Este Acordo de Tratamento de Dados ("DPA") complementa os Termos de Serviço entre o cliente ("Responsável pelo Tratamento") e a kaptto ("Subcontratante"), nos termos do artigo 28.º do RGPD.
1. Definições
Para efeitos deste DPA: (a) "Responsável" designa a empresa cliente da kaptto; (b) "Subcontratante" ou "Encarregado do Tratamento" designa a kaptto; (c) "Dados Pessoais" designa qualquer informação relativa a uma pessoa singular identificada ou identificável; (d) "RGPD" designa o Regulamento (UE) 2016/679. Os termos não definidos têm o significado que lhes é atribuído pelo RGPD.
2. Objecto
Este DPA regula o tratamento de Dados Pessoais pela kaptto no âmbito da prestação dos serviços de gestão de avaliações e NPS contratados pelo Responsável.
3. Natureza, Finalidade e Duração
Natureza: tratamento informatizado para suporte à gestão de feedback de clientes. Finalidade: as previstas nos Termos de Serviço. Duração: enquanto vigorar o contrato, acrescida do período de retenção previsto na Política de Privacidade.
4. Categorias de Titulares e Tipos de Dados
Titulares: utilizadores da plataforma (colaboradores do Responsável) e clientes finais que submetem avaliações. Tipos de dados: nome, email, telefone, conteúdo de avaliações, metadados técnicos (IP, browser, timestamp). Não são tratadas categorias especiais de dados (saúde, biometria, etc.) salvo se o cliente final voluntariamente as incluir num comentário, caso em que serão tratadas com a mesma confidencialidade.
5. Obrigações da kaptto
A kaptto compromete-se a: (a) tratar os dados apenas conforme instruções documentadas do Responsável; (b) garantir confidencialidade do pessoal autorizado; (c) implementar medidas técnicas e organizativas adequadas (artigo 32.º RGPD); (d) auxiliar o Responsável no cumprimento das obrigações dos artigos 32.º a 36.º; (e) eliminar ou devolver os dados no fim do contrato; (f) facilitar auditorias mediante aviso prévio razoável.
6. Direitos e Obrigações do Responsável
O Responsável: (a) garante a base legal para o tratamento (consentimento, contrato, etc.); (b) responde a pedidos de exercício de direitos dos titulares (com auxílio do Subcontratante); (c) instruí o Subcontratante por escrito sobre o tratamento; (d) é responsável por configurar correctamente as funcionalidades da plataforma e os acessos da sua equipa.
7. Sub-processadores
O Responsável autoriza a contratação dos sub-processadores listados na secção 5.1 da Política de Privacidade. A adição de novos sub-processadores será comunicada com 30 dias de antecedência, podendo o Responsável opor-se. Em caso de oposição não resolvida, será negociada solução alternativa ou rescisão sem penalidade.
8. Transferências Internacionais
Transferências para fora do Espaço Económico Europeu são realizadas ao abrigo das Cláusulas Contratuais Padrão (SCC) aprovadas pela Comissão Europeia ou outras garantias adequadas previstas no RGPD.
9. Medidas de Segurança
A kaptto implementa: (a) encriptação em repouso (AES-256) e em trânsito (TLS 1.2+); (b) controlo de acesso baseado em funções (RBAC); (c) registo centralizado de actividade (audit log); (d) cópias de segurança regulares com retenção mínima de 7 dias; (e) testes de segurança periódicos; (f) políticas internas de privacidade e formação do pessoal.
10. Notificação de Violação de Dados
A kaptto notificará o Responsável sem demora indevida (e em qualquer caso até 48 horas) após tomar conhecimento de uma violação de Dados Pessoais que afecte dados do Responsável, fornecendo as informações necessárias para o Responsável cumprir o artigo 33.º do RGPD.
11. Auditoria
O Responsável tem direito a auditar o cumprimento deste DPA mediante aviso prévio de 30 dias, em horário comercial, no máximo uma vez por ano (excepto em caso de incidente confirmado). A kaptto disponibilizará relatórios de conformidade actualizados (ex.: SOC 2, ISO 27001 quando aplicável) que poderão substituir auditorias presenciais.
12. Disposições Finais
Este DPA prevalece sobre os Termos de Serviço em caso de conflito relativo ao tratamento de Dados Pessoais. Contacto designado para questões de privacidade: privacidade@kaptto.pt. Lei aplicável: legislação portuguesa. Foro: comarca de Lisboa.