º, n.º 3, do RGPD.

8. Auditorias

A Plattio disponibilizará ao Cliente a informação necessária para demonstrar o cumprimento deste DPA, em primeiro lugar através da documentação, certificações e relatórios de que disponha. O Cliente poderá realizar uma auditoria (por si ou através de um terceiro não concorrente sujeito a confidencialidade) no máximo uma vez por ano, com um pré-aviso de 30 dias, em horário laboral, sem aceder a dados de outros clientes nem comprometer a segurança da plataforma, e suportando os respetivos custos.

9. Transferências internacionais

Os dados são tratados nos Estados Unidos e noutros países. Para as transferências a partir do EEE, mediante a aceitação deste DPA as partes subscrevem as Cláusulas Contratuais-Tipo da Comissão Europeia (Decisão de Execução (UE) 2021/914), módulo dois (responsável para subcontratante), incorporadas por referência: o Anexo I é preenchido com as partes e os detalhes do tratamento das cláusulas 1 e 2 deste DPA; o Anexo II, com as medidas da cláusula 5; a cláusula 17 rege-se pela lei espanhola e a cláusula 18 designa os tribunais espanhóis. Os subcontratantes estabelecidos nos Estados Unidos baseiam as suas transferências nas certificações do EU–US Data Privacy Framework ou nas suas próprias Cláusulas Contratuais-Tipo.

10. Eliminação e devolução

No termo do Serviço, o Cliente dispõe de 30 dias para exportar os seus dados num formato de uso corrente e legível por máquina. Decorrido esse prazo, a Plattio eliminará os dados pessoais tratados por conta do Cliente, e as cópias de segurança serão eliminadas definitivamente num prazo máximo de 90 dias, salvo se uma obrigação legal exigir a sua conservação.

11. Responsabilidade

A responsabilidade entre as partes decorrente deste DPA fica sujeita aos limites dos Termos, sem prejuízo dos direitos dos titulares dos dados (que podem invocar as Cláusulas Contratuais-Tipo como terceiros beneficiários) nem do regime de responsabilidade do artigo 82.º do RGPD.

12. Vigência e contacto

Este DPA mantém-se em vigor enquanto a Plattio tratar dados pessoais por conta do Cliente. Para qualquer questão relacionada com este DPA: