RGPD · art. 28.º
Contrato de subcontratação de tratamento de dados
Faz parte dos Termos de serviço e é aceite com eles. Esta é uma tradução: prevalece a versão em espanhol.
1. Partes e objeto
O Cliente (o restaurante que contrata a FastBite) é o responsável pelo tratamento dos dados dos seus clientes e do seu pessoal. A BRASATECH DIGITAL SOLUTIONS S.L., NIF B09767898, é o subcontratante: trata esses dados apenas para prestar a FastBite ao Cliente.
2. Natureza, finalidade e duração
Alojar, registar, consultar, organizar e conservar os dados necessários para o menu e os pedidos, o ponto de venda, a cozinha, os pedidos para levar, a faturação e o envio de registos VERI*FACTU à Agência Tributária espanhola. A subcontratação dura o mesmo que o contrato de serviço.
3. Titulares e dados
| Titulares | Dados |
|---|---|
| Clientes do restaurante | Pedidos, mesa, nome para levantar um pedido, dados para uma fatura completa (nome ou denominação, NIF e morada), referências de pagamento (nunca os dados do cartão) |
| Pessoal do restaurante | Utilizador, nome, função e palavra-passe com resumo irreversível; pedidos e talões que gere |
O serviço não se destina a tratar categorias especiais de dados. A informação de alergénios descreve pratos, não pessoas.
4. Obrigações do subcontratante
- Tratar os dados apenas segundo as instruções documentadas do Cliente, que são estes termos e o que o Cliente configura no serviço, salvo obrigação legal, da qual o informaremos antes se a lei o permitir.
- Garantir que as pessoas autorizadas a tratar os dados assumiram um compromisso de confidencialidade.
- Aplicar as medidas de segurança do artigo 32.º do RGPD descritas no ponto 6.
- Recorrer a subcontratantes ulteriores apenas nos termos do ponto 5.
- Ajudar o Cliente a responder aos pedidos dos titulares. Se um titular nos contactar, encaminhá-lo-emos para o Cliente e informaremos o Cliente.
- Ajudar o Cliente a cumprir as suas obrigações de segurança, notificação de violações, avaliações de impacto e consultas prévias, tendo em conta a informação de que dispomos.
- Notificar o Cliente sem demora injustificada, e se possível em 48 horas, de qualquer violação de dados pessoais de que tenhamos conhecimento, com a informação necessária para a poder notificar.
- No fim do serviço, permitir ao Cliente exportar os seus dados durante 30 dias e depois apagá-los, salvo quando a lei exija conservá-los (por exemplo, faturas e registos de faturação).
- Disponibilizar a informação necessária para demonstrar o cumprimento deste contrato e permitir auditorias razoáveis, com aviso prévio e sem acesso a dados de outros clientes.
5. Subcontratantes ulteriores
O Cliente autoriza de forma geral o recurso a subcontratantes ulteriores. Os atuais são:
| Subcontratante | Serviço | Localização |
|---|---|---|
| Google Ireland Ltd. (Google Cloud, Firebase) | Alojamento da aplicação, base de dados e ficheiros | União Europeia (Madrid) |
| Microsoft Ireland Operations Ltd. (Microsoft 365) | Email do serviço | União Europeia |
Avisaremos de qualquer novo subcontratante ou substituição com pelo menos 30 dias de antecedência; o Cliente pode opor-se por motivos razoáveis e, se não houver solução, resolver o contrato. Cada subcontratante fica sujeito às mesmas obrigações deste contrato. A Stripe e a Agência Tributária não são subcontratantes: a Stripe trata os pagamentos como responsável próprio e a Agência Tributária recebe os registos por obrigação legal do Cliente.
6. Medidas de segurança
- Cifragem das comunicações (HTTPS) e dos dados guardados pelo fornecedor de alojamento.
- Dados de cada restaurante separados no seu próprio esquema de base de dados.
- Palavras-passe guardadas com resumo irreversível; controlo de acesso por funções.
- Cópias de segurança e exportação pelo Cliente.
- Software atualizado e registo da atividade relevante para detetar e resolver incidentes.
7. Transferências internacionais
Os dados estão alojados na União Europeia. Qualquer acesso a partir de fora do Espaço Económico Europeu terá as garantias do capítulo V do RGPD.
8. Obrigações do Cliente
O Cliente garante que trata os dados de forma lícita, que informa os titulares (pode usar a página de privacidade que a FastBite disponibiliza para cada local) e que as suas instruções cumprem a lei.