Acordo de tratamento de dados

O presente Acordo de tratamento de dados (o ATD) faz parte integrante dos Termos de serviço (os Termos) celebrados entre a Mycarro (a Mycarro, o subcontratante) e o Cliente que aceitou os Termos (o Cliente, o responsável pelo tratamento). Aplica-se sempre que a Mycarro trate dados pessoais por conta do Cliente na prestação do Serviço. Cumpre os requisitos do artigo 28.º do Regulamento Geral sobre a Proteção de Dados (UE) 2016/679 (RGPD) e, quando aplicável, da Lei Federal Suíça de Proteção de Dados (FADP). Os termos definidos nos Termos ou no RGPD têm aqui o mesmo significado.

1. Funções e âmbito

1.1. Quanto aos dados pessoais que o Cliente e os seus utilizadores introduzem no Serviço relativos aos seus clientes, contactos comerciais (leads), compradores, vendedores, fiadores, trabalhadores e visitantes do seu site (os Dados Pessoais do Cliente), o Cliente é o responsável pelo tratamento e a Mycarro é o subcontratante. O Anexo 1 descreve o tratamento.

1.2. A Mycarro é responsável pelo tratamento autónomo, fora do âmbito do presente ATD, quanto:

• aos dados de conta dos utilizadores do Cliente;
• aos dados de faturação;
• aos dados de utilização, de segurança e de auditoria;
• aos dados desidentificados e agregados que deriva nos termos dos Termos;

tudo conforme descrito na sua Política de privacidade.

1.3. O Cliente é responsável pela licitude do tratamento que instrui. Tal inclui dispor de um fundamento de licitude válido e prestar as informações exigidas, obter os consentimentos necessários, informar os titulares dos dados sobre o seu site de concessionário e assegurar que os Dados Pessoais do Cliente e as suas instruções cumprem a lei. O Cliente não introduz no Serviço categorias especiais de dados (como dados relativos à saúde) nem dados relativos a condenações penais, exceto quando uma funcionalidade se destine a esse fim e a lei o permita.

2. Instruções

2.1. A Mycarro trata os Dados Pessoais do Cliente apenas mediante instruções documentadas do Cliente, incluindo no que respeita a transferências, salvo se a lei exigir o contrário. Nesse caso, a Mycarro informa previamente o Cliente, salvo se a lei o proibir.

2.2. As instruções completas do Cliente são as seguintes: os Termos, o presente ATD e a utilização e configuração do Serviço pelo Cliente, incluindo as ações dos seus utilizadores e de qualquer assistente de inteligência artificial ou integração que ligue. Qualquer instrução adicional deve ser dada por escrito, aceite pela Mycarro e compatível com as funcionalidades do Serviço. Pode estar sujeita ao pagamento de um preço.

2.3. A Mycarro informa o Cliente se, no seu entender, uma instrução violar a legislação de proteção de dados. Pode então suspender esse tratamento, sem qualquer responsabilidade, até que a instrução seja confirmada ou alterada. Para além do disposto na presente cláusula, a Mycarro não tem qualquer obrigação de avaliar a licitude das instruções do Cliente.

3. Confidencialidade

A Mycarro assegura que as pessoas autorizadas a tratar os Dados Pessoais do Cliente assumiram um compromisso de confidencialidade ou estão sujeitas a adequadas obrigações legais de confidencialidade, e que apenas acedem aos dados na medida do necessário para o Serviço.

4. Segurança

4.1. A Mycarro aplica as medidas técnicas e organizativas descritas no Anexo 2, adequadas ao risco, tendo em conta as técnicas mais avançadas, os custos de aplicação e a natureza, o âmbito, o contexto e as finalidades do tratamento.

4.2. A Mycarro pode atualizar essas medidas, desde que o nível global de proteção não seja reduzido. O Cliente avaliou as medidas e concorda que são adequadas aos Dados Pessoais do Cliente.

4.3. O Cliente é responsável pela segurança dos seus próprios sistemas, dispositivos e credenciais, pelas funções e permissões que atribui aos seus utilizadores, pelas integrações e assistentes de inteligência artificial que liga e pela configuração do Serviço sob o seu controlo.

5. Subcontratantes ulteriores

5.1. Autorização geral. O Cliente concede à Mycarro uma autorização geral para contratar subcontratantes ulteriores, incluindo os indicados no Anexo 3.

5.2. Alterações. A Mycarro informa o Cliente de qualquer intenção de aditar ou substituir um subcontratante ulterior, atualizando o Anexo 3 nesta página e, quando a alteração for substancial, por email ou no painel de gestão, com, pelo menos, 14 dias de antecedência. Em situações de emergência, como a falha súbita de um prestador, o prazo pode ser mais curto.

5.3. Oposição. O Cliente pode opor-se a uma alteração com fundamento razoável em matéria de proteção de dados, por escrito, dentro desse prazo. As partes discutem-na então de boa-fé. Se a Mycarro não puder razoavelmente evitar a alteração, o único e exclusivo meio de reação do Cliente é fazer cessar o plano afetado antes de a alteração produzir efeitos, sem qualquer reembolso dos preços pagos antecipadamente para além do que os Termos de outro modo permitam. A continuação da utilização do Serviço após o termo do prazo de aviso significa que o Cliente aceita a alteração.

5.4. Transposição de obrigações. A Mycarro impõe contratualmente a cada subcontratante ulterior obrigações em matéria de proteção de dados que, em substância, não sejam menos protetoras do que as previstas no presente ATD, na medida em que se apliquem aos serviços prestados. A Mycarro continua a ser responsável perante o Cliente pelo desempenho dos seus subcontratantes ulteriores, nos termos exigidos pelo RGPD, sem prejuízo do disposto na secção 11.

5.5. Entidades que não são subcontratantes ulteriores. Os marketplaces, os assistentes de inteligência artificial, os serviços de pagamento, as entidades de registo de domínios e outros terceiros que o Cliente decida ligar ou utilizar atuam ao abrigo dos seus próprios termos. Não são subcontratantes ulteriores da Mycarro, e a Mycarro não é por eles responsável.

6. Transferências internacionais

A Mycarro pode transferir Dados Pessoais do Cliente para fora do Espaço Económico Europeu e da Suíça, ou permitir que os seus subcontratantes ulteriores o façam, apenas quando:

• a transferência estiver abrangida por uma decisão de adequação;
• existirem garantias adequadas, como as Cláusulas Contratuais-Tipo da Comissão Europeia (com as adaptações suíças quando se aplique a FADP), acompanhadas de medidas adicionais quando necessário; ou
• se aplicar outro mecanismo de transferência permitido pelo RGPD.

O Cliente autoriza as transferências que os subcontratantes ulteriores indicados no Anexo 3 efetuam com base nestes fundamentos.

7. Assistência

7.1. Pedidos dos titulares dos dados. O Serviço disponibiliza ao Cliente ferramentas de autosserviço para aceder, corrigir, exportar e eliminar os Dados Pessoais do Cliente. Se a Mycarro receber um pedido de um titular dos dados relativo a Dados Pessoais do Cliente, remete-o ao Cliente sem demora injustificada, se conseguir identificar o Cliente, e não lhe responde diretamente, salvo mediante instruções do Cliente. Quando as ferramentas de autosserviço não forem suficientes, a Mycarro presta uma assistência razoável, tendo em conta a natureza do tratamento.

7.2. Outra assistência. Tendo em conta a natureza do tratamento e a informação ao seu dispor, a Mycarro presta assistência razoável no cumprimento das obrigações do Cliente em matéria de segurança, notificação de violações, avaliações de impacto sobre a proteção de dados e consulta prévia às autoridades, principalmente mediante a disponibilização do presente ATD, dos seus anexos e da documentação do Serviço.

7.3. Custos. A assistência que exceda as ferramentas de autosserviço e a documentação, ou que seja causada por ato ou incumprimento do próprio Cliente, é cobrada às tarifas normais da Mycarro então em vigor.

8. Violações de dados pessoais

8.1. A Mycarro notifica o Cliente sem demora injustificada após ter conhecimento de uma violação de dados pessoais que afete os Dados Pessoais do Cliente. A notificação é enviada para o endereço de email do proprietário ou do administrador do Cliente. Na medida do que for então conhecido, descreve a natureza da violação, as categorias e o número aproximado de titulares e de registos em causa, as consequências prováveis e as medidas adotadas ou propostas. A informação pode ser prestada por fases.

8.2. A Mycarro adota medidas razoáveis para conter a violação e atenuar os seus efeitos. Cabe ao Cliente decidir se notifica as autoridades de controlo e os titulares dos dados, e proceder a essa notificação.

8.3. Uma notificação ou a assistência prestada não constitui reconhecimento de culpa ou de responsabilidade. As tentativas ou atividades sem êxito que não comprometam a segurança dos Dados Pessoais do Cliente, como pings, análises de portas, tentativas falhadas de início de sessão ou ataques de negação de serviço, não constituem violações e não exigem notificação.

9. Devolução e eliminação

9.1. Durante a vigência, o Cliente pode exportar e eliminar os Dados Pessoais do Cliente com as ferramentas do Serviço.

9.2. Após a cessação dos Termos, o Cliente pode solicitar uma exportação final dentro do prazo fixado nos Termos. Decorrido esse prazo, a Mycarro elimina os Dados Pessoais do Cliente, salvo se a lei exigir a sua conservação. As cópias existentes em cópias de segurança são eliminadas no ciclo normal de cópias de segurança, em regra no prazo de 90 dias, e, até lá, continuam protegidas ao abrigo do presente ATD e não são utilizadas ativamente. A Mycarro pode conservar dados desidentificados e agregados, que não constituem dados pessoais.

10. Auditorias e informação

10.1. A Mycarro disponibiliza a informação necessária para demonstrar o cumprimento do artigo 28.º do RGPD. Fá-lo mediante a disponibilização do presente ATD, dos seus anexos, de respostas a um questionário de segurança escrito e razoável e, quando existam, de certificações ou relatórios de auditoria de terceiros (incluindo os dos seus subcontratantes ulteriores).

10.2. Se o Cliente demonstrar de forma razoável que esta informação não é suficiente, ou se uma autoridade de controlo o exigir, o Cliente pode realizar uma auditoria, diretamente ou através de um auditor independente vinculado a confidencialidade que não seja concorrente da Mycarro. A auditoria está sujeita às seguintes condições:

• no máximo uma vez em cada período de 12 meses, salvo em caso de violação ou de ordem de uma autoridade;
• mediante aviso prévio escrito de, pelo menos, 30 dias, com um âmbito acordado antecipadamente;
• durante o horário de expediente, à distância sempre que possível, sem perturbação do Serviço e sem acesso a dados de outros clientes nem às instalações dos subcontratantes ulteriores;
• exclusivamente a expensas do Cliente, incluindo os custos razoáveis da Mycarro às suas tarifas normais;
• o Cliente partilha o relatório de auditoria com a Mycarro e mantém-no confidencial.

11. Responsabilidade

A responsabilidade de cada parte decorrente do presente ATD ou com ele relacionada, seja contratual, extracontratual ou de outra natureza, está sujeita às exclusões e limitações de responsabilidade previstas nos Termos, e conta para o mesmo limite máximo agregado, na medida em que a lei o permita. O Cliente indemniza a Mycarro, nos termos previstos nos Termos, por reclamações e coimas decorrentes das instruções do Cliente, dos Dados Pessoais do Cliente ou da violação, pelo Cliente, da legislação de proteção de dados.

12. Vigência, prevalência e alterações

12.1. O presente ATD aplica-se enquanto a Mycarro tratar Dados Pessoais do Cliente e cessa automaticamente quando deixar de os tratar.

12.2. Se o presente ATD estiver em conflito com os Termos quanto ao tratamento de Dados Pessoais do Cliente, prevalece o presente ATD. Em tudo o mais, prevalecem os Termos. As disposições dos Termos relativas à lei aplicável, ao foro, à língua, às comunicações e às alterações aplicam-se ao presente ATD.

12.3. A Mycarro pode atualizar o presente ATD, incluindo para refletir alterações da lei ou do Serviço, nos termos descritos nos Termos. Uma atualização não reduz o nível global de proteção dos Dados Pessoais do Cliente.

Anexo 1. Descrição do tratamento

• Objeto e duração: a prestação do Serviço ao Cliente, durante a vigência dos Termos e o período de cessação ordenada subsequente.
• Natureza do tratamento: recolha, registo, organização, conservação, adaptação, recuperação, consulta, utilização, divulgação por transmissão (incluindo para os marketplaces e as integrações que o Cliente ative), combinação, limitação, apagamento e destruição, por meios automatizados, incluindo modelos de inteligência artificial.
• Finalidade: as funções de gestão do concessionário que o Cliente utiliza. Incluem a gestão de stock e de veículos, o site de concessionário, a publicação em marketplaces, a gestão de contactos comerciais e de clientes, as vendas, os contratos, as garantias, as faturas e a tesouraria, as campanhas, os documentos e as funcionalidades e os conectores de inteligência artificial.
• Categorias de titulares dos dados:
  • os clientes e potenciais clientes do Cliente (compradores, vendedores, proprietários de veículos retomados, fiadores);
  • contactos comerciais e pessoas que efetuam pedidos de informação;
  • visitantes do site de concessionário do Cliente;
  • os trabalhadores e prestadores de serviços do Cliente;
  • outras pessoas que o Cliente registe.
• Categorias de dados pessoais:
  • dados de identificação e de contacto: nome, email, telefone, morada postal;
  • números de identificação civil e fiscal, números de documentos de identificação e datas de nascimento, quando o Cliente os registe para contratos, faturas ou registos;
  • dados de veículos e de transações associados a uma pessoa (número de identificação do veículo, matrícula, compra, venda, retoma, preços, pagamentos, financiamento, garantia);
  • comunicações e notas;
  • documentos que o Cliente carregue;
  • dados técnicos sobre os visitantes do site de concessionário.
• Categorias especiais: nenhuma prevista. Ver a secção 1.3.

Anexo 2. Medidas técnicas e organizativas

• Cifragem: tráfego cifrado em trânsito com TLS; segredos e credenciais cifrados em repouso.
• Controlo de acesso: cada utilizador inicia sessão individualmente através de um prestador de autenticação dedicado, com autenticação multifator disponível; o acesso baseia-se em funções e está limitado ao próprio concessionário do Cliente; o acesso dos colaboradores ao ambiente de produção obedece ao princípio do menor privilégio e está limitado ao necessário.
• Auditoria: as alterações efetuadas no painel de gestão e através de conectores são registadas com o utilizador ou assistente que as efetuou.
• Separação: cada registo está circunscrito ao respetivo concessionário, e as verificações de acesso são aplicadas no servidor.
• Disponibilidade e resiliência: alojamento na União Europeia, cópias de segurança regulares, monitorização e alertas, e procedimentos de reposição.
• Desenvolvimento e gestão de alterações: testes automatizados, revisão de código, análise de dependências e de segredos, e ambientes de desenvolvimento, de pré-produção e de produção separados.
• Minimização dos dados: os relatórios de erros não incluem gravação de sessões nem dados identificativos de utilizadores; as estatísticas do site não utilizam cookies.
• Prestadores: os subcontratantes ulteriores são escolhidos pela sua segurança e vinculados por contrato.
• Resposta a incidentes: procedimentos documentados para detetar, conter, investigar e notificar violações de dados pessoais.

Anexo 3. Subcontratantes ulteriores