01Visão geral
Este Acordo de Tratamento de Dados (DPA) é parte integrante do contrato de serviços entre a InfoLore Ltd ('Subcontratante') e a organização cliente ('Responsável pelo tratamento'). Regula o tratamento de dados pessoais que a InfoLore realiza em nome do cliente no âmbito dos seus serviços de programa de sensibilização, simulações de phishing, formação e monitorização da dark web, nos termos do Regulamento Geral sobre a Proteção de Dados (RGPD), do UK GDPR e da Lei turca de Proteção de Dados Pessoais n.º 6698 (KVKK).
02Funções e responsabilidades
O cliente, enquanto Responsável pelo tratamento, determina as finalidades e os meios do tratamento. A InfoLore, enquanto Subcontratante, trata os dados pessoais apenas segundo as instruções documentadas do cliente e não os utiliza para fins próprios, salvo obrigação legal. A InfoLore informará imediatamente o cliente se considerar que uma instrução viola a legislação aplicável.
03Dados tratados e titulares
Os titulares dos dados são os colaboradores do cliente e outros utilizadores que o cliente inclua no programa. Categorias de dados: nome, apelido e endereço de email profissional; quando fornecidos pelo cliente, departamento, cargo, chefia e número de telefone; registos de abertura, clique, submissão de formulários e reporte nas simulações de phishing, vishing e smishing; atribuições de formação, registos de conclusão e resultados de questionários; pontuações de risco; e registos de fugas de dados que indicam que endereços de email profissionais foram encontrados nas pesquisas na dark web. Não são tratadas categorias especiais de dados. A finalidade do tratamento é medir e melhorar a sensibilização dos colaboradores para a cibersegurança, durante a vigência do contrato de serviços.
04Confidencialidade
O pessoal da InfoLore e os subcontratantes ulteriores com acesso a dados pessoais estão vinculados a obrigações escritas de confidencialidade. O acesso limita-se a quem dele necessita para prestar o serviço.
05Medidas de segurança
A InfoLore aplica medidas técnicas e organizativas adequadas para proteger os dados pessoais, incluindo encriptação em trânsito (TLS 1.2+), controlo de acessos segundo o princípio do menor privilégio, um ambiente (tenant) separado para cada cliente, testes de segurança regulares e procedimentos de resposta a incidentes. O serviço funciona na infraestrutura da Amazon Web Services, certificada ISO 27001 e SOC 2. A InfoLore atua de acordo com os princípios da ISO 27001.
06Subcontratantes ulteriores
A InfoLore recorre aos seguintes subcontratantes ulteriores: CanIPhish (Austrália), para a infraestrutura de simulações, conteúdos de formação apoiados por IA e monitorização da dark web; Amazon Web Services, para alojar o ambiente CanIPhish na região escolhida pelo cliente; Have I Been Pwned (Austrália), através da CanIPhish, para pesquisas de fugas de dados sobre o domínio e os endereços de email profissionais do cliente; Google (Google Workspace), para a comunicação com o cliente e a preparação e partilha de relatórios; e Cloudflare e Resend, para a infraestrutura do website e emails transacionais. A InfoLore celebra com os subcontratantes ulteriores contratos escritos com obrigações de proteção de dados equivalentes às deste DPA e continua responsável perante o cliente pelo seu cumprimento. O cliente será informado com pelo menos 30 dias de antecedência antes da inclusão de um novo subcontratante ulterior e pode opor-se com fundamento razoável.
07Região de alojamento e transferências de dados
É criado um ambiente separado para cada cliente, e o cliente escolhe, no início do serviço, a região AWS onde os seus dados ficam guardados (por exemplo Alemanha, Reino Unido, Emirados Árabes Unidos ou Estados Unidos). A InfoLore e a CanIPhish (Austrália) podem aceder remotamente aos dados para suporte e manutenção; esse acesso também é tratado como transferência. As transferências estão cobertas pelas seguintes garantias: no âmbito do RGPD, decisões de adequação da Comissão Europeia ou Cláusulas Contratuais-Tipo; no âmbito do UK GDPR, o International Data Transfer Agreement (IDTA) ou o Adendo do Reino Unido às Cláusulas Contratuais-Tipo; no âmbito da KVKK, para transferências a partir da Turquia, o contrato-tipo publicado pelo Conselho turco de Proteção de Dados Pessoais. O contrato-tipo KVKK é comunicado à Autoridade turca de Proteção de Dados Pessoais pela parte que realiza a transferência, no prazo de 5 dias úteis após a assinatura.
08Notificação de violações
A InfoLore notificará o cliente sem demora injustificada e, em qualquer caso, no prazo de 48 horas após tomar conhecimento de uma violação de dados pessoais que afete dados do cliente. A notificação descreverá a natureza da violação, as categorias de dados e de titulares afetados, as consequências prováveis e as medidas tomadas, para que o cliente possa cumprir as suas obrigações de notificação em 72 horas nos termos do RGPD e da KVKK.
09Assistência ao cliente
A InfoLore prestará assistência razoável ao cliente na resposta a pedidos dos titulares de acesso, retificação, apagamento e oposição, nas avaliações de impacto sobre a proteção de dados e no relacionamento com as autoridades de controlo. Os pedidos recebidos diretamente pela InfoLore serão reencaminhados ao cliente sem demora injustificada.
10Conservação e eliminação
Após a cessação dos serviços, a InfoLore eliminará ou devolverá todos os dados pessoais tratados em nome do cliente no prazo de 30 dias, salvo obrigação legal de conservação. O cliente pode pedir a eliminação de dados em qualquer momento durante a vigência do contrato.
11Direitos de auditoria
O cliente pode pedir informações e documentos para verificar o cumprimento deste DPA. As auditorias presenciais podem realizar-se mediante aviso escrito com pelo menos 30 dias de antecedência, no máximo uma vez por ano (com auditorias adicionais após uma violação de dados pessoais ou a pedido de uma autoridade de controlo), em horário laboral e sob obrigações de confidencialidade. Para os subcontratantes ulteriores, recorre-se em primeiro lugar aos respetivos relatórios de auditoria independentes (por exemplo os relatórios ISO 27001 e SOC 2 da AWS).
12Contacto
Para questões sobre este DPA, a lista atualizada de subcontratantes ulteriores ou para pedir um DPA assinado ou o contrato-tipo KVKK, contacte-nos em [email protected].
InfoLore Ltd · ICO ZC045356 · [email protected]