Adenda relativa ao Tratamento de Dados

A presente Adenda faz parte dos Termos e Condições da BrandsGateway (os “Termos”) celebrados entre a Gateway Holdings OÜ, código de registo 14276496, Narva mnt 5, 10117 Tallinn, Estónia, que opera sob a designação BrandsGateway (o “Subcontratante”), e cada cliente empresarial que aceite os Termos (o “Cliente”). O Cliente aceita-a ao aceitar os Termos. É aplicável a partir da data em que o Cliente aceita os Termos ou, no caso dos clientes registados antes de 29 de outubro de 2026, a partir dessa data. Versão 1.0.

Relativamente aos dados dos consumidores finais que o Cliente envia ao Subcontratante para a execução de encomendas, o Cliente é o responsável pelo tratamento e o Subcontratante é o seu subcontratante. O Subcontratante só é responsável pelo tratamento independente no que respeita aos registos de encomendas, faturas, alfândega e impostos que está legalmente obrigado a conservar, e aos dados de que necessita para apresentar ou defender reclamações jurídicas, incluindo reclamações junto de transportadoras.

Finalidade: receção, execução, envio, rastreio e devolução das encomendas do Cliente, bem como o apoio conexo. Dados: nome, morada de envio, telefone, email, conteúdo da encomenda e dados de rastreio dos consumidores finais do Cliente. Os dados de cada encomenda são conservados durante o tempo necessário para executar, entregar e devolver a encomenda e para resolver reclamações relativas à mesma, sendo depois apagados, com exceção dos registos referidos na cláusula 1, que são conservados durante o respetivo prazo legal.

O Cliente é responsável pela licitude do tratamento e pela informação dos seus consumidores finais, envia apenas os dados necessários para uma encomenda e dá as suas instruções por escrito.

O Subcontratante trata os dados apenas mediante instruções documentadas do Cliente: os Termos, a presente Adenda e as encomendas do Cliente, incluindo no que respeita a transferências para fora do EEE. Se o direito da União ou de um Estado-Membro exigir outro tratamento, o Subcontratante informa previamente o Cliente, salvo se esse direito proibir tal informação por motivos importantes de interesse público. Informa imediatamente o Cliente se considerar que uma instrução viola a legislação em matéria de proteção de dados, podendo suspender essa instrução até que o Cliente a confirme ou altere. Não utiliza os dados dos consumidores finais para quaisquer finalidades próprias, incluindo marketing, definição de perfis ou análise.

Todas as pessoas autorizadas a tratar os dados estão vinculadas a um dever de confidencialidade.

O Subcontratante aplica, pelo menos, as medidas constantes do Anexo 1, revê-as regularmente e não as altera de forma que reduza o nível de proteção.

O Cliente concede ao Subcontratante uma autorização geral para recorrer a subcontratantes ulteriores das seguintes categorias: os vendedores e armazéns que executam as encomendas; alojamento e armazenamento; envio de emails; ferramentas de apoio ao cliente; segurança de rede; e monitorização de erros. Alguns deles encontram-se nos Estados Unidos, nos termos da cláusula 9. A lista atual está disponível mediante pedido para [email protected].

O Subcontratante informa o Cliente por email com, pelo menos, 30 dias de antecedência antes de acrescentar ou substituir um subcontratante ulterior. O Cliente pode opor-se por motivos razoáveis relacionados com a proteção de dados; se a questão não puder ser resolvida, pode pôr termo aos serviços afetados. O Subcontratante impõe a cada subcontratante ulterior, por contrato, obrigações em matéria de proteção de dados que protejam os dados pelo menos tão bem como a presente Adenda, e continua a ser plenamente responsável por eles.

Para entregar uma encomenda, o Subcontratante comunica o nome, a morada, o telefone e o email do destinatário, bem como o conteúdo e o valor do volume, à transportadora e, quando necessário, às autoridades e agentes aduaneiros. O Cliente dá esta instrução ao efetuar a encomenda. Estes destinatários atuam como responsáveis pelo tratamento independentes, nos termos das suas próprias condições.

Só se recorre a subcontratantes ulteriores fora do EEE quando estejam abrangidos por uma decisão de adequação (no caso dos Estados Unidos, apenas organizações certificadas ao abrigo do Quadro de Privacidade de Dados UE-EUA) ou ao abrigo das cláusulas contratuais-tipo da Decisão de Execução (UE) 2021/914 da Comissão, Módulo 3. No caso de um Cliente fora do EEE, num país sem decisão de adequação, o Módulo 4 dessas cláusulas faz parte da presente Adenda.

O Subcontratante ajuda o Cliente a responder aos pedidos dos consumidores finais, reencaminhando os que receber sem demora injustificada e, o mais tardar, no prazo de 3 dias úteis, e presta assistência em matéria de segurança, notificação de violações e avaliações de impacto (artigos 32.º a 36.º do RGPD).

O Subcontratante notifica o Cliente sem demora injustificada e, o mais tardar, no prazo de 48 horas após ter tido conhecimento de uma violação que afete os dados do Cliente, incluindo num subcontratante ulterior, indicando o que se sabe, as consequências prováveis, as medidas tomadas e um ponto de contacto.

Quando os serviços cessarem, o Subcontratante apaga ou devolve os dados dos consumidores finais no prazo de 30 dias, à escolha do Cliente, com exceção dos registos referidos na cláusula 1, e confirma-o por escrito mediante pedido para [email protected].

O Subcontratante disponibiliza as informações necessárias para demonstrar o cumprimento do artigo 28.º do RGPD. Se essas informações não responderem às questões razoáveis do Cliente, o Cliente ou o seu auditor podem realizar uma auditoria, mediante aviso prévio de 30 dias, no máximo uma vez por ano, salvo se existirem indícios de incumprimento ou de uma violação, ou se uma autoridade o exigir. Cada parte suporta os seus próprios custos.

As alterações à presente Adenda são comunicadas ao Cliente por email com, pelo menos, 30 dias de antecedência relativamente à data em que se aplicam; o Cliente pode pôr termo aos serviços afetados antes dessa data.

A presente Adenda prevalece sobre os Termos em matéria de proteção de dados. Mediante pedido, as partes assinam as cláusulas contratuais-tipo da Decisão de Execução (UE) 2021/915 da Comissão, que passam então a prevalecer. É aplicável a lei estónia.

Os nossos servidores, bases de dados, ficheiros e cópias de segurança estão alojados em centros de dados na UE. Os nossos sites só são acessíveis através de ligações cifradas (TLS), por detrás de uma proteção de rede contra ataques, e as bases de dados que contêm as encomendas não são acessíveis a partir da internet. É feita diariamente uma cópia de segurança das bases de dados, que é cifrada antes de sair do servidor.

Cada pessoa utiliza uma conta pessoal apenas com os direitos de que o seu trabalho necessita. O acesso aos servidores utiliza chaves criptográficas pessoais, e não palavras-passe.

Os vendedores e armazéns só veem as encomendas que executam.

Os eventos e erros das aplicações são registados de forma centralizada; só a equipa técnica pode ler os registos.

O pessoal e os prestadores de serviços estão vinculados a um dever de confidencialidade.

As suspeitas de violação são comunicadas para [email protected] e tratadas pela equipa técnica; os Clientes são notificados nos termos da cláusula 11.