Acordo de Tratamento de Dados

1. Partes e objeto

Este Acordo é celebrado entre o Cliente (a escola, enquanto responsável pelo tratamento) e [nome da entidade], NIF [NIF], com sede em [morada da sede] (o Prestador, enquanto subcontratante), e faz parte integrante dos Termos de Serviço. Em matéria de proteção de dados, prevalece sobre eles.

Regula o tratamento de dados pessoais que o Prestador realiza por conta do Cliente ao prestar o SingDesk.

2. Duração

Este Acordo vigora enquanto vigorarem os Termos de Serviço e, depois de cessarem, até à eliminação dos dados pessoais do Cliente nos termos da secção 12.

3. Natureza e finalidade do tratamento

Alojamento, conservação, organização, consulta, comunicação e eliminação de dados, exclusivamente para prestar a plataforma que o Cliente utiliza para gerir a sua escola: agenda e presenças, fichas de alunos e encarregados de educação, registos pedagógicos e materiais, pagamentos e créditos, comunicações por email e notificações, o portal do aluno, a página pública e os formulários de inscrição da escola, e as integrações que o Cliente decida ligar.

4. Categorias de titulares e de dados

Titulares dos dados:

• alunos, que podem incluir menores;
• encarregados de educação e outras pessoas responsáveis pelos alunos;
• professores, pessoal da secretaria e outros utilizadores do Cliente;
• contactos e interessados que escrevem à escola ou preenchem os seus formulários;
• acompanhadores e outras pessoas que o Cliente registe a propósito de aulas e eventos.

Categorias de dados:

• dados de identificação e contacto (nome, email, telefone, morada, data de nascimento e NIF quando o Cliente os registe);
• relações entre alunos e encarregados de educação, e dados das contas do portal;
• aulas, horários, presenças, disponibilidades e inscrições;
• pagamentos, faturas, tarifas, créditos e remuneração dos professores;
• registos pedagógicos: notas, diários, repertório, perfil vocal, planos de estudo, relatórios de progresso, materiais e gravações de áudio e vídeo;
• comunicações enviadas através da plataforma;
• registos de acesso e de auditoria das contas da escola.

A plataforma não se destina a categorias especiais de dados (artigo 9.º do RGPD). Se o Cliente, ainda assim, registar algum — por exemplo, informação sobre a saúde de um aluno relevante para o trabalho vocal —, fá-lo sob sua responsabilidade e com fundamento de licitude para tal.

5. Obrigações do Cliente

O Cliente garante que dispõe de fundamento de licitude para cada tratamento, que informa os titulares, que obtém o consentimento quando este for o fundamento — junto de quem exerce as responsabilidades parentais, no caso de menores de 13 anos — e que os dados que introduz são exatos e limitados ao necessário.

As instruções documentadas do Cliente são estes Termos, este Acordo e as configurações e ações que o Cliente realiza na plataforma.

6. Obrigações do Prestador

• tratar os dados apenas mediante instruções documentadas do Cliente, incluindo quanto a transferências para países terceiros, salvo se a lei o obrigar a outra coisa, caso em que informa previamente o Cliente, a menos que a lei o proíba;
• informar imediatamente o Cliente se, no seu entender, uma instrução violar a legislação de proteção de dados;
• assegurar que as pessoas autorizadas a tratar os dados estão sujeitas a dever de confidencialidade;
• aplicar as medidas de segurança descritas na secção 8;
• respeitar as condições da secção 9 para recorrer a outros subcontratantes;
• prestar assistência ao Cliente na resposta a pedidos dos titulares (secção 10) e no cumprimento das suas obrigações de segurança, notificação de violações, avaliações de impacto e consulta prévia (artigos 32.º a 36.º do RGPD), tendo em conta a natureza do tratamento e a informação de que dispõe;
• apagar os dados no fim do serviço, nos termos da secção 12;
• disponibilizar ao Cliente a informação necessária para demonstrar o cumprimento deste Acordo e permitir auditorias (secção 13).

O Prestador não utiliza os dados do Cliente para fins próprios, não os vende e não os usa para treinar modelos nem para marketing.

7. Localização

Os dados são guardados no servidor próprio do Prestador, em Portugal. As cópias de segurança cifradas são guardadas por um prestador de armazenamento e o tráfego passa por um servidor intermediário na União Europeia, conforme indicado na página de subcontratantes.

8. Medidas técnicas e organizativas

• Cifragem em trânsito: todos os endereços da plataforma são servidos apenas por HTTPS; a ligação entre o servidor intermediário e o servidor da plataforma passa por um túnel cifrado (WireGuard); os emails são entregues ao serviço de envio por ligação cifrada.
• Credenciais e chaves: as palavras-passe são guardadas apenas como resumos Argon2id, tal como os códigos de recuperação; as chaves da verificação em dois passos e os acessos a serviços ligados (Google, Zoom) são cifrados com AES-256-GCM.
• Autenticação: verificação em dois passos (TOTP) disponível para todas as contas da equipa e obrigatória para os operadores do Prestador; tentativas repetidas de entrada são travadas e bloqueadas de acordo com as definições da escola; as sessões ficam em cookies que os scripts não conseguem ler, enviados apenas por HTTPS e apenas ao endereço onde a sessão foi aberta, e expiram por inatividade.
• Controlo de acessos: os perfis (responsável, secretaria, professor) limitam o que cada Utilizador vê e faz; um professor vê apenas os alunos que lhe estão atribuídos; uma conta do portal vê apenas os alunos a que lhe foi dado acesso.
• Separação entre escolas: cada registo pertence a uma única escola e cada leitura e escrita é limitada, no servidor, à escola da sessão que a faz; os ficheiros privados só são servidos depois da mesma verificação, nunca a partir de um endereço público.
• Acesso dos operadores: os operadores do Prestador só entram numa escola através de uma sessão de suporte que o responsável autoriza por tempo limitado, com a duração máxima de uma hora cada, assinalada no ecrã e registada no histórico de auditoria da escola.
• Histórico de auditoria: entradas, alterações a contas e registos, exportações, pedidos de encerramento e acessos de suporte ficam registados por escola e visíveis para o responsável.
• Cópias de segurança: a base de dados é copiada todas as noites, e os ficheiros também; no servidor são conservadas durante 7 dias, 4 semanas e 6 meses; as cópias só saem do servidor cifradas (restic, AES-256) e são conservadas até 12 meses.
• Rede: o servidor da plataforma não está diretamente acessível a partir da Internet; o tráfego chega apenas através do servidor intermediário, que aplica limites de pedidos e bloqueia endereços conhecidos por atividade maliciosa. As páginas têm uma política de segurança de conteúdos estrita e não podem ser incorporadas por outros sites.
• Erros e registos: os erros inesperados são registados pela própria plataforma, sem o conteúdo dos pedidos, cookies ou endereços, e com os identificadores pessoais retirados das mensagens; não é usado nenhum serviço de terceiros de registo de erros ou de análise.
• Manutenção: as dependências são mantidas atualizadas por propostas de atualização automáticas e verificadas diariamente contra vulnerabilidades publicadas.

9. Outros subcontratantes

O Cliente concede ao Prestador uma autorização geral para recorrer aos outros subcontratantes indicados na página de subcontratantes. O Prestador informa o Cliente de qualquer inclusão ou substituição prevista com pelo menos 30 dias de antecedência, por email ao responsável da escola e nessa página. O Cliente pode opor-se com fundamento razoável relativo à proteção de dados; não sendo encontrada solução, pode encerrar a escola, depois de exportar os seus dados, antes de a alteração produzir efeito.

O Prestador impõe por contrato a cada outro subcontratante obrigações de proteção de dados equivalentes às deste Acordo e continua responsável perante o Cliente pelo seu cumprimento.

Os serviços que o próprio Cliente decida ligar à sua escola (como o Google Calendar ou o Zoom) atuam ao abrigo da conta do Cliente e do seu próprio acordo com esses prestadores; a plataforma envia-lhes apenas o que a integração exige.

Os dados pessoais só são transferidos para fora do Espaço Económico Europeu com as garantias do capítulo V do RGPD (decisão de adequação ou cláusulas contratuais-tipo).

10. Pedidos dos titulares

A plataforma dá ao Cliente os meios para responder por si aos pedidos: consultar e corrigir qualquer registo, exportar os dados de um aluno, anonimizar um aluno, terminar contas do portal e exportar a escola inteira. Se o Prestador receber diretamente um pedido, encaminha-o ao Cliente sem demora injustificada e não lhe responde por si, salvo instrução do Cliente.

11. Violações de dados pessoais

O Prestador notifica o Cliente sem demora injustificada e, sempre que possível, no prazo de 48 horas após ter conhecimento de uma violação de dados pessoais que afete os dados do Cliente, para que este possa cumprir o seu próprio prazo de 72 horas. A notificação descreve, na medida do que se souber, a natureza da violação, as categorias e o número aproximado de titulares e de registos afetados, as consequências prováveis e as medidas tomadas ou propostas, e indica um contacto; o que ainda não se souber é comunicado logo que conhecido.

12. Devolução e eliminação no fim

Antes de encerrar a escola, o Cliente pode descarregar uma exportação completa, com todos os registos (JSON e CSV) e todos os ficheiros; fica disponível durante 72 horas depois de pronta e pode ser pedida de novo.

Depois do encerramento, os dados são conservados durante 30 dias, para que a escola possa ser reaberta se o Cliente o desejar, e são depois apagados definitivamente, incluindo os ficheiros. Fica apenas um registo sem dados pessoais: o identificador interno e o endereço da escola na plataforma, as datas e o número de registos e ficheiros apagados.

As cópias existentes nas cópias de segurança desaparecem à medida que estas rodam, no máximo cerca de 18 meses após a eliminação; até lá são mantidas cifradas e usadas apenas para recuperar de um incidente, após o que as escolas eliminadas voltam a ser apagadas. A pedido, o Prestador confirma a eliminação por escrito.

13. Informação e auditorias

O Prestador responde às perguntas razoáveis do Cliente sobre o cumprimento deste Acordo e disponibiliza a documentação relevante. Quando isso não bastar, o Cliente, ou um auditor independente por si mandatado e sujeito a confidencialidade, pode auditar o tratamento, com pelo menos 30 dias de antecedência, no máximo uma vez por ano (salvo após uma violação ou a pedido de uma autoridade de controlo), a expensas do Cliente e sem perturbar o serviço nem dar acesso a dados de outras escolas.

14. Responsabilidade e lei aplicável

Cada parte responde nos termos do artigo 82.º do RGPD e, no mais, dos Termos de Serviço. Este Acordo rege-se pela lei portuguesa.

Este Acordo é redigido em português; em caso de divergência com a versão inglesa, prevalece a portuguesa.