Este acordo de tratamento de dados (o «Acordo») regula, nos termos do artigo 28.º do RGPD, a forma como o Nubbo trata os dados pessoais que gere com o serviço quando o utiliza como empresa ou profissional. Faz parte dos termos e condições, que remetem para ele e que aceita ao registar-se. Aceita-o ao utilizar o Nubbo.
1. Partes e funções
- Responsável pelo tratamento: o utilizador, enquanto titular da conta do Nubbo, doravante «o utilizador».
- Subcontratante: Gonzalo Vasco López, NIF ES34884272B, com domicílio em Rúa Farillon 10, 1ºE, 27890 San Ciprián, Lugo, Espanha, titular do Nubbo, doravante «Nubbo».
Este Acordo não se aplica aos dados de que o Nubbo é responsável: os da sua própria conta, os que trata para a sua própria segurança e a prevenção de abusos, os da sua medição agregada sem cookies, os registos de entrega e a lista de supressão dos emails que envia em seu nome e a identificação dos utilizadores do Nubbo que visitam os seus recursos com a sessão iniciada, descritos na política de privacidade.
2. Objeto e duração
O objeto do Acordo é o tratamento de dados pessoais necessário para lhe prestar o serviço Nubbo descrito nos termos e condições. Vigora enquanto mantiver a sua conta e, depois disso, até que os dados sejam eliminados conforme indicado na secção 11.
3. Natureza e finalidade do tratamento
O Nubbo trata os dados apenas para lhe prestar o serviço. O tratamento consiste em: guardar o índice dos seus ficheiros (nomes, caminhos, tamanhos e tipos); gerar os URL pré-assinados com que os ficheiros viajam diretamente entre o navegador e o seu armazenamento; publicar e servir as suas ligações partilhadas, galerias, pedidos de ficheiros e embeds; registar as visitas, transferências, gostos, comentários e carregamentos dos respetivos visitantes e mostrar-lhe as suas estatísticas; enviar em seu nome convites, entregas, lembretes e palavras-passe por email; ler de forma efémera o conteúdo dos ficheiros para gerar miniaturas, tamanhos de galeria e marcas de água e executar as suas automatizações; e, apenas se der o seu consentimento, enviar ao Nubbo AI o conteúdo necessário para o que lhe pedir.
4. Titulares dos dados e categorias de dados
Titulares dos dados: os visitantes das suas ligações, galerias, pedidos de ficheiros e embeds; as pessoas que convida ou a quem envia algo; as pessoas cujos dados aparecem nos seus ficheiros, nos respetivos nomes ou nas suas conversas com o Nubbo AI; e qualquer outra pessoa cujos dados decida tratar com o Nubbo.
Categorias de dados: dados de identificação e de contacto (nome e email); dados de utilização dos seus recursos (visitas, transferências, gostos, comentários, pesquisas e carregamentos); um identificador de visitante que muda todos os dias, derivado do endereço IP e do navegador, o país e o tipo de dispositivo; metadados de ficheiros (nomes, caminhos, tamanhos e tipos); o conteúdo dos ficheiros, tratado de forma efémera; e os dados que incluir nos seus ficheiros e textos.
Categorias especiais: o Nubbo não foi pensado para tratar categorias especiais de dados (artigo 9.º do RGPD). Se as guardar no Nubbo, deve assegurar-se de que existe um fundamento jurídico que o permita. Para as proteger, recomendamos-lhe a encriptação zero-knowledge, com a qual o Nubbo não pode ler nem o conteúdo nem os nomes dos seus ficheiros. Tenha em conta que, se enviar um desses ficheiros ao Nubbo AI, o seu conteúdo é processado para lhe responder (secção 9 da política de privacidade).
5. Instruções documentadas
O Nubbo trata os dados apenas seguindo as suas instruções documentadas. A utilização que faz do serviço e a respetiva configuração (o que carrega, partilha, publica, envia, automatiza ou pede ao Nubbo AI) constituem essas instruções. O Nubbo não trata os dados para fins próprios. Se uma norma da União Europeia ou de um Estado-Membro o obrigar a tratá-los de outro modo, comunicar-lho-á antes, salvo se essa norma o proibir. Se o Nubbo considerar que uma instrução viola a legislação de proteção de dados, informá-lo-á de imediato.
6. Confidencialidade
As pessoas autorizadas pelo Nubbo a tratar os dados estão obrigadas a manter a sua confidencialidade, por compromisso expresso ou por obrigação legal.
7. Segurança
O Nubbo aplica as medidas técnicas e organizativas do artigo 32.º do RGPD descritas no Anexo I, e pode melhorá-las desde que não reduzam o nível de proteção.
8. Subcontratantes ulteriores
- Concede ao Nubbo uma autorização geral para recorrer aos subcontratantes da lista de subcontratantes. Essa lista inclui também fornecedores que apenas tratam dados de que o Nubbo é responsável, como a Creem.
- O Nubbo celebra com cada subcontratante ulterior um contrato que lhe impõe as mesmas obrigações de proteção de dados que este Acordo, com garantias suficientes, nos termos do artigo 28.4 do RGPD, e continua a ser responsável perante si pelo seu cumprimento.
- Antes de acrescentar ou substituir um subcontratante ulterior, o Nubbo atualizará a lista e avisará por email ou na aplicação sem demora e com pelo menos 10 dias de antecedência.
- Pode opor-se à alteração por motivos razoáveis de proteção de dados escrevendo para [email protected]. Se não encontrarmos uma solução, pode pôr termo ao serviço eliminando a sua conta antes de a alteração se aplicar, e reembolsá-lo-emos da parte proporcional do que tiver pago antecipadamente e não tiver usufruído.
9. Assistência
- Direitos dos titulares dos dados: o Nubbo ajuda-o a dar-lhes resposta com as funções do serviço (consultar, exportar, desativar e eliminar os seus recursos; ao eliminar um recurso são eliminados os dados dos respetivos visitantes) e, se não bastarem, respondendo aos seus pedidos por email. Se um titular dos dados se dirigir ao Nubbo, o Nubbo reencaminhar-lhe-á o pedido sem demora.
- Segurança, violações, avaliações de impacto e consultas prévias: o Nubbo ajudá-lo-á a cumprir os artigos 32.º a 36.º do RGPD, tendo em conta a natureza do tratamento e a informação de que disponha: com as medidas do Anexo I, com a notificação de violações da secção 10 e facultando-lhe a informação de que precise para uma avaliação de impacto ou uma consulta prévia à autoridade de controlo.
10. Violações de dados
Se o Nubbo sofrer uma violação de dados que afete os dados que trata por sua conta, notificá-lo-á sem demora injustificada e, em todo o caso, num prazo máximo de 48 horas a contar do momento em que dela tenha conhecimento, por email para o endereço da sua conta. A notificação incluirá a informação do artigo 33.3 do RGPD de que disponha nesse momento e o Nubbo completará o resto logo que a tenha.
11. Fim do tratamento
Antes de eliminar a sua conta pode descarregar os seus dados em Definições › Perfil. Ao eliminar a conta, os dados são conservados durante o período de carência de 30 dias, salvo se escolher a eliminação imediata, e depois são apagados. Podem permanecer até 14 dias nas cópias de segurança antes de serem apagados. Os ficheiros do seu armazenamento são seus e o Nubbo não os apaga, exceto as miniaturas e versões que nele gerou. Tudo isto, salvo se uma norma obrigar a conservar algum dado.
Por minimização, a exportação entrega pseudonimizados os dados de visitantes e destinatários (emails mascarados, nomes reduzidos à inicial e alcunhas em vez de identificadores de sessão). Enquanto responsável por esses dados, pode vê-los na aplicação ou pedir-nos a versão completa em [email protected] e entregá-la-emos num prazo máximo de um mês.
12. Auditoria
O Nubbo coloca à sua disposição a informação necessária para demonstrar o cumprimento deste Acordo: este documento, a política de privacidade, a lista de subcontratantes e as respostas escritas às suas questões razoáveis. Se uma autoridade de controlo o exigir ou essa informação não bastar para demonstrar o cumprimento, acordaremos consigo uma auditoria razoável, realizada por si ou por um auditor que designe, a expensas suas, com pré-aviso suficiente, com dever de confidencialidade e sem acesso a dados de outros utilizadores.
13. Transferências internacionais
O Nubbo só transfere dados para fora do Espaço Económico Europeu para os subcontratantes ulteriores da lista e com as garantias do capítulo V do RGPD nela indicadas: cláusulas contratuais-tipo aprovadas pela Comissão Europeia e, quando aplicável, o EU-U.S. Data Privacy Framework.
14. Responsabilidade
A responsabilidade de cada parte rege-se pela secção de limitação de responsabilidade dos termos e condições, sem prejuízo da responsabilidade perante os titulares dos dados estabelecida no artigo 82.º do RGPD.
15. Prevalência e lei aplicável
Em matéria de proteção de dados, este Acordo prevalece sobre os termos e condições. No restante aplicam-se os termos e condições, incluindo a respetiva lei aplicável e jurisdição.
Anexo I. Medidas de segurança
- Encriptação AES-256-GCM das credenciais dos seus buckets, dos segredos de autenticação de dois fatores e das conversas com o Nubbo AI, com a chave guardada fora da base de dados.
- Encriptação zero-knowledge opcional no seu navegador, com a qual o Nubbo não pode ler o conteúdo nem os nomes dos ficheiros encriptados, salvo se o próprio utilizador enviar um ficheiro concreto ao Nubbo AI (secção 9 da política de privacidade).
- Palavras-passe guardadas com hash bcrypt.
- Autenticação de dois fatores (TOTP) opcional, com códigos de recuperação.
- Os ficheiros viajam diretamente entre o navegador e o seu armazenamento através de URL pré-assinados; o servidor só lê conteúdo de forma efémera, sem o conservar.
- Comunicações encriptadas com HTTPS (TLS 1.2 ou superior) e servidores web acessíveis apenas através da rede de proteção da Cloudflare.
- Sessões com expiração automática, gestão de sessões ativas e aviso de início de sessão a partir de um dispositivo novo.
- Registo de atividade da conta e dos acessos ao que é partilhado com pessoas.
- Limitação de pedidos por endereço IP e captcha nos formulários.
- Cópias de segurança da base de dados (contínua, diária e noturna), encriptadas antes de saírem do servidor e guardadas na União Europeia durante 14 dias. O restauro é testado todas as semanas.
- Servidores e base de dados na União Europeia, acessíveis apenas por rede privada; acesso à produção restrito ao titular e às pessoas autorizadas, com o mínimo privilégio necessário.
Anexo II. Subcontratantes ulteriores
A lista atualizada de subcontratantes ulteriores, com a sua finalidade, os dados que tratam, a sua localização e as suas garantias, encontra-se na página de subcontratantes.
Contacto
Para qualquer questão sobre este Acordo, escreva para [email protected].