Tratamento de Dadose RGPD

Tradução de cortesia. Em caso de discrepância, prevalece a versão inglesa.

Esta página resume a postura pública da Altovar em matéria de RGPD e tratamento de dados, para efeitos de aprovisionamento, revisão jurídica, de segurança e de privacidade. Destina-se a responder às questões recorrentes suscitadas durante a integração de fornecedores, a diligência prévia (due diligence) e as avaliações de segurança.

Esta página complementa — sem substituir — a Política de Privacidade, a Política de Cookies, os Termos de Serviço e qualquer Acordo de Tratamento de Dados (DPA) celebrado.

A Altovar como responsável pelo tratamento: Relativamente aos dados pessoais recolhidos através do sítio Web, das ações comerciais, da administração de contas, da faturação, da correspondência de suporte e das preferências de marketing, a Altovar atua como responsável pelo tratamento independente.

A Altovar como subcontratante: Quando um cliente utiliza os serviços da Altovar para armazenar, analisar, transmitir ou tratar de outro modo dados pessoais por conta desse cliente, a Altovar atua como subcontratante e o cliente mantém-se como responsável pelo tratamento, salvo se estiver definida uma atribuição diferente no contrato ou na arquitetura do serviço.

A atribuição de papéis é especificada com maior detalhe no Order Form aplicável, na documentação do serviço e no DPA.

A Altovar está estabelecida na Europa e concebe a sua estratégia de infraestrutura de modo a preservar o controlo jurisdicional da UE, um baixo risco de transferência e transparência operacional.

A nossa postura de serviço padrão é o alojamento na UE. As cargas de trabalho de aplicações principais, as bases de dados, as cópias de segurança e os sistemas operacionais são selecionados de modo a manter os dados de produção dentro do EEE sempre que a arquitetura do produto o permita. Sempre que a entrega em periferia de rede (edge-delivery) ou as ferramentas de suporte introduzam um ponto de contacto num país terceiro, a Altovar aplica garantias documentadas e limita o acesso ao âmbito mínimo necessário.

A Altovar disponibiliza um Acordo de Tratamento de Dados (DPA) para os cenários em que atua como subcontratante. Para os planos Business e Enterprise, as cláusulas do DPA podem estar incorporadas no Order Form ou no contrato-quadro de serviços. Para os restantes clientes, está disponível um DPA padrão mediante pedido.

O DPA abrange as instruções de tratamento, a confidencialidade, os subcontratantes, as medidas de segurança, a notificação de violações, a assistência para o exercício dos direitos dos titulares dos dados, o apagamento/devolução de dados e a cooperação em auditorias dentro de limites comercialmente razoáveis.

Os pedidos de DPA ou de aditamento contratual podem ser enviados para [email protected].

A Altovar utiliza um processo controlado de análise de fornecedores para infraestrutura, pagamentos, comunicações e serviços de segurança de apoio. Cada responsável ou subcontratante é avaliado quanto à adequação técnica, implicações jurisdicionais, controlos de segurança, cobertura contratual e maturidade na resposta a incidentes antes da utilização em produção.

Os subcontratantes estão vinculados por contratos escritos que refletem os requisitos do artigo 28.º do RGPD, quando aplicável. A Altovar mantém um registo interno de subcontratantes e presta notificação de alterações substanciais através dos mecanismos contratuais definidos no DPA ou no contrato com o cliente.

A Altovar aplica medidas técnicas e organizativas em camadas, adequadas à sensibilidade da carga de trabalho e ao nível de serviço em causa. Estas medidas incluem tipicamente controlo de acessos, administração segundo o princípio do menor privilégio, MFA nos sistemas internos, transporte cifrado, armazenamento cifrado quando relevante, registo de auditoria, gestão de vulnerabilidades, controlos de cópias de segurança e segregação de ambientes.

As nossas medidas são revistas à medida que os produtos evoluem. Sempre que um cliente necessite de um resumo das medidas técnicas e organizativas (MTO) para efeitos de aprovisionamento ou auditoria, a Altovar pode fornecer uma visão geral atualizada ao abrigo de um acordo de confidencialidade (NDA) ou no âmbito do processo de DPA / revisão de segurança.

Quando a Altovar atua como responsável pelo tratamento, respondemos diretamente aos pedidos de acesso, retificação, apagamento, oposição, portabilidade e limitação, em conformidade com a nossa Política de Privacidade.

Quando a Altovar atua como subcontratante, prestamos assistência ao cliente — dentro das capacidades do serviço e do quadro contratual — para que este possa cumprir as suas próprias obrigações perante os titulares dos dados. Tal pode incluir apoio à exportação de dados, fluxos de apagamento, registo de acessos ou coordenação operacional através dos canais de suporte e de privacidade.

A Altovar aplica procedimentos de gestão de incidentes para eventos que afetem a segurança, a disponibilidade, a confidencialidade e a integridade dos dados de clientes ou dados corporativos.

Quando a Altovar atua como subcontratante e tem conhecimento de uma violação de dados pessoais que afete os dados do cliente, notifica o cliente sem demora injustificada, para que este possa avaliar quaisquer obrigações de notificação à autoridade de controlo ou aos titulares dos dados. Quando a Altovar atua como responsável pelo tratamento, avalia e trata diretamente as obrigações de notificação em conformidade com o RGPD e a legislação nacional aplicável.

A Altovar não considera as transferências para países terceiros como um modelo operacional predefinido. Caso uma dependência de serviço específica, um fluxo de suporte ou uma função de entrega em periferia de rede origine um cenário de transferência, a Altovar recorre a um mecanismo jurídico de transferência identificado e a medidas suplementares proporcionadas antes da utilização em produção.

Consoante o fornecedor e o contexto de tratamento, estas garantias podem incluir decisões de adequação, Cláusulas Contratuais-Tipo, minimização de acessos, cifragem e trabalhos de avaliação de impacto da transferência (TIA).

A conformidade com o RGPD não se alcança apenas com a postura do fornecedor. Os clientes continuam a ser responsáveis por escolher uma base jurídica adequada, configurar os seus ambientes de forma lícita, definir regras de conservação coerentes com as suas obrigações e dar instruções válidas nos cenários em que a Altovar atua como subcontratante.

A Altovar disponibiliza a infraestrutura contratual e técnica necessária para uma utilização conforme, mas cada cliente continua a ser responsável pela forma como utiliza o serviço no seu próprio contexto, incluindo o acesso de colaboradores, o conteúdo carregado, as opções de conservação e as integrações com terceiros.