Acordo de Tratamento de Dados (DPA)

Este Acordo faz parte integrante dos Termos de Serviço e considera-se celebrado no momento em que o Cliente aceita os Termos, não carecendo de assinatura autónoma. Cumpre o disposto no artigo 28.º, n.º 3, do RGPD.

1. Partes e qualificação

• Responsável pelo tratamento: o Cliente, a entidade titular da conta no RackLoop.
• Subcontratante: Pedro Miguel de Oliveira Tempero, Empresário em Nome Individual, NIF 217443990, com sede em Rua Poços de Caldas, n.º 3, R/C Dto., 2500-325 Caldas da Rainha, Portugal, adiante “RackLoop”.

O Cliente determina as finalidades e os meios do tratamento dos dados pessoais que introduz na plataforma. O RackLoop trata esses dados exclusivamente por conta e segundo instruções do Cliente.

2. Objeto, natureza, finalidade e duração

Objeto: prestação do serviço RackLoop de gestão de suportes de transporte retornáveis.

Natureza das operações: recolha, registo, organização, conservação, consulta, utilização, transmissão por correio eletrónico, exportação e eliminação.

Finalidade: permitir ao Cliente gerir o seu parque de cavaletes, registar movimentos, informar os seus clientes finais, emitir relatórios e faturar imobilização.

Duração: o tratamento vigora enquanto durar o contrato de subscrição, acrescido dos prazos de conservação previstos na cláusula 10.

3. Categorias de titulares e de dados

Categorias de titulares:

• colaboradores do Cliente com acesso à plataforma (administradores, pessoal de escritório, motoristas);
• pessoas de contacto nos clientes finais do Cliente;
• utilizadores do portal do cliente final.

Categorias de dados pessoais:

Categorias especiais de dados: não são tratadas. O Cliente obriga-se a não introduzir na plataforma dados das categorias previstas no artigo 9.º do RGPD nem dados relativos a condenações penais.

4. Obrigações do RackLoop

O RackLoop obriga-se a:

a) tratar os dados pessoais apenas segundo instruções documentadas do Cliente, incluindo as que decorrem da utilização normal da plataforma, salvo se obrigado por direito da União ou de Estado-Membro, caso em que informará o Cliente antes do tratamento, exceto se tal for legalmente proibido;

b) informar imediatamente o Cliente se considerar que uma instrução viola o RGPD ou outra disposição de proteção de dados;

c) assegurar que as pessoas autorizadas a tratar os dados estão sujeitas a obrigação de confidencialidade;

d) aplicar as medidas técnicas e organizativas descritas no Anexo II;

e) respeitar as condições de contratação de subcontratantes ulteriores previstas na cláusula 5;

f) auxiliar o Cliente, na medida do possível e através de medidas técnicas adequadas, no cumprimento do dever de resposta a pedidos de exercício de direitos pelos titulares (artigos 12.º a 22.º do RGPD);

g) auxiliar o Cliente no cumprimento das obrigações previstas nos artigos 32.º a 36.º do RGPD, tendo em conta a natureza do tratamento e a informação disponível;

h) eliminar ou devolver os dados no fim da prestação, nos termos da cláusula 10;

i) disponibilizar ao Cliente toda a informação necessária para demonstrar o cumprimento das obrigações do artigo 28.º e permitir auditorias, nos termos da cláusula 9.

5. Subcontratantes ulteriores

5.1. O Cliente concede ao RackLoop autorização geral prévia para recorrer a subcontratantes ulteriores, que se encontram listados publicamente em https://rackloop.app/legal/subencarregados.

5.2. O RackLoop informará o Cliente, por correio eletrónico e por atualização daquela página, de qualquer alteração pretendida — adição ou substituição — com antecedência mínima de 30 dias.

5.3. O Cliente pode opor-se de forma fundamentada dentro daquele prazo. Não sendo possível uma solução alternativa, o Cliente pode resolver o contrato sem penalização, com reembolso proporcional do período pago e não utilizado.

5.4. O RackLoop celebra com cada subcontratante ulterior obrigações de proteção de dados não menos exigentes do que as constantes deste Acordo e responde perante o Cliente pelo cumprimento por parte daqueles.

6. Transferências internacionais

6.1. O armazenamento principal dos dados ocorre na União Europeia (Frankfurt, Alemanha).

6.2. Sempre que um subcontratante ulterior implique tratamento fora do Espaço Económico Europeu, a transferência assenta numa decisão de adequação da Comissão Europeia ou em Cláusulas Contratuais-Tipo, conforme indicado, por cada subcontratante, na lista referida na cláusula 5.1.

7. Violações de dados pessoais

7.1. O RackLoop notifica o Cliente sem demora injustificada e, em qualquer caso, no prazo máximo de 48 horas após tomar conhecimento de uma violação de dados pessoais que afete os dados do Cliente.

7.2. A notificação inclui, na medida do conhecido: a natureza da violação, as categorias e o número aproximado de titulares e registos afetados, as consequências prováveis e as medidas adotadas ou propostas.

7.3. Cabe ao Cliente, enquanto responsável, avaliar e efetuar a notificação à autoridade de controlo e, se aplicável, aos titulares.

8. Direitos dos titulares

8.1. Se um titular dirigir ao RackLoop um pedido de exercício de direitos relativo a dados de um Cliente, o RackLoop não responderá substancialmente, reencaminhando o pedido para o Cliente sem demora.

8.2. A plataforma disponibiliza ao Cliente funcionalidades de consulta, retificação, exportação (Excel) e eliminação de registos, que lhe permitem dar resposta autónoma à generalidade dos pedidos.

8.3. Quando o pedido exija intervenção técnica não coberta por essas funcionalidades, o RackLoop presta apoio razoável, podendo cobrar o custo do tempo despendido em pedidos manifestamente excessivos ou repetitivos, mediante orçamento prévio.

9. Auditorias

9.1. O RackLoop disponibiliza ao Cliente, a pedido, a documentação relativa às medidas de segurança e à conformidade dos subcontratantes ulteriores.

9.2. O Cliente pode realizar auditorias, por si ou por auditor independente sujeito a confidencialidade, com aviso prévio de 30 dias, no máximo de uma por ano civil, salvo na sequência de uma violação de dados. As auditorias decorrem em horário laboral, sem perturbação desproporcionada da atividade, e não podem comprometer dados de outros Clientes.

10. Eliminação e devolução no fim do contrato

10.1. Cessado o contrato, o Cliente dispõe de 60 dias para exportar os seus dados através das funcionalidades da plataforma.

10.2. Findo esse prazo, o RackLoop elimina os dados dos sistemas de produção. As cópias de segurança cifradas são objeto de rotação, ficando os dados definitivamente eliminados no prazo máximo de 30 dias adicionais.

10.3. Excetua-se a informação cuja conservação seja legalmente obrigatória, designadamente documentos de faturação, mantida pelo prazo legal e isolada de utilização operacional.

11. Responsabilidade

Cada parte responde pelos danos causados pelo tratamento em que tenha incumprido as obrigações que o RGPD lhe dirige diretamente ou as instruções lícitas da outra parte. As limitações de responsabilidade previstas nos Termos de Serviço aplicam-se a este Acordo, na medida em que a lei o permita.

12. Prevalência

Em caso de contradição entre este Acordo e os Termos de Serviço, prevalece este Acordo nas matérias de proteção de dados.

---

Anexo I — Descrição do tratamento

Anexo II — Medidas técnicas e organizativas de segurança

Controlo de acesso

• Autenticação por conta individual; palavras-passe armazenadas de forma cifrada pelo fornecedor de autenticação.
• Perfis de permissões diferenciados (administrador, escritório, motorista, cliente de portal) com princípio do mínimo privilégio.
• Isolamento lógico entre Clientes por segurança ao nível da linha de base de dados (row level security); a identificação da empresa é sempre determinada no servidor e nunca aceite a partir do cliente.
• Sessões inválidas ou contas desativadas terminam o acesso de imediato.

Segurança de transmissão e armazenamento

• Comunicações exclusivamente por HTTPS/TLS.
• Dados em repouso cifrados ao nível do fornecedor de infraestrutura.
• Chaves de interface de programação (API) armazenadas apenas em forma de resumo criptográfico (hash), entregues por ligação de visualização única.

Resiliência e recuperação

• Cópias de segurança diárias cifradas, com procedimento de recuperação documentado.
• Infraestrutura em fornecedor com redundância e monitorização.

Organização

• Acesso administrativo limitado ao titular da atividade.
• Registo de operações sensíveis (auditoria) nas áreas de administração.
• Política de atualização de dependências e revisão de vulnerabilidades.
• Obrigação de confidencialidade de qualquer colaborador ou prestador com acesso.

Anexo III — Subcontratantes ulteriores

A lista atualizada encontra-se em https://rackloop.app/legal/subencarregados e faz parte integrante deste Acordo.