Jurídico e políticas
Acordo de tratamento de dados (DPA)
Esses termos referem-se a FIRST SERVER. A pessoa jurídica, o endereço cadastrado e os dados de contato são publicados em nosso Aviso Legal. Você pode entrar em contato conosco através do Página Fale Conosco.
1. Partes, funções e aplicação
Este DPA destina-se a ser incorporado a um contrato de serviço aceito, onde o cliente atua como controlador (ou processador autorizado) e a FIRST SERVER processa dados pessoais em seu nome. A publicação por si só não executa um acordo de processamento. Antes do início do processamento, as partes devem registrar as informações específicas do serviço na seção 11 e concordar com os acordos de segurança e subprocessadores aplicáveis. Se o cliente for um processador, ele confirma a autoridade de seu controlador para nomear FIRST SERVER.
2. Instruções documentadas
O processamento limita-se ao fornecimento e segurança da infraestrutura contratada e à execução de instruções legais documentadas, incluindo instruções sobre transferências. O contrato, o cronograma de processamento concluído e as solicitações de serviço autorizado constituem essas instruções. Se a lei exigir outro processamento, a FIRST SERVER informará o cliente com antecedência, a menos que seja proibido. A FIRST SERVER informará o cliente imediatamente se considerar uma instrução que infringe o GDPR ou outra lei aplicável de proteção de dados da UE ou de um Estado-Membro.
3. Confidencialidade e segurança
O pessoal autorizado deve estar sujeito a obrigações de confidencialidade. FIRST SERVER deve implementar medidas técnicas e organizacionais adequadas nos termos do Artigo 32 do RGPD, tendo em conta o risco, o âmbito, o custo e o estado da arte. O cronograma de segurança acordado deve abordar controle de acesso e privilégios mínimos, confidencialidade, integridade e disponibilidade, separação de inquilinos, tratamento de incidentes, restauração, segurança física e avaliação regular. Criptografia específica, frequência de backup, tempos de recuperação ou certificações aplicam-se somente se documentados e acordados; nenhuma certificação não verificada é reivindicada aqui.
O cliente permanece responsável pela coleta legal, pelas instruções, pelas permissões no nível do aplicativo e pelas tarefas de segurança que lhe são atribuídas pelo contrato de serviço.
4. Subprocessadores
FIRST SERVER poderá nomear subprocessadores somente com a autorização prévia específica ou geral por escrito do cliente. No âmbito da autorização geral, a lista atual deve ser fornecida e as propostas de aditamentos ou substituições notificadas com pelo menos 30 dias de antecedência, permitindo uma oposição fundamentada à proteção de dados. As partes procurarão uma resolução adequada; se nada for possível, o processamento afetado não deve continuar sem uma solução legal acordada, que pode incluir o encerramento do serviço afetado.
Os subcontratantes devem estar vinculados a obrigações de proteção de dados equivalentes às aplicáveis ao tratamento delegado. FIRST SERVER permanece responsável perante o cliente pelo desempenho dessas obrigações por parte do subprocessador. Um provedor de entrega de site não é automaticamente um subprocessador para cada carga de trabalho hospedada do cliente.
5. Assistência e violação de dados pessoais
Tendo em conta a natureza do tratamento, a FIRST SERVER deve ajudar o cliente com os pedidos dos titulares dos dados e com os artigos 32.º a 36.º do RGPD, incluindo resposta a violações, avaliações de impacto e consulta prévia. As solicitações recebidas diretamente serão encaminhadas imediatamente, a menos que a lei exija outra resposta.
A FIRST SERVER deve notificar o cliente sem demora injustificada após tomar conhecimento de uma violação de dados pessoais que afete os dados pessoais do cliente. Os detalhes disponíveis incluirão a natureza, as categorias afectadas e os números aproximados, quando conhecidos, as consequências prováveis, o ponto de contacto e as medidas de mitigação. As informações poderão ser fornecidas por fases, sem atrasos indevidos. Os prazos legais de notificação do cliente continuam a ser da sua responsabilidade.
6. Transferências internacionais
Os locais de processamento e transferências devem ser documentados no cronograma de serviço. As transferências para fora do EEE exigem instruções legais e um mecanismo válido do Capítulo V do GDPR, como uma decisão de adequação aplicável ou cláusulas contratuais padrão apropriadas, com as medidas suplementares necessárias. Este DPA não substitui, por si só, cláusulas de transferência internacional.
7. Demonstração de conformidade e auditorias
A FIRST SERVER deve disponibilizar as informações necessárias para demonstrar a conformidade com o Artigo 28 e permitir e contribuir para auditorias, incluindo inspeções realizadas pelo cliente ou por um auditor autorizado. Acordos razoáveis podem proteger a confidencialidade, outros clientes e a segurança, mas não devem anular o direito de auditoria ou o acesso do regulador. As partes deverão coordenar o âmbito e o calendário, exceto quando a urgência exigir o contrário.
8. Fim do processamento
À escolha do cliente, a FIRST SERVER deve devolver ou eliminar os dados pessoais do cliente após o término do serviço e eliminar as cópias existentes, a menos que a legislação da UE ou do Estado-Membro exija a retenção. As partes documentarão o formato de exportação e o cronograma de exclusão, incluindo a expiração do backup. As cópias retidas devem permanecer protegidas, ser isoladas do uso normal quando apropriado e ser excluídas quando o requisito de retenção terminar.
9. Responsabilidade e precedência
A DPA prevalece sobre termos gerais conflitantes para processamento de dados pessoais. Os limites contratuais aplicam-se entre as partes apenas na medida em que são legais e não podem restringir os direitos dos titulares dos dados ao abrigo do artigo 82.º do RGPD, as obrigações para com as autoridades de supervisão ou outras responsabilidades obrigatórias. O processamento pela FIRST SERVER de seus próprios registros de faturamento e contato comercial como controlador é descrito separadamente na Política de Privacidade.
10. Contatos
O cliente deve designar um contato operacional de privacidade e incidentes no cronograma de serviço. Os dados de contato do FIRST SERVER estão no Página Fale Conosco. Os detalhes de contato devem permanecer atualizados para notificações urgentes.
11. Cronograma de processamento específico do serviço necessário
O seguinte deve ser preenchido e acordado para cada serviço aplicável antes que este DPA seja considerado o acordo de processamento completo:
- Identidade do cliente/controlador e contatos autorizados; o pedido aceito e a data de vigência do DPA.
- Objeto, duração, natureza e finalidades: por exemplo, armazenar, transmitir, proteger e excluir dados no ambiente de hospedagem especificado durante o prazo do serviço e período de encerramento acordado.
- Categorias de titulares de dados e dados pessoais realmente envolvidos, incluindo quaisquer dados de categoria especial ou de infração penal e restrições acordadas.
- Locais de processamento, subprocessadores autorizados, tarefas delegadas e salvaguardas de transferência internacional.
- Medidas técnicas e organizacionais concretas, atribuição de responsabilidades e quaisquer acordos acordados de restauração ou backup.
- Acordos de devolução, exclusão e expiração de backup e instruções adicionais documentadas.
Esta página estabelece o quadro contratual; não afirma que a programação ou lista de subprocessadores de um cliente desconhecido já tenha sido acordada.