Acordo de Tratamento de Dados

Este Acordo de Tratamento de Dados (o "Acordo") integra os Termos e Condições da Plataforma Zoctus e é celebrado entre a Zoctus, identificada no rodapé do sítio da Zoctus, na qualidade de subcontratante, e o comerciante que opera uma loja na plataforma (o "Aderente"), identificado pelos elementos de identificação e de faturação registados na sua conta na plataforma, na qualidade de responsável pelo tratamento, nos termos do artigo 28.º do Regulamento (UE) 2016/679 ("RGPD"). O Acordo fixa o objeto, a duração, a natureza e a finalidade do tratamento, o tipo de dados pessoais, as categorias de titulares e os direitos e obrigações de cada parte.

1. Objeto, âmbito e responsabilidades das partes

A Zoctus disponibiliza uma plataforma de comércio eletrónico em modelo de serviço, que permite ao Aderente criar e operar a sua própria loja online. Quanto aos dados pessoais dos clientes e visitantes dessa loja, o Aderente é o responsável pelo tratamento e a Zoctus trata esses dados exclusivamente por conta dele e segundo as suas instruções documentadas.

Constituem instruções documentadas do Aderente este Acordo, os Termos e Condições da Plataforma e as ações, configurações e pedidos que o Aderente e os utilizadores por si autorizados efetuam na área de gestão da loja.

A Zoctus não trata os dados dos clientes da loja para fins próprios, para publicidade, para venda ou cedência a terceiros, nem para treino de modelos de inteligência artificial. A Zoctus trata dados para além das instruções do Aderente apenas quando o direito da União ou o direito do Estado-Membro a que esteja sujeita a tal a obrigue, e no limite dessa obrigação, sendo nessa parte responsável pelo tratamento: cumprimento dos deveres que lhe incumbem enquanto prestador de serviços de alojamento, incluindo a receção e o tratamento de notificações de conteúdo ilegal e a comunicação das decisões correspondentes, conservação dos registos exigidos por lei, resposta a pedidos legítimos de autoridades competentes, segurança da plataforma e produção de estatísticas agregadas e não identificáveis sobre a utilização do serviço. Sempre que a lei o permita, a Zoctus informa previamente o Aderente.

Não são abrangidos por este Acordo, por a Zoctus não atuar aí como subcontratante: os dados da conta e de faturação do Aderente, tratados pela Zoctus enquanto responsável, nos termos da Política de Privacidade dos Comerciantes; e os tratamentos realizados por prestadores contratados diretamente pelo Aderente, nomeadamente o seu programa de faturação certificada, a sua conta de transportadora e as ferramentas de medição estatística e publicitária que ative na sua loja, relativamente aos quais o Aderente mantém a relação contratual direta e as suas próprias obrigações.

As contas de utilizador da área de gestão criadas pelo Aderente são tratadas ao abrigo deste Acordo, salvo nas finalidades que a Zoctus determina por si própria, designadamente a autenticação e a segurança das contas, a prevenção e deteção de fraude e de abuso, os registos de auditoria, o cumprimento das obrigações legais que sobre si impendem e o exercício ou defesa de direitos em processo, nas quais a Zoctus é responsável pelo tratamento nos termos da Política de Privacidade dos Comerciantes.

Cabe ao Aderente determinar as finalidades e os meios do tratamento dentro das funcionalidades disponibilizadas, dar instruções à Zoctus, obter a informação prevista na cláusula 10, auditar o cumprimento deste Acordo e decidir sobre a devolução ou a eliminação dos dados no termo da prestação dos serviços, e cabe-lhe cumprir as obrigações que o RGPD impõe ao responsável pelo tratamento. As decisões do Aderente quanto às finalidades, aos fundamentos de licitude e às configurações da sua loja, incluindo aquelas para as quais a plataforma disponibiliza um valor por defeito que o Aderente pode alterar, são da sua exclusiva responsabilidade e não são validadas pela Zoctus, sem prejuízo do dever de informação previsto na cláusula 5.

O Aderente declara e garante que dispõe de fundamento legal para os tratamentos que instrui, que presta aos titulares a informação exigida pelos artigos 13.º e 14.º do RGPD através da política de privacidade da sua loja, e que os dados que carrega ou recolhe através da plataforma foram obtidos licitamente. A plataforma não foi concebida para o tratamento de dados das categorias especiais previstas no artigo 9.º do RGPD nem de dados relativos a condenações penais e infrações, na aceção do artigo 10.º, e não disponibiliza campos destinados a esses dados. O Aderente obriga-se a não os recolher através da plataforma e, quando a natureza dos produtos que vende ou o conteúdo das mensagens que recebe possa revelar dados dessa natureza, a avaliar previamente a licitude desse tratamento e a adotar as medidas que lhe incumbem enquanto responsável.

2. Duração, cessação, exportação e eliminação dos dados

Este Acordo produz efeitos na data da sua aceitação e vigora enquanto a Zoctus tratar dados pessoais por conta do Aderente.

Durante a vigência do contrato de subscrição e enquanto os dados forem conservados, o Aderente pode exportar a todo o tempo, a partir da área de gestão e sem encargos, os dados da sua loja em formato estruturado e de leitura automática: catálogo de artigos, encomendas e clientes em ficheiro CSV, e os dados da loja, incluindo os utilizadores, as encomendas, os artigos, as categorias, os cupões, os métodos de envio, as ligações de acesso, as mensagens de contacto e os pedidos de apoio, em ficheiro JSON. A exportação automática tem limites por lista e assinala no próprio ficheiro quando os resultados foram truncados. Quando o volume de dados exceda esses limites, a Zoctus disponibiliza a exportação por via alternativa, sem encargos, no prazo de 30 dias a contar do pedido dirigido a legal@zoctus.com.

Cessada a subscrição, os dados da loja são conservados durante 6 meses, período durante o qual o Aderente mantém acesso de leitura e às funções de exportação referidas, e são depois eliminados de forma definitiva dos sistemas em produção; as cópias de segurança que ainda os contenham são substituídas no ciclo normal de retenção e permanecem sujeitas às medidas de segurança da cláusula 8. Esta conservação constitui instrução documentada do Aderente, destinada a permitir a reativação da loja e a recuperação dos dados. O Aderente pode, a todo o tempo, optar pela eliminação antecipada, mediante pedido escrito dirigido a legal@zoctus.com, que a Zoctus executa e confirma por escrito no prazo de 30 dias a contar do pedido; a eliminação é irreversível.

Ficam excluídos da eliminação, por a sua conservação ser exigida pelo direito da União ou pelo direito do Estado-Membro a que a Zoctus está sujeita: os dados incorporados nos documentos fiscais e nos registos contabilísticos relativos à subscrição, conservados pelo prazo exigido pela legislação fiscal e contabilística aplicável à Zoctus; os registos de aceitação dos documentos legais, conservados como prova da vinculação contratual; os registos de envio de avisos de segurança de produto, nos termos da cláusula 9; e os registos cuja conservação seja exigida por decisão de autoridade competente. Estes dados ficam sujeitos a acesso restrito e não são utilizados para qualquer outra finalidade.

Os direitos e prazos de mudança de fornecedor e de portabilidade dos dados da loja constam dos Termos e Condições da Plataforma. Este Acordo não os restringe.

3. Natureza e finalidade do tratamento

Recolha, registo, organização, conservação, consulta, utilização, transmissão e apagamento de dados pessoais, por meios automatizados, na medida do necessário para operar a loja do Aderente: apresentação do catálogo, criação e autenticação de contas de cliente, gestão do carrinho e da finalização da compra, encaminhamento do pagamento para a conta do Aderente junto do processador de pagamentos, processamento e acompanhamento de encomendas, envio de mensagens transacionais por email, gestão de devoluções, de pedidos de apoio e de reclamações, transmissão dos elementos da expedição à conta de transportadora do Aderente quando este adquire uma etiqueta, envio de avisos de segurança aos compradores de um produto objeto de recolha, prevenção de abuso e segurança da plataforma e, quando o visitante o tenha consentido, medição estatística e publicitária.

O tratamento decorre enquanto vigorar o contrato de subscrição, com os prazos de conservação indicados na cláusula 2.

4. Categorias de titulares e de dados pessoais

Titulares: clientes da loja com conta registada, compradores sem conta, utilizadores da área de gestão designados pelo Aderente e visitantes da loja.

Categorias de dados: elementos de identificação (nome, endereço de email, contacto telefónico e número de identificação fiscal); moradas de faturação e de entrega; dados da encomenda, incluindo os elementos de identificação do cliente fixados no momento da compra, artigos, valores e comunicações associadas; dados de autenticação, incluindo a representação irreversível da palavra-passe, os tokens de sessão e os dispositivos de confiança; identificadores atribuídos pelo processador de pagamentos, sem qualquer dado do cartão, que a Zoctus não recebe nem armazena; endereços IP e registos técnicos de segurança e de auditoria; registos de consentimento, incluindo o consentimento de marketing e de cookies; conteúdo das mensagens de apoio e dos pedidos relativos a encomendas; e, quando o visitante o tenha consentido, identificadores de medição estatística.

A plataforma não solicita aos titulares nem disponibiliza campos destinados a dados das categorias especiais previstas no artigo 9.º do RGPD ou a dados relativos a condenações penais e infrações.

5. Obrigações da Zoctus enquanto subcontratante

A Zoctus obriga-se a: (a) tratar os dados pessoais apenas mediante instruções documentadas do Aderente, incluindo quanto a transferências de dados para países terceiros, salvo quando o direito da União ou o direito do Estado-Membro a que esteja sujeita exija outro tratamento, caso em que informa o Aderente antes do tratamento, exceto se essa legislação o proibir por motivos de interesse público; (b) assegurar que as pessoas autorizadas a tratar os dados assumiram um compromisso de confidencialidade ou estão sujeitas a obrigação legal de confidencialidade adequada; (c) adotar as medidas técnicas e organizativas exigidas pelo artigo 32.º do RGPD, descritas na cláusula 8; (d) respeitar as condições de recurso a outros subcontratantes previstas nos números 2 e 4 do artigo 28.º do RGPD e na cláusula 6; (e) auxiliar o Aderente, através de medidas técnicas e organizativas adequadas e na medida do possível, no cumprimento da obrigação de dar resposta aos pedidos de exercício dos direitos previstos no capítulo III do RGPD; (f) auxiliar o Aderente a assegurar o cumprimento das obrigações previstas nos artigos 32.º a 36.º do RGPD, tendo em conta a natureza do tratamento e a informação ao seu dispor; (g) devolver ou eliminar os dados pessoais, à escolha do Aderente, no termo da prestação dos serviços, e eliminar as cópias existentes salvo quando o direito da União ou o direito do Estado-Membro a que a Zoctus esteja sujeita exija a sua conservação, nos termos da cláusula 2; e (h) disponibilizar ao Aderente todas as informações necessárias para demonstrar o cumprimento das obrigações do artigo 28.º do RGPD e facultar e contribuir para auditorias, nos termos da cláusula 10.

A Zoctus informa imediatamente o Aderente se considerar que uma instrução recebida viola o RGPD ou outras disposições de proteção de dados da União ou nacionais, podendo suspender a execução dessa instrução até que seja confirmada ou alterada.

A Zoctus mantém o registo das atividades de tratamento efetuadas por conta do Aderente, previsto no número 2 do artigo 30.º do RGPD, e disponibiliza-o mediante pedido. Os pedidos e as comunicações em matéria de proteção de dados devem ser dirigidos a legal@zoctus.com.

6. Subcontratantes ulteriores

O Aderente autoriza, de forma geral e por escrito, o recurso pela Zoctus a outros subcontratantes para a prestação do serviço. À data desta versão, esses subcontratantes prestam serviços de alojamento aplicacional e base de dados na União Europeia, memória intermédia e estado transitório na União Europeia, armazenamento de ficheiros, distribuição e proteção do sítio, entrega de email transacional na União Europeia, processamento de pagamentos, prevenção de abuso em formulários públicos e monitorização de erros. As ferramentas de medição estatística e publicitária que o Aderente ative na sua loja não são subcontratantes ulteriores da Zoctus, nos termos da cláusula 1. A identificação de cada subcontratante, a respetiva função, a região de tratamento e o fundamento de qualquer transferência internacional constam da lista atualizada que a Zoctus publica e mantém permanentemente acessível em /home/subprocessors.

A Zoctus informa o Aderente com pelo menos 30 dias de antecedência de qualquer aditamento ou substituição de subcontratante. O Aderente pode opor-se por escrito, com fundamento em proteção de dados, dentro desse prazo. Se a oposição for fundada e a Zoctus não puder acomodá-la, o Aderente pode resolver o contrato de subscrição sem penalização, com reembolso proporcional dos valores pagos e não utilizados, nos termos da Política de Cancelamento e Reembolso da Subscrição.

Cada subcontratante ulterior fica vinculado, por contrato escrito, às mesmas obrigações de proteção de dados que constam deste Acordo. A Zoctus continua integralmente responsável perante o Aderente pelo cumprimento das obrigações desse subcontratante.

7. Transferências internacionais

O alojamento aplicacional e a base de dados da plataforma situam-se na União Europeia. Quando um subcontratante ulterior tratar dados pessoais fora do Espaço Económico Europeu, a transferência assenta nas Cláusulas Contratuais-Tipo aprovadas pela Decisão de Execução (UE) 2021/914, nos módulos aplicáveis à relação em causa, acompanhadas das medidas suplementares que a avaliação da transferência determine, e, quando o destinatário esteja certificado ao abrigo do EU-US Data Privacy Framework, também na decisão de adequação correspondente, a título complementar.

Se uma decisão de adequação for suspensa, revogada ou declarada inválida, a transferência passa a assentar, sem necessidade de novo acordo, no mecanismo alternativo já contratado com o subcontratante, e a Zoctus adere às versões futuras das Cláusulas Contratuais-Tipo que a Comissão Europeia venha a adotar. Se nenhum mecanismo válido se mantiver disponível, a Zoctus cessa a transferência ou substitui o subcontratante. Cópia das cláusulas aplicáveis é disponibilizada ao Aderente mediante pedido.

8. Medidas técnicas e organizativas

Cifragem em repouso, com o algoritmo AES-256-GCM, do contacto telefónico, do número de identificação fiscal, das moradas, dos elementos de identificação do cliente fixados na encomenda, do email dos compradores sem conta e do conteúdo das mensagens de email em fila de envio. O nome e o endereço de email das contas são conservados em texto legível, por constituírem chave de autenticação e de pesquisa, sob os controlos de acesso descritos nesta cláusula. As chaves de cifragem são geridas fora da base de dados e existe procedimento documentado de rotação.

Proteção das ligações externas por TLS. Palavras-passe guardadas exclusivamente através de função de derivação com fator de custo, nunca em texto legível. Tokens sensíveis, incluindo tokens de sessão e ligações de acompanhamento de encomendas de compradores sem conta, guardados apenas sob a forma de resumo criptográfico.

Isolamento entre lojas: todos os acessos a dados são delimitados pela loja a que pertencem, sendo o acesso entre lojas tratado como fronteira de segurança. Autenticação com sessões que caducam por inatividade, verificação por código enviado por email quando um utilizador da área de gestão acede a partir de um dispositivo novo e gestão dos dispositivos de confiança pelo próprio utilizador.

Limitação da frequência de pedidos nos pontos sensíveis, verificação anti-abuso nos formulários públicos acessíveis sem autenticação, mascaramento dos endereços de email nos registos aplicacionais e remoção de dados pessoais dos relatórios de erro.

Minimização e rastreabilidade: os endereços IP registados por motivos de segurança são anulados automaticamente ao fim de 90 dias, com exceção do endereço IP conservado como prova da aceitação dos documentos legais, que se mantém enquanto essa prova puder ser necessária para demonstrar a vinculação contratual; existe registo de auditoria dos eventos relevantes, conservado durante 24 meses, salvo as ações juridicamente relevantes, conservadas como prova; e são mantidas cópias de segurança da base de dados, com acesso a produção limitado ao pessoal estritamente necessário e sujeito a dever de confidencialidade.

A Zoctus pode alterar estas medidas ao longo do tempo, desde que não reduza o nível de segurança acordado.

Cabe ao Aderente decidir quem acede à sua área de gestão, com que função e por quanto tempo, criar, suspender e eliminar essas contas, revogar sem demora o acesso de quem deixe de exercer funções e proteger os ficheiros que exporta da plataforma, que contêm dados pessoais em texto legível. A Zoctus disponibiliza as funções necessárias para o efeito e não decide nem valida esses acessos.

9. Direitos dos titulares

A plataforma disponibiliza ao Aderente mecanismos de autosserviço que lhe permitem dar resposta aos pedidos dos titulares: exportação, em formato de leitura automática, dos dados pessoais de um cliente e dos dados da loja; retificação pelo próprio cliente na sua área de conta; apagamento, executado através da substituição irreversível dos elementos de identificação, disponível também para compradores sem conta a partir do detalhe da encomenda; retirada do consentimento de marketing e de cookies, com efeito imediato; e desativação reversível da conta, com termo das sessões e bloqueio do acesso, para dar efeito ao direito à limitação do tratamento.

O apagamento não abrange os dados cuja conservação seja exigida por lei, que são conservados sem os elementos de identificação sempre que tal seja possível sem prejudicar a finalidade legal, designadamente os dados das encomendas sujeitos a conservação fiscal. Mantém-se igualmente o registo de que foi enviado um aviso de segurança a um comprador no âmbito de uma recolha de produto, conservado durante 2 anos a contar da conclusão do envio, com ou sem sucesso, e disponibilizado ao Aderente mediante pedido, sendo depois eliminado automaticamente, cabendo ao Aderente conservar a prova do cumprimento das obrigações que o Regulamento (UE) 2023/988 lhe impõe enquanto operador económico, e esse registo é revelado ao titular quando este exerce o direito de acesso. As mensagens de email já colocadas em fila de envio no momento do pedido podem conter os elementos de identificação até serem entregues ou eliminadas, no prazo máximo de 90 dias.

O Aderente é o destinatário dos pedidos dos titulares dirigidos à sua loja e responde por lhes dar resposta nos prazos do RGPD. Se um pedido for dirigido diretamente à Zoctus, esta não lhe dá seguimento por sua própria iniciativa e encaminha-o ao Aderente sem demora. Quando o autosserviço não seja suficiente, a Zoctus presta assistência razoável.

10. Auditorias e demonstração de conformidade

A Zoctus disponibiliza ao Aderente, mediante pedido escrito e no prazo de 15 dias úteis, as informações necessárias para demonstrar o cumprimento deste Acordo e do artigo 28.º do RGPD.

A Zoctus demonstra esse cumprimento através dessa informação documental e, quando exista, de relatório de auditoria independente recente sobre as matérias em causa. A auditoria no local tem lugar apenas quando essa informação seja objetivamente insuficiente para demonstrar o cumprimento do artigo 28.º do RGPD, uma vez por ano civil, sem prejuízo das auditorias que uma autoridade de controlo competente determine, a expensas do Aderente, mediante aviso prévio não inferior a 30 dias, diretamente ou através de auditor independente que não seja concorrente da Zoctus e que esteja vinculado a dever de confidencialidade. Quando seja desencadeada por uma violação de dados pessoais que afete os dados da loja do Aderente, a auditoria fica restrita ao âmbito dessa violação. A auditoria decorre em horário normal de expediente e é conduzida de modo a não comprometer a segurança da plataforma nem os dados de outros comerciantes.

11. Violações de dados pessoais

A Zoctus notifica o Aderente sem demora injustificada e, em qualquer caso, no prazo de 72 horas após ter conhecimento de uma violação de dados pessoais que afete os dados tratados por conta dele, prestando a informação disponível exigida pelo número 3 do artigo 33.º do RGPD, designadamente a natureza da violação, as categorias e o número aproximado de titulares afetados, as consequências prováveis e as medidas adotadas ou propostas. Quando a informação não puder ser prestada de uma só vez, é comunicada por fases, sem demora injustificada.

Compete ao Aderente, enquanto responsável pelo tratamento, avaliar a violação e, quando exigido, notificá-la à autoridade de controlo competente nos termos do artigo 33.º do RGPD e comunicá-la aos titulares nos termos do artigo 34.º. A Zoctus presta o apoio técnico razoável para esse efeito. A notificação prevista nesta cláusula não constitui reconhecimento de responsabilidade.

12. Prevalência e responsabilidade

Em caso de conflito entre este Acordo e os Termos e Condições da Plataforma em matéria de tratamento de dados pessoais, prevalece este Acordo. No restante, aplicam-se os Termos e Condições da Plataforma, incluindo os limites de responsabilidade neles previstos, os quais não afastam a responsabilidade por dolo ou culpa grave, nem qualquer responsabilidade que a lei estabeleça imperativamente, designadamente a prevista no artigo 82.º do RGPD perante os titulares dos dados. O limite previsto nos Termos não se aplica às quantias que a Zoctus deva reembolsar ao Aderente ao abrigo do n.º 5 do artigo 82.º do RGPD na medida em que o dano resulte de incumprimento, por parte da Zoctus, das obrigações que este Acordo lhe impõe.

Cada parte suporta as consequências do incumprimento das obrigações que este Acordo lhe atribui.

13. Lei aplicável

Este Acordo rege-se pela lei portuguesa, sem prejuízo da aplicação imperativa do Regulamento (UE) 2016/679 e das disposições de proteção de dados aplicáveis a cada uma das partes no Estado-Membro em que está estabelecida. A competência para a resolução de qualquer litígio dele emergente é a que resultar da lei, sem prejuízo do direito de os titulares dos dados apresentarem reclamação junto da autoridade de controlo competente ou de recorrerem aos tribunais competentes.

14. Aceitação e alterações

A aceitação deste Acordo é feita por via eletrónica, no momento da adesão à plataforma ou quando é publicada uma nova versão, e fica registada com indicação da versão aceite, do utilizador, da data, do idioma apresentado e do endereço IP, sendo conservada como prova. A aceitação por escrito, incluindo em formato eletrónico, satisfaz o número 9 do artigo 28.º do RGPD.

Este Acordo é versionado. As alterações materiais são comunicadas ao Aderente com uma antecedência mínima de 15 dias e a nova versão é apresentada para aceitação na área de gestão, continuando a versão anterior a aplicar-se até à data de produção de efeitos da nova versão.

Este Acordo é publicado em português e em inglês; havendo divergência entre as versões, prevalece a versão na língua em que o Acordo foi apresentado ao Aderente no momento da aceitação, tal como resulta do registo de aceitação enquanto este existir, e na sua falta a versão portuguesa.