Acordo de Tratamento de Dados

1. Partes e papéis

1.1. O Cliente (a empresa titular da conta MorDitor) é o responsável pelo tratamento e a MORDELABS CORP, LDA, pessoa coletiva n.º 518346897, com sede na Av. Visconde de Barreiros, 358, 4.º Dto. Frente, 4470-139 Maia, Portugal («MORDELABS») é a subcontratante. Os termos com inicial maiúscula têm o sentido dos Termos e Condições e do RGPD.

1.2. Quando o Cliente trata os dados por conta dos seus Clientes Finais (que são então os responsáveis pelo tratamento), o Cliente atua como subcontratante destes e a MORDELABS como subcontratante ulterior. Nesse caso, o Cliente garante que os seus Clientes Finais autorizaram o recurso à MORDELABS e que as instruções dadas à MORDELABS correspondem às deles; este Acordo aplica-se com as necessárias adaptações, e o Cliente é o único interlocutor da MORDELABS.

1.3. Os dados da conta e de faturação do Cliente e dos Utilizadores não estão abrangidos: a MORDELABS trata-os como responsável, nos termos da Política de Privacidade.

2. Objeto e instruções

2.1. O objeto, a duração, a natureza e a finalidade do tratamento e as categorias de dados e de titulares constam do anexo I.

2.2. A MORDELABS trata os dados apenas segundo instruções documentadas do Cliente, que são: os Termos e Condições, este Acordo e a configuração e utilização do Serviço pelo Cliente e pelos seus Utilizadores (por exemplo, instalar o Agente, configurar grupos e limiares, pedir ações à distância, exportar ou apagar dados). Instruções adicionais devem ser dadas por escrito e ser compatíveis com o Serviço.

2.3. A MORDELABS informa o Cliente se considerar que uma instrução viola o RGPD ou outra legislação de proteção de dados. Se for obrigada por lei a um tratamento diferente, informa o Cliente antes, salvo se a lei o proibir.

2.4. A MORDELABS não usa os dados para finalidades próprias, não os vende e não os comunica a terceiros, salvo aos subcontratantes ulteriores nos termos da secção 5 ou por imposição legal.

3. Confidencialidade

A MORDELABS garante que as pessoas autorizadas a tratar os dados assumiram um compromisso de confidencialidade ou estão sujeitas a obrigação legal de confidencialidade, e que só acedem aos dados na medida necessária (suporte pedido pelo Cliente, manutenção, segurança). Esses acessos ficam registados.

4. Segurança

A MORDELABS aplica as medidas técnicas e organizativas do anexo III, adequadas ao risco nos termos do artigo 32.º do RGPD. Pode atualizá-las desde que o nível de proteção não diminua.

5. Subcontratantes ulteriores

5.1. O Cliente dá autorização geral para a MORDELABS recorrer a subcontratantes ulteriores. Os atuais constam do anexo II.

5.2. A MORDELABS informa o Cliente, por e-mail aos Proprietários e com a atualização do anexo II, de qualquer novo subcontratante ulterior ou substituição, com pelo menos 30 dias de antecedência. O Cliente pode opor-se por escrito, com fundamento razoável em proteção de dados, durante esse prazo. Se as partes não encontrarem solução, o Cliente pode pôr termo ao contrato antes da mudança e recebe nota de crédito proporcional ao período não usado das Licenças pagas.

5.3. A MORDELABS impõe a cada subcontratante ulterior, por contrato, obrigações de proteção de dados equivalentes às deste Acordo e continua responsável perante o Cliente pelo seu cumprimento.

6. Transferências internacionais

Os dados são alojados na União Europeia. Só são transferidos para fora do Espaço Económico Europeu nos casos indicados no anexo II e com base numa decisão de adequação (incluindo o EU-U.S. Data Privacy Framework) ou em cláusulas contratuais-tipo aprovadas pela Decisão de Execução (UE) 2021/914 da Comissão, com as medidas suplementares adequadas.

7. Assistência ao Cliente

7.1. O Serviço dá ao Cliente ferramentas para responder aos pedidos dos titulares: exportação dos dados da empresa, exportação do inventário, transferência dos dados pessoais de um Utilizador, anonimização de Utilizadores, remoção de máquinas (que apaga os dados locais do Agente) e encerramento da conta. Se um titular se dirigir diretamente à MORDELABS, esta encaminha o pedido ao Cliente sem lhe responder, salvo instrução em contrário.

7.2. A MORDELABS presta ainda assistência razoável ao Cliente quanto à segurança do tratamento, a avaliações de impacto sobre a proteção de dados e a consultas prévias à autoridade de controlo, tendo em conta a natureza do tratamento e a informação de que dispõe. A assistência que vá além das ferramentas do Serviço e da informação deste Acordo pode ser faturada a preços razoáveis, mediante orçamento prévio.

8. Violações de dados pessoais

A MORDELABS notifica o Cliente, por e-mail aos Proprietários, sem demora injustificada e, sempre que possível, no prazo de 48 horas após ter conhecimento de uma violação de dados pessoais que afete os Dados do Cliente. A notificação inclui, na medida em que seja conhecida, a natureza da violação, as categorias e o número aproximado de titulares e de registos afetados, as consequências prováveis e as medidas tomadas ou propostas, e é completada à medida que houver mais informação. A notificação à autoridade de controlo e aos titulares cabe ao Cliente.

9. Conservação, devolução e apagamento

9.1. Durante o contrato, os dados são conservados pelos prazos do anexo I, que o Cliente aceita como parte das suas instruções.

9.2. No fim do contrato, o Cliente pode exportar os dados durante os 30 dias do período de encerramento. Terminado esse período, a MORDELABS apaga os Dados do Cliente, salvo se a lei exigir a sua conservação; as máquinas recebem a ordem assinada de remoção do Agente, que apaga os seus dados locais. Os dados nas cópias de segurança cifradas são substituídos no ciclo normal de rotação (até 12 meses) e, até lá, não são usados exceto para recuperação em caso de desastre. A MORDELABS confirma o apagamento por escrito, se o Cliente o pedir.

10. Informação e auditorias

10.1. A MORDELABS disponibiliza ao Cliente a informação necessária para demonstrar o cumprimento do artigo 28.º do RGPD, incluindo este Acordo, os seus anexos e, quando aplicável, as certificações dos seus subcontratantes ulteriores (por exemplo, a certificação ISO/IEC 27001 dos centros de dados da Hetzner).

10.2. Se essa informação não bastar, o Cliente pode realizar ou mandar realizar uma auditoria, no máximo uma vez por ano (salvo após uma violação de dados ou por exigência de autoridade), com aviso de 30 dias, em dias úteis, sem perturbar o Serviço nem aceder a dados de outros clientes, por auditor sujeito a confidencialidade e que não seja concorrente da MORDELABS. Os custos da auditoria são suportados pelo Cliente.

11. Obrigações do Cliente

O Cliente, como responsável pelo tratamento (ou perante os seus Clientes Finais), é responsável por:

• ter fundamento legal para o tratamento e informar os titulares (artigos 13.º e 14.º do RGPD), nomeadamente os Utilizadores Finais das máquinas monitorizadas;
• respeitar as regras sobre vigilância de trabalhadores e meios de vigilância à distância (artigos 20.º a 22.º do Código do Trabalho e orientações da CNPD), e realizar uma avaliação de impacto quando necessária;
• recolher apenas os dados necessários, usando as opções do Serviço (por exemplo, desligar eventos de segurança ou alertas sobre contas num grupo);
• não introduzir no Serviço categorias especiais de dados nem dados de menores, salvo se estritamente necessário e lícito;
• garantir que as suas instruções são lícitas e responder aos pedidos dos titulares.

12. Responsabilidade e disposições finais

12.1. A responsabilidade das partes rege-se pelo artigo 82.º do RGPD e pelos Termos e Condições, incluindo a limitação de responsabilidade, na medida permitida por lei.

12.2. Este Acordo vigora enquanto a MORDELABS tratar Dados do Cliente. Em matéria de proteção de dados, prevalece sobre os Termos e Condições. Rege-se pela lei portuguesa, sendo competente o tribunal da comarca do Porto. As alterações seguem o regime da secção 24 dos Termos e Condições.

Anexo I — Descrição do tratamento

Anexo II — Subcontratantes ulteriores

Subcontratantes ulteriores que tratam Dados do Cliente:

Para transparência: a Stripe (pagamentos) e a Vendus (faturação) tratam apenas dados de faturação do Cliente, de que a MORDELABS é responsável, e não recebem Dados do Cliente. A verificação de números de IVA no VIES (Comissão Europeia) envia apenas o país e o número de IVA do Cliente.

Anexo III — Medidas técnicas e organizativas

• Cifragem em trânsito: todas as comunicações entre o Agente, o portal, a aplicação e a API usam HTTPS/TLS com certificados válidos; HSTS no portal e no site.
• Cifragem em repouso: segredos das máquinas, códigos de proteção e segredos de dois fatores cifrados (AES-256-GCM); cópias de segurança cifradas antes de saírem do servidor.
• Autenticação: palavras-passe com hash argon2id; bloqueio após tentativas falhadas; autenticação de dois fatores (TOTP), obrigatória para a equipa da MORDELABS e configurável como obrigatória pelo Cliente; sessões com renovação e revogação.
• Isolamento: todas as consultas são filtradas pela conta do Cliente e pelos grupos a que cada Utilizador tem acesso; um pedido a dados de outra conta é recusado como inexistente.
• Agente: cada máquina tem uma chave própria e assina os seus pedidos; as ações à distância são uma lista fechada, restrita a papéis autorizados; as atualizações e a ordem de remoção são assinadas digitalmente pela MORDELABS e verificadas pelo Agente; proteção contra desinstalação não autorizada.
• Registo de atividade das ações relevantes (inícios de sessão, alterações, ações à distância, exportações, acessos da equipa da MORDELABS).
• Disponibilidade e recuperação: cópias de segurança diárias da base de dados, com cópia cifrada fora do servidor, rotação (diárias, semanais e mensais, até 12 meses) e testes de restauro; monitorização da plataforma.
• Infraestrutura: servidores na União Europeia, em centros de dados com certificação ISO/IEC 27001; acesso administrativo restrito por chave e por rede; portal de administração da MORDELABS separado e com acesso limitado; atualizações de segurança regulares.
• Minimização: o Agente não recolhe ficheiros, e-mails, navegação, teclas nem ecrã; as listas de processos e serviços não são guardadas; prazos de conservação com apagamento automático.
• Organização: acesso aos dados apenas pela equipa necessária, com compromisso de confidencialidade; procedimento de resposta a incidentes e de notificação de violações; contratos de tratamento de dados com os subcontratantes ulteriores.