Perguntas frequentes sobre RGPD em AJAX

Noções básicas

O que é RGPD?

O Regulamento Geral sobre a Proteção de Dados (também conhecido como Regulamento 2016/679 ou «RGPD») é um Regulamento da legislação da UE sobre a proteção e privacidade de dados na UE e no Espaço Económico Europeu (EEE). Embora tenha sido redigido e aprovado pela União Europeia (UE), impõe obrigações de proteção de dados em organizações em todo o lado, desde que direcionem ou recolham dados relacionados com pessoas na UE.

O que são dados pessoais?

Dados pessoais são qualquer informação relativa a uma pessoa singular que possa ser identificada, direta ou indiretamente. As diferentes informações, que sejam recolhidas em conjunto, podem levar à identificação de uma pessoa em particular e também constituem dados pessoais.

Os dados pessoais que tenham sido anonimizados, encriptados ou pseudonimizados, mas que possam ser utilizados para reidentificar uma pessoa, continuam a ser dados pessoais e estão abrangidos pelo âmbito de aplicação da lei.

Aqui estão alguns exemplos de dados pessoais:

• nome e apelido;
• endereço;
• endereço de email;
• número do cartão de cidadão;
• dados de localização;
• endereço IP;
• identificadores de cookies;
• identificador de publicidade do telemóvel.

O que significa tratar dados?

A definição de tratamento de dados abrange uma vasta gama de operações realizadas sobre dados pessoais, tanto por meios manuais como automatizados. Inclui a recolha, gravação, organização, estruturação, armazenamento, adaptação ou alteração, recuperação, consulta, utilização, divulgação por transmissão, disseminação ou disponibilização de qualquer outra forma, alinhamento ou combinação, restrição, eliminação ou destruição de dados pessoais. Se fizer alguma coisa aos dados de qualquer uma das formas acima, está a tratar dados.

Qual é a diferença entre um subcontratante e um responsável pelo tratamento de dados?

Um responsável pelo tratamento refere-se a uma organização, instituição ou pessoa singular que estabelece as normas e regras para o tratamento de dados pessoais. Em termos práticos, isto significa que o responsável pelo tratamento de dados é responsável por determinar como e por que motivo os dados pessoais são utilizados por uma organização. Na maioria dos casos, o responsável pelo tratamento de dados é a pessoa ou organização que recolhe os dados e decide como serão utilizados.

Esta definição contrasta com a de subcontratante. De acordo com o RGPD, um subcontratante é uma organização, instituição ou indivíduo que implementa as normas de tratamento de dados estabelecidas pelo responsável pelo tratamento de dados. Regra geral, um subcontratante é uma parte que trata dados sob a direção e o critério de um responsável pelo tratamento. Um subcontratante não é proprietário de nenhum dos dados que trata, nem exerce controlo sobre os mesmos. Isto significa que um subcontratante não pode alterar o significado dos dados nem orientar como os dados são utilizados, e está vinculado às instruções.

Existem vários aspetos que ajudam a distinguir as funções do responsável pelo tratamento de dados das do subcontratante:

O responsável pelo tratamento de dados decide o seguinte:

• a organização que recolhe os dados em primeira instância e tem a base jurídica para o fazer;
• para que fins serão utilizados os dados pessoais;
• se os dados devem ser divulgados e, em caso afirmativo, a quem;
• se o acesso do titular dos dados e outros direitos individuais se aplicam ou se existem isenções;
• por quanto tempo devem os dados ser conservados e se devem ser alterados de forma não rotineira.

O subcontratante decide o seguinte:

• os métodos utilizados para a recolha e o armazenamento de dados pessoais;
• como os dados são protegidos;
• os meios utilizados para transferir dados pessoais de uma organização para outra;
• como os dados pessoais são recuperados;
• o método para garantir o cumprimento do calendário de conservação;
• como os dados pessoais são eliminados.

Quais são as condições do RGPD para o tratamento de dados pessoais?

O Artigo 6.º do RGPD enumera várias condições (também conhecidas como fundamentos) ao abrigo das quais é lícito tratar dados pessoais:

1. Consentimento. Consentimento significa que o titular dos dados deu o seu consentimento explícito para uma atividade de tratamento de dados pessoais para uma ou mais finalidades específicas. A noção de finalidade é fundamental aqui. Se o titular dos dados, também conhecido como pessoa singular, der o seu consentimento para o tratamento sem ser totalmente informado da(s) finalidade(s) específica(s) de forma fácil de compreender, então o consentimento não constitui um fundamento jurídico para o tratamento, uma vez que deve ser dado de forma livre, específica, informada e inequívoca. Além disso, o consentimento não pode ser agrupado. Assim, para cada atividade de tratamento de dados no âmbito de uma operação mais ampla, a regra geral a necessidade de um consentimento separado para cada atividade.
2. O tratamento é necessário para a execução ou para a preparação da celebração de um contrato do qual o titular dos dados seja parte. Uma organização pode confiar nesta base jurídica se precisar de tratar os dados pessoais de alguém para lhe disponibilizar um serviço contratual ou porque foi solicitado à organização que faça algo antes de celebrar um contrato (por exemplo, dar um orçamento).
3. É necessário tratar os dados para cumprir uma obrigação legal. Se o responsável pelo tratamento tiver uma obrigação legal que exija o tratamento de determinados dados pessoais, esse tratamento é permitido. A obrigação legal deve ser uma obrigação à qual o responsável pelo tratamento esteja sujeito.
4. É necessário tratar os dados para salvar a vida de alguém. Este fundamento é também conhecido como «interesse vital». Neste caso, a pessoa singular não tem de ser o titular dos dados; pode também ser outra pessoa singular. Naturalmente, não cabe ao responsável pelo tratamento definir o que é um interesse vital. Esta base jurídica aplica-se sobretudo a situações de risco de vida em que não existe outro fundamento legal para o tratamento, mas em que a ausência de tratamento dos dados pessoais implicaria, essencialmente, a morte de alguém caso o subcontratante não interviesse, necessitando, por isso, de aceder a determinadas informações sobre a pessoa singular em perigo.
5. O tratamento é necessário para realizar uma tarefa de interesse público ou para desempenhar uma função oficial. Uma organização pode basear-se nesta base jurídica se precisar de tratar dados pessoais «no exercício da autoridade pública». Isto abrange funções e poderes públicos previstos na lei, bem como tarefas específicas de interesse público igualmente previstas na lei.
6. O responsável pelo tratamento tem um interesse legítimo no tratamento dos dados pessoais de uma pessoa. O tratamento de dados pessoais neste contexto pode não ser necessariamente justificado por uma obrigação legal ou realizado para executar os termos de um contrato com um indivíduo. Nesses casos, o tratamento de dados pessoais pode ser justificado com o fundamento de interesse legítimo. Por exemplo, um responsável pelo tratamento tem o interesse legítimo quando o tratamento decorre no âmbito de uma relação com o cliente, para finalidades de marketing direto, para prevenir fraudes, ou para assegurar a segurança de rede e informação dos sistemas de TI.

Como funciona o consentimento no âmbito do RGPD?

Existem regras rigorosas relativas ao consentimento do titular dos dados para o tratamento das suas informações:

• O consentimento deve ser «livre, específico, informado e inequívoco».
• Os pedidos de consentimento devem ser «claramente distinguíveis das outras questões» e apresentados em «linguagem clara e simples».
• Os titulares dos dados podem retirar o consentimento previamente dado sempre que o desejarem, devendo a sua decisão ser respeitada. Não é possível alterar simplesmente a base jurídica do tratamento para uma das outras justificações.
• Devem ser conservadas provas documentais do consentimento.

Quais são os direitos dos titulares de dados ao abrigo do RGPD?

O RGPD confere os seguintes direitos aos titulares dos dados:

1. O direito à informação (os titulares de dados têm o direito de ser informados sobre a forma como as empresas recolhem e utilizam os seus dados pessoais, durante quanto tempo pretendem conservar esses dados e com quem os irão partilhar);
2. O direito de acesso (os titulares dos dados têm o direito de saber exatamente que informações as empresas recolheram, como as estão a armazenar e a tratar, e o que vão fazer com elas);
3. O direito de retificação (os titulares dos dados têm o direito de que os dados incompletos sejam completados e os dados incorretos sejam corrigidos);
4. O direito ao apagamento dos dados (os titulares dos dados têm o direito de ver os seus dados pessoais apagados permanentemente, também conhecido como o «direito a ser esquecido»);
5. O direito à limitação do tratamento (se os titulares dos dados não puderem exigir que os responsáveis pelo tratamento apaguem as suas informações pessoais, podem limitar a capacidade dos responsáveis pelo tratamento para tratar esses dados);
6. O direito de portabilidade dos dados (os titulares dos dados têm o direito de obter e reutilizar os seus dados pessoais para os seus próprios fins em diferentes serviços);
7. O direito de oposição (os titulares dos dados têm o direito de se opor ao tratamento dos seus dados pessoais em determinadas circunstâncias);
8. Direitos relativos à tomada de decisões individuais automatizadas, incluindo definição de perfis (os titulares dos dados têm o direito de exigir a intervenção humana, em vez de terem decisões importantes tomadas por algoritmos).

Quais são os sete princípios do RGPD?

Existem sete princípios fundamentais de proteção de dados e de responsabilidade nos termos do RGPD:

1. Licitude, lealdade e transparência — o tratamento deve ser lícito, leal e transparente para o titular dos dados.
2. Limitação das finalidades — os dados devem ser recolhidos para finalidades determinadas, explícitas e legítimas, informadas ao titular dos dados.
3. Minimização dos dados — apenas devem ser recolhidos e tratados os dados estritamente necessários para as finalidades especificadas.
4. Exatidão — os dados pessoais devem ser exatos e atualizados sempre que necessário.
5. Limitação da conservação — os dados de identificação pessoal apenas podem ser conservados durante o período necessário para as finalidades especificadas.
6. Integridade e confidencialidade — o tratamento deve ser efetuado de forma a garantir a sua segurança, integridade e confidencialidade adequadas (por exemplo, utilizando cifragem).
7. Responsabilidade — o responsável pelo tratamento é responsável pelo cumprimento de todos estes princípios e deve ser capaz de o demonstrar.

O RGPD exige que os dados pessoais dos residentes na UE permaneçam na UE?

O RGPD não exige diretamente que os dados pessoais dos residentes na UE permaneçam apenas na UE. No entanto, a proteção de dados na UE baseia-se no princípio de que «o RGPD acompanha os dados», o que significa que as regras de proteção dos dados pessoais continuam a aplicar-se independentemente do local onde estes se encontrem. Este princípio aplica-se igualmente quando os dados pessoais são transferidos para um país não pertencente à UE.

Tratamento de dados por Ajax

Ajax trata os meus dados pessoais?

Sim, Ajax pode tratar os seus dados pessoais. Abaixo estão as principais formas como podemos utilizar as suas informações:

1. nos nossos sistemas de segurança (por exemplo, através de Ajax Hub e outros dispositivos);
2. nas nossas aplicações para utilizadores finais e utilizadores PRO: móveis (Ajax Security System e Ajax PRO: Tool for Engineers), de desktop (Ajax Desktop e Ajax PRO Desktop) e ferramentas web Ajax (doravante referidas como Produtos ou Serviços);
3. quando visita o nosso website em https://ajax.systems;
4. no âmbito da cooperação comercial entre si e Ajax (independentemente de ser um parceiro direto ou indireto ou subcontratado de Ajax);
5. durante a comunicação personalizada entre si e Ajax (por exemplo, entrevistas, reuniões, etc.);
6. ao prestar serviços relacionados com a funcionalidade dos Serviços Ajax melhorados (incluindo Ajax SIM, Ajax Cloud Storage, etc.);

Que tipos dos meus dados podem ser tratados por Ajax?

Ajax pode tratar diferentes tipos de dados, dependendo do cenário da interação consigo.

Através dos nossos dispositivos de segurança doméstica, podemos processar:

• Informação sobre o seu Hub (como o seu modelo e o número de série, informação de rede, incluindo o endereço IP, registos de atividade do dispositivo, configuração histórica e atual do dispositivo e a sua localização).
• Dados de telemetria e ambientais.

Para fornecer aos utilizadores informações sobre o sistema na forma de estados e eventos, tratamos dados de telemetria.

O termo «dados de telemetria» (doravante também «telemetria») refere-se a dados e outras indicações que são automaticamente recolhidos, transmitidos e medidos por sensores integrados nos nossos dispositivos para determinar o estado do ambiente e a capacidade de funcionamento dos dispositivos, bem como para detetar possíveis anomalias no funcionamento dos dispositivos.

Enquanto utiliza os nossos Produtos ou Serviços, poderemos tratar:

• Informações sobre si (como nome, apelido, endereço de e-mail, número de telemóvel e a sua fotografia de conta).
• Informação que partilha connosco da lista de contactos do seu dispositivo ao convidar utilizadores para aderir ao Produto (como o endereço de e-mail ou o número de telemóvel de uma pessoa que convide para o Produto).
• Identificadores únicos para os nossos Serviços (como o seu nome de utilizador e palavra-passe).
• Identificadores únicos dos utilizadores ligados por si ao Produto, como o nome do utilizador, o papel do utilizador no Produto e o seu endereço de e-mail; informações sobre os seus dispositivos móveis e de desktop, como o tipo de dispositivo, sistema operativo e idioma do sistema.
• Dados baseados na localização de forma a podermos fornecer-lhe lembretes para armar/desarmar o sistema, se ativar a função Geofence na nossa app.
• Para utilizadores Android e iOS, o conteúdo das mensagens SMS com o código de autorização solicitado durante o registo ou alterações da conta.
• Informações sobre a forma como utiliza os nossos Produtos e Serviços (como pedidos da app ao nosso servidor).

Quando contacta a nossa equipa de suporte ao cliente, poderemos tratar as gravações de áudio das chamadas com a nossa equipa de suporte ao cliente.

Quando visita o nosso website, podemos tratar:

• As informações que fornece ao preencher os formulários, que podem conter os seus dados pessoais e de contacto.
• Identificadores de cookies (através da ferramenta em conformidade com RGPD).
• O seu endereço IP para determinar o seu país.

Em caso de cooperação comercial, podemos tratar:

• Informações pessoais e de contacto de representantes da empresa (nome, cargo, endereço de e-mail e número de telemóvel).
• Pedidos de parceiros e dos seus representantes autorizados (por exemplo, enviados para o endereço de e-mail de suporte, através de aplicações, mensageiros, etc.).
• Cartões de visita dos parceiros.

Durante comunicações personalizadas, entrevistas ou reuniões:

Se decidir entrar em contacto connosco ou candidatar-se a um emprego na Ajax, além dos dados recolhidos da forma descrita acima, também poderemos recolher e tratar dados pessoais adicionais que partilhar durante a comunicação e/ou nos documentos que fornecer (por exemplo, currículo/CV, carta de apresentação), incluindo, mas não se limitando a:

• Informações pessoais (nome, apelido, número de telemóvel, endereço de e-mail e fotografia).
• Identificadores únicos (por exemplo, nome de utilizador, login).
• Experiência profissional anterior.
• Informações sobre educação e formação.
• Certificados, diplomas e referências.
• Passatempos, interesses e outras preferências pessoais.

Para este tratamento, a lista (âmbito) de dados pessoais e outras informações pode ser posteriormente modificada, detalhada ou ampliada ao longo do processo. Ao mesmo tempo, a recolha e o tratamento dos dados pessoais necessários são limitados aos fins deste tratamento e são realizados em conformidade com os requisitos da legislação aplicável.

Além disso, ao tratar dados no contexto de comunicações comerciais ou personalizadas, ao lidar com pedidos de parceiros e cartões de visita, ao realizar reuniões, entrevistas, etc., bem como para otimizar operações e processos internos, Ajax pode utilizar tecnologias de inteligência artificial (doravante também referidas como «IA»).

Os dados tratados por inteligência artificial podem, em alguns casos, incluir dados pessoais que identificam uma pessoa singular, na medida em que tais dados:

1. estejam publicamente disponíveis;

2. tenham sido voluntariamente fornecidos por si.

Estes dados podem ser tratados pelas nossas ferramentas de IA e pelos nossos subcontratantes para auxiliar no tratamento dos seus pedidos. Na maioria dos casos, isto significa que a IA ajuda a preparar uma resposta inicial ou determina a categoria relevante do seu pedido. Em casos limitados, a IA pode gerar uma resposta diretamente para si, podendo sempre optar por contactar um funcionário de Ajax. O tratamento assistido por IA não resulta em qualquer decisão baseada exclusivamente no tratamento automatizado que produza efeitos jurídicos a seu respeito ou que o afete de forma significativamente semelhante.

Para o tratamento especificado que envolve inteligência artificial, contratamos prestadores de serviços que mantêm o nível necessário de proteção de dados pessoais.

É importante referir que o tratamento desses dados por Ajax é limitado e é realizado exclusivamente com o objetivo de melhorar a eficiência das operações internas e para fins conexos.

Qual é a finalidade e a base jurídica para o tratamento?

• Todos os dados que recebemosatravés dos nossos dispositivos de segurançaou durantea utilização dos nossos Produtos ou Serviços são tratados exclusivamente para lhe prestar os serviços de segurança solicitados. Isto significa que tratamos todos esses dados para executar um contrato que temos consigo. Significa também que não recolhemos quaisquer dados que não sejam especificamente necessários para lhe prestarmos tais serviços.
• Se decidirsubscrever a nossa newsletter, enviaremos e-mails com informações sobre nós e sobre as nossas atualizações mais recentes. Contamos com o consentimento , que nos dá ao confirmar a sua subscrição. Para além disso, personalizaremos estes e-mails com base na informação que temos sobre a sua pessoa, de modo a torná-los mais relevantes e mais úteis para si.
• Se tiverpartilhado registos de operações da sua app devido a um problema que tenha ocorrido, iremos tratá-los para resolver o seu problema técnico e para melhorar os nossos Produtos e Serviços. Tratamos estes registos com base no nosso interesse legítimo em tornar as nossas ofertas de mercado mais competitivas.
• Utilizamos os dados que partilha connosco a partir da lista de contactos do seu dispositivo quando convida utilizadores para o Produto (por exemplo, o endereço de e-mail ou o número de telefone de uma pessoa a quem envia o convite) para enviar o convite apenas a essas pessoas.
• Todos os dados que nos fornece voluntariamente — seja por e-mail, através de aplicações ou serviços de mensagens, ou através da partilha de cartões de visita ou currículos —, bem como os dados disponíveis publicamente, são tratados para garantir a eficiência dos processos internos, estabelecer cooperação comercial e/ou apoiar a comunicação personalizada.

Onde são armazenadas as informações?

Os dados pessoais que Ajax possa recolher são armazenados em infraestruturas na nuvem localizadas na Irlanda, Alemanha e França (no EEE); a seleção do local de armazenamento nestes países está sujeita à disponibilidade da infraestrutura da AWS.

Outros dados pessoais recolhidos por Ajax também podem ser armazenados em servidores e/ou armazenamento na nuvem localizados em várias jurisdições. Isto inclui o armazenamento com afiliadas do grupo de empresas Ajax, bem como com terceiros que sejam contratados, prestadores ou fornecedores de serviços Ajax, cujos servidores estejam localizados em países que ofereçam um nível adequado de proteção e segurança de dados pessoais.

Embora as leis de proteção de dados pessoais possam variar de país para país, Ajax aplica as salvaguardas descritas neste e noutros documentos internos, independentemente do local onde estes dados são armazenados.

Durante quanto tempo são conservadas as informações?

Conservamos os dados pessoais durante todo o período de cooperação com o cliente, exceto determinados tipos de informações, incluindo:

• lista de eventos nas aplicações móveis e de desktop Ajax (para utilizadores finais e PRO), incluindo Ajax Response:

  • limitada a 500 registos, conservados por um período máximo de 2 anos; 
  • limitada a 4000 registos para Ajax Superior MegaHub, conservados por um período máximo de 2 anos;

• Registo de eventos da Conta de empresa na aplicação Ajax PRO Desktop: conservado até ao limite máximo de 3,5 anos. Os ficheiros multimédia no registo de eventos da Conta da empresa são conservados por períodos que variam entre 7 dias e 2 anos, consoante as definições do perfil do cliente.

Alguns tipos de dados, como o nome, o cargo e os dados de contacto dos representantes especificados nos contratos, podem ser conservados após o termo do período de cooperação. Isto é necessário para cumprir as nossas obrigações legais.

• Apagamos sempre os dados pessoais após um cliente decidir encerrar a sua conta e enviar um pedido para privacy@ajax.systems. Nesses casos, deixamos de prestar serviços ao cliente e já não precisamos de conservar os seus dados.
• Os dados podem também permanecer em cópias de segurança cifradas por um período máximo de 12 meses, utilizadas exclusivamente para a recuperação em caso de desastre, sendo definitivamente eliminados após este período.
• Os ficheiros de registo nos nossos servidores são conservados por um período não superior a 7 dias.

Quem tem acesso ao sistema e à informação do lado de Ajax?

Ajax segue os princípios de minimização de acesso e do privilégio mínimo no acesso aos dados. Deste modo, o acesso aos dados apenas poderá ser concedido a funcionários de Ajax responsáveis pelo apoio à prestação de serviços e projetos. Quando os funcionários de Ajax acedem aos dados, os seus equipamentos estão protegidos por encriptação e outras ferramentas, em conformidade com os mais elevados padrões técnicos do setor. Todos os funcionários assinaram um acordo de confidencialidade e realizam anualmente uma avaliação de proteção de dados. Todas as ações dos funcionários são registadas e os registos são automaticamente verificados em tempo real. Se houver suspeita de acesso excessivo, restringimos o acesso e iniciamos imediatamente a investigação do caso. No entanto, destacamos que Ajax nunca acede a dados sem uma base jurídica válida para o fazer. Em alguns casos, Ajax pode ser instruído pelo utilizador (por sua conta e risco) a conceder acesso aos seus dados a terceiros prestadores de serviços por este selecionados (empresas de segurança, instaladores), através de aplicações móveis ou de desktop. Nesses casos, as empresas escolhidas pelo utilizador também terão acesso aos dados que o utilizador deseja transferir.

O que é que Ajax está a fazer para cumprir as leis globais de proteção de dados? Como é que Ajax demonstra conformidade com o RGPD?

Para cumprir as leis internacionais de proteção de dados, Ajax aplica um número significativo de medidas, mecanismos e procedimentos. Por exemplo, Ajax aplica os princípios da limitação do tratamento de dados (privacidade desde a conceção e por defeito), minimização dos dados e controlo de acessos, bem como políticas de tratamento de dados (políticas de conservação, tratamento, eliminação, etc.). Como parte das transferências de dados, Ajax recorre a várias medidas, incluindo medidas organizacionais e técnicas e Cláusulas Contratuais-Tipo. Pode encontrar mais informações sobre este assunto na secção Transferência de dados.

Como posso exercer os meus direitos de privacidade?

Para exercer os seus direitos de privacidade (para eliminar, opor-se ou ser informado sobre os seus dados pessoais, para restringir o tratamento, etc.) pode contactar-nos através do endereço de e-mail support@ajax.systems.

Transferência de dados

Com quem pode Ajax partilhar os meus dados? Que tipos de dados podem ser partilhados e em que casos?

Em geral, só partilhamos os seus dados pessoais quando tal for necessário para lhe prestar os serviços solicitados. Estes dados podem ser divulgados aos nossos fornecedores e prestadores de serviços que prestam determinados serviços necessários ao funcionamento dos nossos Produtos e Serviços. Isto inclui alojamento de dados, suporte técnico, comunicação, etc. Garantimos que tais prestadores protegem os dados com o mesmo nível de exigência que aplicamos.

Podemos partilhar os seus dados de contacto (como número de telemóvel, alcunha e e-mail) com prestadores de serviços de segurança física, se assim nos solicitar, selecionando um prestador na nossa aplicação. Tenha em atenção que estes prestadores de serviços atuarão como responsáveis pelo tratamento autónomos, sendo responsáveis pelos seus dados pessoais. Embora selecionemos parceiros de confiança cujos serviços estão disponíveis na nossa aplicação, recomendamos que consulte as respetivas políticas de privacidade antes de solicitar a transferência dos seus dados para as empresas selecionadas.

Para determinadas finalidades, Ajax pode utilizar os serviços de subcontratantes ulteriores terceiros fora do EEE. Estas finalidades podem incluir alojamento de dados, comunicação técnica para registo, instalação e outras atividades organizacionais por e-mail ou telemóvel.

Ajax envida todos os esforços para garantir que estas transferências sejam efetuadas em conformidade com todas as leis de proteção de dados aplicáveis. Deste modo, Ajax celebrou acordos de tratamento de dados com todos os subcontratantes ulteriores (incluindo CCT em casos de transferências internacionais de dados) e implementou medidas suplementares adicionais para a transferência e o tratamento de dados. Todos os subcontratantes ulteriores de Ajax dispõem das suas próprias políticas de privacidade e de outros documentos relativos à privacidade, os quais são regularmente analisados por especialistas de Ajax para garantir a conformidade.

Lista de subcontratantes ulteriores aprovados por Ajax:

O que são Cláusulas Contratuais-Tipo?

As cláusulas contratuais-tipo (CCT) são cláusulas de proteção de dados modelo, padronizadas e pré-aprovadas que permitem aos responsáveis pelo tratamento e subcontratantes cumprir as suas obrigações ao abrigo da legislação da UE sobre proteção de dados. Podem ser incorporadas por responsáveis pelo tratamento e subcontratantes nos seus acordos contratuais com outras partes, tais como parceiros comerciais. As cláusulas podem ser utilizadas numa base voluntária para demonstrar a conformidade com os requisitos de proteção de dados; a sua utilização exige um compromisso contratual vinculativo de cumprimento das mesmas. A Comissão Europeia tem a competência para adotar CCT (1) no que se refere à relação entre responsáveis pelo tratamento e subcontratantes e (2) para a transferência de dados pessoais para países fora do EEE.

O que são medidas complementares?

As medidas complementares são procedimentos técnicos e organizacionais especialmente implementados para alcançar um nível eficaz de garantia dos dados transferidos, equivalente ao assegurado no tratamento dos dados no EEE.

Ajax implementou medidas organizacionais, que incluem, entre outras, as seguintes:

• formação regular de sensibilização e avaliação dos funcionários de Ajax;
• sistema automatizado para monitorização em tempo real das violações e vulnerabilidades;
• registo contínuo de todos os processos;
• inspeção e validação regulares e personalizadas dos sistemas Ajax relativamente a vulnerabilidades.

Ajax implementou medidas técnicas que incluem, entre outras, as seguintes:

• Medidas para impedir que pessoas não autorizadas acedam aos sistemas de tratamento de dados disponíveis nas instalações (incluindo bases de dados, servidores de aplicações e hardware associado), onde os dados pessoais são tratados, incluindo a criação de áreas de segurança, restrição de vias de acesso, a definição de autorizações de acesso para funcionários e terceiros e trancamento de portas (trincos elétricos, etc.).
• Medidas para impedir que os sistemas de tratamento de dados sejam utilizados por pessoas não autorizadas, incluindo procedimentos de identificação e autenticação de utilizadores, procedimentos de segurança de ID/palavras-passe, encriptação de suportes de dados arquivados.
• Medidas para garantir que as pessoas com direito a utilizar um sistema de tratamento de dados tenham acesso apenas aos dados pessoais em conformidade com os seus direitos de acesso, e que os dados pessoais não possam ser lidos, copiados, modificados ou eliminados sem autorização, incluindo políticas e procedimentos internos, esquemas de autorização de controlo, direitos de acesso diferenciados (perfis, funções, transações e objetos), monitorização e registo de acessos, e sanções disciplinares contra os funcionários que acedam a dados pessoais sem autorização.
• Medidas para garantir que os dados pessoais não possam ser lidos, copiados, modificados ou eliminados sem autorização durante a transmissão eletrónica, o transporte ou o armazenamento em suportes de dados (manuais ou eletrónicos), e que seja possível verificar a que empresas ou outras entidades jurídicas podem ser divulgados os dados pessoais, incluindo encriptação, registo de atividades e segurança do transporte. Todos os dados pessoais são encriptados em repouso com o algoritmo AES-256 e transferidos via HTTPS com encriptação AES-128 e TLS 1.2.
• Medidas para monitorizar se e por quem os dados foram introduzidos, alterados ou removidos (eliminados) nos sistemas de tratamento de dados, incluindo sistemas de registo de eventos e relatórios, pistas de auditoria e documentação.
• Medidas para garantir que os dados pessoais estão protegidos contra a destruição ou perda acidentais (físicas ou lógicas), incluindo procedimentos de cópia de segurança, fontes de alimentação ininterrupta (UPS), armazenamento remoto, sistemas antivírus e de firewall, plano de recuperação de desastres e plano de continuidade de negócio.
• Medidas para garantir que os dados pessoais recolhidos para finalidades diferentes possam ser tratados separadamente, incluindo a separação de bases de dados, a limitação de utilização e a segregação de funções (produção/testes).

O que é uma avaliação do impacto da transferência?

A avaliação do impacto da transferência (TIA) é uma análise realizada por um responsável pelo tratamento de dados ou pelo subcontratante sobre as implicações de segurança da transferência de dados pessoais para países fora da UE/EEE, incluindo aqueles que não beneficiem de uma decisão de adequação.