Contrato de Subcontratação do Tratamento de Dados

1. Partes

2. Objeto

A CamperTech, na sua qualidade de subcontratante, tratará dados pessoais por conta da oficina cliente (responsável) exclusivamente para prestar o serviço de gestão de oficinas de camperização descrito no contrato de serviços, e em caso algum para fins próprios ou distintos dos aí estabelecidos.

3. Natureza e finalidade do tratamento

4. Obrigações do subcontratante (CamperTech)

• Tratar os dados apenas de acordo com as instruções documentadas do responsável. Se considerar que uma instrução viola o RGPD, comunicá-lo-á imediatamente.
• Garantir que as pessoas autorizadas a tratar os dados estejam sujeitas à obrigação de confidencialidade.
• Aplicar as medidas técnicas e organizativas adequadas para garantir a segurança dos dados (cifragem em trânsito, controlo de acesso, cópias de segurança).
• Respeitar as condições para recorrer a outro subcontratante (subcontratante ulterior) e informar previamente o responsável de qualquer alteração prevista que o afete, dando-lhe a possibilidade de se opor.
• Assistir o responsável no cumprimento das suas obrigações perante o exercício de direitos dos titulares dos dados.
• Assistir o responsável no cumprimento das obrigações de segurança (art. 32.º-36.º RGPD), notificação de violações e avaliações de impacto.
• Apagar ou devolver todos os dados ao responsável no termo do contrato, segundo instrução deste, e apagar as cópias existentes, salvo se existir obrigação legal de conservação.
• Disponibilizar ao responsável todas as informações necessárias para demonstrar o cumprimento das obrigações do presente contrato.

5. Subcontratantes ulteriores

O responsável autoriza a CamperTech a recorrer aos seguintes subcontratantes ulteriores, necessários para a prestação do serviço:

• Supabase Inc. — base de dados e autenticação (região Irlanda, UE)
• Hetzner Online GmbH — servidor de aplicação (Nuremberga, Alemanha)
• Stripe Inc. — gateway de pagamento (EUA, com cláusulas contratuais-tipo)
• Resend — envio dos e-mails que a Plataforma remete em nome da oficina, como orçamentos e lembretes (EUA, com cláusulas contratuais-tipo)

Além disso, a CamperTech utiliza o Google Analytics (Google Ireland Limited) para obter estatísticas de utilização da Plataforma, apenas se o utilizador o consentir no banner de cookies. Nesse tratamento, a CamperTech atua por conta própria e não como subcontratante ulterior: o Google Analytics não recebe os dados que o responsável introduz na Plataforma (clientes, veículos, orçamentos) e não é carregado nas páginas públicas do orçamento nem do portal do cliente.

A CamperTech informará o responsável com antecedência suficiente de qualquer alteração prevista na lista de subcontratantes ulteriores, concedendo-lhe um prazo razoável para se opor.

6. Transferências internacionais

Os dados são armazenados principalmente em servidores localizados na UE/EEE (Supabase Irlanda, Hetzner Alemanha). A utilização da Stripe implica uma transferência para os EUA, abrangida por cláusulas contratuais-tipo aprovadas pela Comissão Europeia nos termos do art. 46.º RGPD. O envio de e-mails através da Resend implica igualmente uma transferência para os EUA, abrangida pelas mesmas garantias.

7. Duração

O presente contrato vigorará enquanto estiver em vigor o contrato de prestação de serviços entre a oficina e a CamperTech. No seu termo, a CamperTech apagará ou devolverá os dados nos termos do disposto na cláusula 4.

8. Responsabilidades

O responsável garante que dispõe de fundamento de licitude para o tratamento dos dados dos seus clientes finais e que cumpriu as suas próprias obrigações de informação e transparência. A CamperTech não assume qualquer responsabilidade por tratamentos realizados fora do âmbito do serviço contratado, nem por dados introduzidos pelo responsável sem o fundamento jurídico adequado. Nada do anteriormente disposto limita a responsabilidade de cada parte perante os titulares dos dados prevista no artigo 82.º do RGPD, nem a responsabilidade por dolo ou culpa grave.

9. Legislação aplicável

Este contrato rege-se pelo Regulamento (UE) 2016/679 (RGPD) e pela Lei Orgânica espanhola 3/2018 de Proteção de Dados Pessoais e garantia dos direitos digitais (LOPDGDD). Para qualquer litígio, as partes submetem-se aos juízos e tribunais de Girona, sem prejuízo das reclamações junto da Agencia Española de Protección de Datos (autoridade espanhola de proteção de dados, www.aepd.es).