Acordo de Processamento de Dados

Neste Acordo de Processamento de Dados ("DPA"), termos em maiúsculas não definidos de outra forma têm os significados abaixo, e termos como "dados pessoais", "processamento", "controlador", "operador", "titular dos dados" e "violação de dados pessoais" têm os significados atribuídos pela legislação de proteção de dados aplicável, incluindo o RGPD.

• "Contrato" significa os termos de serviço subjacentes ou o contrato de subscrição entre o Cliente e a Georithm que rege o uso da Georithm.
• "Dados do Cliente" significa dados pessoais submetidos ou processados pela Georithm em nome do Cliente.
• "Leis de Proteção de Dados" significa as leis aplicáveis relativas ao processamento de dados pessoais, incluindo o RGPD, o UK GDPR, PIPEDA e a CCPA/CPRA, conforme aplicável.
• "Sub-processador" significa um terceiro contratado pela Georithm para processar Dados do Cliente.

As partes reconhecem que, no que diz respeito aos Dados do Cliente, o Cliente atua como controlador (ou empresa, conforme aplicável) e a Georithm atua como operadora (ou prestadora de serviços, conforme aplicável) ao abrigo das Leis de Proteção de Dados.

A Georithm processará os Dados do Cliente apenas de acordo com as instruções documentadas do Cliente, este DPA e o Contrato, exceto quando exigido de outra forma pela lei aplicável.

Objeto: a prestação da plataforma de inteligência de localização Georithm, incluindo alojamento, autenticação, cartografia, insights gerados por IA e serviços de suporte relacionados.

Duração: o processamento continua pelo período de vigência do Contrato e por qualquer período posterior durante o qual a Georithm conserve Dados do Cliente de acordo com este DPA.

Natureza e finalidade: recolha, armazenamento, organização, recuperação, utilização e eliminação de Dados do Cliente conforme necessário para fornecer o serviço Georithm, incluindo a geração de mapas, resultados de pesquisa e insights de localização orientados por IA solicitados pelos utilizadores autorizados do Cliente.

Categorias de titulares de dados:

• Utilizadores autorizados do Cliente (colaboradores, contratados, agentes).
• Indivíduos cujas informações constem em dados de localização, endereço ou dados comerciais inseridos na plataforma pelos utilizadores do Cliente.

Categorias de dados pessoais:

• Dados de contacto e identificação (nome, endereço de e-mail, função profissional).
• Dados de autenticação (método de início de sessão, identificadores de conta).
• Dados de utilização e consultas inseridos na plataforma.
• Dados de faturação e administração de conta.

Categorias especiais de dados: as partes não pretendem que categorias especiais de dados ou dados pessoais sensíveis sejam submetidos à Georithm; o Cliente é responsável por garantir que não submete tais dados, a menos que acordado separadamente por escrito.

A Georithm irá:

1. Processar os Dados do Cliente apenas mediante instruções documentadas do Cliente, inclusive no que diz respeito a transferências internacionais, a menos que exigido de outra forma por lei.
2. Garantir que o pessoal autorizado a processar Dados do Cliente está sujeito a obrigações de confidencialidade.
3. Implementar medidas técnicas e organizativas adequadas, conforme descrito no Anexo II.
4. Notificar o Cliente se, na sua opinião, uma instrução infringir as Leis de Proteção de Dados aplicáveis.
5. Auxiliar o Cliente no cumprimento das suas obrigações relativas à segurança do processamento, avaliações de impacto sobre a proteção de dados e consulta a autoridades de supervisão, tendo em conta a natureza do processamento.

A Georithm garantirá que qualquer pessoa autorizada a processar Dados do Cliente se comprometeu com obrigações de confidencialidade, sejam contratuais ou estatutárias, e limitará o acesso aos Dados do Cliente ao pessoal que necessite dos mesmos para desempenhar as suas funções relacionadas com o Contrato.

A Georithm mantém medidas técnicas e organizativas concebidas para proteger os Dados do Cliente, incluindo:

• Encriptação de dados em trânsito entre clientes e a infraestrutura da Georithm.
• Encriptação de dados em repouso na base de dados suportada por Supabase.
• Mecanismos de autenticação seguros, incluindo e-mail/palavra-passe e início de sessão Google.
• Limitação de taxa (rate limiting) para mitigar abusos e tentativas de acesso não autorizado.
• Registo de auditoria (logging) de ações administrativas e relevantes para a segurança.
• Permissões de acesso baseadas em funções, limitando o acesso interno aos Dados do Cliente.
• Segregação de ambientes e controlos de acesso adequados à sensibilidade dos dados processados.

Estas medidas são revistas e atualizadas periodicamente, mas não constituem uma garantia de segurança absoluta ou ininterrupta.

O Cliente fornece autorização geral para que a Georithm contrate as seguintes categorias de sub-processadores para apoiar a prestação da Georithm:

• Alojamento e base de dados — Supabase (alojamento de base de dados e autenticação).
• Pagamentos — Stripe (processamento de pagamentos e faturação).
• Cartografia — Mapbox (renderização de mapas e geocodificação).
• Fornecedor de modelo de IA — o gateway de modelo de IA utilizado para gerar insights baseados em localização.
• E-mail — fornecedor de entrega de e-mail transacional para notificações de conta e faturação.

A Georithm imporá obrigações de proteção de dados aos sub-processadores que sejam substancialmente semelhantes às constantes deste DPA. Se a Georithm pretender adicionar ou substituir um sub-processador, notificará o Cliente, e o Cliente poderá opor-se com base em fundamentos razoáveis de proteção de dados. Se as partes não conseguirem resolver a objeção, o Cliente poderá rescindir o serviço afetado de acordo com o Contrato.

Tendo em conta a natureza do processamento, a Georithm prestará assistência razoável ao Cliente, através de medidas técnicas e organizativas adequadas e ferramentas na aplicação, para ajudar o Cliente a responder a pedidos de titulares de dados que procurem exercer os seus direitos (tais como acesso, retificação, eliminação ou portabilidade) ao abrigo das Leis de Proteção de Dados aplicáveis. O Cliente continua a ser responsável por responder aos pedidos dos titulares dos dados na qualidade de controlador.

A Georithm notificará o Cliente sem demora injustificada e, em qualquer caso, no prazo de 72 horas após tomar conhecimento de uma violação de dados pessoais que afete os Dados do Cliente, fornecendo informações razoavelmente disponíveis à Georithm para ajudar o Cliente a cumprir as suas próprias obrigações de notificação ao abrigo das Leis de Proteção de Dados aplicáveis. A Georithm cooperará com o Cliente e tomará medidas razoáveis para mitigar os efeitos de qualquer violação desse tipo.

A Georithm disponibilizará ao Cliente as informações razoavelmente necessárias para demonstrar a conformidade com este DPA e permitirá e contribuirá para auditorias, incluindo inspeções, realizadas pelo Cliente ou por um auditor mandatado pelo Cliente, sujeito a aviso prévio razoável, obrigações de confidencialidade e não mais do que uma vez por ano, a menos que exigido de outra forma por uma autoridade de supervisão ou motivado por um incidente de segurança.

Sempre que o processamento de Dados do Cliente envolva uma transferência do Espaço Económico Europeu, do Reino Unido ou da Suíça para um país que não seja considerado como assegurando um nível de proteção adequado, as partes acordam que tais transferências serão regidas pelas Cláusulas Contratuais-Tipo da Comissão Europeia e, quando aplicável, pela Adenda de Transferência Internacional de Dados do Reino Unido, que são incorporadas neste DPA por referência e prevalecerão sobre disposições contraditórias na medida exigida para garantir que um mecanismo de transferência lícito esteja em vigor.

Após a rescisão ou expiração do Contrato, a Georithm irá, por opção do Cliente, eliminar ou devolver todos os Dados do Cliente e eliminar as cópias existentes, num prazo razoável, a menos que a lei aplicável exija o armazenamento continuado de alguns ou de todos os Dados do Cliente, caso em que a Georithm isolará e protegerá esses dados de qualquer processamento posterior.

A responsabilidade de cada parte decorrente de ou relacionada com este DPA está sujeita às limitações e exclusões de responsabilidade estabelecidas no Contrato, a menos que as Leis de Proteção de Dados aplicáveis proíbam tal limitação.

Em caso de conflito entre este DPA e o Contrato relativamente ao processamento de dados pessoais, este DPA prevalecerá na medida do conflito. Em caso de conflito entre este DPA e as Cláusulas Contratuais-Tipo ou a Adenda do Reino Unido incorporadas na Secção 12, as Cláusulas Contratuais-Tipo ou a Adenda do Reino Unido prevalecerão.

Este DPA destina-se a fazer parte integrante do Contrato entre o Cliente e a Georithm após a aceitação por ambas as partes. Para executar este DPA ou solicitar uma cópia assinada, contacte jerogz@georithm.info. Onde exigido, as partes podem preencher um bloco de assinatura ou uma aceitação por clique referenciando este DPA e a sua versão e data de vigência.