Contrato de subcontratação (DPA)

Papéis. Quanto aos dados pessoais de quem lhe liga e dos visitantes do chat do seu sítio, o cliente é o responsável pelo tratamento e nós somos o seu subcontratante (LPD suíça art. 5.º, alíneas j e k; RGPD art. 4.º, pontos 7 e 8).

Lei aplicável. «Direito da proteção de dados» designa a LPD e a OPDa suíças e, quando aplicável, o RGPD. O RGPD aplica-se em especial aos clientes estabelecidos no Liechtenstein e aos titulares dos dados no EEE.

Quais são as suas instruções. Tratamos os dados apenas mediante instruções documentadas do cliente (RGPD art. 28.º, n.º 3, alínea a)). As suas instruções são:

Só o que o próprio cliente poderia fazer. Tratamos os dados apenas como o próprio cliente estaria autorizado a fazê-lo (LPD art. 9.º, n.º 1, alínea a)).

Instruções ilícitas. Se considerarmos que uma instrução viola o direito da proteção de dados, informamo-lo (RGPD art. 28.º, n.º 3, último parágrafo).

Deveres legais. Se a lei nos obrigar a tratar dados de outra forma (por exemplo uma ordem de uma autoridade), informamo-lo antes de o fazer, salvo se a lei o proibir.

Âmbito. Esta cláusula aplica-se se o cliente, ou as pessoas que trabalham para si, estiverem sujeitos a segredo profissional. Exemplos: o art. 321 do Código Penal suíço (médicos, dentistas, quiropráticos, farmacêuticos, psicólogos, fisioterapeutas e outras profissões de saúde, e os seus auxiliares), o direito cantonal da saúde ou o direito do Liechtenstein.

Atuamos como seu auxiliar. Atuamos como seu auxiliar na aceção do art. 321, n.º 1, do Código Penal suíço.

O mesmo dever para todos os envolvidos. Vinculamos por escrito ao mesmo segredo todas as pessoas que tenham acesso. Com os nossos subcontratantes acordamos cláusulas de confidencialidade pelo menos tão protetoras como esta cláusula, na medida em que os termos de cada prestador o permitam.

Mensagens para detentores de segredo. Para detentores de segredo, nenhum conteúdo da chamada vai para um canal de mensagens: a escolha de mais detalhe não é oferecida a estabelecimentos de saúde, e as condições de cliente proíbem-na a qualquer outro detentor de segredo (condições de cliente, cláusula 6.2). As mensagens depois de uma chamada contêm então apenas o número de quem ligou, a hora, e se foi pedido que lhe liguem de volta e se a chamada é urgente.

O seu próprio dever continua a ser seu. O seu próprio dever de sigilo, e a decisão sobre se a utilização do Oraklo é compatível com ele, continuam a ser seus. Isso inclui saber se tem de informar os pacientes ou clientes ou pedir o seu consentimento.

Sem limite de tempo. Esta cláusula continua a aplicar-se sem limite de tempo após o fim do contrato.

Quem liga pode falar ao assistente da sua saúde, da sua religião ou de outros assuntos. São dados sensíveis (LPD art. 5.º, alínea c); RGPD art. 9.º, n.º 1). Tratamos cada registo de chamada como podendo conter dados sensíveis:

Cabe ao cliente avaliar se precisa de uma avaliação de impacto sobre a proteção de dados (LPD art. 22.º; RGPD art. 35.º). Ajudamo-lo com as informações necessárias (cláusula 11).

A sua autorização. O cliente autoriza-nos de forma geral a recorrer aos subcontratantes do anexo 2 (LPD art. 9.º, n.º 3; RGPD art. 28.º, n.º 2). O anexo 2 é também publicado, e mantido atualizado, na nossa página de informação legal.

Subcontratantes novos ou substituídos. Informamo-lo por e-mail pelo menos 30 dias antes de acrescentarmos ou substituirmos um subcontratante que trate os dados de quem lhe liga. Pode opor-se, com fundamento, nesses 30 dias. Se não pudermos atender a sua oposição, pode pôr fim ao contrato sem custos antes de a alteração produzir efeitos. Numa alteração urgente necessária para a segurança ou a continuidade, o aviso pode ser mais curto, e explicamos porquê.

Aplicam-se-lhes as mesmas obrigações. Impomos a cada subcontratante obrigações de proteção de dados num contrato, aceitando os termos de tratamento de dados do prestador. Essas obrigações devem ser tão protetoras como este DPA, na medida do possível (RGPD art. 28.º, n.º 4).

Para onde transferimos, e com que fundamento. Só transferimos dados pessoais para o estrangeiro com um destes fundamentos:

Dados do EEE. Os dados do Liechtenstein ou do resto do EEE são tratados na Suíça e na Alemanha. A Suíça é reconhecida como adequada pela Comissão Europeia (Decisão 2000/518/CE). As transferências ulteriores para os Estados Unidos só se fazem com um dos fundamentos da cláusula 9.1.

Se nos instruir a entregar as mensagens depois de uma chamada num canal à sua escolha (o Telegram, ou o seu endereço de e-mail), entregamo-las aí por sua instrução.

O que entregamos:

Guardamos apenas o ID do seu chat e o estado da entrega.

Pedidos dos titulares dos dados. Se um titular nos pedir diretamente o exercício dos seus direitos, transmitimos-lhe o pedido no prazo de 5 dias úteis e não lhe respondemos nós, salvo instrução sua. Ajudamo-lo a responder, através do dashboard ou manualmente (RGPD art. 28.º, n.º 3, alínea e); LPD art. 25.º e seguintes).

Os seus outros deveres. Ajudamo-lo na segurança, na notificação de violações, nas avaliações de impacto e na consulta prévia da autoridade (LPD art. 22.º a 24.º; RGPD art. 32.º a 36.º), com as informações de que dispomos.

Custos. A assistência que vá além do que o dashboard faz pode ser cobrada a uma tarifa horária, se o acordarmos previamente consigo. A assistência necessária por violação nossa é gratuita.

Frase para a sua própria política de privacidade. Pode usá-la tal como está:

Informamo-lo sem demora injustificada, e procuramos fazê-lo no prazo de 48 horas após termos conhecimento de uma violação da segurança dos dados que afete os seus dados (LPD art. 24.º, n.º 3; RGPD art. 33.º, n.º 2).

A notificação indica, na medida em que for conhecido nesse momento:

Durante o contrato. Os registos de chamadas (transcrição, hora, número de quem ligou, recado) são eliminados automaticamente 30 dias após a chamada, e os registos do chat do sítio 30 dias após a última mensagem.

Quando o contrato termina. Os registos de chamadas restantes são eliminados o mais tardar 30 dias após o fim. As cópias de segurança cifradas podem guardar uma cópia durante mais 35 dias, no máximo, depois do que é substituída. Antes do fim, pode pedir-nos uma cópia dos seus registos, e eliminamos mais cedo se o pedir (RGPD art. 28.º, n.º 3, alínea g)).

Registo do número. Quando o contrato termina, pedimos à Twilio que elimine o registo do seu número, salvo se a Twilio o tiver de conservar por lei.

Conservação legal. Só conservamos dados durante mais tempo quando a lei nos obriga.

Disponibilizamos-lhe as informações de que precisa para demonstrar o cumprimento deste DPA (RGPD art. 28.º, n.º 3, alínea h)):

Pode mandar realizar uma auditoria no local:

Este DPA vigora enquanto tratarmos os seus dados. As cláusulas 5, 13 e 16 continuam a aplicar-se após o fim do contrato.

Em caso de conflito entre este DPA e as condições de cliente, prevalece este DPA quanto à proteção de dados.