Acordo de Processamento de Dados

Este Acordo de Processamento de Dados (“APD”) faz parte de nossa política de privacidade. Termos e Condições e aplica-se sempre que você utiliza o software # GoFile para processar dados pessoais de terceiros em seu nome – por exemplo, diretores, funcionários, clientes ou consumidores das empresas para as quais você realiza o processamento de documentos. Este documento define as nossas obrigações para com você enquanto processador de dados, nos termos do Artigo 28 do RGPD (Regulamento Geral sobre a Proteção de Dados) do Reino Unido.

Você não precisa assinar nada: ao usar o Software, você aceita este DPA.

1. Partes e funções

1.1 Este DPA está entre GOFILE Ltd., uma empresa registrada na Inglaterra e no País de Gales sob o número 13521210, que opera sob o nome comercial # GoFile (“nós”, “nos”, o “Processador”), e o cliente que detém a conta # GoFile (“você”, o “Cliente”).

1.2 Você é o controlador dos Dados Pessoais do Cliente, a menos que você processe esses dados em nome de outro controlador. Nós somos seus processadorE, nos casos em que você atua como processador de dados, nós atuamos como seu subprocessador. Você confirma que tem autoridade para nos nomear nos termos deste DPA.

1.3 Para dados pessoais sobre você e seus usuários – detalhes da sua conta, faturamento, correspondência de suporte e preferências de marketing – somos um controlador independente e nosso política de Privacidade aplica-se em vez deste DPA.

2. Definições

• Leis de Proteção de Dados Significa o Regulamento Geral de Proteção de Dados do Reino Unido, a Lei de Proteção de Dados de 2018, os Regulamentos de Privacidade e Comunicações Eletrônicas de 2003 e, quando aplicável, o Regulamento Geral de Proteção de Dados da UE, cada um conforme alterado ou substituído.
• Dados pessoais do cliente Significa dados pessoais que você, ou qualquer pessoa agindo em seu nome, insere ou carrega no Software, ou que o Software recebe da HMRC ou da Companies House mediante suas instruções.
• Software Significa o serviço # GoFile em secure.gofile.co.uk e quaisquer serviços relacionados que lhe fornecemos.
• Subprocessador Significa uma entidade terceira que contratamos para processar os Dados Pessoais do Cliente em nosso nome.
• Violação de dados pessoais, controlador, processador, titular dos dados e processamento têm os significados atribuídos nas Leis de Proteção de Dados.

3. Detalhes do processamento

Assunto – a preparação, o armazenamento e o envio de declarações fiscais, documentos da empresa, informações de folha de pagamento e registros relacionados para as empresas que você gerencia no software.

Duração – enquanto você mantiver uma conta # GoFile , além dos períodos de retenção descritos na cláusula 9.

Natureza e propósito – coleta, armazenamento, organização, cálculo, transmissão para a HMRC e Companies House, recuperação e exclusão, exclusivamente para fornecer o Software a você.

Categorias de titulares de dados – Seus funcionários e usuários; diretores, acionistas, sócios e funcionários das empresas para as quais você declara impostos; seus clientes e seus funcionários, quando você atua como agente; e outras pessoas cujos dados constam em declarações, registros ou documentos comprobatórios.

Categorias de dados pessoais – nomes e dados de contato; datas de nascimento; números do Seguro Nacional, Números de Identificação Fiscal e outros identificadores fiscais; detalhes de emprego, remuneração, pensão e benefícios; informações financeiras e contábeis; detalhes de diretores e acionistas da empresa; e o conteúdo dos documentos que você enviar.

Dados de categoria especial – O Software pode processar dados de categoria especial limitados, quando estes estiverem incluídos na folha de pagamento ou em registros de suporte, por exemplo, informações de saúde relacionadas ao auxílio-doença legal. Quando você fornecer dados de categoria especial, será sua responsabilidade garantir que possui uma base legal apropriada, conforme o Artigo 6, e uma condição para o processamento, conforme o Artigo 9, juntamente com qualquer condição adicional exigida pela Lei de Proteção de Dados de 2018.

4. Nossas obrigações como processador

Vamos:

4.1 Siga as instruções. Processamos os Dados Pessoais do Cliente apenas de acordo com suas instruções documentadas, que são os Termos, este DPA e as ações que você realiza no Software, a menos que sejamos obrigados por lei a agir de outra forma, caso em que o informaremos previamente, a menos que a lei o impeça. Informaremos você se acreditarmos que uma instrução viola as Leis de Proteção de Dados.

4.2 Mantenha em sigilo. Garantir que todos aqueles que autorizamos a processar os Dados Pessoais do Cliente estejam sujeitos a um dever de confidencialidade e recebam orientações adequadas sobre proteção de dados.

4.3 Mantenha-o em segurança. Implementar e manter medidas técnicas e organizacionais adequadas para proteger os Dados Pessoais do Cliente contra destruição, perda, alteração, divulgação ou acesso não autorizados, acidentais ou ilícitos. O Anexo 2 resume essas medidas. Podemos atualizá-las, mantendo-nos em conformidade com as nossas obrigações nos termos da legislação de proteção de dados.

4.4 Ajudamos você a cumprir os direitos do titular dos dados. Auxiliaremos você, por meio de medidas técnicas e organizacionais adequadas e levando em consideração a natureza do processamento, a responder às solicitações dos titulares dos dados para exercerem seus direitos. Se um titular dos dados entrar em contato conosco diretamente a respeito de Dados Pessoais do Cliente, encaminharemos o contato para você e não responderemos em seu nome, a menos que você nos solicite.

4.5 Ajudar você a cumprir suas outras obrigações. Auxiliamos você no cumprimento de suas obrigações relacionadas à segurança, notificação de violação de dados, avaliações de impacto sobre a proteção de dados e consulta prévia ao Comissário de Informação ou outra autoridade supervisora aplicável, levando em consideração a natureza do processamento e as informações disponíveis para nós.

4.6 Apague ou devolva os dados. Ao término da prestação dos serviços, exclua ou devolva os Dados Pessoais do Cliente conforme descrito na cláusula 9.

4.7 Demonstrar conformidade. Disponibilizar as informações razoavelmente necessárias para demonstrar nossa conformidade com o Artigo 28 do RGPD do Reino Unido e permitir e contribuir para auditorias conforme descrito na cláusula 8.

5. Subprocessadores

5.1 Você nos concede autorização geral por escrito para contratar os Subprocessadores listados em nosso página de subprocessadores, que constitui o Anexo 3 deste DPA.

5.2 Informaremos você por e-mail ou por meio do Software sobre quaisquer adições ou substituições pretendidas de Subprocessadores antes que a alteração entre em vigor, dando-lhe a oportunidade de se opor, e atualizaremos essa página de acordo.

5.3 Se você se opuser a um novo Subprocessador por motivos razoáveis de proteção de dados, informe-nos e analisaremos sua preocupação de boa-fé. Caso não consigamos resolver a questão, você poderá interromper o uso dos serviços afetados encerrando sua conta.

5.4 Imporemos a cada Subprocessador obrigações de proteção de dados que sejam, no mínimo, menos protetivas do que as previstas neste DPA, e permaneceremos totalmente responsáveis perante você pelo cumprimento das obrigações de cada Subprocessador.

5.5 HMRC e Alfândega do Reino Unido) e a Companies House (Registro de Empresas do Reino Unido) não são subcontratadas. Elas recebem dados apenas porque você nos instrui a enviá-los e atuam como controladores independentes, de acordo com seus próprios avisos de privacidade.

6. Violações de dados pessoais

6.1 Caso tenhamos conhecimento de uma violação de dados pessoais que afete os dados pessoais do cliente, notificaremos você sem demora indevida, conforme exigido pelas leis de proteção de dados.

6.2 Nossa notificação descreverá, até onde soubermos no momento, a natureza da violação, as categorias e o número aproximado de titulares de dados e registros afetados, as prováveis consequências e as medidas que tomamos ou propomos tomar. Forneceremos informações adicionais em fases, à medida que estiverem disponíveis.

6.3 Cooperaremos consigo e tomaremos as medidas razoáveis para o ajudar a cumprir as suas obrigações de notificação perante o Comissário para a Informação ou outra autoridade de supervisão aplicável e perante os titulares dos dados. Não notificaremos uma autoridade de supervisão ou os titulares dos dados em seu nome, a menos que nos solicite ou que a lei nos obrigue a fazê-lo.

7. Transferências internacionais

7.1 O banco de dados do Software, os documentos carregados e os backups são hospedados no Reino Unido. Os dados são entregues a você e aos seus usuários autorizados onde quer que vocês acessem o Software. Os subcontratados podem processar dados nos locais descritos no Anexo 3. Quando uma transferência exigir salvaguardas de acordo com as Leis de Proteção de Dados, utilizaremos uma decisão de adequação aplicável ou outro mecanismo de transferência permitido.

8. Informações e auditorias

8.1 Responderemos a solicitações razoáveis por escrito de informações sobre o nosso processamento de Dados Pessoais do Cliente e nossas medidas de segurança dentro de um prazo razoável.

8.2 Se, após analisar as informações fornecidas, você acreditar razoavelmente que uma auditoria é necessária para verificar nossa conformidade com este DPA, você poderá realizá-la ou nomear um auditor independente vinculado por sigilo para fazê-lo, no máximo uma vez a cada 12 meses, a menos que seja exigido por uma autoridade supervisora, após uma Violação de Dados Pessoais ou quando você suspeitar razoavelmente de uma violação material deste DPA. As auditorias devem ser solicitadas com pelo menos 30 dias de antecedência por escrito, a menos que um período mais curto seja razoavelmente exigido por uma autoridade supervisora ou após uma Violação de Dados Pessoais, devem ser realizadas durante o horário comercial normal, limitadas ao necessário para verificar a conformidade e executadas às suas custas. As auditorias não podem abranger os sistemas de nossos Subprocessadores, cujas certificações e relatórios forneceremos sempre que possível.

9. Retenção, devolução e eliminação

9.1 Antes de encerrar sua conta, salve quaisquer declarações, documentos e registros que você precise manter, utilizando as opções de download disponíveis no Software. Você também pode solicitar a devolução dos Dados Pessoais do Cliente ao término dos serviços.

9.2 Ao término dos serviços, excluiremos ou devolveremos os Dados Pessoais do Cliente, conforme sua escolha, e excluiremos as cópias existentes, sujeito à cláusula 9.4.

9.3 Quando você encerrar sua conta ou nos solicitar por escrito, excluiremos os Dados Pessoais do Cliente de nossos sistemas ativos em até 3 dias úteis, sujeito à cláusula 9.4.

9.4 Os Dados Pessoais do Cliente podem permanecer temporariamente em backups de rotina após a exclusão de nossos sistemas ativos. Essas cópias permanecerão protegidas, não serão restauradas ou processadas de qualquer outra forma, exceto quando necessário para fins de backup, segurança ou recuperação de desastres, e serão excluídas à medida que os backups forem sobrescritos no curso normal dos acontecimentos. Reteremos os Dados Pessoais do Cliente após o término dos serviços somente nos casos em que a legislação do Reino Unido exigir que os armazenemos.

10. Suas obrigações

Você irá:

• Assegure-se de que possui uma base legal e, quando necessário, a autorização dos seus próprios clientes para nos fornecer os Dados Pessoais do Cliente e para instruir o seu processamento;
• Assegure-se de que suas instruções estejam em conformidade com as Leis de Proteção de Dados e que os Dados Pessoais do Cliente estejam corretos e atualizados;
• Mantenha as credenciais da sua conta seguras e gerencie quem na sua organização tem acesso a elas;
• Informe-nos imediatamente se receber uma solicitação de titular de dados ou uma consulta regulatória que necessite de nossa ajuda; e
• Você será responsável pelo seu próprio cumprimento das Leis de Proteção de Dados como controlador ou processador, conforme aplicável.

11. Responsabilidade

A responsabilidade de cada parte nos termos deste DPA ou em conexão com ele está sujeita às limitações e exclusões de responsabilidade previstas nos Termos e Condições. Nada neste DPA limita a responsabilidade de qualquer das partes nos casos em que tal limitação não seja legalmente permitida.

12. Geral

12.1 Este DPA aplica-se enquanto processarmos os Dados Pessoais do Cliente em seu nome e permanece em vigor mesmo após o término dos Termos, até que esse processamento seja concluído.

12.2 Se houver conflito entre este DPA e os Termos em relação ao processamento de Dados Pessoais do Cliente, este DPA prevalecerá.

12.3 Podemos atualizar este DPA para refletir alterações na legislação ou no Software. Publicaremos a nova versão nesta página. Notificaremos você sobre alterações substanciais antes que elas entrem em vigor, e nenhuma atualização reduzirá substancialmente a proteção dos Dados Pessoais do Cliente.

12.4 Este DPA é regido pela lei da Inglaterra e do País de Gales.

Anexos

• Anexo 1 – Detalhes do processamento: cláusula 3 acima.
• Anexo 2 – Medidas técnicas e organizacionais: controles de acesso, criptografia de dados protegidos do banco de dados e conexões com o Software, backups e controles de segurança de aplicativos adequados aos riscos de processamento. As informações necessárias para demonstrar a conformidade estão disponíveis na cláusula 8.
• Anexo 3 – Subprocessadores autorizados: nossos página de subprocessadores.

Contato

Para qualquer assunto relacionado a este DPA, entre em contato conosco através do formulário de contato ou por meio de uma mensagem de suporte dentro da sua conta, marcando sua mensagem como “Proteção de dados”.