Acordo de tratamento de dados

Partes e âmbito

Este acordo (RGPD art. 28.º) é entre você, o estabelecimento, como responsável pelo tratamento e Ospitera como subcontratante. Faz parte dos termos de serviço e aplica-se enquanto tratarmos dados pessoais por sua conta. Versão 2026-11-05.

O que tratamos

Objeto e finalidade: receber, mostrar, imprimir e entregar os pedidos dos seus clientes, enviar as mensagens de texto que ativar, e o apoio relacionado.

Titulares dos dados: os seus clientes e a sua própria equipa que usa o painel e o ecrã da equipa.

Dados pessoais: nome, telefone, morada de entrega, notas e conteúdo do pedido dos clientes; nomes de utilizador da equipa; dados técnicos como endereços IP (guardados apenas como hashes com chave).

Duração: A morada de entrega e as notas são eliminadas 24 horas após o fecho de um pedido, o telefone e o apelido após 72 horas, e os pedidos não fechados perdem-nos após 7 dias. O conteúdo e os valores dos pedidos ficam para a contabilidade do estabelecimento até ao fim deste ou do serviço.

As nossas obrigações

Instruções documentadas: tratamos os seus dados pessoais apenas para as finalidades e segundo as instruções deste acordo, as definições que escolher no seu painel e as instruções posteriores dos seus contactos autorizados, incluindo sobre transferências para o estrangeiro. Se uma lei da UE ou de um Estado-Membro exigir outro tratamento, avisamos primeiro, salvo se essa lei o proibir. Se considerarmos que uma instrução viola a lei de proteção de dados, avisamos de imediato e suspendemos essa instrução até acordarmos como avançar.

Todas as pessoas da Ospitera com acesso estão sujeitas a confidencialidade.

Mantemos medidas de segurança adequadas, incluindo: cifragem em trânsito, cifragem em repouso dos contactos dos clientes e das credenciais de pagamento, palavras-passe e PIN com hash, acesso limitado por estabelecimento, limitação de pedidos, registo de ações sensíveis, eliminação automática como acima e cópias de segurança da base de dados.

Assistência: tendo em conta o tratamento e a informação de que dispomos, ajudamos com os pedidos dos clientes para exercer os seus direitos, a segurança, a avaliação e notificação de violações, as avaliações de impacto e as consultas às autoridades. O seu painel inclui uma ferramenta para exportar ou apagar os dados de um cliente; para o que não cobrir, escreva ao apoio. Reencaminhamos de imediato os pedidos sobre o seu tratamento e não lhes respondemos nós próprios salvo se a lei o exigir, e damos-lhe a informação de que razoavelmente dispomos a tempo dos seus prazos.

Notificamos sem demora injustificada, e no prazo de 48 horas após tomarmos conhecimento, uma violação de dados pessoais que afete os seus dados, com a informação de que precisa para as suas próprias obrigações.

Fim do serviço: os novos pedidos param na data de fim. Durante 30 dias depois ainda pode entrar e exportar (termos 9.4); no dia 30 eliminamos os dados pessoais que guardamos por sua conta (pedidos, dados dos clientes, contas da equipa e do titular, cardápio, e os contactos nas suas definições), salvo se nos pedir para os eliminar antes. As cópias de segurança da base de dados expiram segundo o calendário de restauro do nosso prestador e nunca são usadas na operação corrente; se alguma for restaurada, as eliminações são aplicadas de novo. Guardamos apenas o que a lei nos exige: as nossas faturas a você e o registo da sua aceitação dos termos.

Conformidade e auditorias: damos-lhe a informação razoavelmente necessária para demonstrar o cumprimento deste acordo e permitimos e contribuímos para auditorias, incluindo inspeções, por você ou por um auditor independente que designe, com pré-aviso razoável e sob confidencialidade. As auditorias de rotina podem ser combinadas para evitar duplicação; são sempre possíveis auditorias adicionais após um incidente significativo, uma alteração significativa do tratamento, indícios razoáveis de incumprimento ou a pedido de uma autoridade de controlo.

Funções separadas: somos o seu subcontratante para os pedidos dos seus clientes e para as contas da equipa que gere. Somos responsável autónomo pela nossa relação comercial consigo, a faturação, a segurança da nossa própria plataforma e as reclamações legais, como descrito na nossa política de privacidade (/legal/privacy). Nenhuma das funções nos permite usar dados de clientes para publicidade, definição de perfis alheia ao serviço ou treino de modelos de IA.

Subcontratantes ulteriores

Você autoriza os subcontratantes listados em /legal/subprocessors. Impomos-lhes as mesmas obrigações de proteção de dados e continuamos responsáveis por eles.

Anunciamos novos subcontratantes no seu painel com pelo menos 30 dias de antecedência. Pode opor-se por motivos razoáveis; se não conseguirmos resolver, pode terminar o serviço antes da alteração.

Transferências para o estrangeiro

A lista de subcontratantes indica onde cada prestador trata dados. Quando os dados saem do Espaço Económico Europeu, a transferência baseia-se numa decisão de adequação ou, na falta dela, nas cláusulas contratuais-tipo da Comissão Europeia (módulo 3, de subcontratante para subcontratante) que acordámos com esse prestador, com medidas complementares quando necessário. Avaliamos separadamente as transferências ulteriores dos nossos prestadores. Uma transferência sem um mecanismo válido não começa. A pedido damos-lhe uma cópia das garantias, ocultada apenas onde comercialmente necessário.

Anexos por país

Reino Unido: os dados pessoais do Reino Unido podem ir para o EEE ao abrigo do regulamento de adequação do Reino Unido para o EEE. Quando uma transferência restrita vai além do EEE, usa o UK International Data Transfer Addendum às cláusulas que temos com esse prestador.

Suíça: as transferências para o EEE baseiam-se no reconhecimento pelo Conselho Federal de uma proteção adequada aí; as transferências para outros destinos usam as cláusulas contratuais-tipo reconhecidas pelo Comissário Federal suíço para a Proteção de Dados e a Transparência para esse destino.

Brasil: as transferências para a Bélgica e o resto da UE baseiam-se na decisão de adequação da autoridade brasileira de proteção de dados (ANPD) para a União Europeia, na medida em que as abranja. Outros destinos e transferências ulteriores usam o mecanismo indicado para eles; quando são as cláusulas-padrão contratuais da ANPD (Resolução CD/ANPD 19/2024), o seu texto completo e os anexos preenchidos são anexados sem alterações.

Turquia: quando a garantia é o contrato-tipo da Autoridade de Proteção de Dados Pessoais, preenchemos e assinamos consigo o módulo turco correto antes de qualquer transferência começar, e o contrato assinado é notificado à Autoridade no prazo de cinco dias úteis após a assinatura pela parte que designar. Não começamos a tratar dados para um estabelecimento na Turquia antes disso.

Quebeque: antes de a informação pessoal sair do Quebeque, damos-lhe a informação e as garantias escritas de que precisa para a sua própria avaliação nos termos da lei sobre a proteção da informação pessoal no setor privado; a avaliação é sua.

Outros países com regras próprias para enviar dados pessoais para o estrangeiro (por exemplo Argentina, Colômbia e Peru): damos-lhe a informação sobre o nosso tratamento de que precisa, e estabelecemos as cláusulas que essa lei exige antes de a transferência começar.

Ordem de prevalência

As disposições obrigatórias de um instrumento de transferência acima indicado prevalecem sobre este acordo e os termos de serviço. Com essa ressalva, um anexo por país prevalece sobre o resto deste acordo para esse país, e este acordo prevalece sobre os termos de serviço em matéria de dados pessoais.

Contacto

Perguntas sobre privacidade e contacto para violações: support@ospitera.com.