Acordo de Tratamento de Dados

1. O que é este documento e quando se aplica

O presente Acordo de Tratamento de Dados ("ATD") faz parte integrante dos nossos Termos e Condições do Serviço e aplica-se sempre que utilize a MoverTrack para tratar dados pessoais relativos a outras pessoas — sobretudo os seus clientes.

Existe porque a legislação de proteção de dados exige um contrato escrito entre o responsável pelo tratamento e o subcontratante, e porque deve poder ver exatamente o que fazemos com os dados dos seus clientes.

2. Quem é quem

Cabe-lhe a qualidade de responsável pelo tratamento. É a si que compete decidir que clientes introduzir, o que registar a seu respeito e quem recebe uma ligação de seguimento. São os seus clientes, não os nossos.

Cabe-nos a qualidade de subcontratante. Armazenamos e transmitimos esses dados para lhe prestar o Serviço e para nenhuma finalidade própria. Não os vendemos, não fazemos marketing junto dos seus clientes e não os utilizamos para treinar seja o que for. As informações que tenham sido anonimizadas e combinadas, de modo a já não poderem identificar ninguém, deixam de ser dados pessoais, e podemos utilizá-las para prestar, medir e melhorar o Serviço.

Separadamente, somos responsáveis pelo tratamento por direito próprio quanto aos dados que dizem respeito a si — a sua conta, o seu início de sessão, a sua faturação. Essa matéria é abrangida pela nossa Política de Privacidade e não pelo presente ATD.

3. O que tratamos por sua conta

Objeto e finalidade: a prestação do serviço MoverTrack — agendamento, encomendas, páginas de seguimento para clientes, mensagens, gestão de equipas e, quando o seu plano o incluir, a transformação de conversas de WhatsApp em trabalhos sugeridos.

Duração: enquanto a sua conta estiver ativa, acrescida dos prazos de conservação previstos na secção 10.

Categorias de titulares dos dados: os seus clientes, as pessoas por estes indicadas como contactos e os seus trabalhadores.

Categorias de dados pessoais:

• nomes, números de telefone e endereços de correio eletrónico dos seus clientes;
• as moradas de cada trabalho e quaisquer notas que acrescente a um trabalho;
• dados da encomenda, preços e histórico de trabalhos;
• fotografias e ficheiros que carregue, ou que os seus trabalhadores carreguem, num trabalho;
• a localização da viatura enquanto tiver o seguimento ativo, bem como a rota e a hora prevista de chegada daí resultantes;
• as mensagens de WhatsApp enviadas ou recebidas através do Serviço — de cada mensagem, quem a enviou, quando, de que tipo era e o respetivo estado de entrega (conservado para que as mensagens sejam enviadas apenas enquanto o WhatsApp o permitir, dentro da janela de atendimento ao cliente de 24 horas do WhatsApp), bem como o respetivo conteúdo (texto, fotografias, mensagens de voz e ficheiros) na medida em que o modo de trabalho que escolher o conserve;
• os nomes, os números de telefone e os trabalhos atribuídos aos seus trabalhadores.

Escolher um modo de trabalho na aplicação é a instrução que nos transmite quanto ao que conservar das suas conversas de WhatsApp. Quando escolhe um modo que conserva menos, quando o seu plano deixa de incluir o que tinha ou quando remove o seu número do Serviço, eliminamos do Serviço aquilo que o Serviço deixa de conservar das mensagens dos seus clientes; as conversas em si permanecem no WhatsApp.

Não solicitamos nem pretendemos receber categorias especiais de dados — saúde, convicções, dados biométricos e afins. Não os inclua nas notas de um trabalho.

4. Atuamos apenas de acordo com as suas instruções

Tratamos estes dados apenas na medida do necessário para prestar o Serviço, nos termos previstos nos Termos, e de acordo com quaisquer outras instruções documentadas que nos transmita. Se alguma vez considerarmos que uma instrução viola a legislação de proteção de dados, comunicá-lo-emos em vez de a cumprir em silêncio.

Se a lei nos obrigar a tratar ou a divulgar dados para além das suas instruções, informá-lo-emos previamente, salvo se tal nos estiver legalmente vedado.

5. Confidencialidade

O acesso está limitado a quem dele necessite para operar ou apoiar o Serviço, estando essas pessoas vinculadas a deveres de confidencialidade. A MoverTrack é gerida por uma equipa muito reduzida; o acesso é, por conseguinte, igualmente restrito.

6. Segurança (Annex II — medidas técnicas e organizativas)

Mantemos medidas adequadas ao risco, incluindo:

• cifragem em trânsito (TLS) em todas as ligações aos nossos servidores, aplicações e bases de dados;
• cifragem em repouso da base de dados e das cópias de segurança;
• regras de acesso ao nível da linha na base de dados, de modo a que uma conta não possa ler os dados de outra, e, nos nossos próprios servidores, uma verificação da conta com sessão iniciada, e daquilo que esta pode ver, em cada pedido a que respondem;
• autenticação em todos os pedidos que acedam a dados de clientes, estando as funções administrativas restritas a contas de operador nominativas;
• o número de telefone de um cliente só chega às pessoas que trabalham para si se o permitir, e uma conversa, apenas se lhes der acesso a ela;
• alojamento junto de fornecedores de infraestrutura consolidados (ver a secção 7);
• revisão periódica de quem e do que pode aceder aos dados de produção.

Estas são as medidas técnicas e organizativas a que se refere o Annex II das cláusulas contratuais-tipo incorporadas pela secção 11. Podemos alterá-las, mas não de forma que reduza substancialmente o nível global de segurança.

Nenhum sistema é perfeitamente seguro e não afirmamos o contrário.

7. Subcontratantes ulteriores

Recorremos aos seguintes subcontratantes ulteriores. Cada um deles está vinculado a condições escritas de proteção de dados, conforme exigido pela lei, mantendo-nos responsáveis perante si pela respetiva atuação:

• Supabase — base de dados, autenticação e armazenamento de ficheiros (UE, região de Frankfurt)
• Vultr — servidores aplicacionais de seguimento e mensagens (UE, Frankfurt)
• Vercel — alojamento dos nossos sítios Web e das páginas de seguimento para clientes
• Google — mapas, geocodificação, cálculo de rotas e de distâncias; leitura do texto de uma conversa ou de uma mensagem para preencher os dados de um trabalho quando o solicita; o nosso correio eletrónico
• Meta Platforms — mensagens do WhatsApp Business
• Stripe — processamento de pagamentos (os seus dados de faturação; não os dos seus clientes)
• Resend — correio eletrónico transacional e de faturação
• Telnyx — telefonia e identificação do chamador, caso utilize essas funcionalidades
• Apple e Google — entrega de notificações push nos seus dispositivos e nos das pessoas que trabalham para si
• Expo — reencaminhamento de notificações push para a Apple e a Google; uma notificação pode conter o nome ou o número de um cliente e o texto da respetiva mensagem

Esta lista constitui o Annex III das cláusulas contratuais-tipo incorporadas pela secção 11. Autoriza genericamente estes subcontratantes ulteriores e autoriza-nos a nomear outros nas mesmas condições.

Avisá-lo-emos com, pelo menos, 30 dias de antecedência antes de acrescentar ou substituir um subcontratante ulterior. Pode opor-se dentro desse prazo com fundamentos razoáveis e documentados de proteção de dados. Se o fizer, procuraremos propor uma alteração que evite a oposição; se não o conseguirmos em condições comercialmente razoáveis, qualquer das partes pode fazer cessar a parte do Serviço afetada, sendo o reembolso das quantias já pagas relativamente ao remanescente não utilizado do período o seu único meio de reação. A oposição não suspende a nomeação enquanto a discutimos.

8. Apoio no exercício dos direitos dos seus clientes

Se um dos seus clientes lhe pedir uma cópia dos seus dados, a sua retificação ou o seu apagamento, compete-lhe a si responder a esse pedido — mas prestaremos apoio.

A maior parte dessas operações pode ser realizada por si dentro do Serviço. Quando não for possível, escreva para info@movertrack.com e prestaremos assistência num prazo que lhe permita cumprir o seu. Se um cliente nos contactar diretamente, não responderemos em seu nome; encaminharemos o pedido para si.

9. Se algo correr mal

Se tomarmos conhecimento de uma violação que afete dados pessoais tratados por sua conta, informá-lo-emos sem demora injustificada, com aquilo que soubermos: o que aconteceu, quem e o que é afetado tanto quanto nos seja possível apurar, o que estamos a fazer a esse respeito e o que sugerimos que faça.

Prestaremos também apoio razoável em qualquer avaliação ou notificação à autoridade de controlo que lhe caiba fazer, bem como numa avaliação de impacto sobre a proteção de dados, caso dela necessite.

10. Eliminação e devolução

Pode exportar os seus dados a qualquer momento enquanto a sua conta estiver ativa. Eliminar pessoalmente a conta na aplicação é a sua escolha pela eliminação: tudo é apagado de imediato, pelo que deve exportar primeiro o que precisar. Se a conta cessar de qualquer outra forma, pode ainda exportar durante 30 dias após a sua cessação.

No termo do Serviço, cabe-lhe escolher se lhe devolvemos os seus dados ou se os eliminamos. Comunique-nos a sua opção dentro desses 30 dias. Se nada nos comunicar, eliminamo-los.

Findo esse prazo, eliminamos ou anonimizamos os dados pessoais que detemos por sua conta, salvo quando a lei nos obrigue a conservar algo — por exemplo, registos de transações conservados para efeitos fiscais. As cópias de segurança são substituídas no seu próprio ciclo e eliminadas no prazo de 90 dias.

11. Transferências internacionais e cláusulas contratuais-tipo

A nossa base de dados e os servidores aplicacionais destinados aos clientes europeus estão na UE (Frankfurt). Alguns dos subcontratantes ulteriores indicados na secção 7 estão estabelecidos nos Estados Unidos e a própria MoverTrack, LLC é uma sociedade dos Estados Unidos, pelo que alguns dados pessoais são transferidos para esse país.

Relativamente a essas transferências, as partes celebram as cláusulas contratuais-tipo aprovadas pela Comissão Europeia através da Implementing Decision (EU) 2021/914, que se consideram incorporadas no presente ATD por remissão e são preenchidas nos seguintes termos:

• Module Two (responsável pelo tratamento para subcontratante) é aplicável. Assume a qualidade de exportador de dados; a MoverTrack, LLC é o importador de dados.
• Clause 7 (cláusula de adesão) é aplicável.
• Clause 9 — opção 2, autorização geral por escrito, com o pré-aviso de 30 dias previsto na secção 7.
• Clause 11 — a redação opcional relativa à resolução independente de litígios não é aplicável.
• Clause 17 — as cláusulas regem-se pela lei da Irlanda.
• Clause 18 — os litígios são dirimidos perante os tribunais da Irlanda.
• Annex I.A (partes) — o subscritor, tal como identificado pela sua conta; MoverTrack, LLC, 1111B S Governors Ave STE 42337, Dover, DE 19904, United States, info@movertrack.com.
• Annex I.B (descrição da transferência) — os titulares dos dados, as categorias de dados, as finalidades, a frequência (contínua) e a duração indicados na secção 3 do presente ATD.
• Annex I.C (autoridade de controlo competente) — a autoridade do Estado-Membro do EEE no qual esteja estabelecido, ou no qual esteja estabelecido o seu representante.
• Annex II (medidas de segurança) — a secção 6 do presente ATD.
• Annex III (subcontratantes ulteriores) — a secção 7 do presente ATD.

Relativamente às transferências de dados pessoais sujeitas à legislação de proteção de dados do Reino Unido, as partes celebram igualmente o UK International Data Transfer Addendum, emitido ao abrigo da section 119A of the Data Protection Act 2018, sendo as cláusulas acima as Approved SCCs, as Tables 1–3 preenchidas por remissão para o Annex I acima e a Table 4 fixada em nenhuma das partes. Relativamente às transferências sujeitas à lei suíça, as referências ao RGPD entendem-se como referências à Swiss FADP, sendo a autoridade competente a FDPIC.

Quando um subcontratante ulterior esteja certificado ao abrigo do EU–US Data Privacy Framework, podemos basear-nos nessa certificação para as transferências que lhe sejam destinadas.

Em caso de conflito entre as cláusulas e o presente ATD, prevalecem as cláusulas.

12. Auditoria e informação

Prestar-lhe-emos as informações de que razoavelmente necessite para demonstrar que cumprimos as obrigações aqui previstas e contribuiremos para as auditorias exigidas pela legislação de proteção de dados.

Uma vez que somos uma equipa muito reduzida, isso traduz-se em respostas escritas e documentação, e não em inspeções nas instalações. Quando uma auditoria seja efetivamente exigida, pode ser realizada uma vez em cada período de doze meses (com maior frequência apenas se uma autoridade de controlo o exigir ou na sequência de uma violação confirmada que afete os seus dados), mediante pré-aviso escrito de 30 dias, durante o horário de expediente, sem perturbar o Serviço, por alguém que não seja nosso concorrente, sob dever de confidencialidade e a expensas suas.

13. Repartição de responsabilidades entre as partes

Garante que dispõe de fundamento de licitude para cada um dos dados pessoais que introduz no Serviço, que prestou aos seus clientes as informações exigidas pela lei que lhes é aplicável, que as instruções que nos dá são lícitas e que não nos enviará categorias especiais de dados.

Obriga-se a indemnizar-nos por quaisquer pedidos, coimas e custos razoáveis decorrentes do incumprimento dessa garantia, das suas instruções, ou de um pedido apresentado por um dos seus clientes que respeite a atos ou omissões seus e não nossos.

A responsabilidade de cada parte ao abrigo do presente ATD está sujeita aos limites e exclusões previstos na secção 18 dos Termos e Condições do Serviço, aplicando-se esses limites ao conjunto de todos os pedidos ao abrigo do presente ATD e de todos os pedidos ao abrigo dos Termos. Nada aqui previsto limita os direitos que assistem aos titulares dos dados perante qualquer das partes ao abrigo das cláusulas contratuais-tipo ou da legislação aplicável.

Se uma autoridade de controlo ou um tribunal nos responsabilizar solidariamente por algo causado pelas suas instruções ou pelo seu incumprimento, reembolsar-nos-á da parte que lhe seja imputável.

14. Prevalência e contactos

Em caso de conflito entre o presente ATD e os Termos e Condições do Serviço quanto ao tratamento de dados pessoais, prevalece o presente ATD.

MoverTrack, LLC
1111B S Governors Ave STE 42337, Dover, DE 19904, United States
Correio eletrónico: info@movertrack.com