Adendo de Tratamento de Dados (DPA)

Acordo de Tratamento de Dados (DPA) 1. Definições e Âmbito de Aplicação Este Acordo de Tratamento de Dados ("DPA") complementa os Termos de Serviço da AdminRentist e regula o tratamento de dados pessoais por parte da MEDITERRAN-IA LTD ("Subcontratante" ou "AdminRentist") em nome do cliente ("Responsável pelo Tratamento"). O Responsável pelo Tratamento é uma empresa ou profissional que contrata os serviços da plataforma AdminRentist para a gestão de alojamentos turísticos e das atividades associadas a essa gestão. O Subcontratante é uma empresa especializada na prestação de serviços tecnológicos para a gestão integral de alojamentos turísticos, através de uma plataforma SaaS que permite gerir reservas, hóspedes, ocorrências, prestadores e outros serviços associados à estadia. Considerando que, por força dos Termos de Serviço aceites pelo Responsável pelo Tratamento, o Subcontratante poderá ter acesso a dados pessoais relativamente aos quais o cliente é o Responsável pelo Tratamento. Considerando que, em conformidade com o Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (RGPD), as partes acordaram em celebrar o presente Acordo de Tratamento de Dados. 2. Objeto do Acordo O objeto do presente Acordo é regular o tratamento por parte do Subcontratante dos dados pessoais pertencentes ao cliente, com a finalidade de prestar os serviços definidos nos termos e condições (doravante, os "Serviços") confiados pelo Responsável pelo Tratamento. O presente Acordo consubstancia um acesso a dados por conta de terceiros e não uma cessão ou comunicação de dados pessoais, pelo que o cliente continua a manter sob o seu controlo as utilizações e as finalidades do tratamento dos dados pessoais sobre os quais detém a qualidade de Responsável. 3. Duração O tratamento dos dados pessoais realizar-se-á durante a vigência dos Termos de Serviço. Após a sua cessação, os dados poderão ser conservados por um período máximo de sessenta (60) dias exclusivamente para efeitos de recuperação, devolução ou exportação da informação, permanecendo bloqueados para qualquer outra finalidade. Decorrido esse prazo, serão eliminados de forma segura, exceto se a sua conservação for exigida por obrigação legal. 4. Tratamento de dados de caráter pessoal Mediante as presentes estipulações, o Subcontratante fica habilitado a tratar, por conta do Responsável pelo Tratamento, os dados de caráter pessoal necessários para a prestação dos Serviços. O Subcontratante foi selecionado após verificação de que oferece garantias suficientes para a aplicação de medidas técnicas e organizativas adequadas, de modo a que o tratamento cumpra os requisitos legais e assegure a defesa dos direitos dos titulares. As categorias de titulares incluem proprietários, gestores, pessoal de manutenção e hóspedes (nomes, e-mails, números de telefone, dados de registo de viajantes e números de identificação fiscal). O Subcontratante realizará as seguintes operações de tratamento: recolha, registo, organização, estruturação, conservação, consulta, utilização e apagamento. 5. Obrigações do Subcontratante 2.1 Tratamento sob instruções: A AdminRentist tratará os dados pessoais apenas de acordo com as instruções documentadas do Responsável e exclusivamente para a prestação dos Serviços. Em caso algum poderá utilizar os dados para fins diferentes dos previstos no presente Acordo. 2.2 Confidencialidade e Segurança: O Subcontratante assegura que todo o pessoal autorizado a aceder aos dados está vinculado a obrigações de confidencialidade e atua apenas sob instrução do Responsável. Além disso, não transmitirá dados a terceiros sem autorização expressa. O Subcontratante aplicará medidas técnicas e organizativas adequadas nos termos do artigo 32.º do RGPD e alinhadas com o referencial Cyber Essentials (encriptação em trânsito e em repouso, autenticação multifator e controlo de acessos baseado em funções). 2.3 Assistência e Direitos dos Titulares: A AdminRentist prestará assistência ativa ao Responsável no cumprimento das obrigações de resposta aos pedidos dos titulares (acesso, retificação, apagamento, portabilidade, oposição), bem como na realização de avaliações de impacto (AIPD) e consultas prévias às autoridades de controlo. Se os titulares exercerem os seus direitos diretamente junto do Subcontratante, este reencaminhará o pedido por e-mail ao Responsável com a máxima celeridade, o mais tardar no dia útil seguinte à receção. O Subcontratante disponibilizará igualmente ao Responsável toda a informação necessária para demonstrar o cumprimento das obrigações deste Acordo. 2.4 Notificação de Violações de Dados: A AdminRentist notificará o Responsável sobre qualquer incidente de segurança sem demora injustificada e, na medida do possível, no prazo máximo de 24 a 48 horas após ter conhecimento do evento. A notificação descreverá a natureza da violação, dados afetados, consequências e medidas mitigadoras. A responsabilidade pela notificação à autoridade competente no prazo de 72 horas recai sobre o Responsável. 6. Obrigações do Responsável pelo Tratamento Incumbe ao Responsável: 6.1 Assegurar o cumprimento de todas as medidas necessárias para garantir a segurança dos dados pessoais, evitando a sua alteração, perda, tratamento ou acesso não autorizado. 6.2 Comunicar ao Subcontratante quaisquer alterações aos dados fornecidos para a sua devida atualização. 6.3 Recolher os dados respeitando a legislação aplicável em matéria de Proteção de Dados. 6.4 O Responsável garante: a. Que os dados foram obtidos diretamente dos titulares após informação prévia, clara e inequívoca sobre: • A existência da base de dados. • A finalidade da recolha. • Os destinatários da informação. • As consequências da recusa no fornecimento. • O exercício dos direitos (acesso, retificação, apagamento, oposição, limitação, portabilidade). • A identidade e morada do Responsável. b. Que informou os titulares quanto a finalidades explícitas e legítimas. c. Que disponibiliza um meio simples e gratuito para a oposição ao tratamento. d. Que implementou medidas de segurança eficazes. e. Que o tratamento é restrito a colaboradores instruídos e vinculados ao dever de confidencialidade. f. A licitude do tratamento efetuado. g. A nomeação de um Encarregado de Proteção de Dados (DPO) se aplicável. h. A manutenção de um Registo das Atividades de Tratamento. 7. Subcontratantes Ulteriores e Direito de Oposição 3.1 Autorização geral: O Responsável concede autorização geral à AdminRentist para recorrer a subcontratantes ulteriores. Quaisquer alterações serão notificadas por escrito com 30 dias de antecedência, assistindo ao Responsável o direito de oposição. A ausência de oposição presume consentimento. Os subcontratantes ficam sujeitos a obrigações equivalentes. 3.2 Lista Atual: Os subcontratantes essenciais são: (a) Amazon Web Services (AWS) (dados alojados no Reino Unido e EEE - Irlanda); (b) Stripe, Inc. (processamento de pagamentos e prevenção de fraudes); (c) Matomo (estatísticas anonimizadas). 8. Transferências Internacionais e Auditorias 4.1 Salvaguardas: Em caso de transferência para fora do Reino Unido ou do EEE, aplicar-se-ão salvaguardas adequadas (IDTA, Cláusulas Contratuais-Tipo da UE (SCCs), UK Addendum e avaliações de risco de transferência). 4.2 Direito de Auditoria: A AdminRentist permitirá a realização de auditorias razoáveis promovidas pelo Responsável ou auditores independentes, mediante pré-aviso de 30 dias. 4.3 Apagamento ou Devolução Final: Findos os Serviços, o Responsável optará pela devolução ou eliminação definitiva dos dados. As cópias de segurança serão desativadas e destruídas no ciclo seguinte. 9. Responsabilidade em Caso de Reclamações 9.1 Em caso de processos administrativos ou reclamações de terceiros, o Subcontratante comunicará o facto de imediato ao Responsável, remetendo cópia das deliberações finais que venham a ser proferidas. 9.2 Se o Responsável for sancionado devido a incumprimentos imputáveis ao Subcontratante, este indemnizará o montante da sanção, juros legais, custas de defesa e danos comprovadamente causados. 9.3 Ambas as partes respondem perante a outra pelos danos emergentes de conduta culposa ou negligente. 10. Confidencialidade 10.1 A informação confidencial partilhada destina-se unicamente à prestação dos Serviços, estando vedada a sua divulgação a terceiros sem consentimento prévio por escrito. 10.2 O Subcontratante adota as salvaguardas necessárias para preservar o dever de segredo e proteção dos dados pessoais. 10.3 O dever de confidencialidade vigora por tempo indeterminado após a cessação do Acordo. 10.4 Estão excluídas da obrigação de confidencialidade as informações: a. Que pertençam ao domínio público sem infração a este documento. b. Legitimamente obtidas de terceiros desvinculados do dever de segredo. c. Que já fossem do conhecimento prévio da parte recetora. d. Cuja revelação decorra de imposição legal. 11. Rescisão por Incumprimento O incumprimento culposo de obrigações confere à parte não infratora a faculdade de rescindir o presente Acordo mediante comunicação escrita. 12. Legislação Aplicável e Foro 12.1 O presente Acordo rege-se pelo direito de Inglaterra e do País de Gales, sendo territorialmente competentes os respetivos tribunais judiciais. 12.2 A eventual invalidade de uma cláusula não prejudica as demais disposições contratuais, que se mantêm plenamente vigentes.