Acordo de Tratamento de Dados

Os termos "dados pessoais", "tratamento", "responsável pelo tratamento", "subcontratante", "titular dos dados", "violação de dados pessoais" e "autoridade de controlo" têm o significado do Regulamento (UE) 2016/679 ("RGPD"). "Dados do Cliente" são os dados pessoais que o Cliente, os seus utilizadores ou terceiros por sua conta introduzem ou carregam no PULSUS. "Subcontratante ulterior" é uma entidade contratada pela Fallwalls que trata Dados do Cliente.

2.1. A Fallwalls trata os Dados do Cliente apenas para prestar o serviço PULSUS, nos termos descritos no Anexo I.

2.2. Quanto aos dados da conta e da relação comercial (quem se regista, faturação da subscrição, suporte), a Fallwalls é responsável pelo tratamento, nos termos da sua Política de Privacidade, e este Acordo não se aplica.

3.1. A Fallwalls trata os Dados do Cliente apenas mediante instruções documentadas do Cliente. Os Termos, este Acordo e a configuração e utilização do PULSUS pelo Cliente constituem as instruções completas.

3.2. A Fallwalls informa o Cliente de imediato se, no seu entender, uma instrução violar o RGPD ou outra norma de proteção de dados.

3.3. Se o direito da União ou de um Estado-Membro obrigar a Fallwalls a tratar dados fora das instruções, a Fallwalls informa o Cliente antes do tratamento, salvo se a lei o proibir.

A Fallwalls garante que as pessoas autorizadas a tratar Dados do Cliente assumiram um compromisso de confidencialidade ou estão sujeitas a obrigação legal de confidencialidade, e que o acesso se limita ao necessário para prestar o serviço e o suporte pedido pelo Cliente. Os acessos da equipa PULSUS a dados do Cliente para prestar suporte ficam registados.

5.1. A Fallwalls aplica as medidas técnicas e organizativas do Anexo II, adequadas ao risco, nos termos do artigo 32.º do RGPD.

5.2. A Fallwalls pode atualizar essas medidas, desde que o nível de proteção não diminua.

6.1. O Cliente dá autorização geral à Fallwalls para recorrer aos subcontratantes ulteriores do Anexo III.

6.2. A Fallwalls informa o Cliente, por email ou na aplicação, de qualquer inclusão ou substituição de subcontratante ulterior, com a antecedência que lhe for possível e, sempre que o subcontratante principal o permita, não inferior a 5 dias. O Cliente pode opor-se, por escrito e com fundamento em proteção de dados, até à data prevista para a alteração. Não havendo solução razoável, o Cliente pode resolver a subscrição quanto ao serviço afetado, sem penalização, com reembolso da parte já paga e não utilizada.

6.3. A Fallwalls impõe a cada subcontratante ulterior obrigações de proteção de dados equivalentes às deste Acordo e responde perante o Cliente pelo cumprimento dessas obrigações.

6.4. Algumas funcionalidades (leitura automática de faturas, CVs e documentos, resumos e sugestões) enviam o conteúdo estritamente necessário a modelos de inteligência artificial através da infraestrutura do Base44 (Anexo III). Segundo os termos atuais do Base44, esse conteúdo pode ser utilizado pelo Base44 ou pelos fornecedores dos modelos para melhorar os seus modelos. O Cliente pode, a qualquer momento, pedir que a leitura automática de documentos seja desligada na sua conta, caso em que esses dados deixam de ser enviados. A Fallwalls informa o Cliente, nos termos da cláusula 6.2, de qualquer alteração a este regime.

7.1. Tendo em conta a natureza do tratamento, a Fallwalls presta assistência ao Cliente, através de funcionalidades do PULSUS (consulta, retificação, exportação e eliminação de registos) ou, quando necessário, por pedido ao suporte, para responder aos pedidos de exercício de direitos dos titulares.

7.2. Se um titular se dirigir diretamente à Fallwalls, esta encaminha o pedido ao Cliente sem demora e não lhe responde, salvo instrução do Cliente.

8.1. A Fallwalls notifica o Cliente sem demora injustificada e, sempre que possível, no prazo de 48 horas após ter conhecimento de uma violação de dados pessoais que afete Dados do Cliente, para que o Cliente possa cumprir o prazo de 72 horas do artigo 33.º do RGPD.

8.2. A notificação inclui, na medida em que a informação esteja disponível: a natureza da violação, as categorias e o número aproximado de titulares e de registos afetados, as consequências prováveis e as medidas tomadas ou propostas. A informação que não esteja disponível de início é fornecida por fases.

8.3. A notificação não implica reconhecimento de culpa.

A Fallwalls presta ao Cliente a informação razoavelmente necessária para avaliações de impacto sobre a proteção de dados e consultas prévias à autoridade de controlo relativas ao PULSUS.

10.1. Os Dados do Cliente são alojados pelo Base44 em servidores nos Estados Unidos da América. Os ficheiros carregados ficam sempre nos Estados Unidos.

10.2. As transferências para fora do Espaço Económico Europeu assentam, consoante o subcontratante ulterior, numa decisão de adequação, incluindo o Quadro de Proteção de Dados UE-EUA (EU-US Data Privacy Framework), ou nas Cláusulas Contratuais-Tipo aprovadas pela Decisão de Execução (UE) 2021/914 da Comissão.

11.1. A Fallwalls disponibiliza ao Cliente a informação necessária para demonstrar o cumprimento deste Acordo, incluindo, mediante pedido e acordo de confidencialidade, os relatórios de certificação dos subcontratantes ulteriores (o Base44 tem certificação SOC 2 Tipo II e ISO 27001).

11.2. O Cliente pode realizar ou mandar realizar uma auditoria por ano, por questionário ou entrevista, com aviso prévio de 30 dias, a expensas próprias, sem acesso a dados de outros clientes e sem perturbar o serviço. Auditorias aos subcontratantes ulteriores fazem-se através dos relatórios e mecanismos que estes disponibilizam.

12.1. Durante a subscrição e nos 90 dias seguintes à cessação, o Cliente pode exportar os seus dados em formato estruturado e de uso corrente, pela aplicação ou por pedido ao suporte.

12.2. Findo esse prazo, a Fallwalls pode eliminar os Dados do Cliente, salvo conservação imposta por lei. As cópias de segurança são eliminadas no ciclo normal de rotação, que não excede 12 meses; até lá, ficam isoladas e não são tratadas para nenhum outro fim.

13.1. A responsabilidade das partes por incumprimento deste Acordo rege-se pelo artigo 82.º do RGPD e, no que este não regular, pelos limites previstos nos Termos.

13.2. Este Acordo vigora enquanto vigorar a subscrição e, depois dela, enquanto a Fallwalls conservar Dados do Cliente.

13.3. Este Acordo rege-se pela lei portuguesa. São competentes os tribunais da comarca do Porto, sem prejuízo das normas imperativas aplicáveis.

Natureza e finalidade: alojamento, armazenamento, organização, consulta, cálculo, leitura automática de documentos, geração de relatórios e cópia de segurança, para prestar o serviço PULSUS (gestão empresarial) e o respetivo suporte.

Categorias de titulares: colaboradores e candidatos do Cliente; clientes, fornecedores e contactos do Cliente (pessoas singulares ou representantes de pessoas coletivas); utilizadores do PULSUS indicados pelo Cliente.

Categorias de dados: identificação e contacto; dados profissionais e curriculares; dados contratuais e de remuneração; dados bancários (IBAN); documentos de identificação; registos de assiduidade, férias e formação; dados de faturação e pagamentos; documentos carregados pelo Cliente. O Cliente é responsável por não carregar categorias especiais de dados (artigo 9.º do RGPD) sem fundamento legal.

Duração: durante a subscrição e o prazo da cláusula 12. Frequência: contínua, enquanto o Cliente utilizar o PULSUS.

Cifragem: comunicações cifradas em trânsito (HTTPS/TLS); credenciais de integrações com sistemas terceiros cifradas em repouso (AES-256-GCM).

Separação entre clientes: cada registo pertence a uma empresa, e as regras de acesso da base de dados impedem a leitura e a escrita por utilizadores de outra empresa.

Controlo de acessos: perfis e permissões por módulo e ação, definidos pelo Cliente; dados de remuneração e bancários restritos, na própria base de dados, a perfis com permissão própria.

Documentos de pessoas: CVs, documentos de RH, contratos, documentos de onboarding e assinaturas guardados em armazenamento privado, acessível apenas por ligações temporárias (10 minutos).

Registo de atividade: registo das ações relevantes na aplicação, escrito pelo servidor, e dos acessos da equipa PULSUS para suporte.

Cópias de segurança: cópia diária dos dados e anexos, fora da plataforma de alojamento, com retenção de 14 dias diários e 12 mensais.

Continuidade e vigilância: verificação diária das rotinas automáticas e das cópias de segurança, com alerta em caso de falha.

Fornecedor de alojamento: Base44, com certificação SOC 2 Tipo II e ISO 27001. Pessoas: acesso limitado à equipa que presta o serviço, com compromisso de confidencialidade.

Base44, Inc. (grupo Wix) — alojamento, base de dados, ficheiros e funções do servidor — EUA — Acordo de Tratamento de Dados do Base44 (base44.com/dpa); Quadro UE-EUA ou Cláusulas Contratuais-Tipo.

Subcontratantes do Base44 (lista em base44.com/security) — infraestrutura do Base44 — conforme a lista — conforme o acordo do Base44.

Anthropic, Google LLC e OpenAI (através do Base44) — modelos de inteligência artificial: leitura de documentos, resumos, assistente Kaia (ver cláusula 6.4) — EUA — conforme o acordo do Base44.

Microsoft Ireland Operations Ltd. (Microsoft 365 / OneDrive) — cópia de segurança diária dos dados e anexos — União Europeia (a geografia europeia do Microsoft 365, onde ficam os dados das organizações criadas em Portugal) — acordo de tratamento de dados da Microsoft.

Brevo (Sendinblue SAS) — envio de emails transacionais — UE.

Stripe Payments Europe, Ltd. — pagamentos da subscrição (dados da conta) — UE / EUA — Cláusulas Contratuais-Tipo.

InvoiceXpress — emissão de faturas da subscrição e, quando o Cliente liga a integração, das faturas do Cliente — Portugal.