Acordo de subcontratação do tratamento

1Partes

• Responsável pelo tratamento: o Cliente que contrata a Plataforma Renterus, identificado na sua conta de empresa (o «Responsável»).
• Subcontratante: RENTERUS SOFTWARE S.L., NIF B72826324, Calle Bellavista 4, Edif. Capri, Local 2, 29780 Nerja (Málaga), Espanha (o «Subcontratante» ou «Renterus»).

2Objeto

O Responsável encarrega a Renterus do tratamento dos dados pessoais necessários para lhe prestar o serviço de software Renterus (a «Plataforma»), nos termos das Condições de utilização e contratação e do Plano contratado.

Este acordo não se aplica aos dados que a Renterus trata como responsável (contas de utilizador, relação contratual com o Cliente, segurança da Plataforma), regulados na Política de privacidade.

3Duração

Este acordo vigora enquanto vigorarem as Condições de utilização e contratação entre as partes. As obrigações de confidencialidade, de devolução e apagamento dos dados e as que, pela sua natureza, devam subsistir continuarão em vigor após a sua cessação.

4Natureza e finalidade do tratamento

Finalidade: prestar ao Responsável as funcionalidades da Plataforma que este decida utilizar, como a gestão de pessoal e o registo de tempos de trabalho; a assinatura eletrónica de documentos; a gestão de propriedades, proprietários, reservas, hóspedes e registo de viajantes; a verificação de identidade; o assistente de inteligência artificial Erus; a faturação; os transferes; a gestão de chaves; a comunicação interna e com terceiros; e as integrações com serviços de terceiros que o Responsável ative.

Operações de tratamento: recolha, registo, organização, estruturação, conservação, adaptação, consulta, utilização, comunicação por transmissão aos destinatários que o Responsável indique ou configure, comparação, limitação, apagamento e destruição, por meios automatizados.

5Tipos de dados e categorias de titulares

Consoante as funcionalidades que o Responsável utilize, o tratamento pode abranger:

Categorias especiais de dados. Se o Responsável ativar a verificação de identidade de hóspedes com comparação facial, são tratados dados biométricos destinados a identificar uma pessoa de forma inequívoca (art. 9.º RGPD). Cabe ao Responsável dispor de uma exceção do artigo 9.º, n.º 2, do RGPD que o permita (normalmente, o consentimento explícito do titular) e avaliar a necessidade de uma avaliação de impacto. Além disso, as ausências podem incluir baixas médicas e consultas médicas com os respetivos comprovativos, e a documentação laboral pode conter dados de saúde. O Responsável não introduzirá outras categorias especiais de dados, salvo se forem imprescindíveis e lícitas.

6Obrigações do Responsável

• Garantir que o tratamento tem um fundamento jurídico válido e, se for o caso, uma exceção do artigo 9.º, n.º 2, do RGPD, e que os dados foram obtidos licitamente.
• Informar os titulares nos termos dos artigos 13.º e 14.º do RGPD, incluindo, para os trabalhadores, a informação prévia sobre o registo de tempos de trabalho e a geolocalização (art. 90.º LOPDGDD).
• Dar à Renterus instruções lícitas e documentadas e configurar a Plataforma de acordo com elas.
• Realizar as avaliações de impacto e consultas prévias que se justifiquem.
• Supervisionar o tratamento, incluindo através das auditorias previstas neste acordo.

7Instruções do Responsável

A Renterus tratará os dados pessoais apenas segundo as instruções documentadas do Responsável. Consideram-se instruções documentadas: (i) este acordo e as Condições de utilização e contratação; (ii) a configuração e a utilização da Plataforma pelo Responsável e pelos seus Utilizadores autorizados; e (iii) as instruções escritas adicionais que o Responsável comunique e a Renterus aceite. Entre elas, a de elaborar estatísticas agregadas e anonimizadas sobre a utilização da Plataforma, segundo as Condições.

Se a Renterus considerar que uma instrução viola o RGPD ou outra norma de proteção de dados, informará imediatamente o Responsável. Se o direito da União ou de um Estado-Membro obrigar a Renterus a tratar os dados para outra finalidade, informará o Responsável antes do tratamento, salvo se esse direito o proibir por motivos importantes de interesse público.

A Renterus não utilizará os dados para fins próprios nem os comunicará a terceiros, exceto aos subcontratantes ulteriores autorizados ou quando o Responsável o indicar.

8Confidencialidade

A Renterus garante que as pessoas autorizadas a tratar os dados se comprometeram por escrito a respeitar a sua confidencialidade ou estão sujeitas a uma obrigação legal de confidencialidade, que se mantém após o fim da sua relação com a Renterus. Só acederão aos dados na medida necessária para prestar o serviço, dar suporte quando o Responsável o solicitar ou resolver incidentes.

9Medidas de segurança

Tendo em conta o estado da técnica, os custos, a natureza, o âmbito, o contexto e as finalidades do tratamento, bem como os riscos para os direitos dos titulares, a Renterus aplica as medidas técnicas e organizativas adequadas exigidas pelo artigo 32.º do RGPD, entre elas:

• cifragem das comunicações entre os utilizadores e a Plataforma (TLS);
• palavras-passe armazenadas através de algoritmos de hash e gestão segura de sessões;
• controlo de acesso baseado em funções e permissões configuráveis pelo Responsável, e separação lógica dos dados de cada cliente;
• registo de atividade das ações relevantes;
• sistema de gestão da segurança da informação certificado segundo a norma UNE-EN ISO/IEC 27001:2023;
• base de dados replicada num cluster de três nós, cópias de segurança diárias e procedimentos de restauro;
• atualização e manutenção dos sistemas e dependências de software;
• compromissos de confidencialidade e formação do pessoal com acesso a dados;
• procedimento de gestão e notificação de incidentes de segurança;
• revisão periódica da eficácia das medidas.

A Renterus poderá atualizar estas medidas desde que não reduza o nível global de segurança.

10Subcontratantes ulteriores

O Responsável concede à Renterus uma autorização geral para recorrer a outros subcontratantes (subcontratantes ulteriores). A lista em vigor dos subcontratantes ulteriores é publicada na Política de privacidade.

A Renterus informará o Responsável de qualquer inclusão ou substituição de subcontratantes ulteriores com pelo menos 15 dias de antecedência, por correio eletrónico ou através de um aviso na Plataforma, para que se possa opor por motivos razoáveis relacionados com a proteção de dados. Se as partes não chegarem a uma solução, o Responsável poderá resolver o contrato sem penalização relativamente ao serviço afetado.

A Renterus imporá a cada subcontratante ulterior, por contrato, as mesmas obrigações de proteção de dados deste acordo, em particular a de apresentar garantias suficientes de execução de medidas técnicas e organizativas adequadas. A Renterus continua a ser plenamente responsável perante o Responsável pelo cumprimento dos subcontratantes ulteriores.

Os serviços de terceiros que o Responsável decide integrar (por exemplo, os canais de reserva) não são subcontratantes ulteriores da Renterus: a comunicação de dados a esses serviços é feita por instrução do Responsável. O gestor de canais que a Renterus integra na Plataforma é um subcontratante ulterior e consta da lista.

11Transferências internacionais

A Renterus só transferirá dados pessoais para fora do Espaço Económico Europeu, diretamente ou através de subcontratantes ulteriores, quando exista uma decisão de adequação (incluindo o Quadro de Privacidade de Dados UE-EUA para entidades certificadas) ou tenham sido adotadas garantias adequadas nos termos do artigo 46.º do RGPD, como as cláusulas contratuais-tipo da Comissão Europeia, com as medidas complementares que se justifiquem.

12Assistência no exercício de direitos

A Renterus prestará assistência ao Responsável, através de medidas técnicas e organizativas adequadas e na medida do possível, para que este possa responder aos pedidos de exercício dos direitos de acesso, retificação, apagamento, oposição, limitação, portabilidade e de não ficar sujeito a decisões automatizadas. A Plataforma permite ao Responsável consultar, corrigir, exportar e apagar os dados.

Se um titular dirigir o seu pedido à Renterus, esta transmiti-lo-á ao Responsável sem demora e, em todo o caso, no prazo de 5 dias úteis, e não lhe responderá diretamente salvo indicação do Responsável.

13Assistência em segurança, avaliações de impacto e consultas

Tendo em conta a natureza do tratamento e a informação de que dispõe, a Renterus ajudará o Responsável a cumprir as obrigações dos artigos 32.º a 36.º do RGPD: segurança do tratamento, notificação e comunicação de violações de dados pessoais, avaliações de impacto sobre a proteção de dados e consultas prévias à autoridade de controlo.

14Notificação de violações de dados pessoais

A Renterus notificará o Responsável, sem demora injustificada e, em todo o caso, no prazo máximo de 48 horas após ter conhecimento, de qualquer violação de segurança que afete os dados tratados por sua conta, juntamente com a informação disponível para documentar e comunicar o incidente:

• a natureza da violação, com as categorias e o número aproximado de titulares e de registos afetados;
• os contactos na Renterus para obter mais informações;
• as consequências prováveis;
• as medidas adotadas ou propostas para a reparar e atenuar os seus efeitos.

Se não for possível fornecer toda a informação ao mesmo tempo, será fornecida de forma faseada. Cabe ao Responsável notificar a autoridade de controlo e, se for o caso, os titulares.

15Destino dos dados no fim do serviço

No fim da prestação do serviço, a Renterus manterá os dados acessíveis ao Responsável em modo só de leitura, para que os possa consultar e exportar, e devolvê-los-á num formato estruturado e de uso corrente, se este o pedir. Depois, apagá-los-á ou anonimizá-los-á, juntamente com as cópias existentes, no prazo e na forma indicados nas Condições de utilização e contratação, ou antes, se o Responsável o pedir por escrito.

As cópias de segurança serão apagadas nos seus ciclos normais de rotação. A Renterus poderá conservar os dados devidamente bloqueados enquanto puderem resultar responsabilidades da execução do serviço ou quando uma norma o exija. A pedido do Responsável, a Renterus certificará o apagamento.

16Informação e auditorias

A Renterus disponibilizará ao Responsável a informação necessária para demonstrar o cumprimento deste acordo e permitirá e contribuirá para as auditorias, incluindo inspeções, realizadas pelo Responsável ou por outro auditor por ele mandatado.

As auditorias serão pedidas com um pré-aviso razoável de pelo menos 30 dias, realizadas em horário laboral, sem afetar a segurança nem os dados de outros clientes, no máximo uma vez por ano (salvo se tiver ocorrido uma violação de segurança ou se uma autoridade o exigir) e a expensas do Responsável. A Renterus poderá responder a estes pedidos, em primeiro lugar, com documentação, certificações (como o seu certificado UNE-EN ISO/IEC 27001) ou relatórios de auditoria independentes.

17Outras obrigações do Subcontratante

• Manter um registo das categorias de atividades de tratamento realizadas por conta do Responsável (art. 30.º, n.º 2, RGPD).
• Designar um encarregado da proteção de dados quando for obrigatório e comunicar a sua identidade ao Responsável.
• Cooperar com a autoridade de controlo quando esta o solicitar.

18Responsabilidade

Cada parte responde pelos danos que cause por incumprir este acordo ou a legislação de proteção de dados, nos termos do artigo 82.º do RGPD. Na medida em que a lei o permita, aplicam-se os limites de responsabilidade das Condições de utilização e contratação. Se a Renterus tratar os dados para fins próprios ou violar este acordo, será considerada responsável pelo tratamento relativamente a esse tratamento.

19Prevalência e lei aplicável

No que respeita à proteção de dados pessoais, este acordo prevalece sobre qualquer outra disposição das Condições de utilização e contratação. Rege-se pela lei espanhola e pelo RGPD, e os litígios serão submetidos aos tribunais indicados nessas condições.