Acordo de tratamento de dados (DPA)

1. Partes e integração no contrato

Este Acordo de Tratamento de Dados, adiante designado DPA, faz parte dos Termos de Serviço da Gestevent. É celebrado entre o Cliente identificado na conta, proposta ou subscrição e André Filipe Pissarra Costa Oliveira, NIF 209207507, titular da atividade Maria Alice — Business Solutions e prestador da Gestevent.

Quando o Cliente determina as finalidades e os meios do tratamento dos dados pessoais, atua como responsável pelo tratamento e a Gestevent atua como subcontratante. Quando o Cliente trata dados por conta de um terceiro, a Gestevent atua como subcontratante ulterior, na medida correspondente.

2. Objeto e duração

O DPA regula o tratamento de dados pessoais realizado pela Gestevent por conta do Cliente para prestar as funcionalidades contratadas.

O tratamento decorre durante a prestação do serviço e pelos períodos estritamente necessários à saída do Cliente, recuperação de dados, cópias de segurança, eliminação ou cumprimento de obrigações legais.

3. Instruções do Cliente

A Gestevent trata os Dados do Cliente apenas de acordo com instruções documentadas. Estas incluem os Termos de Serviço, este DPA, as configurações e ações realizadas na plataforma e as instruções enviadas pelos canais oficiais.

Se considerar, de forma razoável, que uma instrução viola a legislação de proteção de dados, a Gestevent informa o Cliente, salvo se a lei impedir essa comunicação.

Se a legislação da União Europeia ou de um Estado-Membro obrigar a Gestevent a tratar dados fora dessas instruções, o Cliente será informado antes do tratamento, salvo proibição legal.

4. Operações e finalidades

O tratamento pode incluir a receção, recolha, armazenamento, organização, estruturação, consulta, apresentação, alteração, importação, exportação, transmissão, disponibilização, realização de cópias de segurança, limitação e eliminação dos dados, na medida necessária à prestação da plataforma de gestão de eventos.

5. Pessoas a quem os dados dizem respeito

• Utilizadores e colaboradores do Cliente.
• Freelancers e prestadores individuais.
• Clientes do Cliente e respetivas pessoas de contacto.
• Fornecedores e respetivas pessoas de contacto.
• Participantes, convidados, hóspedes e passageiros de eventos.
• Outras pessoas cujos dados sejam legitimamente introduzidos pelo Cliente.

6. Categorias de dados pessoais

Consoante as funcionalidades utilizadas, podem ser tratados dados de identificação, contacto, atividade profissional, autenticação e morada; NIF, número de Segurança Social e número de utente; documentos de identificação, nacionalidade, data de nascimento, género e estado civil; dados bancários e contactos de emergência; informação laboral, turnos e ausências.

Podem também ser tratados dados de clientes e fornecedores; informação sobre participação em eventos, alojamento, viagens, transfers e voos; preferências logísticas; ficheiros, documentos, campos personalizados e notas livres.

7. Categorias especiais de dados

O Cliente pode introduzir informação que revele dados de saúde ou convicções religiosas, como determinadas restrições alimentares ou informação de saúde associada a ausências.

Compete ao Cliente assegurar o fundamento jurídico adequado e limitar o tratamento à informação necessária para a finalidade em causa.

8. Obrigações da Gestevent

A Gestevent compromete-se a:

• Tratar os dados apenas segundo instruções documentadas, salvo obrigação legal em contrário.
• Assegurar que as pessoas autorizadas a tratar os dados estão sujeitas a dever de confidencialidade.
• Aplicar medidas técnicas e organizativas adequadas ao risco.
• Recorrer a subcontratantes ulteriores nos termos deste DPA.
• Prestar assistência razoável ao Cliente na resposta aos pedidos de exercício de direitos dos titulares.
• Prestar assistência razoável em matéria de segurança, violações de dados, avaliações de impacto e consultas prévias, considerando a natureza do tratamento e a informação disponível.
• Eliminar ou devolver os dados no termo dos serviços, sem prejuízo de obrigações legais de conservação.
• Disponibilizar a informação necessária para demonstrar o cumprimento das obrigações previstas no artigo 28.º do RGPD.

9. Obrigações do Cliente

O Cliente compromete-se a:

• Assegurar um fundamento jurídico válido para os tratamentos realizados através da Gestevent.
• Prestar às pessoas a quem os dados dizem respeito a informação exigida pela legislação.
• Emitir apenas instruções lícitas.
• Definir e rever as permissões internas de acesso.
• Recolher e utilizar apenas os dados necessários, evitando informação excessiva.
• Obter as autorizações necessárias quando a Gestevent atuar como subcontratante ulterior.
• Cumprir os deveres de resposta aos titulares e de comunicação às autoridades que lhe caibam enquanto responsável pelo tratamento.

10. Confidencialidade e acesso interno

O acesso administrativo da Gestevent está limitado a pessoas autorizadas, sujeitas a dever de confidencialidade. É atribuído de acordo com as necessidades de cada função e da prestação de suporte.

A consola administrativa destina-se à gestão de contas, membros, pedidos de demonstração, pedidos de suporte, faturação, contagens e informação operacional. Não foi concebida para a consulta corrente de briefings, orçamentos, fornecedores, participantes ou documentos das Organizações.

11. Medidas de segurança

As medidas aplicáveis estão descritas no Anexo II. Incluem a separação lógica dos dados de cada Organização, regras de acesso na base de dados, comunicações protegidas, cifragem dos dados armazenados disponibilizada pela infraestrutura, autenticação de dois fatores, políticas de segurança da aplicação, limitação de pedidos, validação de ficheiros, armazenamento privado de documentos, registos de auditoria e cópias de segurança.

12. Subcontratantes ulteriores

O Cliente concede autorização geral para a utilização dos subcontratantes ulteriores identificados no Anexo III e na lista pública atualizada da Gestevent.

A Gestevent assegura que estes prestadores ficam vinculados a obrigações de proteção de dados adequadas às atividades que realizam. As alterações materiais à lista são comunicadas por meio adequado antes de produzirem efeitos, sempre que razoavelmente possível.

O Cliente pode apresentar oposição fundamentada em motivos de proteção de dados, dentro do prazo indicado na comunicação. As partes procurarão uma solução razoável. Se não for possível chegar a uma solução e o prestador for necessário ao serviço, poderão terminar as funcionalidades ou os serviços afetados.

13. Transferências internacionais

Se os Dados do Cliente forem transferidos para fora do Espaço Económico Europeu, a Gestevent assegura a aplicação de um mecanismo admitido pelo RGPD. Este pode incluir uma decisão de adequação, o EU–US Data Privacy Framework, quando aplicável, ou cláusulas contratuais-tipo da Comissão Europeia, complementadas por medidas adicionais quando necessárias.

14. Direitos dos titulares

A Gestevent presta assistência razoável ao Cliente, através de medidas técnicas e organizativas adequadas à natureza do tratamento, para apoiar a resposta a pedidos de exercício de direitos.

Se receber diretamente um pedido relativo a Dados do Cliente, a Gestevent encaminha-o para o Cliente, quando seja possível identificá-lo. Não responde ao conteúdo do pedido em nome do Cliente sem instrução ou obrigação legal.

15. Violações de dados pessoais

A Gestevent notifica o Cliente sem demora injustificada após tomar conhecimento de uma violação de dados pessoais que afete os Dados do Cliente.

Na medida em que a informação esteja disponível, a comunicação inclui a natureza do incidente, as categorias de dados e de pessoas afetadas, as consequências prováveis, as medidas tomadas ou propostas e um ponto de contacto. A informação pode ser comunicada por fases, à medida que a investigação avança.

16. Avaliações de impacto e consultas prévias

A Gestevent presta assistência razoável ao Cliente nas avaliações de impacto e consultas prévias relacionadas com os tratamentos realizados através do serviço, considerando a natureza do tratamento e a informação disponível.

Os serviços de consultoria jurídica ou de privacidade que excedam o suporte técnico normal podem ser objeto de acordo separado.

17. Auditoria e demonstração do cumprimento

Mediante pedido razoável, a Gestevent disponibiliza a informação necessária para demonstrar o cumprimento deste DPA.

As auditorias presenciais ou técnicas devem ser previamente acordadas, limitar-se ao necessário e respeitar a confidencialidade e a segurança. Não podem comprometer dados de outros Clientes nem segredos comerciais.

Sempre que adequado, são privilegiados documentos, relatórios, questionários e outros elementos que permitam a verificação à distância, antes de uma inspeção física.

18. Devolução e eliminação dos dados

No termo dos serviços, o Cliente pode solicitar a exportação, devolução e/ou eliminação dos seus dados. Durante os 90 dias seguintes ao fim da subscrição, a Organização mantém-se normalmente em modo de só leitura, para permitir a recuperação dos dados e a saída do serviço.

Salvo pedido de eliminação anterior, obrigação legal ou acordo específico, os Dados do Cliente podem ser conservados até 12 meses após a cessação, para recuperação operacional. Depois desse prazo, são eliminados dos sistemas ativos. Enquanto a eliminação integral não estiver automatizada, a Gestevent executa o procedimento manualmente.

Os dados presentes em cópias de segurança podem manter-se até ao fim do respetivo ciclo de retenção. Permanecem protegidos e não são utilizados nas operações correntes.

Durante a vigência do contrato, os dados apagados pelos Utilizadores ficam na Reciclagem da Organização durante 90 dias, com os ficheiros associados. Nesse prazo, os Utilizadores com o papel Direção podem repô-los ou eliminá-los definitivamente. Findo o prazo, são eliminados automaticamente dos sistemas ativos, salvo os documentos sujeitos a obrigação legal de conservação (faturas emitidas e despesas com fatura anexada, conservadas durante 10 anos a contar do fim do ano do documento). Cada reposição e cada eliminação definitiva fica registada no registo de atividade da Organização.

19. Responsabilidade e prevalência

A responsabilidade das partes é regulada pelos Termos de Serviço e pela legislação aplicável. Em matéria de tratamento de dados pessoais por conta do Cliente, este DPA prevalece sobre disposições incompatíveis dos Termos de Serviço.

20. Lei aplicável

Este DPA rege-se pela lei portuguesa e pelo RGPD. Sem prejuízo das competências das autoridades de controlo e de normas imperativas, aplica-se o tribunal competente previsto nos Termos de Serviço.

Anexo I — Detalhes do tratamento

Objeto: Prestação da plataforma Gestevent e das funcionalidades ativadas pelo Cliente.

Duração: Durante a relação contratual e pelos períodos posteriores estritamente necessários à saída, recuperação de dados, cópias de segurança, eliminação ou cumprimento de obrigações legais.

Finalidade: Gestão de eventos, projetos, equipas, clientes, fornecedores, participantes, operações, documentação e processos associados definidos pelo Cliente.

Titulares e dados: Os identificados nas cláusulas 5 a 7 deste DPA, na medida em que sejam efetivamente tratados pelo Cliente.

Anexo II — Medidas técnicas e organizativas

Separação dos dados e permissões de acesso

• Regras de acesso na base de dados, através de Row Level Security, que restringem o acesso aos dados de cada Organização nas tabelas relevantes.
• Chave administrativa da base de dados protegida, sem exposição ao navegador dos Utilizadores.
• Permissões atribuídas por função e controlos internos de acesso.

Comunicações e armazenamento

• Utilização obrigatória de HTTPS para proteger a comunicação entre o navegador e o serviço.
• Configuração de HSTS para instruir o navegador a utilizar ligações HTTPS.
• Cifragem dos dados armazenados disponibilizada pela infraestrutura Supabase/Vercel.

Autenticação

• Acesso por email e palavra-passe, com um mínimo de 10 caracteres.
• Bloqueio de determinadas palavras-passe identificadas em fugas de dados conhecidas.
• Autenticação de dois fatores através de códigos temporários (TOTP), opcional para os Utilizadores e obrigatória nos acessos administrativos internos da Gestevent.

Proteção da aplicação

• Política de Segurança de Conteúdo (CSP) restrita, que limita as origens dos conteúdos e recursos que a aplicação pode carregar.
• Proteção contra a apresentação da aplicação em páginas de terceiros e contra a interpretação incorreta de tipos de ficheiro pelo navegador.
• Política restritiva sobre a informação de origem enviada ao abrir outras páginas (Referrer Policy).
• Limitação do número de pedidos em funcionalidades sensíveis e formulários, para reduzir o risco de abuso.

Armazenamento e validação de ficheiros

• Documentos guardados em armazenamento privado, com acesso controlado.
• Definição de tamanhos máximos e formatos de ficheiro permitidos.
• Análise, no servidor, das características internas de cada ficheiro para verificar se correspondem ao formato indicado pela extensão.

Registos de auditoria e erros

• Registo de operações relevantes, incluindo operações financeiras, aprovações e alterações de estado.
• Registos técnicos de erro configurados para evitar a recolha deliberada dos conteúdos introduzidos pelos Utilizadores.

Cópias de segurança e versões da aplicação

• Reposição da base de dados em qualquer momento dos últimos 7 dias, através da recuperação para um ponto no tempo (PITR) do Supabase. Os ficheiros carregados ficam no armazenamento privado e não estão abrangidos por esta recuperação.
• Histórico das versões da aplicação publicadas na Vercel.

Acesso administrativo interno

• Acesso administrativo protegido por um segundo fator de autenticação.
• Consola interna concebida para gestão e suporte, sem consulta corrente dos conteúdos operacionais das Organizações.

Anexo III — Subcontratantes ulteriores

A lista pública de prestadores tecnológicos contém informação complementar sobre os serviços utilizados e os respetivos tratamentos. Os serviços de análise e publicidade do site são descritos separadamente nas Políticas de Privacidade e de Cookies.