Este acordo cumpre o artigo 28.º do RGPD: a agência é a responsável pelo tratamento dos dados das suas promotoras e o Picaqui ([ENTIDADE], NIF [NIF], [MORADA]) é o subcontratante que os trata por conta dela. Faz parte dos Termos de Utilização e vigora enquanto a agência tiver conta.
1. O tratamento
| Tema | Descrição |
|---|---|
| Objeto e finalidade | Registo de entradas e saídas, confirmação de presença no local, cálculo de horas, registo de vendas e notas do turno, envio do registo de horas |
| Titulares | Promotoras e outros colaboradores que picam; gestores da agência |
| Dados | Nome; telemóvel e email; loja e evento; hora de entrada e saída; localização no momento da picagem e distância à loja; picagens recusadas; vendas e notas; tipo de telemóvel e browser |
| Dados que não tratamos | Localização fora do momento da picagem; dados de saúde; categorias especiais (art. 9.º) |
| Duração | Enquanto a agência tiver conta, mais o prazo do ponto 8 |
2. Instruções
O Picaqui trata os dados só para prestar o serviço e segundo as instruções da agência, que são os Termos e o que a agência configura na gestão. Se uma instrução nos parecer contrária à lei, avisamos a agência.
3. Confidencialidade
Quem tem acesso aos dados está obrigado a sigilo e só acede quando é preciso para prestar ou dar suporte ao serviço.
4. Segurança (art. 32.º)
Medidas em vigor:
- separação dos dados de cada agência na base de dados (políticas de acesso por linha);
- ligações cifradas (HTTPS) e palavras-passe guardadas cifradas;
- verificação em dois passos disponível para os gestores;
- a saída de um turno só pode ser picada no telemóvel que picou a entrada;
- hora das picagens dada pelo servidor; correções manuais assinaladas com o motivo;
- dados alojados na União Europeia (Paris).
5. Subcontratantes
A agência autoriza o uso dos subcontratantes indicados na Política de Privacidade (Supabase e Cloudflare). Avisamos com pelo menos 30 dias de antecedência antes de acrescentar ou trocar um subcontratante; se a agência se opuser com motivo fundado, pode terminar a conta sem custos. Exigimos a cada subcontratante as mesmas obrigações de proteção de dados.
6. Transferências para fora da UE
Os dados são guardados na União Europeia. Se algum subcontratante aceder a eles a partir de fora da UE, só o fará com as garantias do capítulo V do RGPD (por exemplo, cláusulas contratuais-tipo).
7. Apoio à agência
O Picaqui ajuda a agência a:
- responder a pedidos das promotoras (acesso, correção, apagamento), reencaminhando-lhe os que nos cheguem;
- cumprir as obrigações de segurança, avaliação de impacto e consulta prévia, com a informação que tivermos;
- tratar violações de dados: avisamos a agência sem demora injustificada e, sempre que possível, em 48 horas depois de termos conhecimento, com o que se sabe e o que foi feito.
8. Fim do serviço
Quando a conta termina, a agência tem 30 dias para exportar os seus dados. Depois disso apagamos os dados da agência em até 60 dias, incluindo as cópias de segurança, salvo o que a lei nos obrigue a guardar (por exemplo, faturação).
9. Auditorias
Damos à agência a informação necessária para demonstrar o cumprimento deste acordo e colaboramos em auditorias razoáveis, combinadas com 30 dias de antecedência e a custo de quem as pede.
10. Responsabilidades da agência
A agência garante que tem base legal para tratar os dados das promotoras, que as informa (o Picaqui mostra um aviso de privacidade no primeiro uso) e que respeita as orientações da CNPD sobre controlo de trabalhadores.