Acordo de Tratamento de Dados

Anexo 1
ACORDO DE TRATAMENTO DE DADOS DA GIRAFFE360 (DPA)

1. Enquadramento

1. 1.1 O presente Acordo de Tratamento de Dados e os seus anexos (o «DPA») aplicam-se aos Clientes que operam nos países do Espaço Económico Europeu (EEE) e no Reino Unido e refletem o acordo entre a Giraffe360 e o Cliente relativamente ao tratamento de Dados do Cliente pela Giraffe360, na qualidade de subcontratante, por conta do Cliente, que atuará como responsável pelo tratamento.
2. 1.2 O presente DPA está incorporado nos Termos de Serviço da Giraffe360 celebrados entre o Cliente e a Giraffe360 (o «Contrato») e faz parte integrante dos mesmos. Em caso de conflito entre quaisquer disposições do presente DPA e as disposições do Contrato, prevalecem as disposições do presente DPA.

2. Definições

Salvo disposição em contrário abaixo, cada termo com inicial maiúscula no presente DPA tem o significado estabelecido no Contrato, e os seguintes termos com inicial maiúscula utilizados no presente DPA são definidos da seguinte forma:

«Dados do Cliente» designa quaisquer Dados Pessoais contidos no Conteúdo Giraffe360 e quaisquer outros conteúdos ou dados que o Cliente disponibilize à Giraffe360 e que sejam alojados pela Giraffe360 no âmbito da prestação do Serviço Giraffe360, incluindo os Dados do Imóvel, os Dados de Perfil do Cliente e os Dados dos Clientes do Cliente, conforme descrito mais pormenorizadamente na cláusula 3.1 do presente DPA.

«Responsável pelo Tratamento» designa a pessoa singular ou coletiva, a autoridade pública, a agência ou outro organismo que, individualmente ou em conjunto com outras, determina as finalidades e os meios de Tratamento de Dados Pessoais. Para efeitos do presente DPA, o Responsável pelo Tratamento é o Cliente.

«Legislação de Proteção de Dados» designa o RGPD, qualquer legislação nacional de execução ou complementar e qualquer outra legislação aplicável que proteja os direitos e liberdades fundamentais das pessoas e o seu direito à privacidade no que respeita ao tratamento de Dados do Cliente.

«Titular dos Dados» designa a pessoa singular a quem os Dados Pessoais dizem respeito.

«Espaço Económico Europeu» ou «EEE» designa os Estados-Membros da União Europeia, juntamente com a Islândia, a Noruega e o Listenstaine.

«RGPD» designa o Regulamento Geral sobre a Proteção de Dados da UE 2016/679 do Parlamento Europeu e do Conselho e, quando aplicável, o «UK GDPR», tal como definido nos The Data Protection, Privacy and Electronic Communications (Amendment Etc.) (EU Exit) Regulations 2019.

«Instruções» designa as instruções escritas e documentadas emitidas pelo Cliente à Giraffe360, que determinam que a Giraffe360 execute uma ação específica ou geral relativamente aos Dados do Cliente.

«Subcontratante Ulterior» designa qualquer Subcontratante contratado pela Giraffe360 que Trate Dados do Cliente da Giraffe360.

«Dados Pessoais» designa qualquer informação relativa a uma pessoa singular identificada ou identificável, tal como definido na Legislação de Proteção de Dados relevante.

«Violação de Dados Pessoais» designa a destruição, perda, alteração, corrupção, divulgação não autorizada ou acesso não autorizado, de forma acidental ou ilícita, a Dados do Cliente, tal como definido na Legislação de Proteção de Dados relevante.

«Tratamento» designa uma operação ou um conjunto de operações efetuadas sobre Dados Pessoais, abrangendo a recolha, o registo, a organização, a estruturação, a conservação, a adaptação ou alteração, a recuperação, a consulta, a utilização, a divulgação por transmissão, difusão ou qualquer outra forma de disponibilização, a comparação ou interconexão, a limitação, o apagamento ou a destruição de Dados Pessoais. Os termos «Tratar», «Trata» e «Tratados» devem ser interpretados em conformidade.

«Subcontratante» designa uma pessoa singular ou coletiva, a autoridade pública, a agência ou outro organismo que Trate Dados Pessoais por conta do Responsável pelo Tratamento. Para efeitos do presente DPA, o Subcontratante é a Giraffe360.

3. Tratamento de Dados

1. 3.1 A Giraffe360 trata as seguintes categorias de Dados Pessoais relativos aos seguintes Titulares dos Dados para as finalidades indicadas abaixo:
1. 1. Dados do Imóvel: Incluem imagens, vídeos, nuvens de pontos, visitas virtuais, plantas, dados de localização GPS, informações fornecidas na página de apresentação do imóvel e outras informações relacionadas com o imóvel captadas pelo Cliente, extraídas da câmara da Giraffe360 ou fornecidas pelo Cliente em resultado da utilização do Serviço Giraffe360 pelo Cliente. Embora estas informações não identifiquem normalmente qualquer pessoa singular, em circunstâncias raras podem identificar proprietários de imóveis, pessoas cujos dados sejam captados durante uma Digitalização ou o Cliente. É da responsabilidade do Cliente garantir que os Recursos de Captura não contêm quaisquer Informações Pessoais Proibidas, tal como definidas nos Termos de Serviço. Os Dados do Imóvel são tratados para criar Conteúdo Giraffe360.
   2. Dados de Perfil do Cliente: Incluem Dados Pessoais relativos ao Cliente, aos seus representantes ou trabalhadores, tais como nomes, apelidos, endereços de e-mail, números de telefone, fotografias, slogans e hiperligações para contas de redes sociais fornecidos pelo Cliente através do Painel de Controlo durante a sua utilização do Serviço Giraffe360. Estes dados são Tratados para permitir o seguinte: a criação de perfis no Painel de Controlo para o Cliente, os seus representantes ou trabalhadores; o acesso ao Conteúdo Giraffe360 no Painel de Controlo; a partilha de Conteúdo Giraffe360, bem como a prestação de informações sobre o Cliente, os seus representantes ou trabalhadores, através do Serviço Giraffe360.
   3. Dados dos Clientes do Cliente: Incluem os dados pessoais dos clientes do Cliente, tais como nomes, apelidos, endereços de e-mail, números de telefone e mensagens de potenciais compradores ou arrendatários de imóveis. Estes dados são disponibilizados ao Cliente através do Painel de Controlo. São recolhidos quando o Cliente ativa a funcionalidade Leads, que permite aos clientes do Cliente deixarem as suas informações de contacto para que o Cliente os possa contactar. Esta funcionalidade pode ser desativada pelo Cliente no Painel de Controlo.
2. 3.2 Os Dados do Cliente são transferidos de forma contínua no âmbito da prestação dos serviços, conforme estabelecido no Contrato e no presente DPA, até à cessação do Contrato.

4. Obrigações do Cliente

1. 4.1 O Cliente é responsável pelo cumprimento de todos os requisitos que lhe sejam aplicáveis ao abrigo da Legislação de Proteção de Dados relativamente ao Tratamento de Dados Pessoais pelo Cliente.
2. 4.2 Em especial, mas sem prejuízo do caráter geral do que precede, o Cliente reconhece e aceita ser o único responsável:
2. 1. pela exatidão, qualidade e legalidade dos Dados do Cliente e dos meios através dos quais o Cliente obteve esses dados;
   2. pelo cumprimento de todos os requisitos necessários de transparência e licitude previstos na Legislação de Proteção de Dados para a recolha e utilização dos Dados do Cliente, incluindo a prestação de informações adequadas, a obtenção de quaisquer consentimentos e autorizações necessários e o respeito pelas preferências de oposição (em especial no que respeita à utilização pelo Cliente para fins de marketing); e
   3. por garantir que tem o direito de transferir os Dados do Cliente para a Giraffe360, ou de lhe dar acesso aos mesmos, para efeitos de Tratamento nos termos do Contrato (incluindo o presente DPA).
3. 4.3 O Cliente deve informar a Giraffe360, sem demora injustificada, caso não consiga cumprir as suas responsabilidades ao abrigo da presente secção ou da Legislação de Proteção de Dados.
4. 4.4 O Cliente é responsável por garantir que as suas Instruções à Giraffe360 relativas ao Tratamento de Dados do Cliente cumprem a legislação aplicável, incluindo a Legislação de Proteção de Dados.
5. 4.5 As partes acordam que o Contrato (incluindo o presente DPA), juntamente com a utilização do Serviço Giraffe360 pelo Cliente em conformidade com o Contrato, constituem as Instruções completas do Cliente à Giraffe360 relativamente ao Tratamento de Dados do Cliente pela Giraffe360, podendo o Cliente fornecer Instruções adicionais durante a vigência do Contrato que sejam coerentes com o Contrato e com a natureza e a utilização lícita do Serviço Giraffe360.
6. 4.6 O Cliente é responsável por determinar, de forma independente, se a segurança dos dados prevista no Serviço Giraffe360 satisfaz adequadamente as suas obrigações ao abrigo da Legislação de Proteção de Dados. O Cliente é também responsável pela utilização segura do Serviço Giraffe360.

5. Obrigações da Giraffe360

1. 5.1 Na qualidade de Subcontratante de Dados Pessoais, a Giraffe360 apenas Tratará os Dados do Cliente para as finalidades descritas no presente DPA ou conforme acordado de outra forma no âmbito das Instruções lícitas do Cliente, exceto quando e na medida em que a legislação aplicável exija o contrário, caso em que a Giraffe360 deverá, na medida em que a legislação aplicável o permita, informar o Cliente desse requisito legal antes de Tratar esses Dados do Cliente. A Giraffe360 não é responsável pelo cumprimento de qualquer Legislação de Proteção de Dados aplicável ao Cliente ou ao setor de atividade do Cliente que não seja geralmente aplicável à Giraffe360.
2. 5.2 A Giraffe360 aplicará e manterá medidas técnicas e organizativas adequadas para proteger os Dados do Cliente, conforme exigido pela Legislação de Proteção de Dados (as «Medidas de Segurança»). Não obstante qualquer disposição em contrário, a Giraffe360 pode modificar ou atualizar as Medidas de Segurança segundo o seu critério, desde que essa modificação ou atualização não resulte numa degradação significativa da proteção conferida pelas Medidas de Segurança.
3. 5.3 Tendo em conta as técnicas mais avançadas, os custos de aplicação e a natureza, o âmbito, o contexto e as finalidades do tratamento, bem como os riscos, de probabilidade e gravidade variável, para os direitos e liberdades das pessoas singulares, o responsável pelo tratamento e o subcontratante aplicam Medidas de Segurança para assegurar um nível de segurança adequado ao risco, incluindo, nomeadamente, consoante o que for adequado:
3. 1. a pseudonimização e a cifragem dos dados pessoais;
   2. Medidas de Segurança adequadas para manter a capacidade de assegurar a confidencialidade, integridade, disponibilidade e resiliência permanentes dos sistemas e dos serviços de tratamento;
   3. Medidas de Segurança adequadas para manter a capacidade de restabelecer a disponibilidade e o acesso aos Dados Pessoais de forma atempada no caso de um incidente físico ou técnico;
   4. um processo para testar, apreciar e avaliar regularmente a eficácia das Medidas de Segurança destinadas a garantir a segurança do Tratamento.
4. 5.4 A Giraffe360 garantirá que qualquer pessoal autorizado a Tratar Dados do Cliente em nome da Giraffe360 está sujeito a obrigações de confidencialidade adequadas relativamente aos Dados do Cliente.
5. 5.5 No prazo de 30 dias após a cessação do Contrato, a Giraffe360 apagará ou, à escolha do Cliente, devolverá todas as cópias dos Dados do Cliente tratados pela Giraffe360 ao abrigo do presente DPA. O Cliente deve notificar a Giraffe360 da sua escolha no prazo de 14 dias úteis após a cessação do Contrato. Este prazo de 30 dias aplica-se exceto nos casos em que sejamos obrigados pela legislação aplicável a conservar a totalidade ou parte dos Dados do Cliente.
6. 5.6 A Giraffe360 pode conservar e utilizar os Dados do Imóvel, tanto durante a vigência como após a cessação do Contrato, para fins de aprendizagem automática, de treino de inteligência artificial e de melhoria do serviço. Esse Tratamento será efetuado pela Giraffe360 na qualidade de Responsável pelo Tratamento dos dados e em conformidade com a Política de Privacidade da Giraffe360.
7. 5.7 A Giraffe360 pode conservar os Dados do Cliente na medida em que a Giraffe360 considere necessário para intentar ou contestar qualquer ação judicial, desde que esses Dados do Cliente sejam conservados apenas na medida e durante o período exigidos pela legislação aplicável ou enquanto aguarda a resolução de qualquer questão, e sempre desde que a Giraffe360 garanta a confidencialidade de todos esses Dados do Cliente.

6. Subcontratantes Ulteriores

1. 6.1 O Cliente concede pelo presente à Giraffe360 uma autorização geral por escrito para contratar Subcontratantes Ulteriores que prestem assistência na prestação do Serviço Giraffe360. A Giraffe360 garantirá que todos os Subcontratantes Ulteriores estão vinculados por obrigações contratuais que proporcionem, pelo menos, o mesmo nível de proteção de dados exigido pelo presente DPA e pela Legislação de Proteção de Dados aplicável. Uma lista atualizada dos Subcontratantes Ulteriores, incluindo o respetivo nome, localização e finalidade, é mantida no sítio Web da Giraffe360 (a «Lista de Subcontratantes Ulteriores»).
2. 6.2 A Giraffe360 reserva-se o direito de atualizar a Lista de Subcontratantes Ulteriores conforme necessário. Quaisquer aditamentos ou substituições na Lista de Subcontratantes Ulteriores serão refletidos no sítio Web com uma antecedência mínima de 15 dias relativamente à data em que o novo Subcontratante Ulterior seja autorizado a tratar Dados do Cliente. Recomenda-se aos Clientes que consultem periodicamente a Lista de Subcontratantes Ulteriores.
3. 6.3 Se um Cliente se opuser razoavelmente a um novo Subcontratante Ulterior devido a preocupações legítimas relacionadas com a proteção de dados, o Cliente deve notificar a Giraffe360 por escrito no prazo de 15 dias a contar da publicação da atualização. Após a receção de uma oposição, a Giraffe360 discutirá as preocupações do Cliente e envidará esforços, de boa-fé, para encontrar uma solução mutuamente aceitável. Se não for recebida qualquer oposição no prazo de notificação de 15 dias, considera-se que o Cliente aceitou o Subcontratante Ulterior atualizado.
4. 6.4 A Giraffe360 continua, em todo o momento, a ser responsável pelo cumprimento das suas obrigações ao abrigo do DPA e responde perante o Cliente pelos atos e omissões de qualquer Subcontratante Ulterior como se fossem atos e omissões da Giraffe360.

7. Transferências Internacionais

1. 7.1 A Giraffe360 não transferirá Dados do Cliente para um destinatário situado num país ou território fora do EEE ou do Reino Unido, a menos que:
1. 1. o destinatário, ou o país ou território em que este trata os Dados do Cliente ou lhes acede, assegure um nível de proteção adequado dos direitos e liberdades dos titulares dos dados relativamente ao Tratamento de Dados do Cliente, conforme determinado pela Comissão Europeia; ou
   2. a transferência se baseie nas Cláusulas Contratuais-Tipo (subcontratantes) aprovadas pela Decisão de Execução (UE) 2021/914 da Comissão, ou em qualquer versão posterior das mesmas, ou noutro mecanismo de transferência legalmente reconhecido.

8. Segurança dos Dados, Auditorias e Notificações de Segurança

1. 8.1 O Cliente pode, mediante pré-aviso razoável e em momentos razoáveis, auditar (por si próprio ou recorrendo a auditores terceiros independentes) o cumprimento das Medidas de Segurança pela Giraffe360, incluindo através da realização de auditorias às instalações de tratamento de dados da Giraffe360. A Giraffe360 prestará assistência e contribuirá para quaisquer auditorias realizadas nos termos do presente DPA, desde que essas auditorias não sejam realizadas mais do que uma vez por ano.
2. 8.2 A pedido do Cliente, a Giraffe360 disponibilizará todas as informações razoavelmente necessárias para demonstrar o cumprimento do presente DPA e da Legislação de Proteção de Dados.
3. 8.3 Quando exigido nos termos do artigo 28.º, n.º 3, alínea h), do RGPD, a Giraffe360 notificará imediatamente o Cliente caso a Giraffe360 considere que as Instruções do Cliente são contrárias aos requisitos de qualquer Legislação de Proteção de Dados ou de outra legislação da UE, do Reino Unido ou de um Estado-Membro do EEE.
4. 8.4 A Giraffe360 notificará o Cliente por escrito, sem demora injustificada, após tomar conhecimento de qualquer Violação de Dados Pessoais relativa aos Dados do Cliente e ao Tratamento efetuado nos termos do presente DPA. A Giraffe360 prestará assistência razoável ao Cliente para assegurar o cumprimento da Legislação de Proteção de Dados aplicável relativamente à Violação de Dados Pessoais, incluindo apoio em quaisquer investigações regulamentares e notificações às autoridades de controlo e/ou aos Titulares dos Dados.
5. 8.5 Ao comunicar uma Violação de Dados Pessoais, a Giraffe360 comunicará, numa linguagem clara e simples, no mínimo e na medida do possível atendendo às informações disponíveis: uma explicação da natureza da Violação de Dados, o nome e os contactos do Encarregado da Proteção de Dados («EPD») ou de outro ponto de contacto onde possam ser obtidas informações adicionais, uma descrição das consequências prováveis da Violação de Dados Pessoais e uma descrição das medidas adotadas ou propostas para reparar a Violação de Dados Pessoais, incluindo, se for caso disso, as medidas adotadas para atenuar os seus eventuais efeitos negativos.

9. Pedidos de Acesso e Direitos dos Titulares dos Dados

1. 9.1 Salvo quando exigido (ou quando proibido) pela legislação aplicável, a Giraffe360 notificará o Cliente de qualquer pedido recebido pela Giraffe360 de um Titular dos Dados, diretamente ou através de um Subcontratante Ulterior, relativamente aos seus Dados Pessoais incluídos nos Dados do Cliente, e não responderá ao Titular dos Dados.
2. 9.2 A Giraffe360 proporcionará ao Cliente a possibilidade de retificar, apagar, bloquear, aceder ou copiar os Dados do Cliente em conformidade com as funcionalidades do Serviço Giraffe360 e na medida em que estas o permitam.
3. 9.3 A Giraffe360 notificará o Cliente de qualquer pedido de divulgação de Dados do Cliente apresentado por um organismo governamental ou regulador ou por uma autoridade policial (incluindo qualquer autoridade de controlo da proteção de dados), salvo se tal for proibido por lei ou por uma ordem juridicamente vinculativa desse organismo ou agência.
4. 9.4 Quando aplicável, tendo em conta a natureza do Tratamento e na medida exigida pela Legislação de Proteção de Dados aplicável, a Giraffe360 deverá:
4. 1. envidar todos os esforços razoáveis para prestar assistência ao Cliente através de medidas técnicas e organizativas adequadas, na medida do possível, para permitir que o Cliente cumpra a sua obrigação de dar resposta aos pedidos dos titulares dos dados tendo em vista o exercício dos seus direitos previstos no RGPD; e
   2. prestar assistência razoável ao Cliente em quaisquer avaliações de impacto sobre a proteção de dados e em quaisquer consultas prévias a qualquer autoridade de controlo do Cliente, em cada caso exclusivamente no que respeita ao Tratamento de Dados do Cliente e tendo em conta as informações ao dispor da Giraffe360.