Acordo de Tratamento de Dados

Partes e âmbito

Este Acordo de Tratamento de Dados ("ATD") faz parte integrante dos Termos de Serviço da Locar, disponíveis em /legal/terms (os "Termos"), e neles se encontra incorporado. Aplica-se sempre que a Locar trate dados pessoais por conta de um cliente (uma empresa de aluguer de viaturas) no âmbito do serviço Locar.

Denominação social

Locar.ai

NIF

000000

Sede

123, Street

Registo comercial

Locar.ai Corporation

Contacto

support@locar.ai

Para efeitos do Regulamento (UE) 2016/679 (o "RGPD"), o cliente é o responsável pelo tratamento dos dados pessoais que submete ao serviço Locar, ou que recolhe através deste, sobre os seus próprios clientes, condutores e outras pessoas. A Locar é o subcontratante e trata esses dados pessoais apenas de acordo com as instruções documentadas do cliente, tal como descrito neste ATD e nos respetivos anexos.

Objeto e duração

O objeto deste ATD é o tratamento de dados pessoais pela Locar por conta do cliente no âmbito da prestação do serviço Locar: uma plataforma de gestão de aluguer de viaturas que abrange reservas, contratos, entregas de viaturas, pagamentos e a comunicação relacionada com os clientes.

Este ATD produz efeitos na data em que o cliente aceita os Termos e mantém-se em vigor enquanto a Locar tratar dados pessoais por conta do cliente, incluindo o período necessário para concluir a eliminação ou devolução desses dados nos termos de "Eliminação e devolução dos dados" adiante.

Natureza e finalidade do tratamento

A Locar trata dados pessoais por conta do cliente apenas para prestar, apoiar e proteger o serviço Locar, e em particular para:

• gerir reservas, contratos de aluguer, entregas e devoluções de viaturas;
• processar pagamentos e cauções cobrados através do prestador de serviços de pagamento do cliente;
• registar inspeções e danos das viaturas, incluindo fotografias;
• enviar e receber mensagens de WhatsApp com os próprios clientes do cliente, incluindo a transcrição de notas de voz e a tradução de mensagens, quando o cliente ative essas funcionalidades;
• ler documentos de identificação, cartas de condução, documentos de matrícula de viaturas e notificações de multas com assistência de IA, quando o cliente ative essa funcionalidade, sempre sujeita a confirmação por uma pessoa antes de qualquer leitura ser guardada;
• gerar o parte de viajantes que a legislação espanhola exige às empresas de aluguer (SES.HOSPEDAJES);
• manter o registo de auditoria, os registos de segurança e as cópias de segurança necessários para operar o serviço de forma fiável e segura.

Categorias de titulares e de dados pessoais

Os dados pessoais tratados ao abrigo deste ATD dizem respeito às seguintes categorias de titulares de dados:

• os próprios clientes do cliente que alugam viaturas;
• condutores adicionais indicados num aluguer;
• o pessoal do cliente que utiliza o serviço Locar, na medida em que as suas ações fiquem registadas face a um aluguer ou a uma viatura.

Os dados pessoais tratados podem incluir as seguintes categorias:

• nome, dados de contacto, data de nascimento e nacionalidade;
• dados e imagens do documento de identificação e da carta de condução;
• morada;
• assinaturas;
• dados da reserva e do contrato de aluguer;
• registos de pagamentos e cauções, excluindo os números de cartão, que apenas são conservados pelo prestador de serviços de pagamento do cliente;
• multas e portagens associadas a um aluguer;
• fotografias de inspeção e danos da viatura;
• mensagens de WhatsApp, incluindo notas de voz e as respetivas transcrições;
• a localização da entrega registada pelo tablet utilizado no momento da entrega da viatura.

As partes não pretendem que este tratamento inclua categorias especiais de dados pessoais, na aceção do artigo 9.º do RGPD. Os dados do documento de identificação e da carta de condução são tratados por serem habitualmente necessários para celebrar o contrato de aluguer de uma viatura, e não para revelar uma categoria especial; o cliente mantém-se responsável por não submeter dados de categoria especial através do serviço.

Tratamento segundo instruções

A Locar trata dados pessoais apenas de acordo com as instruções documentadas do cliente, incluindo no que respeita a transferências de dados pessoais para um país terceiro, salvo se tal lhe for exigido pelo direito da União Europeia ou de um Estado-Membro a que a Locar esteja sujeita. Nesse caso, a Locar informará o cliente desse requisito legal antes de proceder ao tratamento, salvo se o direito aplicável o proibir por razões importantes de interesse público.

• este ATD e os Termos, em conjunto com a utilização pelo cliente das funcionalidades configuráveis do serviço Locar (como ativar a leitura de documentos com IA ou o assistente de WhatsApp), constituem as instruções do cliente;
• o cliente pode dar instruções escritas adicionais razoavelmente relacionadas com o tratamento descrito neste ATD;
• a Locar informará o cliente caso considere que uma instrução viola o RGPD ou outra disposição de proteção de dados da UE ou de um Estado-Membro.

Confidencialidade

A Locar assegura que qualquer pessoa que autorize a tratar dados pessoais ao abrigo deste ATD, incluindo o seu próprio pessoal e os seus contratados, está sujeita a um dever de confidencialidade vinculativo, de natureza contratual ou legal, e trata os dados pessoais apenas de acordo com as instruções recebidas.

Segurança do tratamento

A Locar aplica medidas técnicas e organizativas adequadas ao risco, tendo em conta o estado da técnica, os custos de implementação, e a natureza, o âmbito, o contexto e as finalidades do tratamento, de modo a garantir um nível de segurança adequado ao risco, incluindo as medidas resumidas no Anexo 2 (Medidas de segurança). Essas medidas abrangem, entre outros aspetos, o isolamento entre clientes, a cifragem em trânsito, o controlo de acessos e a integridade dos registos de auditoria e das provas conservadas.

Subcontratantes ulteriores

O cliente concede à Locar uma autorização geral para contratar subcontratantes ulteriores para a prestação do serviço Locar. Os subcontratantes ulteriores atualmente contratados constam do Anexo 3 (Subcontratantes ulteriores), com o tratamento realizado por cada um e a respetiva localização.

A Locar informará o cliente de qualquer adição ou substituição prevista de um subcontratante ulterior, dando ao cliente a oportunidade de se opor por motivos razoáveis relacionados com a proteção de dados, num prazo razoável. Se o cliente se opuser e as partes não conseguirem resolver a objeção, a Locar, como único remédio, abster-se-á de contratar esse subcontratante ulterior para os dados do cliente ou permitirá que o cliente resolva a parte afetada do serviço.

A Locar impõe a todo o subcontratante ulterior que contrate obrigações de proteção de dados substancialmente equivalentes às deste ATD, por via contratual ou de outro instrumento juridicamente vinculativo, e permanece plenamente responsável perante o cliente pelo cumprimento dessas obrigações pelo subcontratante ulterior.

A OpenFreeMap, um serviço público gratuito de mapas, não é um subcontratante ulterior ao abrigo deste ATD: o próprio navegador do tablet Locar obtém diretamente dela os mosaicos de mapa ao apresentar a localização de uma entrega de viatura, e a Locar não tem qualquer contrato com ela. O Anexo 3 enumera apenas os subcontratantes ulteriores que a própria Locar contrata.

Transferências internacionais

Sempre que um subcontratante ulterior indicado no Anexo 3 trate dados pessoais fora do Espaço Económico Europeu, a Locar assegura que a transferência está coberta por uma garantia adequada reconhecida nos termos do capítulo V do RGPD, em particular as cláusulas contratuais-tipo da Comissão Europeia, ou a certificação do destinatário ao abrigo do Quadro de Proteção de Dados UE-EUA (DPF), quando aplicável.

A Locar, a pedido do cliente, disponibilizará a garantia em que se baseia uma transferência concreta descrita no Anexo 3.

Assistência ao cliente

Tendo em conta a natureza do tratamento, a Locar presta assistência ao cliente, através de medidas técnicas e organizativas adequadas, no cumprimento da sua obrigação de responder aos pedidos dos titulares de dados que exerçam os seus direitos ao abrigo do RGPD. O serviço Locar inclui ferramentas integradas que permitem ao cliente exportar os dados pessoais de um titular de dados numa única ação e eliminar diretamente os ficheiros pessoais de um titular de dados, com exceção dos conservados como prova.

• responder aos pedidos dos titulares de dados, quando o cliente não o possa fazer por si só através das ferramentas integradas;
• as avaliações de impacto sobre a proteção de dados relativas ao tratamento descrito neste ATD, na medida em que a informação esteja na posse da Locar e não esteja de outro modo disponível para o cliente;
• a consulta prévia a uma autoridade de controlo quando uma avaliação de impacto sobre a proteção de dados indique que o tratamento resultaria num elevado risco na ausência de medidas de mitigação.

Violações de dados pessoais

A Locar notifica o cliente sem demora injustificada e, em qualquer caso, no prazo de 48 horas após tomar conhecimento de uma violação de dados pessoais que afete dados pessoais tratados ao abrigo deste ATD, de modo a que o cliente possa cumprir o seu próprio dever de notificação à respetiva autoridade de controlo no prazo de 72 horas, nos termos do artigo 33.º do RGPD.

• a natureza da violação, incluindo, sempre que possível, as categorias e o número aproximado de titulares de dados e de registos de dados pessoais em causa;
• as prováveis consequências da violação;
• as medidas adotadas ou propostas para resolver a violação e mitigar os seus possíveis efeitos adversos;
• o nome e os dados de contacto de um ponto de contacto para obter mais informações.

A Locar atualizará a notificação à medida que dispuser de mais informação e cooperará com as obrigações próprias do cliente em matéria de investigação e notificação.

Eliminação e devolução dos dados

Antes de a conta do cliente ser encerrada, este pode exportar os dados pessoais de um titular de dados a qualquer momento, um de cada vez, através da ferramenta de exportação integrada no serviço Locar. Não existe uma ferramenta para exportar de uma só vez todos os dados do cliente, pelo que este deve utilizá-la para conservar o que necessitar, como contratos e faturas, antes de encerrar a sua conta.

Quando a conta do cliente é encerrada, a Locar elimina todos os dados pessoais tratados ao abrigo deste ATD, incluindo os registos conservados como prova, como os PDF de contratos assinados, as assinaturas e as fotografias de inspeção, exceto os dados pessoais que a Locar deva conservar por lei, como as suas próprias faturas ao cliente.

Informação e auditorias

A Locar disponibiliza ao cliente todas as informações razoavelmente necessárias para demonstrar o cumprimento deste ATD, e permite e contribui para auditorias, incluindo inspeções, realizadas pelo cliente ou por um auditor por este mandatado, mediante aviso prévio razoável e durante o horário normal de funcionamento, a expensas do cliente, sem prejudicar a capacidade da Locar de servir os seus outros clientes. Quando a informação solicitada já esteja disponível num relatório de auditoria, certificação ou documentação equivalente, a Locar pode fornecer essa documentação em vez de uma auditoria autónoma.

Responsabilidade

A responsabilidade de cada parte decorrente deste ATD ou com ele relacionada, incluindo a responsabilidade da Locar e de qualquer subcontratante ulterior que contrate, está sujeita às limitações e exclusões de responsabilidade estabelecidas nos Termos.

Anexo 1: Detalhes do tratamento

Anexo 2: Medidas de segurança

• Cifragem em trânsito (TLS) em todas as ligações ao serviço Locar.
• Isolamento entre clientes aplicado em três níveis: chaves de base de dados que associam cada registo a um único cliente, um controlo de consultas que recusa qualquer instrução de base de dados não associada ao cliente autenticado, e restrições de acesso ao nível da sucursal; um registo pertencente a outro cliente devolve "não encontrado".
• Permissões baseadas em funções verificadas em cada pedido; palavras-passe protegidas com scrypt; tokens de sessão armazenados apenas como hashes; sessões de uso único e rotativas.
• Um registo de auditoria apenas de adição sobre quem fez o quê e quando; as leituras de documentos de identificação são registadas separadamente; os ficheiros probatórios (contratos, assinaturas, fotografias de inspeção) são armazenados de forma imutável.
• Ficheiros de dados pessoais armazenados na União Europeia; cópias de segurança da base de dados com restauro para um ponto no tempo.
• As leituras de documentos assistidas por IA são sempre propostas que uma pessoa deve confirmar antes de qualquer informação ser guardada num registo.

Anexo 3: Subcontratantes ulteriores