Contrato de tratamento de dados

Este contrato regula o tratamento de dados pessoais que o Prestador realiza por conta do Escritório ao lhe prestar o serviço ImmigraFlow. Ele faz parte dos Termos e condições (seção 11), e as expressões com inicial maiúscula (Plataforma, Usuário, Cliente do Escritório, Dados do Escritório) têm o significado que lhes dão os Termos.

1. Partes e forma do contrato

• Controlador (responsável pelo tratamento, na terminologia do RGPD): o escritório que contrata a Plataforma, identificado pelos dados de sua organização e de faturamento em sua conta (doravante, o “Escritório”).
• Operador (subcontratante, na terminologia do RGPD): Antonio Samuel Martín Polo, que atua com o nome comercial Autonomio e a marca ImmigraFlow. NIF 50555557Q. Endereço: Calle de las Laderas 16B, 28490 Becerril de la Sierra, Madrid, España. E-mail: hello@immigraflow.io (doravante, o “Prestador”).

O contrato é celebrado por meios eletrônicos: o Escritório o aceita ao aceitar os Termos ao se cadastrar ou contratar, e fica vinculado a ele enquanto os Termos estiverem em vigor. Essa forma eletrônica cumpre o requisito de forma escrita do artigo 28.9 do Regulamento (UE) 2016/679 (RGPD).

2. Objeto do contrato

O Prestador tratará, por conta do Escritório, os dados pessoais que o Escritório, seus Usuários ou os Clientes do Escritório inserirem na Plataforma, com a única finalidade de prestar o serviço descrito nos Termos. Este contrato não abrange os dados da conta do Escritório e de seus Usuários que o Prestador trata como controlador (faturamento do plano, comunicações comerciais, suporte, análise), que se regem pela Política de privacidade.

3. Duração

O tratamento por conta do Escritório dura o mesmo que o contrato dos Termos e, quando este termina, o tempo durante o qual o Prestador conservar os dados conforme a cláusula 15. As obrigações de confidencialidade e de segurança permanecem enquanto o Prestador conservar algum dado do Escritório.

4. Natureza e finalidade do tratamento

Finalidade: a gestão dos processos de imigração do Escritório e de sua relação com seus clientes por meio da Plataforma.

Operações de tratamento, conforme as funções que o Escritório usar:

• Registro, hospedagem, conservação, organização, consulta e backup dos dados e documentos.
• Leitura automática de documentos com inteligência artificial, resumo de processos, consulta da legislação, rascunhos de petições e tradução de mensagens.
• Registro das perguntas que os Usuários e os Clientes do Escritório fazem aos assistentes de inteligência artificial (dúvidas do portal do cliente, pesquisa jurídica do Escritório e suporte), armazenadas após a retirada automática dos dados de identificação (os nomes detectados, os números de documento, e-mails, telefones e IBAN) durante no máximo 180 dias, por conta do Escritório e com a finalidade de melhorar as respostas. Cada Escritório acessa somente suas próprias perguntas; o Prestador pode analisar o conjunto de todos os escritórios, mas unicamente sobre esse texto já depurado e somente para melhorar o serviço. Essas perguntas não são usadas para treinar modelos de terceiros: os provedores de inteligência artificial estão configurados sem retenção de dados.
• Comunicação com os Clientes do Escritório pelo portal do cliente, por e-mail e, se o Escritório ativar, por WhatsApp.
• Geração de formulários e documentos, assinatura eletrônica de documentos e preenchimento de formulários das sedes eletrônicas com a extensão Mercurio.
• Emissão de faturas, cobranças e, quando o Escritório o ativar, envio dos registros de faturamento à Agência Tributária (VeriFactu).
• Cópia de documentos e envio de prazos aos serviços que o Escritório conectar (cláusula 10.3).
• Exclusão e bloqueio dos dados conforme este contrato.

5. Tipos de dados pessoais

O Escritório decide quais dados insere. Pela natureza da Plataforma, podem ser tratados:

• De identificação e de contato: nome e sobrenome, NIE, NIF, número do passaporte, data e local de nascimento, nacionalidade, sexo, estado civil, nome dos pais, endereço, telefone e e-mail.
• Documentos de identidade e de viagem: cópias de passaportes, cartões de identidade de estrangeiro, vistos e outros documentos oficiais.
• Situação administrativa e migratória: tipo de autorização, datas de entrada e de residência, empadronamiento, processos, exigências e decisões da Administração.
• Familiares: dados de cônjuges, filhos (inclusive menores de idade) e outros familiares, e documentos que comprovam o parentesco.
• Trabalhistas e acadêmicos: contratos e ofertas de emprego, informe de vida laboral, dados da empresa empregadora e de seus funcionários, diplomas e matrículas.
• Econômicos: comprovação de meios econômicos, contracheques, extratos bancários, faturas e cobranças do Escritório a seus clientes. Não são tratados dados de cartões (cláusula 10).
• Comunicações e assinaturas: mensagens entre o Escritório e seus clientes e as evidências da assinatura eletrônica de documentos.
• Dados relativos a condenações penais e infrações (artigo 10 do RGPD): certidões de antecedentes criminais, exigidas em muitos procedimentos.
• Categorias especiais de dados (artigo 9 do RGPD): dados de saúde dos atestados médicos e dos seguros-saúde exigidos em alguns procedimentos, e os que constarem da documentação que o Escritório decidir enviar, por exemplo em processos de proteção internacional (opiniões políticas, convicções religiosas, origem étnica, orientação sexual ou saúde).
• Dos Usuários do Escritório: nome, e-mail, função e atividade na Plataforma, e os certificados digitais que o Escritório carregar para assinar ou protocolar.

6. Categorias de titulares dos dados

• Clientes do Escritório e seus representantes.
• Familiares dos Clientes do Escritório, incluindo menores de idade.
• Empresas clientes do Escritório, suas pessoas de contato e seus funcionários.
• Pessoas que preenchem os formulários de captação do Escritório.
• Signatários de documentos e outras pessoas que apareçam na documentação (empregadores, locadores, avalistas).
• Usuários do Escritório (sócios, advogados, funcionários e colaboradores).

7. Obrigações do Escritório

Cabe ao Escritório, como controlador:

• Decidir quais dados são tratados e contar com uma base legal para tratá-los, incluídas as condições dos artigos 9 e 10 do RGPD para os dados de saúde e de antecedentes criminais.
• Informar os titulares dos dados (artigos 13 e 14 do RGPD), incluindo o uso das funções de IA, do canal de WhatsApp e dos serviços que conectar.
• Dar instruções ao Prestador. Suas instruções são estes Termos, este contrato e a configuração que o Escritório fizer na Plataforma (funções ativadas, integrações, acessos de seus Usuários e de seus clientes). Qualquer outra instrução deve ser dada por escrito.
• Gerenciar os acessos de seus Usuários e de seus clientes e guardar suas credenciais.
• Realizar, quando cabível, a avaliação de impacto e a consulta prévia (artigos 35 e 36 do RGPD).
• Atender aos direitos dos titulares dos dados, com a assistência do Prestador (cláusula 12).

8. Obrigações do Prestador

O Prestador se obriga a:

• Tratar os dados somente segundo as instruções documentadas do Escritório, inclusive no que se refere a transferências internacionais, salvo se o direito da União ou da Espanha o obrigar a outra coisa; nesse caso, informará o Escritório antes de tratar os dados, salvo se esse direito o proibir. Se considerar que uma instrução viola a legislação de proteção de dados, comunicará isso imediatamente ao Escritório.
• Não tratar os dados para fins próprios, não usá-los para treinar modelos de inteligência artificial e não comunicá-los a terceiros, salvo aos suboperadores da cláusula 10 ou por obrigação legal.
• Garantir que as pessoas autorizadas a tratar os dados tenham se comprometido por escrito a respeitar sua confidencialidade ou estejam sujeitas a uma obrigação legal de confidencialidade. O acesso aos Dados do Escritório está limitado ao necessário para prestar o serviço, resolver incidentes ou atender a um pedido do Escritório.
• Aplicar as medidas de segurança da cláusula 9.
• Respeitar as condições da cláusula 10 para recorrer a suboperadores.
• Prestar assistência ao Escritório no atendimento aos direitos dos titulares dos dados (cláusula 12) e no cumprimento dos artigos 32 a 36 do RGPD (cláusulas 9, 13 e 14).
• Excluir ou devolver os dados ao término do serviço conforme a cláusula 15.
• Disponibilizar ao Escritório as informações necessárias para demonstrar o cumprimento deste contrato e permitir auditorias (cláusula 16).
• Manter o registro das categorias de atividades de tratamento realizadas por conta do Escritório (artigo 30.2 do RGPD).

9. Medidas de segurança

O Prestador aplica medidas técnicas e organizacionais adequadas ao risco, levando em conta que a Plataforma trata documentação de identidade, dados de menores, dados de saúde e antecedentes criminais. As medidas vigentes são:

• Criptografia em trânsito: todas as comunicações com a Plataforma são criptografadas com TLS (HTTPS obrigatório, com HSTS).
• Criptografia em repouso: o banco de dados e os arquivos são criptografados em repouso pelo provedor de hospedagem. Além disso, a Plataforma criptografa com AES-256-GCM os certificados digitais, as senhas das caixas de e-mail conectadas e as chaves dos terminais de pagamento do Escritório.
• Isolamento entre escritórios: cada Escritório é uma organização separada, e as políticas de segurança em nível de linha do banco de dados (RLS), ativas em todas as tabelas, impedem que um escritório acesse os dados de outro.
• Controle de acesso por funções: dentro do Escritório, cada Usuário tem acesso conforme sua função e, nos planos que o incluem, somente aos processos pelos quais é responsável. Cada Cliente do Escritório tem acesso somente ao que o Escritório compartilha com ele.
• Documentos privados: os arquivos são guardados em um armazenamento não público e só são disponibilizados por meio de links assinados de curta duração.
• Localização: o banco de dados e os arquivos são hospedados na União Europeia (Paris). Alguns serviços são prestados a partir de fora dela (cláusulas 10 e 11).
• Backups: cópias diárias do banco de dados no provedor de hospedagem, conservadas por 7 dias, e uma cópia adicional do banco de dados e dos arquivos em um equipamento do Prestador na Espanha, na qual cada cópia do banco de dados é conservada por 30 dias. Os arquivos que deixam de estar no armazenamento principal são retirados dessa cópia após 30 dias.
• Registro de erros sem dados de identificação: os erros técnicos são registrados com a retirada prévia dos campos de identificação, e as gravações de sessão que acompanham um erro mascaram o texto e bloqueiam as imagens.
• Registro de exclusões: cada exclusão dos dados de uma pessoa fica registrada para que se possa demonstrar que foi atendida.
• Acesso do Prestador: a administração da Plataforma está limitada à pessoa do Prestador responsável por ela.

O Prestador revisa essas medidas e pode atualizá-las, sem reduzir o nível de proteção que oferecem.

10. Suboperadores

10.1. Autorização geral

O Escritório concede ao Prestador uma autorização geral por escrito para recorrer aos suboperadores da lista a seguir. O Prestador impõe a cada um, por contrato, as mesmas obrigações de proteção de dados que assume neste contrato, e responde perante o Escritório pelo cumprimento delas.

Antes de acrescentar ou substituir um suboperador, o Prestador comunicará isso aos administradores do Escritório por e-mail e atualizará esta página com pelo menos 30 dias de antecedência. O Escritório pode se opor nesse prazo por motivos razoáveis de proteção de dados. Se não for encontrada uma solução, o Escritório poderá rescindir o contrato antes de a alteração ser aplicada, e o Prestador lhe reembolsará a parte já paga do período de que não vier a usufruir.

10.2. Lista de suboperadores

10.3. Serviços que o Escritório conecta ou contrata diretamente

Não são suboperadores do Prestador, porque o Escritório os contrata ou conecta com sua própria conta e o tratamento por eles se rege pelo contrato do Escritório com cada um. A Plataforma envia ou recebe dados deles somente quando o Escritório ativa a integração:

• Google (Google Drive, Google Calendar e login com o Google), com a conta do Google do Escritório.
• Microsoft OneDrive, com a conta do Microsoft 365 do Escritório, quando o Escritório escolhe guardar nele os documentos de seus processos.
• Dropbox (Dropbox, Inc.), com a conta do Dropbox do Escritório, quando o Escritório escolhe guardar nele os documentos de seus processos. Recebe a cópia dos documentos do Escritório e a pasta do processo, e a Plataforma conserva criptografadas as credenciais de conexão. Só é ativado se o Escritório o conectar.
• Microsoft 365 ou outro provedor de e-mail, quando o Escritório conecta sua caixa de e-mail para que os e-mails de seus clientes cheguem ao processo.
• WhatsApp (Meta): o canal da seção 9 dos Termos usa o número e a conta de WhatsApp do Escritório, e as mensagens circulam pelos servidores do WhatsApp conforme as condições que o Escritório tem com o WhatsApp.
• Stripe Connect e terminais de pagamento bancários (Redsys), com a conta de recebimento do Escritório.
• Agência Tributária, que recebe os registros de faturamento que o Escritório envia (VeriFactu) por obrigação legal do Escritório.

11. Transferências internacionais

O Prestador só transfere dados para fora do Espaço Econômico Europeu aos suboperadores da cláusula 10.2, nos termos ali indicados: com base em uma decisão de adequação da Comissão Europeia, como o Quadro de Privacidade de Dados UE-EUA, ou com as garantias do artigo 46 do RGPD, como as cláusulas contratuais-tipo. O Escritório autoriza essas transferências ao aceitar este contrato.

12. Direitos dos titulares dos dados

• Os Clientes do Escritório e os demais titulares dos dados exercem seus direitos perante o Escritório. Se o Prestador receber diretamente uma solicitação, ele a encaminhará ao Escritório sem demora e não a responderá por conta própria, salvo instrução do Escritório.
• Pela Plataforma, o Escritório pode consultar, corrigir e baixar os dados de seus clientes e excluir documentos, que são eliminados definitivamente após 30 dias.
• Excluir um cadastro de cliente ou um processo pelo painel o arquiva e o retira da visualização, mas não o elimina definitivamente. Para excluir de forma definitiva os dados de uma pessoa, o Escritório o pedirá a hello@immigraflow.io, e o Prestador o fará em um prazo máximo de 30 dias e deixará isso registrado.
• O Prestador prestará a assistência adicional de que o Escritório precisar para atender a qualquer outro direito dentro do prazo.

13. Violações de dados pessoais

O Prestador notificará o Escritório, sem demora injustificada e, em todo caso, em um prazo máximo de 48 horas a partir do momento em que tomar conhecimento dela, de qualquer violação de dados pessoais que afete os Dados do Escritório. A notificação será enviada por e-mail aos administradores do Escritório e incluirá, na medida em que for conhecida, a informação do artigo 33.3 do RGPD: natureza da violação, categorias e número aproximado de titulares dos dados e de registros afetados, consequências prováveis, medidas adotadas ou propostas e um ponto de contato. Se não for possível fornecer todas as informações ao mesmo tempo, elas serão fornecidas de forma gradual.

Cabe ao Escritório notificar a violação à Agência Espanhola de Proteção de Dados e, quando cabível, aos titulares dos dados. O Prestador lhe prestará a assistência de que precisar para fazê-lo.

14. Avaliações de impacto e consulta prévia

O Prestador fornecerá ao Escritório as informações sobre a Plataforma e suas medidas de segurança de que ele precisar para realizar uma avaliação de impacto sobre a proteção de dados e, se for o caso, a consulta prévia à autoridade de controle.

15. Destino dos dados ao término do serviço

• Somente leitura: quando o plano termina, a conta do Escritório passa para o modo somente leitura. O Escritório e seus Usuários podem continuar entrando e baixando os documentos de cada processo e a exportação de faturas. A Plataforma conserva nesse estado os dados de uma conta em somente leitura, com as mesmas medidas de segurança, durante 12 meses a partir do término do plano. Se o Escritório reativar o plano antes, nada é excluído.
• Devolução: antes da exclusão, o Escritório pode baixar seus dados pela Plataforma e, se o pedir, o Prestador lhe entregará também uma cópia dos dados de sua organização em um formato estruturado e de uso comum.
• Exclusão: decorridos esses 12 meses, a Plataforma exclui automaticamente os dados da organização do Escritório, salvo o que fica bloqueado segundo o item seguinte. Antes, o Prestador avisa por e-mail o titular e os administradores da conta do Escritório com pelo menos 30 dias de antecedência, indicando a data da exclusão, e sem esse aviso não a executa. O Escritório pode pedir a exclusão antes, a qualquer momento, escrevendo para hello@immigraflow.io. O Prestador a executa em um prazo máximo de 30 dias, incluindo a cópia externa dos arquivos, e a confirma por escrito. As cópias diárias do provedor de hospedagem desaparecem ao completar seu ciclo de 7 dias, e as do banco de dados da cópia externa, ao completar o seu, de 30 dias.
• O que fica bloqueado: salvo se o Escritório indicar outra coisa, as faturas que o Escritório emitiu pela Plataforma e seus registros de faturamento VeriFactu, que o Escritório é obrigado a conservar pela legislação tributária e mercantil, ficam bloqueados durante 6 anos a partir da emissão e são excluídos depois. Enquanto estiverem bloqueados, só são disponibilizados ao Escritório, aos juízes e tribunais, ao Ministério Público (Ministerio Fiscal) e às Administrações Públicas competentes (artigo 32 da LOPDGDD). O mesmo se aplica a qualquer outro dado que o Prestador deva conservar por uma obrigação legal própria, durante o prazo que esta fixar.

Essas mesmas regras constam da seção 6 dos Termos.

16. Informações e auditorias

O Prestador disponibilizará ao Escritório todas as informações necessárias para demonstrar o cumprimento deste contrato e do artigo 28 do RGPD. O Escritório, ou um auditor independente que ele designe e que se comprometa a manter confidencialidade, poderá realizar auditorias e inspeções. Salvo se tiver ocorrido uma violação de dados pessoais ou se uma autoridade de controle o exigir, elas serão solicitadas com pelo menos 30 dias de antecedência, no máximo uma vez por ano, serão feitas preferencialmente por meio de revisão documental e a distância, sem afetar a segurança dos dados de outros escritórios, e seu custo será assumido pelo Escritório.

17. Responsabilidade

Cada parte responde por seus próprios descumprimentos da legislação de proteção de dados conforme o artigo 82 do RGPD. Se o Prestador tratar os dados para fins próprios ou em descumprimento das instruções do Escritório, será considerado controlador desse tratamento (artigo 28.10 do RGPD). Nas relações entre as partes, aplicam-se os limites da seção 10 dos Termos, na medida em que a lei o permitir.

18. Prevalência, legislação e jurisdição

Em matéria de proteção de dados, este contrato prevalece sobre qualquer outra disposição dos Termos. Ele se rege pelo RGPD, pela Lei Orgânica 3/2018, de 5 de dezembro, de Proteção de Dados Pessoais e garantia dos direitos digitais (LOPDGDD), lei espanhola de proteção de dados, e pela legislação espanhola. Para qualquer controvérsia, as partes se submetem aos juízos e tribunais de Madri (Espanha).

19. Contato

Para qualquer questão sobre este contrato, sobre uma violação de dados pessoais ou sobre o exercício de direitos: hello@immigraflow.io.