Data Processing& GDPR

Esta página resume a postura pública da Altovar em matéria de RGPD e tratamento de dados para fins de aprovisionamento, jurídicos, de segurança e de privacidade. Foi concebida para responder às perguntas recorrentes levantadas durante o processo de integração de fornecedores, a diligência devida e as avaliações de segurança.

Complementa — e não substitui — a Política de Privacidade, a Política de Cookies, os Termos de Serviço e qualquer Acordo de Tratamento de Dados (DPA) celebrado.

A Altovar como responsável pelo tratamento: Relativamente aos dados pessoais recolhidos através do nosso site, das ações comerciais, da administração de contas, da faturação, da correspondência de apoio e das preferências de marketing, a Altovar atua como responsável pelo tratamento de dados independente.

A Altovar como subcontratante: Sempre que um cliente utilize os serviços da Altovar para armazenar, analisar, transmitir ou de outra forma tratar dados pessoais em nome desse cliente, a Altovar atua como subcontratante e o cliente mantém-se responsável pelo tratamento, salvo se uma atribuição diferente for definida no contrato ou na arquitetura do serviço.

A atribuição de papéis é especificada com maior detalhe no Formulário de Encomenda aplicável, na documentação do serviço e no DPA.

A Altovar está estabelecida na Europa e concebe a sua estratégia de infraestrutura para preservar o controlo jurisdicional da UE, um baixo risco de transferência e a transparência operacional.

A nossa postura de serviço padrão é o alojamento na UE. As cargas de trabalho aplicacionais principais, as bases de dados, as cópias de segurança e os sistemas operacionais são selecionados para manter os dados de produção dentro do EEE sempre que a arquitetura do produto o permita. Sempre que a entrega na periferia (edge) ou as ferramentas de apoio introduzam um ponto de contacto num país terceiro, a Altovar aplica salvaguardas documentadas e limita o acesso ao âmbito mínimo necessário.

A Altovar disponibiliza um Acordo de Tratamento de Dados para os cenários de subcontratação. Para os contratos Business e Enterprise, o texto do DPA pode estar incorporado no Formulário de Encomenda ou no acordo-quadro de prestação de serviços. Para os restantes clientes, encontra-se disponível um DPA padrão mediante pedido.

O DPA abrange as instruções de tratamento, a confidencialidade, os subcontratantes, as medidas de segurança, a notificação de violações, a assistência aos direitos dos titulares dos dados, a eliminação / devolução dos dados e a cooperação em auditorias dentro de limites comercialmente razoáveis.

Os pedidos de DPA ou de aditamento contratual podem ser enviados para [email protected].

A Altovar utiliza um processo controlado de avaliação de fornecedores para os serviços de infraestrutura, pagamentos, comunicações e segurança de apoio. Cada responsável ou subcontratante é avaliado quanto à adequação técnica, às implicações jurisdicionais, aos controlos de segurança, à cobertura contratual e à maturidade na resposta a incidentes antes da utilização em produção.

Os subcontratantes estão vinculados por contratos escritos que refletem os requisitos do Artigo 28.º do RGPD, quando aplicável. A Altovar mantém um registo interno de subcontratantes e informa sobre alterações materiais através dos mecanismos contratuais definidos no DPA ou no acordo com o cliente.

A Altovar aplica medidas técnicas e organizativas em camadas, adequadas à sensibilidade da carga de trabalho e ao nível de serviço envolvido. Estas medidas incluem normalmente o controlo de acessos, a administração com privilégios mínimos, MFA nos sistemas internos, o transporte cifrado, o armazenamento cifrado quando relevante, o registo de auditoria, a gestão de vulnerabilidades, os controlos de cópias de segurança e a segregação de ambientes.

As nossas medidas são revistas à medida que os produtos evoluem. Sempre que um cliente necessite de um resumo das Medidas Técnicas e Organizativas (TOMs) para fins de aprovisionamento ou auditoria, a Altovar pode fornecer uma visão geral atualizada ao abrigo de um NDA ou como parte do fluxo de trabalho de revisão do DPA / de segurança.

Quando a Altovar atua como responsável pelo tratamento, respondemos diretamente aos pedidos de acesso, retificação, eliminação, oposição, portabilidade e limitação, em conformidade com a nossa Política de Privacidade.

Quando a Altovar atua como subcontratante, prestamos assistência ao cliente — dentro das capacidades do serviço e do enquadramento contratual — para que o cliente possa cumprir as suas próprias obrigações para com os titulares dos dados. Tal pode incluir apoio à exportação, fluxos de trabalho de eliminação, registo de acessos ou coordenação operacional através dos canais de apoio e de privacidade.

A Altovar opera procedimentos de gestão de incidentes para eventos de segurança, disponibilidade, confidencialidade e integridade que afetem dados de clientes ou da empresa.

Quando a Altovar atua como subcontratante e toma conhecimento de uma violação de dados pessoais que afete dados de clientes, notificamos o cliente sem demora injustificada, para que este possa avaliar quaisquer obrigações de notificação à autoridade de controlo ou aos titulares dos dados. Quando a Altovar atua como responsável pelo tratamento, avaliamos e tratamos diretamente os deveres de notificação em conformidade com o RGPD e a legislação nacional aplicável.

A Altovar não adota as transferências para países terceiros como modelo operacional por defeito. Caso uma dependência de serviço específica, um fluxo de apoio ou uma função de entrega na periferia (edge) crie um cenário de transferência, a Altovar recorre a um mecanismo de transferência legalmente identificado e a medidas suplementares proporcionais antes da utilização em produção.

Consoante o fornecedor e o contexto do tratamento, estas salvaguardas podem incluir decisões de adequação, Cláusulas Contratuais-Tipo, minimização de acessos, cifragem e trabalho de avaliação do impacto das transferências.

A conformidade com o RGPD não se alcança apenas pela postura do fornecedor. Os clientes mantêm-se responsáveis por escolher um fundamento jurídico adequado, por configurar os seus ambientes de forma lícita, por definir regras de conservação consistentes com as suas obrigações e por dar instruções válidas nos cenários de subcontratação.

A Altovar fornece a estrutura contratual e técnica necessária para uma utilização conforme, mas cada cliente mantém-se responsável pela forma como utiliza o serviço no seu próprio contexto, incluindo o acesso de colaboradores, os conteúdos carregados, as escolhas de conservação e as integrações com terceiros.