Acordo de tratamento de dados
1. Partes, âmbito e estatuto
Este acordo estabelece os termos de tratamento de dados entre o cliente empresarial identificado num contrato de serviços da OrsunPay (o «Cliente») e a Orsun Tech OÜ, código de registo 17418287, Sepapaja tn 6, Lasnamäe linnaosa, Tallinn, Harju maakond, 15551, Estonia («OrsunPay»). Só se torna vinculativo quando incorporado num acordo aceite por ambas as partes, com os respetivos anexos de tratamento e segurança preenchidos.
Para o tratamento aqui abrangido, o Cliente determina as finalidades e os meios essenciais e a OrsunPay trata dados pessoais por conta do Cliente. Quando o próprio Cliente é subcontratante, deve ter autorização do seu responsável pelo tratamento para designar a OrsunPay. O tratamento para as finalidades próprias da OrsunPay relativas ao website, aos contactos comerciais e à administração de contas é descrito no aviso de privacidade.
«Dados pessoais», «responsável pelo tratamento», «subcontratante» e termos relacionados têm os significados atribuídos pela legislação de proteção de dados aplicável, incluindo o RGPD quando aplicável. Este acordo prevalece sobre termos de serviço incompatíveis quanto ao tratamento que abrange; as cláusulas de transferência obrigatórias prevalecem quando aplicável.
2. Descrição do tratamento
| Elemento | Âmbito do tratamento |
|---|---|
| Objeto | Dados pessoais tratados através dos serviços de orquestração de pagamentos e do apoio relacionado acordados com o Cliente. |
| Natureza das operações | Receção, registo, organização, recuperação, transmissão e apresentação de registos; execução de instruções de encaminhamento e operacionais; resolução de problemas; e devolução ou eliminação de dados. |
| Finalidades | Operar fluxos de pagamento configurados, trocar informações com os prestadores selecionados, manter registos de transações e webhooks, facultar acesso autorizado e investigar problemas do serviço. |
| Pessoas | Compradores do Cliente e outros participantes nos pagamentos, e utilizadores ou representantes autorizados do Cliente quando os respetivos dados sejam tratados segundo as suas instruções. |
| Categorias de dados | Referências de clientes e transações, dados de contacto quando fornecidos, montantes e moedas, estados de pagamentos e reembolsos, referências de prestadores, informações tokenizadas ou mascaradas de métodos de pagamento, dados técnicos de ligação e material de apoio pertinente. O anexo final deve refletir a integração efetiva. |
| Duração e frequência | Durante a utilização do serviço e o período acordado de devolução ou eliminação; tratamento contínuo ou desencadeado por eventos, consoante as funcionalidades utilizadas. |
| Dados sensíveis | Os dados de categorias especiais, os dados relativos a infrações penais e as credenciais de pagamento completas ficam fora desta descrição geral, salvo se um âmbito escrito separado e controlos adequados os abrangerem expressamente. |
3. Instruções e responsabilidades do Cliente
O contrato de serviços, os anexos preenchidos, as definições autorizadas e os pedidos de API documentados constituem as instruções do Cliente. A OrsunPay tratará os dados abrangidos apenas segundo essas instruções, incluindo as relativas a transferências, salvo se a legislação aplicável exigir o contrário. Informará o Cliente de uma obrigação legal antes do tratamento, salvo se a lei proibir essa comunicação.
O Cliente deve fornecer instruções lícitas, as informações de privacidade necessárias e uma base válida para a recolha e o tratamento que solicita. Deve limitar os dados fornecidos ao necessário para o serviço e manter permissões de conta adequadas. A OrsunPay informará o Cliente se considerar que uma instrução infringe a legislação de proteção de dados aplicável e poderá suspender o tratamento afetado enquanto a questão é resolvida.
4. Confidencialidade e segurança
A OrsunPay limitará o acesso às pessoas autorizadas que dele necessitem para prestar o serviço e assegurará que estão sujeitas a deveres de confidencialidade. Manterá medidas técnicas e organizativas adequadas à natureza dos dados e aos riscos do tratamento.
O anexo de segurança deve documentar o controlo de acesso, a autenticação, os mecanismos de encriptação, a separação de ambientes de clientes, o registo de atividade, a gestão de incidentes, as cópias de segurança e a recuperação, a eliminação e o processo de avaliação destas medidas. Deve distinguir os controlos implementados dos planeados e identificar o âmbito do serviço aplicável. Nenhuma certificação de auditoria ou atestação de segurança é incorporada pela mera publicação deste acordo.
5. Subcontratantes ulteriores
A OrsunPay só pode designar subcontratantes ulteriores com autorização prévia, específica ou geral, por escrito do Cliente. O anexo autorizado final identificará a entidade jurídica, a função e os locais de tratamento relevantes. O registo de fornecedores é informação de apoio e inclui fornecedores do website e disposições em revisão; a mera inclusão não constitui autorização do cliente.
Em caso de autorização geral, a OrsunPay comunicará por escrito e com antecedência as adições ou substituições pretendidas e dará ao Cliente uma oportunidade efetiva de se opor por motivos de proteção de dados antes do início do novo tratamento. O anexo celebrado deve especificar o prazo de aviso, o canal de envio e o procedimento de resolução. Se uma objeção não puder ser resolvida, as partes acordarão uma alternativa lícita ou terminarão o serviço afetado nos termos do seu contrato.
A OrsunPay imporá contratualmente as obrigações aplicáveis de proteção de dados a cada subcontratante ulterior e permanecerá responsável pelo cumprimento dessas obrigações pelo subcontratante ulterior, conforme exigido por lei.
6. Assistência e violações de dados pessoais
Tendo em conta o tratamento e as informações de que dispõe, a OrsunPay assistirá o Cliente nos pedidos de direitos individuais, nas obrigações de segurança, nas avaliações de impacto e nas consultas às autoridades competentes. Se receber um pedido relativo aos dados do Cliente, notificará o Cliente e não responderá quanto ao mérito, salvo por instrução ou quando legalmente exigido.
A OrsunPay notificará o Cliente sem demora injustificada após tomar conhecimento de uma violação de dados pessoais que afete os dados abrangidos. As informações disponíveis descreverão o incidente, os dados e pessoas afetados, as consequências prováveis, as medidas de mitigação e um contacto para seguimento. As informações poderão ser fornecidas por fases à medida que a investigação avança. A OrsunPay cooperará na resposta do Cliente; o Cliente permanece responsável pelas notificações que legalmente lhe competem.
7. Transferências internacionais
Antes de o tratamento envolver uma transferência restrita, as partes devem identificar o exportador, o importador, os destinos e o mecanismo de transferência adequado. Quando relevante, isto inclui uma decisão de adequação aplicável ou cláusulas contratuais-tipo preenchidas com o módulo, os anexos e as medidas suplementares corretos. Os requisitos do Reino Unido ou da Suíça devem ser considerados quando aplicáveis.
Uma ligação para o acordo de tratamento de um fornecedor não completa, por si só, a documentação de transferência do Cliente. O anexo celebrado deve incluir as disposições efetivas, incluindo acesso remoto e transferências ulteriores.
8. Devolução, eliminação e conservação
No final do tratamento, a OrsunPay, à escolha do Cliente, devolverá ou eliminará os dados pessoais abrangidos e eliminará as cópias restantes, salvo se a legislação aplicável exigir a sua conservação. As partes devem acordar o formato de exportação, o processo de pedido, o prazo de conclusão e a expiração das cópias de segurança no anexo de tratamento.
Quando a conservação for legalmente exigida, a OrsunPay identificará a obrigação quando permitido, restringirá os dados conservados a essa finalidade e eliminá-los-á quando a obrigação terminar. As cópias de segurança que aguardam expiração programada devem permanecer protegidas e indisponíveis para utilização normal. A OrsunPay fornecerá confirmação de conclusão mediante pedido.
9. Informação e auditorias
A OrsunPay disponibilizará as informações necessárias para demonstrar o cumprimento das suas obrigações enquanto subcontratante e permitirá e contribuirá para auditorias, incluindo inspeções pelo Cliente ou pelo auditor por este mandatado. As partes coordenarão um aviso prévio razoável, a confidencialidade e as medidas de proteção das informações de outros clientes. As disposições práticas não devem impedir uma auditoria exigida por lei ou por uma autoridade competente.
10. Conclusão do acordo
Antes da celebração, as partes devem completar as categorias de dados específicas do serviço, os locais de tratamento, os subcontratantes ulteriores aprovados, os documentos de transferência, as medidas de segurança, as disposições de conservação e devolução, os contactos para notificações e o procedimento de alteração de fornecedores. As disposições de responsabilidade e lei aplicável seguem o contrato de serviços celebrado, na medida permitida por lei; nada aqui elimina os direitos legais de uma pessoa. Os pedidos relativos ao contrato e ao acordo de tratamento podem ser apresentados através de Contacto.