Acordo de Tratamento de Dados

Este Acordo de Tratamento de Dados (o "ATD") é celebrado entre o cliente que utiliza os serviços da statycs ao abrigo de um contrato de serviço válido (o "Responsável pelo Tratamento") e a statycs GmbH, FN 613704g, Liechtensteinstrasse 59, 1090 Viena, Áustria (o "Subcontratante").

Este ATD rege o tratamento de dados pessoais pela statycs por conta do Responsável pelo Tratamento no âmbito da plataforma SaaS statycs para planeamento e análise financeira. Produz efeitos quando o Responsável pelo Tratamento aceita os Termos e Condições, ou de outra forma celebra um contrato de serviço com a statycs, e permanece em vigor enquanto a statycs tratar dados pessoais por conta do Responsável pelo Tratamento. Em caso de conflito entre este ATD e outras disposições contratuais, prevalece este ATD no que respeita a matérias de proteção de dados.

Objeto do tratamento. O tratamento de dados pessoais necessário para que a statycs preste a sua plataforma de planeamento e análise financeira ao Responsável pelo Tratamento.

Duração do tratamento. Durante a vigência do contrato de serviço subjacente, incluindo qualquer período de encerramento e eliminação previsto no §11 abaixo.

A statycs trata dados pessoais para fornecer ao Responsável pelo Tratamento a sua plataforma de planeamento e análise financeira. O tratamento inclui a recolha, o armazenamento, a organização, a estruturação, a recuperação, a consulta, a utilização e o apagamento de dados, na medida do necessário para prestar o serviço.

O tratamento é efetuado exclusivamente com base nas instruções documentadas do Responsável pelo Tratamento. A statycs não tratará dados pessoais para qualquer finalidade que não seja a prestação do serviço acordado, salvo se tal for exigido pelo direito da UE ou austríaco. Nesse caso, a statycs informará o Responsável pelo Tratamento da exigência legal antes do tratamento, salvo se a lei proibir tal informação.

Categorias de dados pessoais. Podem ser tratados os seguintes tipos de dados pessoais: nomes, endereços de e-mail, números de telefone, cargos, afiliação empresarial, endereços IP, dados de navegador e dispositivo, e quaisquer outros dados pessoais que o Responsável pelo Tratamento introduza na plataforma. Os dados financeiros carregados para a plataforma - como registos contabilísticos, relatórios e planos - podem conter dados pessoais na medida em que o Responsável pelo Tratamento os inclua.

Categorias de titulares dos dados. Os titulares dos dados podem incluir os colaboradores, prestadores, clientes, fornecedores, investidores do Responsável pelo Tratamento e quaisquer outras pessoas singulares cujos dados pessoais o Responsável pelo Tratamento trate através da plataforma.

O Responsável pelo Tratamento é o responsável pelo tratamento dos dados nos termos do RGPD e é o único responsável por garantir a licitude do tratamento dos dados pessoais, incluindo dispor de um fundamento jurídico válido tanto para o próprio tratamento como para a transferência dos dados para a statycs.

O Responsável pelo Tratamento é responsável pela exatidão, qualidade e legalidade dos dados pessoais fornecidos à statycs e pelo cumprimento de toda a legislação aplicável em matéria de proteção de dados, incluindo a prestação de informação aos titulares dos dados sobre o tratamento dos seus dados.

A statycs compromete-se a:

• Tratar dados pessoais apenas com base em instruções documentadas do Responsável pelo Tratamento, salvo se a lei exigir o contrário
• Assegurar que todas as pessoas autorizadas a tratar dados pessoais estão vinculadas por obrigações escritas de confidencialidade
• Implementar medidas técnicas e organizativas adequadas para garantir um nível de segurança adequado ao risco
• Auxiliar o Responsável pelo Tratamento a responder aos pedidos dos titulares dos dados ao abrigo dos artigos 15.º a 22.º do RGPD
• Auxiliar o Responsável pelo Tratamento no cumprimento dos artigos 32.º a 34.º do RGPD, nas avaliações de impacto sobre a proteção de dados e nas consultas prévias às autoridades de controlo, tendo em conta a natureza do tratamento e a informação de que a statycs dispõe
• Notificar o Responsável pelo Tratamento sem demora injustificada logo que tenha conhecimento de uma violação de dados pessoais
• Eliminar ou devolver todos os dados pessoais ao Responsável pelo Tratamento após a cessação do contrato de serviço, salvo se a conservação for exigida por lei
• Informar imediatamente o Responsável pelo Tratamento se, no entender da statycs, uma instrução violar o RGPD ou outra legislação aplicável em matéria de proteção de dados

A statycs cumpre as obrigações de auditoria previstas no art. 28.º, n.º 3, alínea h) do RGPD, disponibilizando, mediante pedido escrito razoável e no máximo uma vez por período de doze meses, o seu resumo de segurança atual, a lista de subcontratantes e respostas escritas ao questionário razoável do Responsável pelo Tratamento. Adicionalmente, o Responsável pelo Tratamento - ou um auditor independente por si mandatado sob obrigação de confidencialidade - pode realizar uma auditoria presencial no máximo uma vez a cada vinte e quatro meses, ou a qualquer momento na sequência de um mandato de uma autoridade de controlo ou de uma suspeita fundamentada de violação. As auditorias presenciais realizam-se a expensas do Responsável pelo Tratamento, com aviso escrito prévio de trinta dias, durante o horário de expediente, com âmbito, calendário e confidencialidade previamente acordados por escrito.

A statycs recorre aos seguintes subcontratantes para auxiliar na prestação do serviço:

• Google Analytics (Google LLC, EUA) - análises
• PostHog (PostHog Inc., EUA; PostHog Cloud EU alojado na Alemanha) - análises de produto
• Hanko (Hanko GmbH, Alemanha) - autenticação
• Zero (Zero Inc., Finlândia) - CRM
• Hetzner (Hetzner Online GmbH, Alemanha) - alojamento
• Chatwoot (Chatwoot Inc., EUA) - chat ao vivo para visitantes do website, não para utilizadores da aplicação

A statycs assegura que todos os subcontratantes estão vinculados por acordos escritos que impõem obrigações equivalentes em matéria de proteção de dados. O Responsável pelo Tratamento será notificado de quaisquer alterações previstas aos subcontratantes com, pelo menos, trinta dias de antecedência. O Responsável pelo Tratamento pode opor-se a um novo subcontratante por motivos justificados no prazo de catorze dias após a notificação. Se a oposição não puder ser resolvida, o Responsável pelo Tratamento pode rescindir o contrato com efeitos na data em que a alteração do subcontratante entrar em vigor, e a statycs reembolsará as taxas pagas antecipadamente numa base pro-rata pela parte não utilizada do período.

A statycs armazena e trata os dados dos clientes dentro da União Europeia e do Espaço Económico Europeu. Sempre que os dados tenham de ser transferidos para subcontratantes localizados fora da UE ou do EEE - em particular nos Estados Unidos - a statycs assegura a existência de garantias adequadas em conformidade com o Capítulo V do RGPD.

Estas garantias incluem as Cláusulas Contratuais-Tipo da UE adotadas pela Comissão Europeia e, quando aplicável, decisões de adequação. A statycs avalia regularmente o quadro jurídico dos países destinatários para garantir a conformidade contínua. Uma cópia das garantias está disponível mediante pedido através de [email protected].

A statycs implementa medidas técnicas e organizativas adequadas para proteger os dados pessoais, incluindo:

• Encriptação dos dados em trânsito (TLS) e em repouso
• Controlos de acesso baseados em funções, seguindo o princípio do menor privilégio
• Autenticação multifator para os sistemas internos
• Revisões de segurança periódicas adequadas à natureza e escala do tratamento, incluindo testes por terceiros de tempos a tempos
• Procedimentos automatizados de cópia de segurança e recuperação de desastres
• Registo e monitorização do acesso aos dados pessoais
• Formação de sensibilização para a segurança dos colaboradores

Uma descrição atual das medidas técnicas e organizativas está disponível mediante pedido através de [email protected].

A statycs notificará o Responsável pelo Tratamento sem demora injustificada logo que tenha conhecimento de uma violação de dados pessoais suscetível de resultar num risco para os direitos e liberdades dos titulares dos dados.

A notificação incluirá, na medida em que seja conhecido: a natureza da violação, as categorias e o número aproximado de titulares dos dados afetados, as consequências prováveis, as medidas adotadas ou propostas para fazer face à violação e mitigar os seus efeitos, e um ponto de contacto ([email protected]) junto do qual o Responsável pelo Tratamento pode obter mais informações.

A statycs colaborará com o Responsável pelo Tratamento e adotará medidas razoáveis para auxiliar na investigação, contenção e correção da violação.

A responsabilidade pelo tratamento de dados ao abrigo deste ATD rege-se pelos Termos e Condições do contrato de serviço subjacente. Nada neste ATD altera ou amplia as disposições de responsabilidade acordadas entre as partes.

Cada parte é responsável pelos danos causados por tratamento que viole o RGPD, em conformidade com o artigo 82.º do RGPD. A statycs só é responsável pelos danos causados por tratamento que não cumpra as obrigações especificamente dirigidas aos subcontratantes ao abrigo do RGPD ou as instruções lícitas do Responsável pelo Tratamento.

Este ATD cessa automaticamente com a cessação do contrato de serviço subjacente entre o Responsável pelo Tratamento e a statycs.

Após a cessação, os dados pessoais tratados por conta do Responsável pelo Tratamento são conservados durante 30 dias e são depois eliminados definitivamente, salvo se o Responsável pelo Tratamento solicitar a devolução dos dados num formato estruturado e de uso corrente durante esse período. A statycs só pode conservar dados pessoais para além deste período quando exigido pelo direito da UE ou austríaco, e informará o Responsável pelo Tratamento de qualquer exigência dessa natureza.

Este ATD rege-se pelo direito austríaco. O foro exclusivo é o tribunal competente de Viena.