Acordo de tratamento de dados (DPA)

Esta é uma tradução de conveniência. A versão em inglês é a vinculativa.

Este acordo define como a Aphroa trata dados pessoais por sua conta. Aplica-se ao Fair Lead Hub e a todos os serviços em que podemos ver dados pessoais no seu site ou nos seus sistemas. O cliente é o responsável pelo tratamento e a Aphroa é o seu subcontratante, nos termos do artigo 28.º do RGPD. Faz parte dos nossos termos e condições e produz efeitos quando encomenda ou inicia um teste.

1. Partes e âmbito

• Responsável pelo tratamento: a empresa que encomenda ou inicia um teste («o cliente»).
• Subcontratante: Sedeus, uma empresa em nome individual, com a marca Aphroa («nós»). Titular da empresa: Sercan Uslu. A morada e os dados de contacto constam do aviso legal.
• Serviços abrangidos: Fair Lead Hub, e Website Fix & Speed, New Website, SEO & AI Visibility, Integrations & Automation e For Agencies quando nos dá acesso a sistemas que contêm dados pessoais.
• Os dados pessoais que nos envia num formulário de pedido ou de encomenda são tratados por nós como responsável pelo tratamento. Isto está descrito na nossa política de privacidade, e não aqui.

2. Objeto e duração

O objeto é o tratamento descrito na secção 3. O acordo vigora enquanto prestarmos um serviço por ele abrangido, acrescido do tempo de que necessitamos para devolver ou eliminar dados nos termos da secção 10.

3. Natureza e finalidade do tratamento

• Fair Lead Hub: fornecemos a aplicação web com a qual digitaliza cartões de visita, lê os dados que contêm, guarda e exporta os contactos, e prepara e envia e-mails de boas-vindas e de acompanhamento a partir do seu próprio endereço e SMTP. Os e-mails de acompanhamento são personalizados com ferramentas automáticas.
• Trabalho no seu site ou nos seus sistemas: utilizamos o acesso que nos dá para realizar o trabalho acordado. Podemos ver os dados pessoais aí guardados, por exemplo entradas de formulários, encomendas ou contas de utilizador. Utilizamo-los apenas para realizar o trabalho.
• Tratamos os dados apenas para estas finalidades e não para fins próprios. Não os vendemos.

4. Tipos de dados e pessoas em causa

• Fair Lead Hub: as pessoas cujos cartões de visita digitaliza ou cujos dados introduz; os seus próprios colaboradores que utilizam a aplicação. Dados: nome, cargo, empresa, endereço de e-mail, número de telefone, site, o conteúdo dos e-mails de acompanhamento preparados para essas pessoas e os dados de conta dos seus utilizadores.
• Trabalho nos seus sistemas: os seus clientes, visitantes do site, utilizadores e colaboradores, na medida em que os seus dados estejam nos sistemas a que temos acesso. Dados: dados de contacto, dados de conta, dados de encomendas e de formulários, dados técnicos.
• Pedimos que não nos forneça categorias especiais de dados (art. 9.º do RGPD) nem dados relativos a condenações penais. Se os seus sistemas contiverem esses dados, informe-nos antes de nos dar acesso.

5. Os seus deveres

• É responsável pela licitude do tratamento, incluindo o fundamento jurídico, a informação às pessoas em causa e, quando necessário, o consentimento destas para o envio de e-mails.
• Dá-nos instruções por escrito (o e-mail conta). Os nossos termos, o orçamento e a sua utilização do serviço constituem as suas instruções completas no início.
• Informa-nos sem demora se uma instrução não puder ser cumprida de forma lícita ou se os dados estiverem incorretos.

6. Os nossos deveres

• Tratamos dados pessoais apenas mediante as suas instruções documentadas, incluindo no que respeita a transferências para outros países, salvo se a lei exigir o contrário. Informamo-lo se considerarmos que uma instrução viola a legislação de proteção de dados.
• Todas as pessoas que acedem aos dados por nossa conta estão vinculadas à confidencialidade.
• Adotamos as medidas da secção 7.
• Recorremos a subcontratantes ulteriores apenas nos termos da secção 8.
• Auxiliamo-lo, na medida do possível, a responder a pedidos das pessoas em causa (acesso, retificação, apagamento, limitação, portabilidade, oposição). Se uma dessas pessoas nos escrever diretamente, encaminhamos o pedido para si.
• Auxiliamo-lo no cumprimento dos seus deveres nos termos dos artigos 32.º a 36.º do RGPD (segurança, notificação de violações, avaliação de impacto, consulta), tendo em conta a informação de que dispomos.
• Informamo-lo sem demora injustificada, e o mais tardar no prazo de 24 horas, depois de tomarmos conhecimento de uma violação de dados pessoais que afete os seus dados, e fornecemos-lhe a informação de que dispomos para o ajudar na notificação.
• Fornecemos-lhe a informação necessária para demonstrar que cumprimos este acordo (secção 11).

7. Medidas técnicas e organizativas

Estas medidas aplicam-se ao nosso site, aos formulários e aos sistemas de correio.

• Ligações cifradas: o nosso site e os formulários funcionam apenas por HTTPS. Os e-mails são enviados a partir do nosso próprio servidor de correio através de ligações cifradas.
• Acesso limitado: o acesso aos seus dados está limitado às pessoas que deles necessitam para o seu trabalho. Pedimos que nos dê acesso através de uma conta temporária criada para o trabalho. Utilizamos o acesso apenas para o trabalho e pedimos-lhe que o encerre quando o trabalho terminar.
• Minimização de dados: não guardamos endereços IP nos nossos registos de leads e de consentimento; guardamos um hash que muda todos os dias. Pedimos apenas os dados de que um trabalho necessita.
• Conservação curta: os registos são eliminados automaticamente após o respetivo prazo de conservação: leads após 24 meses, e-mails em fila após 30 dias, o registo do nosso plug-in de envio após 14 dias, registos do servidor após 7 dias.
• Reforço da segurança do nosso site: a edição de ficheiros na área de administração está desativada, a interface XML-RPC está desativada, as listas de nomes de utilizador não são expostas e o acesso à base de dados utiliza instruções preparadas.
• Proteção contra abusos: os formulários têm um campo oculto, um token de tempo assinado, o Cloudflare Turnstile e um limite de tentativas.
• Servidor de correio próprio: não enviamos os nossos e-mails através de um serviço de envio de terceiros.

8. Subcontratantes ulteriores

Concede-nos uma autorização geral para recorrer aos subcontratantes ulteriores indicados na tabela. Informamo-lo por e-mail ou nesta página antes de adicionarmos ou substituirmos algum. Pode opor-se, por um motivo válido de proteção de dados, no prazo de 30 dias. Se não chegarmos a acordo, qualquer das partes pode terminar o serviço afetado.

9. Transferências para outros países

A Cloudflare, Inc. tem sede nos Estados Unidos. Para esta transferência, recorremos ao Quadro de Privacidade de Dados UE-EUA, quando o fornecedor está certificado, e às Cláusulas Contratuais-Tipo.

A Anthropic tem sede nos Estados Unidos. Os dados do Fair Lead Hub que seguem para a Anthropic para leitura de cartões e personalização de e-mails são transferidos apenas com garantias adequadas.

Estamos sediados na Turquia, relativamente à qual não existe uma decisão de adequação da UE, e acedemos aos dados a partir de lá. Se as regras de transferência exigirem garantias para os seus dados, acordamos consigo garantias adequadas, por exemplo as Cláusulas Contratuais-Tipo da Comissão Europeia. Escreva para legal@aphroa.com e tratamos de as implementar.

10. Eliminação e devolução

Quando o serviço termina, eliminamos os seus dados pessoais ou devolvemo-los, conforme escolher, no prazo de 30 dias. Devolvemos os contactos do Fair Lead Hub num ficheiro CSV. O acesso que nos deu deixa de ser utilizado. Só conservamos dados se a lei o exigir, e apenas para essa finalidade.

11. Informação e auditorias

A seu pedido, fornecemos-lhe a informação necessária para demonstrar que cumprimos este acordo. Se tal não for suficiente, pode verificar o nosso tratamento, mediante pré-aviso razoável, durante o horário de trabalho e sem perturbar os nossos outros clientes. Cada parte suporta os seus próprios custos. As verificações abrangem apenas o tratamento dos seus dados.

12. Responsabilidade e outras disposições

As disposições de responsabilidade dos nossos termos e condições aplicam-se a este acordo. Se este acordo e os termos divergirem quanto a dados pessoais, prevalece este acordo.

13. Lei aplicável e foro competente

Este acordo rege-se pelas leis da República da Turquia. Os tribunais e os serviços de execução de Eskişehir têm competência, salvo disposição imperativa da lei em contrário.

14. Contacto

Questões sobre este acordo: legal@aphroa.com.