Acordo de tratamento de dados

Âmbito

O presente acordo de tratamento de dados («ATD») estabelece a forma como a OPALITH SAS, com sede social em 254 rue Vendôme, 69003 Lyon, France (RCS Lyon 991 600 156), trata dados pessoais por conta dos seus clientes quando estes utilizam o rdv.dev, conforme exigido pelo artigo 28.º do Regulamento Geral sobre a Proteção de Dados («RGPD»).

Faz parte dos termos de serviço e aplica-se automaticamente a todos os clientes que os aceitem, sem necessidade de assinatura separada. As expressões definidas nos termos de serviço (Serviço, Espaço de trabalho, Proprietário, Anfitrião, Convidado, Agente) têm aqui o mesmo significado. Se este ATD e os termos divergirem quanto aos dados pessoais tratados por sua conta, prevalece este ATD.

Funções

• O cliente é o responsável pelo tratamento dos dados pessoais tratados por sua conta no seu espaço de trabalho: os dados dos seus convidados e os dados dos seus membros quando utilizam o Serviço para a sua atividade (os respetivos tipos de evento, disponibilidade, marcações e ligações de calendário, tal como configurados no seu espaço de trabalho).
• A OPALITH SAS é o seu subcontratante relativamente a esses dados, e trata-os apenas para lhe prestar o Serviço.
• A OPALITH SAS é responsável pelo tratamento dos dados que trata para os seus próprios fins: contas e início de sessão, segurança, faturação e a sua relação com o cliente. Esse tratamento é descrito na política de privacidade e não está abrangido por este ATD.

Descrição do tratamento

Objeto

Prestação do Serviço: páginas de marcação, disponibilidade, marcações, eventos de calendário, confirmações e lembretes, marca, e a API pública, o servidor MCP e os webhooks.

Duração

Enquanto o contrato vigorar, seguido do prazo de 30 dias para recuperação dos dados descrito nos termos e, depois, da eliminação (ver Eliminação ou devolução).

Natureza

Recolha através das páginas de marcação e da API, conservação, organização, consulta, leitura em tempo real da disponibilidade dos calendários, escrita de eventos de calendário, transmissão por e-mail, SMS, API e webhooks, e apagamento.

Finalidade

Permitir que os seus convidados marquem, alterem e cancelem reuniões com os seus anfitriões; informar convidados e anfitriões; manter atualizados os calendários dos seus anfitriões; e dar às suas integrações e agentes acesso aos seus dados de agendamento.

Titulares dos dados

Os seus convidados (por exemplo, potenciais clientes, clientes, candidatos e parceiros); os seus membros e anfitriões; as pessoas que convida para o seu espaço de trabalho.

Dados pessoais

Convidados: nome, endereço de e-mail, fuso horário, idioma, notas e respostas dadas ao marcar, detalhes da reunião e, apenas se o convidado pedir lembretes por SMS, número de telemóvel e consentimento. Membros: nome, endereço de e-mail, função, tipos de evento, horário semanal, períodos ocupados (lidos em tempo real, não armazenados), identificadores dos eventos de calendário criados para eles. Visitantes das páginas de marcação: endereço IP, tratado para fins de segurança e de limitação de pedidos.

Categorias especiais

Nenhuma prevista. Não peça aos convidados dados sensíveis, como informações de saúde, nas perguntas de marcação.

As suas instruções

• Tratamos os dados pessoais apenas mediante as suas instruções documentadas. As suas instruções são os termos, este ATD, a forma como configura e utiliza o Serviço e quaisquer outras instruções escritas que envie para hello@rdv.dev e que o Serviço possa razoavelmente executar.
• Informamo-lo se, na nossa opinião, uma instrução violar o RGPD ou outra lei de proteção de dados.
• Se o direito da União Europeia ou o direito francês nos obrigar a tratar os dados de outra forma, informamo-lo antes de o fazermos, salvo se essa lei o proibir.

Confidencialidade

Só as pessoas que precisam dos dados para operar o Serviço lhes podem aceder. Cada uma delas está sujeita a um dever de confidencialidade, por contrato ou por lei.

Medidas de segurança

Protegemos os dados pessoais com medidas técnicas e organizativas adequadas ao risco, incluindo:

• Localização. A base de dados e as funções da aplicação estão em Frankfurt (Alemanha).
• Cifragem. Cifragem em trânsito (TLS) em todas as ligações e cifragem em repouso pelos nossos prestadores de base de dados e de armazenamento de ficheiros.
• Controlo de acessos. Cada ação no Serviço verifica, no servidor, quem está a pedir e o que a sua função no espaço de trabalho permite. O acesso aos sistemas de produção está limitado às pessoas que operam o Serviço.
• Segredos. As palavras-passe, os links de gestão dos convidados, os segredos dos convites e as chaves de API são armazenados apenas sob a forma de hash. Os tokens OAuth dos calendários são guardados pela Nango e nunca chegam à nossa base de dados nem ao nosso código.
• Minimização. A informação de disponibilidade (livre/ocupado) dos calendários é lida em tempo real e não é armazenada; dos calendários Microsoft pedimos apenas o início, o fim, o estado livre/ocupado e o cancelamento dos eventos. Os números de telefone dos convidados só são recolhidos para os lembretes por SMS, com consentimento.
• Proteção contra abusos. Limites de pedidos por conta e por endereço IP com hash; os sites são obtidos através de um transporte protegido que recusa endereços de redes privadas.
• Resiliência. Cópias de segurança geridas da base de dados com restauro para um momento específico; remoção diária dos dados expirados.
• Revisão. Revemos estas medidas quando o Serviço muda e, pelo menos, uma vez por ano.

Assistência

Tendo em conta a natureza do tratamento e a informação ao nosso dispor, ajudamo-lo a:

• responder aos pedidos de pessoas que exerçam os seus direitos (acesso, retificação, apagamento, limitação, portabilidade, oposição). A maioria pode ser tratada no próprio Serviço; se um pedido nos chegar diretamente, reencaminhamo-lo para si sem demora injustificada e não lhe respondemos nós próprios, salvo se nos pedir que o façamos;
• cumprir as suas obrigações de segurança;
• realizar uma avaliação de impacto sobre a proteção de dados, ou consultar uma autoridade de controlo, quando o tratamento o exigir.

Violações de dados pessoais

Notificamo-lo de qualquer violação de dados pessoais que afete os seus dados sem demora injustificada e, o mais tardar, 48 horas após dela termos tido conhecimento, por e-mail para o proprietário do espaço de trabalho. A notificação descreve, na medida do que soubermos nesse momento, a natureza da violação, as categorias e o número aproximado de pessoas e de registos em causa, as suas consequências prováveis e as medidas tomadas ou propostas. Completamo-la à medida que soubermos mais e ajudamo-lo a notificar a autoridade de controlo e as pessoas em causa, quando tiver de o fazer.

Subcontratantes ulteriores

Concede-nos uma autorização geral para recorrer a subcontratantes ulteriores. Atualmente, são os seguintes:

• Mesmas obrigações. Cada subcontratante ulterior está vinculado por um contrato escrito que confere aos dados pessoais o mesmo nível de proteção que este ATD. Continuamos a ser responsáveis perante o cliente pelo trabalho destes.
• Alterações. Avisamos os proprietários por e-mail, e atualizamos esta página, pelo menos 30 dias antes de um novo subcontratante ulterior começar a tratar os seus dados.
• Direito de oposição. Nesses 30 dias, pode opor-se por motivos razoáveis relacionados com a proteção de dados, escrevendo para hello@rdv.dev. Procuraremos uma solução consigo. Se não a encontrarmos, pode pôr termo ao contrato antes de a alteração se aplicar, e reembolsamos as quantias pagas relativas ao período posterior à data de cessação.

A Google e a Microsoft não são nossos subcontratantes ulteriores: os seus anfitriões ligam os próprios calendários, e a Google e a Microsoft atuam perante eles ao abrigo dos seus próprios termos.

Transferências internacionais

Os seus dados são armazenados na União Europeia. Quando um subcontratante ulterior está localizado num país que não beneficia de uma decisão de adequação da Comissão Europeia, ou pode aceder aos dados a partir desse país, a transferência baseia-se no Quadro de Privacidade de Dados UE-EUA quando o destinatário está certificado e, caso contrário, nas cláusulas contratuais-tipo adotadas pela Comissão Europeia (decisão 2021/914), juntamente com as medidas descritas abaixo.

Infraestrutura e acesso pelas autoridades públicas

Onde estão os seus dados. A base de dados (Neon) e as funções da aplicação (Vercel) estão em Frankfurt, na Alemanha. Os ficheiros são armazenados pelo Vercel Blob e distribuídos através da rede global da Vercel.

Quem são os prestadores. A Vercel, a Neon, a Nango, a Mailtrap e a Firecrawl são empresas sediadas nos Estados Unidos, e a ClickSend está sediada na Austrália. A legislação desses países pode permitir que as respetivas autoridades peçam a estes prestadores os dados que detêm, mesmo quando estão armazenados na União Europeia.

O que fazemos a esse respeito.

• Cifragem. Os dados são cifrados em trânsito e em repouso.
• Minimização. Cada prestador recebe apenas o que a sua função exige. Os tokens de calendário nunca chegam à nossa base de dados, a disponibilidade (livre/ocupado) dos calendários nunca é armazenada e os lembretes por SMS só são enviados aos convidados que os pediram.
• Pedidos que nos são dirigidos. Se uma autoridade de fora da União Europeia nos pedir os seus dados, verificamos se o pedido é lícito, contestamo-lo quando houver fundamento para isso e divulgamos apenas o mínimo legalmente exigido.
• Informação ao cliente. Informamo-lo de tal pedido antes de lhe respondermos, salvo se a lei nos proibir de o fazer.
• Prestadores. Escolhemos prestadores que se comprometem com o mesmo: contestar pedidos ilícitos e informar os seus clientes sempre que o possam fazer legalmente.

Eliminação ou devolução no fim do contrato

Quando o contrato termina, pode exportar os seus dados durante o prazo de 30 dias para recuperação descrito nos termos. Findo esse prazo, eliminamos os dados pessoais que tratamos por sua conta, salvo se o direito da União Europeia ou o direito francês nos obrigar a conservá-los. Os dados eliminados desaparecem do histórico de restauro do nosso prestador de base de dados no prazo de 30 dias. Se eliminar o seu espaço de trabalho por si próprio, a eliminação é imediata. Confirmamos a eliminação por escrito, a pedido.

Auditorias

• Disponibilizamos-lhe as informações necessárias para demonstrar que cumprimos as nossas obrigações ao abrigo do artigo 28.º do RGPD, a começar por este ATD e pelas respostas às suas perguntas razoáveis.
• Se tal não for suficiente, pode auditar a nossa conformidade uma vez por ano, com um pré-aviso escrito de pelo menos 30 dias, durante o horário de expediente, a expensas suas, diretamente ou através de um auditor independente sujeito a um dever de confidencialidade. Uma auditoria não pode dar acesso aos dados de outros clientes nem perturbar o Serviço.
• Pode realizar auditorias com maior frequência se uma autoridade de controlo o exigir, ou após uma violação de dados pessoais que afete os seus dados.

Responsabilidade e duração

Este ATD vigora enquanto tratarmos dados pessoais por sua conta. Entre o cliente e nós, a cláusula de responsabilidade dos termos aplica-se a este ATD, na medida em que a lei o permita. Nada nele limita os direitos das pessoas cujos dados são tratados.

Contacto

Para qualquer questão relativa a este ATD, escreva para hello@rdv.dev. OPALITH SAS, 254 rue Vendôme, 69003 Lyon, France.