1. Partes e âmbito
Este acordo é celebrado entre o utilizador (o proprietário do espaço de trabalho, aqui designado cliente) e a A Plus Apps, registada na Câmara de Comércio neerlandesa (KVK) sob o número 42117052 e estabelecida nos Países Baixos, que opera o serviço PollsLive. Rege o nosso tratamento de dados pessoais por conta do cliente e prevalece sobre qualquer disposição em contrário dos Termos e Condições nessa matéria. Nada nele reduz um direito que lhe assista ao abrigo do RGPD.
2. Quem é o responsável pelo tratamento e quem é o subcontratante
Relativamente ao conteúdo e às respostas dentro do seu espaço de trabalho (as perguntas que escreve, os votos e as respostas de texto livre que os seus participantes submetem, as alcunhas que escolhem e quaisquer campos de captação de contactos que ative), o cliente é o responsável pelo tratamento e nós somos o subcontratante. O cliente decide o que perguntar, a quem perguntar e durante quanto tempo conservar os dados. Este acordo abrange esse tratamento.
Relativamente à sua própria conta (o seu nome, e-mail, espaço de trabalho, estado de faturação e histórico de suporte), somos o responsável pelo tratamento, e esse tratamento rege-se pela nossa Política de Privacidade e não por este acordo. A repartição é a mesma que consta da secção 2 dessa política.
Quando uma escola, entidade empregadora ou outra instituição realiza sessões com a PollsLive, essa instituição é o responsável pelo tratamento relativamente à atividade na sala de aula ou no local de trabalho, e este acordo é celebrado com ela.
3. Objeto, duração, natureza e finalidade
Objeto e finalidade. Prestação do serviço PollsLive: alojamento de sondagens, inquéritos e sessões ao vivo, recolha e contagem de respostas em tempo real, apresentação de resultados e produção de exportações e resumos a pedido do cliente.
Natureza do tratamento. Recolha, registo, armazenamento, estruturação, consulta, apresentação, exportação e apagamento, por meios automatizados. Quando utiliza as nossas funcionalidades de IA, inclui também a transmissão ao subcontratante de IA indicado na nossa página de Subcontratantes. Note que executar um resumo de respostas por IA envia as respostas de texto livre dos seus participantes para essa sondagem.
Duração. Enquanto o seu espaço de trabalho existir e, posteriormente, apenas durante o período descrito na secção 10.
Categorias de titulares dos dados. Os seus participantes e inquiridos, os membros que convida para o seu espaço de trabalho e quaisquer pessoas identificadas no conteúdo que carrega.
Tipos de dados pessoais. Respostas às suas perguntas, incluindo respostas de texto livre; alcunhas ou nomes de apresentação que os participantes introduzem; quaisquer campos de contacto ou de captação de contactos que opte por recolher; nomes e endereços de e-mail dos membros do espaço de trabalho; e dados técnicos utilizados para impedir votos duplicados, que consistem num valor pseudónimo unidirecional e não num endereço armazenado. Não lhe pedimos dados de categorias especiais nos termos do artigo 9.º, e o serviço não foi concebido para os conter. Se as suas perguntas os suscitarem, o cliente continua a ser o responsável pelo tratamento relativamente a essa decisão.
4. Tratamento mediante instruções documentadas
Tratamos dados pessoais apenas mediante as suas instruções documentadas, incluindo no que respeita a transferências internacionais. A sua utilização do serviço (as sondagens que cria, as definições que escolhe, as exportações que executa) constitui essas instruções, juntamente com este acordo e os Termos. Se o direito da UE ou de um Estado-Membro nos obrigar a efetuar o tratamento com outro fundamento, informá-lo-emos antes de o fazer, salvo se esse direito proibir tal informação. Se considerarmos que uma instrução viola a legislação de proteção de dados, informá-lo-emos.
5. Confidencialidade
O acesso aos sistemas de produção está limitado às pessoas que dele necessitam para operar e dar suporte ao serviço, e estas estão vinculadas a obrigações de confidencialidade que subsistem após o fim da sua colaboração. Não lemos o conteúdo dos espaços de trabalho, exceto quando tal é necessário para prestar o suporte que solicitou, para investigar uma denúncia de abuso ou quando a lei o exige.
6. Medidas de segurança (artigo 32.º)
As medidas técnicas e organizativas atualmente em vigor. São descritas com mais pormenor na nossa página de Segurança; esta lista corresponde àquilo com que nos comprometemos contratualmente, e podemos alterar uma medida específica desde que o nível global de proteção não seja reduzido.
- Cifragem em trânsito. Todo o tráfego é servido através de TLS, terminado na nossa CDN, com HTTP Strict Transport Security aplicado.
- Armazenamento de credenciais. As palavras-passe são protegidas através de armazenamento unidirecional segundo as normas do setor. Nunca conservamos uma cópia recuperável.
- Minimização de dados para a prevenção de abusos. Os identificadores técnicos utilizados para prevenir abusos são minimizados, protegidos e conservados apenas na medida do necessário para a finalidade de segurança em causa.
- Segurança da infraestrutura. Os dados do serviço estão alojados na União Europeia, com controlos de rede e de acesso em camadas.
- Controlo de acessos. O acesso aos espaços de trabalho baseia-se em funções, as ações administrativas são auditadas e o acesso à produção está limitado a pessoal autorizado.
- Reforço da segurança da aplicação. Utilizamos controlos de segurança do navegador, limites de pedidos, prevenção automatizada de abusos e monitorização de segurança adequados ao serviço.
- Segurança dos carregamentos. As imagens são recodificadas na receção, o que remove os metadados incorporados e tudo o que não sejam dados de imagem, e os tipos de ficheiro não seguros são recusados.
- Resiliência. As cópias de segurança são executadas de forma programada, são guardadas noutro local e a sua restauração é testada, em vez de presumida. Os limites de conservação são aplicados por uma tarefa programada, em vez de ficarem como mera intenção.
- Disponibilidade dos seus dados para si. Os proprietários dos espaços de trabalho podem exportar os seus dados e apagar a sua conta sem nos pedirem, pelo que nenhuma destas ações depende do nosso tempo de resposta.
- Aplicação de correções e gestão de vulnerabilidades. As atualizações de segurança do sistema operativo são aplicadas automaticamente, e a configuração do servidor é auditada regularmente. As dependências da aplicação são monitorizadas quanto a vulnerabilidades publicadas e atualizadas de forma contínua.
- Dados armazenados. O acesso aos dados do serviço armazenados é restrito e as credenciais sensíveis utilizam proteção unidirecional.
7. Subcontratantes
Concede-nos uma autorização geral para recorrer a subcontratantes. A lista atual, com a finalidade de cada um, os dados que trata e a sua localização, está publicada e é mantida atualizada em Subcontratantes. Essa página constitui o anexo a este acordo, e não uma cópia do mesmo, pelo que os dois não podem divergir.
Cada subcontratante está vinculado por um acordo escrito que impõe obrigações de proteção de dados não menos protetoras do que as deste acordo, e somos responsáveis perante o cliente pelo seu desempenho como pelo nosso, dentro dos limites de responsabilidade da secção 20 dos nossos Termos e Condições. Quando planeamos adicionar ou substituir um subcontratante, atualizamos essa página com a alteração e a data em que produz efeitos pelo menos 30 dias antes de este começar a tratar os seus dados, a menos que tenhamos de agir mais cedo para manter o Serviço seguro ou disponível, caso em que a atualizamos logo que possível. Qualquer cliente pode pedir, através do nosso formulário de contacto, para ser informado diretamente dessas alterações, e pode opor-se por motivos razoáveis de proteção de dados antes de a alteração produzir efeitos. Se não conseguirmos dar resposta à oposição, pode pôr termo ao serviço afetado e reembolsamos quaisquer taxas pagas antecipadamente relativas ao período não utilizado.
8. Assistência no exercício dos direitos dos titulares dos dados
Tendo em conta a natureza do tratamento, prestamos-lhe assistência através de medidas técnicas e organizativas adequadas para dar resposta aos pedidos dos seus participantes de acesso, retificação, apagamento, limitação, portabilidade ou oposição ao tratamento dos seus dados. Na prática, a maior parte disto é autosserviço: os proprietários dos espaços de trabalho podem ver, exportar e eliminar respostas diretamente. Se um participante nos contactar sobre uma sondagem que realizou, remetê-lo-emos para si enquanto responsável pelo tratamento e ajudá-lo-emos a dar seguimento ao pedido. Quando um pedido nos chegar e a lei exigir que atuemos nós próprios, fá-lo-emos.
9. Notificação de violações e avaliações
Mantemos procedimentos para detetar, investigar e registar violações de dados pessoais. Quando uma violação afetar dados pessoais que tratamos por sua conta, notificá-lo-emos sem demora injustificada e, em qualquer caso, no prazo de 48 horas após dela termos conhecimento, com as informações de que necessita para cumprir a sua própria obrigação nos termos do artigo 33.º: o que aconteceu, as categorias e o número aproximado de registos em causa, as consequências prováveis e as medidas adotadas. Se ainda não dispusermos de todas essas informações, enviamos as que temos e completamo-las posteriormente. A notificação da sua autoridade de controlo continua a ser uma decisão sua enquanto responsável pelo tratamento.
Prestamos-lhe assistência, tendo em conta a natureza do tratamento e as informações ao nosso dispor, nas avaliações de impacto sobre a proteção de dados e na consulta prévia nos termos dos artigos 35.º e 36.º.
10. Devolução e eliminação
A qualquer momento durante a prestação do serviço, pode exportar os dados do seu espaço de trabalho num formato legível por máquina, pelo que a devolução não depende da cessação.
Quando elimina a sua conta ou encerra o seu espaço de trabalho, eliminamos os dados pessoais que tratamos por sua conta, exceto quando o direito da UE ou de um Estado-Membro nos obrigue a conservá-los, nomeadamente os registos de faturação, que estão sujeitos a uma obrigação de conservação neerlandesa e são divulgados na nossa Política de Privacidade em vez de eliminados. Eliminamo-los dos nossos sistemas ativos no prazo de 30 dias, e saem das nossas cópias de segurança à medida que estas são substituídas, num prazo adicional de 35 dias. Mediante pedido, confirmamos a eliminação por escrito.
11. Informação e auditoria
Disponibilizamos-lhe as informações necessárias para demonstrar o cumprimento do artigo 28.º e permitimos e contribuímos para auditorias, incluindo inspeções, conduzidas pelo cliente ou por um auditor por si mandatado.
Em primeiro lugar, responderemos a um questionário de segurança escrito e forneceremos uma descrição escrita dos nossos controlos, da residência dos dados e das práticas de revisão, o que, para a maioria dos clientes, resolve a questão sem uma visita presencial. Quando tal não for efetivamente suficiente, pode ser realizada uma auditoria mediante aviso prévio razoável, no máximo uma vez por ano, salvo se uma violação ou uma autoridade de controlo exigir o contrário, durante o horário de expediente, sujeita a confidencialidade e de forma a não perturbar o serviço para outros clientes. Somos uma pequena empresa: não publicamos relatórios de auditoria detalhados na internet pública, e dizemo-lo em vez de insinuar uma certificação que não detemos.
12. Transferências internacionais
A nossa aplicação principal e a base de dados estão alojadas na União Europeia. Quando um subcontratante possa tratar dados pessoais fora do EEE, essa transferência é efetuada ao abrigo de uma garantia adequada nos termos do artigo 46.º: na prática, as Cláusulas Contratuais-Tipo da Comissão Europeia e, quando relevante, o Quadro de Privacidade de Dados UE-EUA. As cláusulas do Módulo Dois (de responsável pelo tratamento para subcontratante) são incorporadas neste acordo por remissão para qualquer transferência desse tipo, sendo os Anexos deste acordo fornecidos pelas secções 3, 6 e 7 acima.
13. Obter uma cópia assinada
Este acordo já está em vigor para o seu espaço de trabalho; não é necessária qualquer assinatura para que se aplique. Se a sua equipa de aquisições ou jurídica precisar de um PDF contra-assinado, ou precisar que seja celebrado no seu próprio modelo, envie um e-mail para support@pollslive.com ou utilize o nosso formulário de contacto e escolha "Privacidade / RGPD". As questões sobre qualquer dos pontos acima devem ser dirigidas para o mesmo local.