Acordo de Tratamento de Dados

Este Acordo de Tratamento de Dados (“DPA”) é celebrado entre o Cliente que usa a plataforma See-Curity (o responsável pelo tratamento) e a See-Curity, gerida por Justyna Biernat, London NW7 2PE, Reino Unido (o subcontratante). Cumpre os requisitos do artigo 28.º do Regulamento Geral sobre a Proteção de Dados da UE e do RGPD do Reino Unido, e faz parte dos nossos Termos de Serviço. Um administrador da empresa aceita-o em nome do Cliente ao iniciar sessão.

1. Em que consiste o tratamento

Objeto e finalidade	Prestação do serviço de localização GPS: mapa em direto, histórico, relatórios, geocercas, alertas por WhatsApp e e-mail, comandos à distância e o assistente de ajuda.
Duração	Enquanto o Cliente usar o serviço, e até os dados serem apagados nos termos da secção 9.
Tipos de dados pessoais	Localização do veículo (GPS ou rede móvel), velocidade, direção, ignição, tensão da bateria, alarmes, viagens e visitas a locais, geocercas, comandos; dados do veículo (nome, matrícula, números do localizador e do SIM); nomes, endereços de e-mail e números de telefone dos utilizadores e dos destinatários dos alertas; quaisquer nomes ou notas introduzidos pelo Cliente.
Pessoas abrangidas	Condutores e passageiros dos veículos do Cliente; o pessoal e os utilizadores do Cliente; as pessoas que recebem alertas.

2. As instruções do Cliente

Tratamos os dados apenas segundo instruções documentadas do Cliente. As definições e as ações do Cliente na plataforma, e estes Termos, constituem essas instruções. Se considerarmos que uma instrução viola a legislação de proteção de dados, di-lo-emos. Se a lei nos obrigar a tratar os dados de outra forma, informaremos primeiro o Cliente, salvo se a lei o proibir.

3. As responsabilidades do Cliente

O Cliente decide que veículos são localizados e porquê, e é responsável por dispor de um fundamento jurídico para a localização, por informar os condutores e outras pessoas abrangidas (o nosso Aviso aos condutores pode ajudar), e por realizar qualquer avaliação de impacto sobre a proteção de dados e consulta do pessoal que a sua lei exija.

4. Confidencialidade

Todas as pessoas que, do nosso lado, podem aceder aos dados do Cliente estão obrigadas a mantê-los confidenciais. O nosso pessoal de apoio pode ver todos os dados do Cliente na plataforma para prestar apoio e corrigir avarias, e não os usa para mais nada.

5. Segurança

Adotamos medidas técnicas e organizativas adequadas para proteger os dados, enumeradas no Anexo A, e revemo-las à medida que a plataforma evolui.

6. Subcontratantes ulteriores

O Cliente autoriza os subcontratantes ulteriores enumerados no Anexo B. Impomos a cada um deles obrigações de proteção de dados equivalentes às deste DPA, e continuamos a ser responsáveis por eles. Anunciaremos qualquer novo subcontratante ulterior nesta página, e aos administradores da empresa ao iniciarem sessão, antes de começar. O Cliente pode opor-se por motivos razoáveis de proteção de dados; se não conseguirmos resolver a oposição, o Cliente pode pôr fim ao serviço.

7. Transferências internacionais

Quando um subcontratante ulterior se encontra fora do Reino Unido ou do Espaço Económico Europeu, a transferência é protegida por uma decisão de adequação ou por cláusulas contratuais-tipo aprovadas pelas autoridades do Reino Unido e da UE.

8. Ajuda que prestamos ao Cliente

• Pedidos dos titulares dos dados: se um condutor ou outra pessoa nos contactar diretamente, encaminhamos o pedido ao Cliente sem demora e não lhe respondemos nós, salvo se o Cliente o pedir. Ajudamos o Cliente a responder, por exemplo exportando os dados em causa.
• Violações de dados: informamos o Cliente sem demora injustificada, e em qualquer caso no prazo de 48 horas, depois de termos conhecimento de uma violação que afete os seus dados, com a informação de que o Cliente precisa para informar as autoridades e as pessoas abrangidas.
• Avaliações de impacto: fornecemos as informações sobre o nosso tratamento de que o Cliente razoavelmente precise.

9. Apagamento dos dados

O histórico de localização é apagado automaticamente ao fim de 12 meses. Quando o serviço termina, apagamos os restantes dados do Cliente no prazo de 30 dias, salvo se a lei nos obrigar a conservá-los. O Cliente pode exportar os seus relatórios antes disso.

10. Auditorias

Fornecemos as informações necessárias para demonstrar que cumprimos este DPA. O Cliente pode realizar uma auditoria, ou mandá-la realizar, com um pré-aviso razoável, em horário de trabalho, a expensas suas e no máximo uma vez por ano, salvo se tiver ocorrido uma violação.

11. Responsabilidade e ordem de prevalência

A responsabilidade ao abrigo deste DPA segue os Termos de Serviço. Se este DPA e os Termos entrarem em conflito em matéria de proteção de dados, prevalece este DPA.

Anexo A – Medidas de segurança

• Todas as ligações à plataforma são cifradas (HTTPS/TLS).
• As palavras-passe são guardadas apenas como hashes unidirecionais com salt. As contas são bloqueadas temporariamente após várias palavras-passe erradas.
• Separação rigorosa entre clientes: cada empresa vê apenas os seus próprios veículos, o que é imposto num único ponto central do software. Dentro de uma empresa, o acesso depende da função do utilizador e dos veículos que lhe estão atribuídos.
• Fim automático da sessão do mapa em direto após um período de inatividade.
• O acesso ao servidor e à base de dados está limitado às pessoas que gerem a plataforma.
• O histórico de localização é apagado automaticamente ao fim de 12 meses (minimização dos dados).
• As alterações ao software são testadas antes da publicação, e cada publicação pode ser revertida.

Anexo B – Subcontratantes ulteriores

Subcontratante ulterior	Serviço	Localização
Dedicloud (dedicloud.co.uk)	Alojamento do servidor e base de dados	Reino Unido
OpenAI	O assistente de ajuda: as perguntas, e os dados dos veículos necessários para lhes responder	EUA
Meta (WhatsApp)	Entrega dos alertas de WhatsApp	UE / EUA
Google (Google Maps)	Imagens de mapa carregadas pelo navegador do utilizador	EUA
Esri (ArcGIS)	Imagens de mapa carregadas pelo navegador do utilizador	EUA

Os alertas por e-mail são enviados a partir do nosso próprio servidor e entregues pelos fornecedores de e-mail dos destinatários. Os dados do localizador circulam pela rede móvel do cartão SIM nele instalado.