Acordo de tratamento de dados

1. Partes e objeto

Este acordo é celebrado entre o Cliente (a escola, colégio ou grupo de escolas que usa a Turmalina), como responsável pelo tratamento, e [Denominação social], NIPC [NIPC], com sede em [morada da sede] («Turmalina»), como subcontratante, nos termos do artigo 28.º do Regulamento Geral sobre a Proteção de Dados (RGPD) e da Lei n.º 58/2019.

Faz parte dos Termos de utilização e prevalece sobre eles em matéria de proteção de dados.

2. O tratamento

Natureza e finalidade: alojar, guardar, organizar, mostrar e enviar os dados que o Cliente coloca no serviço, para a gestão escolar do Cliente e a comunicação com as famílias e o pessoal, bem como fazer cópias de segurança e prestar suporte.

Duração: enquanto durar o contrato e o período de devolução e eliminação previsto neste acordo.

Titulares dos dados:

• alunos, incluindo crianças da creche e do pré-escolar;
• pais, encarregados de educação e outros familiares ou pessoas autorizadas;
• pessoal do Cliente: direção, docentes, educadores, auxiliares, secretaria, cozinha e outros;
• outras pessoas cujos dados o Cliente decida registar.

Categorias de dados:

• identificação e contactos (nome, email, telefone, morada, data de nascimento, parentesco);
• percurso escolar: matrículas, turmas, horários, sumários, faltas e justificações, avaliação, pautas e registos de comportamento;
• registos da creche: chegadas e saídas, refeições, sestas, fraldas e medicamentos dados com autorização do encarregado de educação;
• cantina: refeições marcadas e necessidades alimentares, incluindo alergias e intolerâncias;
• dados financeiros: propinas, avisos de pagamento e pagamentos;
• mensagens, comunicados, autorizações e respostas a inquéritos;
• dados de conta e segurança: email, palavra-passe (guardada só sob a forma de resumo criptográfico), segredo da verificação em dois passos (cifrado), sessões, endereços IP e registo de auditoria.

Alguns destes dados são categorias especiais (artigo 9.º do RGPD), como dados de saúde (alergias, medicamentos) ou dados que podem revelar convicções religiosas (dietas). Cabe ao Cliente garantir o fundamento legal para os tratar e limitar quem lhes acede.

3. Obrigações da Turmalina

A Turmalina:

• trata os dados apenas segundo as instruções documentadas do Cliente, que são este contrato e o uso que o Cliente faz do serviço, salvo obrigação legal, de que o informa antes de tratar, se a lei o permitir;
• avisa o Cliente se considerar que uma instrução viola a lei de proteção de dados;
• garante que as pessoas autorizadas a tratar os dados estão obrigadas a confidencialidade;
• aplica as medidas de segurança descritas abaixo (artigo 32.º do RGPD);
• só recorre a outros subcontratantes nas condições deste acordo;
• ajuda o Cliente a responder aos pedidos dos titulares (acesso, retificação, apagamento, limitação, portabilidade e oposição), sobretudo através das funcionalidades da aplicação e, quando estas não bastem, a pedido do Cliente;
• ajuda o Cliente a cumprir as obrigações de segurança, notificação de violações, avaliações de impacto e consulta prévia (artigos 32.º a 36.º do RGPD), tendo em conta a informação de que dispõe;
• no fim do contrato, devolve e apaga os dados como previsto abaixo;
• disponibiliza ao Cliente a informação necessária para demonstrar o cumprimento deste acordo e permite auditorias, nos termos abaixo.

Se um titular nos contactar diretamente sobre dados do Cliente, reencaminhamos o pedido ao Cliente sem lhe responder nós próprios, salvo instrução do Cliente.

4. Obrigações do Cliente

• garantir que tem fundamento legal para tratar os dados que coloca no serviço e que informa os titulares (incluindo sobre a Turmalina como subcontratante);
• recolher os consentimentos necessários, por exemplo para imagens;
• atribuir os acessos segundo o princípio da necessidade de conhecer e retirá-los quando deixam de ser necessários;
• não colocar no serviço dados que não sejam necessários.

5. Medidas de segurança

• Ligações cifradas (HTTPS/TLS) em todo o serviço.
• Base de dados e cópias de segurança cifradas em repouso pelo fornecedor de alojamento, na União Europeia.
• Separação dos dados de cada cliente na própria base de dados (row-level security), aplicada a uma conta de acesso da aplicação sem privilégios para a contornar.
• Palavras-passe guardadas com Argon2; verificação em dois passos (TOTP) disponível para todos e obrigatória por função quando o Cliente o define; segredos da verificação em dois passos cifrados.
• Acessos por função e por âmbito (escola, turma, aluno), com o mínimo necessário a cada função.
• Sessões que expiram após 60 minutos sem atividade e ao fim de 12 horas; bloqueio temporário após tentativas falhadas; limites de pedidos.
• Registo de auditoria das ações relevantes.
• Cópias de segurança automáticas da base de dados.
• Acesso aos sistemas de produção restrito à equipa da Turmalina que dele precisa, com verificação em dois passos nas contas dos fornecedores.
• Nenhum dado real é usado em desenvolvimento ou demonstrações: a demonstração usa dados fictícios.

Revemos estas medidas regularmente e podemos melhorá-las, sem baixar o nível de proteção.

6. Subcontratantes ulteriores

O Cliente autoriza em geral a Turmalina a recorrer a outros subcontratantes. Os atuais são:

• Salesforce, Inc. (Heroku): alojamento da aplicação, da base de dados e das cópias de segurança, na região da União Europeia (Irlanda), sobre infraestrutura da Amazon Web Services.
• Sendinblue SAS (Brevo), França: envio dos emails da aplicação (destinatário, assunto e conteúdo de cada email).
• Google Ireland Limited (Google Workspace): correio de suporte, apenas para os dados que o Cliente nos envie por email.

Avisamos o Cliente com pelo menos 30 dias de antecedência antes de acrescentar ou substituir um subcontratante. O Cliente pode opor-se por motivos razoáveis de proteção de dados; se não chegarmos a acordo, pode terminar o contrato antes de a alteração produzir efeitos.

Impomos a cada subcontratante, por contrato, obrigações de proteção de dados equivalentes às deste acordo e respondemos perante o Cliente pelo seu cumprimento.

7. Transferências para fora da União Europeia

Os dados são guardados na União Europeia. Alguns subcontratantes pertencem a grupos com sede fora da União Europeia (por exemplo, nos Estados Unidos) e podem, em casos limitados como o suporte técnico, aceder-lhes a partir de lá. Essas transferências só acontecem com as garantias do capítulo V do RGPD, como uma decisão de adequação (por exemplo, o EU-U.S. Data Privacy Framework) ou cláusulas contratuais-tipo da Comissão Europeia.

8. Violações de dados pessoais

Se tivermos conhecimento de uma violação de dados pessoais que afete dados do Cliente, avisamos o Cliente sem demora injustificada e, em qualquer caso, no prazo de 48 horas, para que possa notificar a CNPD no prazo de 72 horas, quando aplicável.

O aviso descreve, na medida do que soubermos: a natureza da violação, as categorias e o número aproximado de titulares e registos afetados, as consequências prováveis e as medidas tomadas ou propostas. Completamos a informação à medida que a formos obtendo.

9. Devolução e eliminação dos dados

O Cliente pode exportar os seus dados a qualquer momento. Depois do fim do contrato, os dados ficam disponíveis para exportação durante 30 dias e são depois apagados no prazo de 90 dias, incluindo nas cópias de segurança à medida que estas expiram, salvo se a lei exigir que os conservemos.

10. Auditorias

Respondemos aos questionários razoáveis do Cliente sobre a proteção de dados. Se isso não bastar, o Cliente, ou um auditor por ele mandatado e obrigado a confidencialidade, pode fazer uma auditoria, uma vez por ano e com aviso de pelo menos 30 dias, salvo se houver uma violação de dados ou um pedido da autoridade de controlo. Os custos da auditoria são do Cliente.

11. Contacto

Questões sobre este acordo: info@turmalina.pt.