Acordo de tratamento de dados

1. Quem é quem

Responsável pelo tratamento: a loja que utiliza o VIBBLIN. Decide porquê e como tratar os dados dos seus visitantes.

Subcontratante: Numen di Rasman Francesco, que trata esses dados apenas para fazer funcionar o serviço, e apenas segundo as instruções do responsável pelo tratamento.

Quanto aos dados da conta do lojista — nome da loja, email, palavra-passe, dados da atividade, registos de acesso, dados do registo e da subscrição —, o responsável pelo tratamento é, pelo contrário, Numen di Rasman Francesco: esse tratamento está descrito na política de privacidade e não se enquadra neste acordo.

A Paddle, que vende a subscrição, trata os dados de compra do lojista como responsável pelo tratamento independente. Não é um subcontratante ulterior deste acordo e não recebe dados dos visitantes.

2. Objeto, natureza e finalidade

Objeto: o tratamento dos dados pessoais que os visitantes da loja deixam no chat e nos formulários, necessário para prestar o serviço descrito nos Termos.

Natureza: recolha, registo, organização, conservação, consulta, comunicação ao fornecedor principal de modelos de linguagem e, só quando este não responde, ao fornecedor de reserva, para a geração das respostas e para as traduções, comunicação das respostas ao fornecedor de reserva para o seu controlo automático antes do envio, juntamente, nas lojas com instruções personalizadas, com a mensagem do visitante a que respondem, apagamento.

Finalidade: responder aos pedidos dos visitantes, permitir à loja reler as conversas e voltar a contactar os visitantes, enviar à loja as notificações que ativou, produzir as estatísticas que o painel mostra.

Nenhuma outra utilização. Em particular: nenhum dado da loja é utilizado para treinar modelos, para definição de perfis publicitários ou para finalidades próprias de Numen di Rasman Francesco.

3. Tipos de dados e categorias de titulares dos dados

Titulares dos dados: os visitantes do site da loja que abrem o chat ou preenchem um formulário, e as pessoas que a loja menciona nos conteúdos que carrega.

A conversa é um campo livre: pode conter também dados que o visitante decide escrever, incluindo os da secção 4.

4. Categorias especiais de dados e atividades profissionais

4.1 O serviço não foi concebido para recolher categorias especiais de dados (art. 9.º do RGPD: saúde, origem étnica, convicções, dados genéticos e biométricos, vida sexual) nem dados relativos a condenações penais e infrações (art. 10.º). O responsável pelo tratamento não configura formulários, campos ou instruções que os peçam.

4.2 Um chat, no entanto, continua a ser um campo livre. Os visitantes podem escrever, por iniciativa própria, dados sobre a sua saúde ou outras categorias especiais de dados, e isso acontece sobretudo com as atividades de saúde (consultórios médicos e dentários, fisioterapia, farmácias, psicólogos) e com as jurídicas e financeiras. Esses dados passam a fazer parte da conversa e tratamo-los como o resto: por conta do responsável pelo tratamento, apenas para as finalidades da secção 2, com as medidas da secção 7.

4.3 Cabe ao responsável pelo tratamento decidir:

• com que base jurídica, e ao abrigo de qual das condições do art. 9.º, n.º 2, o tratamento é lícito;
• o que dizer aos visitantes, na sua política de privacidade e, se quiser, na mensagem de boas-vindas do chat (por exemplo, que não escrevam dados de saúde desnecessários para o pedido);
• durante quanto tempo os conservar, incluindo apagar uma conversa antes do prazo;
• se é necessária uma avaliação de impacto (art. 35.º), para a qual o assistimos (secção 11).

4.4 O mascaramento automático (secção 7) reconhece emails, telefones, IBAN, cartões, números de identificação fiscal, números de IVA, moradas e endereços IP, em cada mensagem enviada aos fornecedores dos modelos de linguagem, incluindo a que o visitante acabou de escrever; os números de encomenda não. Não reconhece os dados de saúde, que chegam aos fornecedores dos modelos de linguagem tal como foram escritos. O responsável pelo tratamento tem-no em conta nas suas decisões.

4.5 Se o responsável pelo tratamento estiver sujeito a sigilo profissional, cabe-lhe avaliar se e como utilizar o chat com os seus clientes; nós estamos, de qualquer forma, vinculados à confidencialidade da secção 6.

5. Instruções documentadas

Numen di Rasman Francesco trata os dados apenas mediante instruções documentadas do responsável pelo tratamento. As instruções são: os Termos, este acordo e a configuração que o lojista define no painel (que formulários, que campos, que notificações, que política de privacidade mostrar).

Se uma instrução violar o RGPD, dizemo-lo e não a executamos.

Se uma lei nos obrigar a um tratamento diferente, informamos previamente o responsável pelo tratamento, salvo se essa mesma lei o proibir.

6. Confidencialidade

Quem trata estes dados por nossa conta está vinculado à confidencialidade por contrato ou por lei, e acede apenas ao que é necessário para a sua tarefa.

O acesso aos dados de uma loja a partir da consola de administração é feito só para leitura, expira ao fim de trinta minutos e deixa uma linha no registo: quem entrou, quando e em que loja.

7. Medidas de segurança (art. 32.º)

Estas são as medidas que existem realmente, não uma lista de boas intenções. Se uma medida não existir, este documento não a menciona.

• Transporte cifrado: TLS entre o navegador e o servidor; a aplicação comunica com a base de dados através de rede local.
• Palavras-passe: guardadas como hash scrypt; uma alteração da palavra-passe invalida todas as sessões abertas.
• Acesso: bloqueio progressivo das tentativas falhadas, associado ao par conta+endereço, de modo que um estranho não possa bloquear o acesso de um lojista; limites de frequência em todas as chamadas públicas.
• Separação entre lojas: cada leitura e cada escrita está vinculada à loja que a pede, verificada em cada pedido; os anexos dos formulários só se descarregam a partir de uma rota autenticada.
• Pseudonimização perante os fornecedores dos modelos: emails, telefones, IBAN, cartões, números de identificação fiscal, números de IVA, moradas e endereços IP reconhecidos são substituídos por marcadores, cifrados com uma chave dedicada, antes do envio aos fornecedores de modelos de linguagem, em cada mensagem: a que o visitante acabou de escrever, as mensagens anteriores da conversa, e a resposta e a mensagem enviadas ao controlo das respostas. Os números de encomenda ficam sem mascaramento. Os dados reais ficam nos servidores do subcontratante: aí a resposta recupera-os antes de chegar ao visitante, e aí os contactos, os pedidos e os orçamentos são compostos a partir do texto original.
• Controlo das respostas: cada resposta do modelo passa por um controlo automático antes de chegar ao visitante.
• Endereços IP: conservados apenas como impressão com chave, nunca em claro nos dados da loja.
• Conteúdos escritos pelo lojista: filtrados com uma lista de etiquetas permitidas antes de serem guardados e mostrados.
• Cópias de segurança: todos os dias uma cópia da base de dados, guardada no servidor durante 14 dias, e todas as semanas uma cópia do servidor inteiro, guardada pelo fornecedor do alojamento separadamente do servidor. O restauro a partir de uma cópia foi efetivamente testado.
• Continuidade: um serviço externo avisa se o sistema deixar de dar sinais de vida; os erros são registados e mostrados numa página de estado.
• Eliminação automática: as conversas e os contactos que ultrapassam o período do plano são apagados todas as noites.

8. Subcontratantes ulteriores

O responsável pelo tratamento autoriza, de forma geral, os subcontratantes ulteriores aqui enumerados. Se substituirmos ou acrescentarmos algum, comunicamo-lo com trinta dias de antecedência para o email da conta e atualizamos a página /subprocessors, que apresenta sempre a lista em vigor: dentro desse prazo, o responsável pelo tratamento pode opor-se e, se a oposição for fundamentada e não encontrarmos uma alternativa, pode pôr termo ao contrato sem penalizações.

Cada subcontratante ulterior está vinculado a obrigações não menos rigorosas do que as deste acordo. Respondemos pela sua atuação como pela nossa.

O Telegram só intervém se o responsável pelo tratamento ativar as notificações do Telegram: ativá-las é uma instrução do responsável pelo tratamento, e com ela o responsável autoriza esse tratamento e a transferência que implica. A OpenAI, o fornecedor de reserva dos modelos de linguagem, só gera as respostas quando o fornecedor principal não responde; o controlo automático das respostas antes do envio (secção 7), pelo contrário, fá-lo sempre e, nas lojas com instruções personalizadas, recebe com a resposta também a mensagem do visitante a que responde.

O fornecedor principal dos modelos de linguagem é a Anthropic Ireland, Limited, que nos termos comerciais da Anthropic é a contraparte de quem tem sede no Espaço Económico Europeu. Os dados são tratados nos Estados Unidos, com base nas cláusulas contratuais-tipo da União Europeia (módulos 2 e 3) do seu acordo de tratamento de dados. A Anthropic compromete-se a não treinar os seus modelos com os dados que lhe enviamos e apaga perguntas e respostas no prazo de trinta dias, salvo quando tem de as conservar por mais tempo para fazer cumprir as suas regras de utilização ou por obrigação legal. O fornecedor de reserva, a OpenAI, declara que os dados enviados para a sua API não são utilizados para treinar ou melhorar os seus modelos, salvo adesão expressa, que não demos; os seus registos de controlo de abusos ficam até trinta dias. As fontes e as datas das verificações estão indicadas na tabela.

9. Direitos dos titulares dos dados

Os pedidos dos titulares dos dados são recebidos pelo responsável pelo tratamento. Se chegarem a nós, reencaminhamo-los para o responsável sem responder quanto ao mérito.

Damos ao responsável pelo tratamento as ferramentas para responder sozinho: exportação completa dos dados em formato legível, exportação portável, eliminação de uma conversa ou de um contacto, eliminação dos dados que ultrapassam um período, anonimização das estatísticas. São opções do painel, não pedidos a abrir connosco.

Quando as ferramentas não bastam, assistimos o responsável pelo tratamento num prazo razoável e sem custos adicionais.

10. Violações de dados pessoais

Se tivermos conhecimento de uma violação que diga respeito aos dados do responsável pelo tratamento, avisamo-lo sem demora injustificada e, em todo o caso, no prazo de 48 horas a contar do momento em que dela tomarmos conhecimento, para o email de contacto da conta.

A comunicação indica: o que aconteceu, que categorias de dados e quantos titulares estão envolvidos, as consequências prováveis e as medidas tomadas. Cabe ao responsável pelo tratamento decidir se notifica a autoridade de controlo e os titulares dos dados; nós damos-lhe tudo o que é necessário para o fazer.

11. Assistência ao responsável pelo tratamento

Assistimos o responsável pelo tratamento, tendo em conta a natureza do tratamento e a informação de que dispomos, quanto a: segurança do tratamento (art. 32.º), notificação de violações (arts. 33.º e 34.º), avaliação de impacto e consulta prévia (arts. 35.º e 36.º).

12. O que acontece no fim

12.1 Enquanto o contrato durar, o responsável pelo tratamento pode exportar os dados ou eliminar a conta quando quiser. As duas opções estão na mesma página: Dashboard → Privacy & GDPR.

12.2 Se o responsável pelo tratamento eliminar a conta, a eliminação é imediata e definitiva: os dados desaparecem de imediato, não há reciclagem nem período de tolerância. Quem precisar de uma cópia deve exportá-la antes.

12.3 Se o contrato terminar de outra forma — cancelamento, período de teste não continuado, falta de pagamento, encerramento por violação —, o widget para e, durante 30 dias, o painel fica acessível só para leitura, para exportar. No caso de falta de pagamento, esses dias contam a partir da suspensão. 7 dias antes do fim desse período escrevemos ao responsável pelo tratamento; no fim, apagamos automaticamente todos os dados tratados por sua conta.

12.4 As cópias de segurança já criadas (as diárias da base de dados, guardadas durante 14 dias, e as semanais do servidor inteiro, guardadas pelo fornecedor do alojamento) conservam os dados no máximo durante trinta dias, e depois expiram sozinhas; só são restauradas em caso de incidente e, nesse caso, a eliminação é reaplicada logo após o restauro.

12.5 Após a eliminação não conservamos dados dos visitantes. O que resta (a impressão do email e as impressões dos domínios dos sites do período de teste) diz respeito ao lojista, não aos visitantes, e está descrito na política de privacidade.

13. Auditorias

Mediante pedido escrito, e não mais de uma vez por ano salvo em caso de incidente, disponibilizamos ao responsável pelo tratamento as informações necessárias para demonstrar o cumprimento deste acordo, e permitimos uma auditoria acordada com um pré-aviso de trinta dias.

A auditoria não pode comprometer a confidencialidade dos dados de outras lojas nem a segurança do serviço.

Os custos da auditoria ficam a cargo do responsável pelo tratamento, salvo se a auditoria revelar uma violação deste acordo: nesse caso, suportamo-los nós.

14. Duração

Este acordo vale desde o primeiro dia do período de teste, ou desde a aceitação se a conta tiver sido criada por nós, enquanto Numen di Rasman Francesco tratar dados pessoais por conta do responsável pelo tratamento: ou seja, até à eliminação da secção 12.

Cada versão tem um número e uma data. Uma nova versão exige uma nova aceitação no primeiro acesso seguinte.