Acordo de subcontratação

As partes

Este acordo é celebrado entre o negócio que usa a Karimba (o «negócio»), responsável pelo tratamento dos dados pessoais dos seus clientes e da sua equipa, e [a preencher], NIF [a preencher], com sede em [a preencher] (a «Karimba»), que trata esses dados por conta do negócio, como subcontratante.

Cumpre o artigo 28.º do Regulamento Geral sobre a Proteção de Dados (RGPD). Faz parte dos Termos de serviço e aceita-se com eles, no registo do negócio ou no backoffice.

Se este acordo e os Termos de serviço disserem coisas diferentes sobre dados pessoais, vale o que diz este acordo.

Objecto e duração

O objecto é o tratamento dos dados pessoais de que a Karimba precisa para prestar ao negócio o serviço descrito nos Termos de serviço: o cartão de cliente, o balcão e o backoffice.

O acordo dura enquanto durar o contrato do serviço, incluindo o período de experiência, e até os dados serem apagados ou devolvidos, como diz a secção «Fim do contrato».

Natureza e finalidade do tratamento

Finalidade: gerir o cartão de fidelização do negócio — registar os clientes e as visitas, dar carimbos, pontos e ofertas, trocar pontos por prémios e mostrar ao negócio a actividade dos seus clientes.

Natureza: a Karimba recolhe, guarda, organiza, consulta, mostra, exporta e apaga os dados, de forma automatizada, nos seus sistemas e nos dos subcontratantes ulteriores.

O cliente pode ver o seu cartão na carteira da Karimba, ao lado dos cartões que tenha noutros negócios. Cada negócio só vê os dados dos seus próprios clientes.

A Karimba não usa estes dados para fins próprios: não os vende, não os usa para publicidade e não os mostra a outros negócios.

Tipos de dados e titulares

Clientes do negócio: o nome; o email da conta com que entram (por email ou pela conta Google); a data do consentimento; as visitas (a data, o local, o carimbo, os pontos e, quando é registado, o valor da compra); os carimbos, os pontos e o nível; as ofertas ganhas e usadas; as trocas de pontos por prémios.

Equipa do negócio: o nome, a função, o email de quem gere o negócio e o PIN, guardado só como hash; que pessoa e que tablet registaram cada visita; o registo de algumas acções feitas no balcão e no backoffice.

O email da conta de acesso de um cliente, ou de quem gere o negócio, também é tratado pela Karimba como responsável, para gerir essa conta (é o que diz a Política de privacidade da Karimba). Este acordo cobre esse email enquanto faz parte de um cartão ou dos dados do negócio.

Tablets do balcão: o nome de cada tablet e o local onde está.

Não se tratam categorias especiais de dados (artigo 9.º do RGPD).

Instruções do negócio

A Karimba só trata os dados segundo as instruções documentadas do negócio. As instruções são os Termos de serviço, este acordo e o que o negócio faz no backoffice e no balcão — por exemplo, criar um prémio, exportar os dados de um cliente ou apagá-lo.

Se a lei obrigar a Karimba a tratar os dados de outra forma, a Karimba avisa o negócio antes, salvo se a lei o proibir.

Se a Karimba achar que uma instrução viola o RGPD ou outra lei de proteção de dados, avisa o negócio de imediato.

Confidencialidade

Quem, na Karimba, tem acesso aos dados está obrigado a confidencialidade, por contrato ou por lei.

Só acede aos dados quem precisa, para prestar o serviço ou dar apoio ao negócio. Cada entrada da Karimba no backoffice de um negócio fica registada.

Segurança

A Karimba aplica medidas técnicas e organizativas adequadas ao risco (artigo 32.º do RGPD). Hoje são estas:

Isolamento por negócio: a própria base de dados impõe que cada negócio só chegue aos seus dados (segurança ao nível da linha).

Os PIN da equipa são guardados só como hash, que não permite lê-los.

As ligações entre o browser, os tablets e os servidores são cifradas (HTTPS/TLS).

O backoffice abre com uma ligação de acesso, uma só por negócio, que quem gere o negócio recebe ao entrar com a sua conta. Cada nova entrada anula a ligação anterior.

A Karimba também pode entrar no backoffice de um negócio, para lhe dar apoio. Cada uma dessas entradas fica registada.

Os tablets do balcão são emparelhados um a um com o negócio. Um tablet que não esteja emparelhado não regista visitas.

O balcão limita as tentativas de PIN erradas e bloqueia-as durante alguns minutos quando passam do limite.

Subcontratantes ulteriores

O negócio dá à Karimba autorização geral para recorrer a subcontratantes ulteriores. Hoje são estes:

Supabase — base de dados e contas de acesso (autenticação) (Reino Unido (Londres); empresa com sede nos Estados Unidos).

Vercel — alojamento do site e das apps, e estatísticas de utilização sem cookies (Vercel Web Analytics) (pode tratar os pedidos fora do Espaço Económico Europeu, incluindo nos Estados Unidos; empresa com sede nos Estados Unidos).

Cloudflare — o captcha do registo de negócios (Cloudflare Turnstile) (rede global; empresa com sede nos Estados Unidos).

Google — entrar com a conta Google, só quando a pessoa o escolhe (Estados Unidos e outros países).

A Karimba impõe a cada um, por contrato, obrigações de proteção de dados equivalentes às deste acordo, e responde perante o negócio pelo que eles fizerem.

Antes de acrescentar ou substituir um subcontratante, a Karimba avisa o negócio. O negócio pode opor-se; se não houver entendimento, pode cancelar o serviço.

Transferências para fora do Espaço Económico Europeu

A base de dados e as contas de acesso (Supabase) ficam no Reino Unido, em Londres, fora do Espaço Económico Europeu (EEE). A Comissão Europeia reconheceu que o Reino Unido assegura um nível de proteção adequado, e é nessa decisão de adequação (artigo 45.º do RGPD) que assentam as transferências para lá.

O alojamento do site e das apps (Vercel) pode tratar os pedidos fora do Espaço Económico Europeu, e os subcontratantes são empresas com sede nos Estados Unidos, que podem tratar dados fora do EEE.

Essas transferências só se fazem com as garantias do capítulo V do RGPD: as cláusulas contratuais-tipo aprovadas pela Comissão Europeia ou, quando a empresa a ele aderiu, o Quadro de Privacidade de Dados UE-EUA.

Direitos dos titulares

A Karimba ajuda o negócio a responder aos pedidos dos titulares, sobretudo com as ferramentas que já existem.

Na app do cartão, em “Privacidade e dados”, cada cliente pode descarregar os seus dados num ficheiro e apagar o cartão.

No backoffice, o negócio pode exportar os dados de um cliente e apagá-lo.

Ao apagar um cartão, o nome e a ligação à conta do cliente desaparecem. As visitas ficam, sem nada que identifique quem as fez, para as contas do negócio.

Se um titular fizer à Karimba um pedido que cabe ao negócio, a Karimba encaminha-o para o negócio sem demora.

Violações de dados

Se a Karimba tiver conhecimento de uma violação de dados pessoais que afecte os dados do negócio, avisa-o sem demora injustificada, pelo email de quem gere o negócio.

O aviso diz o que se souber: o que aconteceu, que dados e quantos titulares foram afectados, as consequências prováveis e as medidas tomadas ou propostas. O que ainda não se souber segue depois, por fases.

A Karimba ajuda o negócio a notificar a CNPD e, quando for preciso, os titulares (artigos 33.º e 34.º do RGPD).

Fim do contrato

Até ao fim do contrato, o negócio pode exportar no backoffice os dados dos seus clientes, cliente a cliente.

Quando o contrato acaba, a Karimba apaga os dados pessoais do negócio até 30 dias depois, ou devolve-os, se o negócio o pedir nesse prazo.

Depois disso, só se guardam os dados que a lei obrigue a guardar, e apenas pelo prazo que ela fixar.

Informação e auditorias

A Karimba dá ao negócio a informação necessária para demonstrar que cumpre este acordo e o artigo 28.º do RGPD.

O negócio, ou um auditor por ele mandatado e obrigado a sigilo, pode fazer auditorias e inspecções, combinadas com antecedência razoável e sem acesso aos dados de outros negócios.

A Karimba também dá ao negócio a informação que tiver e de que ele precise para uma avaliação de impacto ou uma consulta prévia à CNPD (artigos 35.º e 36.º do RGPD).

O que cabe ao negócio

O negócio é o responsável pelo tratamento: decide para que servem os dados dos seus clientes e da sua equipa, e responde por essa decisão.

A app do cartão mostra a cada cliente o aviso de privacidade do negócio e pede o seu consentimento antes de criar o cartão. O negócio deve rever esse aviso.

O negócio só dá à Karimba instruções que cumpram a lei.