Acordo de tratamento de dados

A organização cliente que opera um workspace de newsroom é o responsável pelo tratamento. Entro314 Labs PC é o subcontratante. Este acordo produz efeitos quando o cliente aceita os Termos e vigora enquanto o workspace existir. Não é necessária assinatura autónoma para vincular as partes; uma cópia contra-assinada em papel é emitida a pedido.

O ErmisAI trata dados pessoais para operar o workspace de newsroom que o cliente subscreve: monitorizar as fontes configuradas, agrupar a cobertura em clusters, redigir histórias, encaminhá-las pela revisão editorial e entregar o resultado aprovado nas superfícies de publicação que o cliente liga. O tratamento dura pelo prazo da subscrição, acrescido das janelas de transição e de eliminação descritas na página de portabilidade e saída de dados.

Os titulares dos dados são os redatores, administradores e membros convidados do cliente, bem como qualquer pessoa mencionada no material de origem que uma newsroom monitoriza ou nos rascunhos que os seus redatores escrevem. As categorias são:

• dados de identidade e de conta – nome, endereço de email, função, pertença ao workspace,
• dados de utilização – ações no workspace, histórico de histórias e rascunhos, registos de auditoria,
• dados de conteúdo – artigos de origem, clusters, rascunhos e histórias aprovadas, incluindo quaisquer dados pessoais que mencionem,
• dados técnicos – endereço IP, metadados de dispositivo e de browser recolhidos em registos de segurança e de erro.

O ErmisAI trata dados pessoais apenas mediante instruções documentadas do cliente. Os Termos, este acordo, as definições do produto que o cliente configura e as ações que os seus redatores realizam no workspace constituem essas instruções. Se o direito da União ou de um Estado-Membro obrigar o ErmisAI a tratar dados para além delas, informa o cliente antes de o fazer, salvo se esse direito proibir tal comunicação. O ErmisAI informa o cliente se uma instrução parecer violar a legislação de proteção de dados.

Todas as pessoas autorizadas a tratar dados pessoais de clientes estão sujeitas a dever de confidencialidade e têm acesso apenas ao que o seu trabalho exige. O acesso a dados de produção está limitado ao operador do serviço e é registado.

O ErmisAI mantém medidas técnicas e organizativas adequadas ao risco, incluindo cifragem em trânsito, armazenamento cifrado junto dos fornecedores de alojamento, controlo de acessos baseado em funções, isolamento de tenants em todos os percursos de leitura e escrita, verificação de assinatura nos webhooks de entrada e rate limiting. A página de segurança descreve as medidas e diz claramente o que não é reivindicado.

O cliente dá autorização geral para os subcontratantes indicados na página de subcontratantes, que identifica cada fornecedor, a sua função e a sua região de tratamento. O ErmisAI impõe a cada um obrigações equivalentes de proteção de dados e continua plenamente responsável pelo respetivo desempenho. Os subcontratantes novos ou substituídos são anunciados nessa página antes de iniciarem o tratamento, e o cliente pode opor-se com fundamentos razoáveis de proteção de dados; uma oposição não resolvida confere ao cliente o direito de rescindir o serviço afetado sem penalização.

Tendo em conta a natureza do tratamento, o ErmisAI presta assistência ao cliente com:

• a resposta a pedidos dos titulares dos dados, incluindo acesso, retificação, apagamento e portabilidade – a maioria dos quais o cliente pode satisfazer por si próprio a partir do workspace,
• a segurança do tratamento, a notificação de violações e as avaliações de impacto sobre a proteção de dados,
• a consulta prévia a uma autoridade de controlo sempre que exigida.

O ErmisAI notifica o cliente sem demora injustificada após ter conhecimento de uma violação de dados pessoais que afete os dados desse cliente, com a informação de que o cliente necessita para a sua própria notificação ao abrigo do artigo 33.º, e mantém o acompanhamento à medida que a investigação avança.

O ErmisAI disponibiliza a informação necessária para demonstrar o cumprimento do artigo 28.º e permite auditorias, incluindo inspeções, conduzidas pelo cliente ou por um auditor por si mandatado. As auditorias são agendadas com pré-aviso razoável, no máximo uma vez por ano salvo se um incidente ou uma autoridade de controlo exigir o contrário, e não podem comprometer a segurança de outros clientes.

O tratamento é mantido na União Europeia ou no Espaço Económico Europeu sempre que o fornecedor o disponibilize. Quando um subcontratante transfere dados para fora do EEE, a transferência assenta numa decisão de adequação ou nas cláusulas contratuais-tipo da Comissão Europeia com medidas complementares. A página de subcontratantes indica a região em que cada fornecedor opera.

Na cessação, o cliente escolhe se os dados pessoais são devolvidos ou eliminados. Os dados permanecem consultáveis durante o período de transição descrito na página de portabilidade de dados e saída para que as exportações possam ser concluídas, e são depois apagados, exceto quando o direito da UE ou de um Estado-Membro exija a sua conservação – sendo os registos de faturação o caso habitual.

Sempre que este acordo entre em conflito com os Termos quanto ao tratamento de dados pessoais, prevalece este acordo. Um acordo negociado e assinado com um cliente prevalece sobre ambos. As alterações substanciais são publicadas nesta página com uma nova data de entrada em vigor e comunicadas aos clientes com subscrição ativa.