Contrato de Subcontratação de Tratamento de Dados

1. Partes

• Responsável pelo Tratamento: A oficina mecânica que contrata o serviço (doravante, "o Responsável" ou "a Oficina").
• Subcontratante do Tratamento: El Bujías (doravante, "o Subcontratante"), operador da plataforma elbujias.es.

2. Objeto e âmbito

O presente acordo regula o tratamento de dados pessoais que o Subcontratante realiza por conta do Responsável no âmbito da prestação do serviço SaaS de gestão de oficinas mecânicas.

Os dados tratados incluem:

• Dados de clientes da oficina: nome, telefone, email, morada.
• Dados de veículos: matrícula, marca, modelo, ano, VIN, dados de inspeção.
• Dados de ordens de trabalho: descrições, orçamentos, fotos, vídeos, documentos.
• Dados de faturação: faturas, valores, dados fiscais.
• Dados de funcionários da oficina: nome, email, função, registos de horários.

Os titulares dos dados são: clientes da oficina, funcionários da oficina e o próprio titular da oficina.

3. Instruções do Responsável

O Subcontratante tratará os dados pessoais unicamente seguindo as instruções documentadas do Responsável, que são:

1. Armazenar e processar os dados necessários para a prestação do serviço contratado.
2. Enviar comunicações aos clientes da oficina (orçamentos, notificações, lembretes) quando o Responsável o solicite através da plataforma.
3. Gerar faturas e documentos fiscais de acordo com os dados fornecidos.
4. Manter cópias de segurança para garantir a continuidade do serviço.

O Subcontratante informará imediatamente o Responsável se, na sua opinião, uma instrução infringir o RGPD ou qualquer outra disposição de proteção de dados.

4. Medidas de segurança

O Subcontratante implementará as seguintes medidas técnicas e organizativas apropriadas para garantir um nível de segurança adequado ao risco:

• Cifragem em trânsito: Todas as comunicações são realizadas através de HTTPS/TLS.
• Cifragem em repouso: As palavras-passe são armazenadas com hash bcrypt. Os certificados VeriFactu são cifrados com Fernet.
• Controlo de acesso: Autenticação JWT com tokens de curta duração, isolamento multi-tenant por oficina.
• Cópias de segurança: Backups diários da base de dados com retenção de 30 dias.
• Infraestrutura: Servidores localizados na UE (Hetzner, Alemanha), em conformidade com o RGPD.
• Minimização: Apenas são recolhidos e processados os dados estritamente necessários para o serviço.

5. Subcontratantes ulteriores

O Responsável autoriza de forma geral o Subcontratante a recorrer aos seguintes subcontratantes ulteriores do tratamento:

O Subcontratante informará o Responsável de qualquer alteração na lista de subcontratantes ulteriores com pelo menos 30 dias de antecedência, permitindo ao Responsável opor-se.

6. Notificação de violações de segurança

O Subcontratante notificará o Responsável sem demora indevida e, em qualquer caso, no prazo máximo de 72 horas a contar do momento em que tenha conhecimento de uma violação de segurança que afete dados pessoais tratados por conta do Responsável.

A notificação incluirá, no mínimo:

• Descrição da natureza da violação.
• Categorias e número aproximado de titulares afetados.
• Possíveis consequências da violação.
• Medidas adotadas ou propostas para remediar a violação.

7. Direitos dos titulares

O Subcontratante assistirá o Responsável no cumprimento da sua obrigação de atender aos pedidos de exercício de direitos dos titulares (acesso, retificação, apagamento, portabilidade, limitação e oposição).

A plataforma oferece as seguintes funcionalidades para facilitar estes direitos:

• Exportação de dados: O Responsável pode exportar todos os dados da sua oficina em formato JSON (Art. 20 RGPD).
• Eliminação: O Responsável pode eliminar clientes, veículos e ordens de trabalho.
• Acesso: Todos os dados estão acessíveis através da interface da plataforma.

8. Devolução e apagamento de dados

• No final do serviço, o Responsável poderá exportar todos os seus dados antes do cancelamento.
• Após o cancelamento, o Subcontratante manterá os dados durante 30 dias (período de carência para reativação).
• Decorridos os 30 dias, proceder-se-á ao apagamento definitivo, exceto as faturas emitidas, cuja conservação é exigida pela normativa fiscal. A conservação da restante documentação do negócio (comprovativos de depósito, registos de horário) é obrigação do Responsável, que a pode cumprir exportando os seus dados antes do cancelamento.
• Faturas emitidas: Serão conservadas durante 10 anos desde a emissão em conformidade com a normativa fiscal espanhola (Ley General Tributaria, arts. 66 e 66 bis), após o que serão eliminadas.

9. Auditoria

O Subcontratante colocará à disposição do Responsável toda a informação necessária para demonstrar o cumprimento das obrigações estabelecidas neste acordo e permitirá e contribuirá para a realização de auditorias, incluindo inspeções, por parte do Responsável ou de um auditor por este autorizado.

10. Confidencialidade

O Subcontratante garante que as pessoas autorizadas a tratar dados pessoais se comprometeram a respeitar a confidencialidade ou estão sujeitas a uma obrigação legal de confidencialidade.

Esta obrigação de confidencialidade mantém-se mesmo após o termo do presente acordo.

Contacto

Para qualquer questão relacionada com este Contrato de Subcontratação de Tratamento:

• Email: [email protected]
• Web: https://elbujias.es