Acordo de Tratamento de Dados

1. Partes

O presente Acordo de Tratamento de Dados (o "DPA") é celebrado entre o profissional titular de uma conta de parceiro Momentzy (o "Responsável pelo Tratamento") e a Momentzy, com sede em Lisboa, Portugal (o "Subcontratante"). Faz parte dos Termos de Utilização e aplica-se a partir do momento em que o Responsável pelo Tratamento o aceita na Momentzy.

Quanto aos dados pessoais descritos abaixo, o Responsável pelo Tratamento decide para que fins e por que meios os dados são tratados e a Momentzy trata-os por conta dele, como previsto no artigo 28.º do Regulamento (UE) 2016/679 (RGPD).

2. Objeto e duração

O objeto é o tratamento dos dados pessoais que o Responsável pelo Tratamento recolhe ou recebe através da Momentzy quando usa a plataforma com os seus clientes, nos casos indicados na secção seguinte.

O DPA dura enquanto existir a conta de parceiro do Responsável pelo Tratamento e, depois disso, enquanto a Momentzy ainda conservar dados por ele abrangidos (ver a secção sobre eliminação ou devolução).

3. Natureza e finalidade do tratamento

A Momentzy trata os dados apenas para prestar ao Responsável pelo Tratamento os seguintes serviços:

• alojar as galerias do Responsável pelo Tratamento e as fotografias e vídeos que nelas estão;
• manter a lista de visitantes de uma galeria (nome e e-mail das pessoas que assinalaram a caixa facultativa à porta da galeria) e disponibilizá-la ao Responsável pelo Tratamento, incluindo em exportação CSV;
• tratar os pedidos de impressão que os convidados fazem nas galerias do Responsável pelo Tratamento, para que este os possa cumprir;
• pesquisa por rosto numa galeria ou evento, apenas quando o Responsável pelo Tratamento ativou esta funcionalidade.

Fora deste âmbito, a Momentzy atua como responsável pelo tratamento por direito próprio, por exemplo no contador anónimo de entradas, na segurança e na faturação, como descrito na Política de Privacidade.

4. Categorias de dados e de titulares

Os dados tratados ao abrigo deste DPA são:

• nome e endereço de e-mail dos visitantes da galeria que os indicaram;
• datas e número de visitas a uma galeria;
• fotografias e vídeos carregados nas galerias e nos eventos do Responsável pelo Tratamento;
• contactos e morada de entrega nos pedidos de impressão;
• vetores faciais (representações numéricas de rostos), apenas se o Responsável pelo Tratamento ativou a pesquisa por rosto.

Os titulares dos dados são os convidados e visitantes das galerias do Responsável pelo Tratamento, os participantes nos seus eventos, os seus clientes e as pessoas que aparecem nas fotografias.

Os vetores faciais são dados biométricos (art. 9.º do RGPD). O Responsável pelo Tratamento tem de ter um fundamento de licitude válido, normalmente o consentimento explícito das pessoas em causa, antes de ativar a pesquisa por rosto. A Momentzy não trata categorias especiais de dados para nenhuma outra finalidade.

5. Obrigações do Responsável pelo Tratamento

O Responsável pelo Tratamento confirma que tem fundamento de licitude para o tratamento, que informa os titulares como a lei exige e que as suas instruções à Momentzy cumprem o RGPD. É responsável pelo que fizer com os dados que exportar da Momentzy, incluindo a lista de visitantes.

6. Obrigações da Momentzy

A Momentzy compromete-se a:

• tratar os dados apenas mediante instruções documentadas do Responsável pelo Tratamento, que são este DPA e a utilização que ele faz das funcionalidades da plataforma, e a avisá-lo se considerar que uma instrução viola a lei de proteção de dados;
• garantir que as pessoas autorizadas a tratar os dados estão sujeitas a confidencialidade;
• aplicar medidas técnicas e organizativas de segurança adequadas (art. 32.º do RGPD), incluindo cifragem em trânsito, controlo de acessos, separação de contas, cópias de segurança e monitorização;
• ajudar o Responsável pelo Tratamento a responder aos pedidos dos titulares (acesso, retificação, apagamento, retirada do consentimento), nomeadamente através dos formulários de retirada e de eliminação disponíveis para os visitantes;
• notificar o Responsável pelo Tratamento sem demora injustificada depois de tomar conhecimento de uma violação de dados pessoais que afete os dados dele, com a informação de que dispuser, e ajudá-lo na notificação à autoridade e aos titulares;
• ajudar o Responsável pelo Tratamento nas avaliações de impacto sobre a proteção de dados e nas consultas prévias, quando digam respeito a este tratamento.

7. Subcontratantes ulteriores

O Responsável pelo Tratamento dá à Momentzy autorização geral para recorrer a subcontratantes ulteriores.

Os que estão em uso à data desta versão são:

• Cloudflare, Inc.: armazenamento de objetos (R2) para fotografias e vídeos, e rede e entrega de conteúdos;
• Brevo (Sendinblue SA): envio de e-mails transacionais;
• Stripe, Inc.: processamento de pagamentos de pedidos de impressão e de subscrições;
• os servidores onde correm a aplicação, a base de dados e o serviço de pesquisa por rosto, operados pela Momentzy.

A Momentzy informa o Responsável pelo Tratamento de qualquer acréscimo ou substituição previsto de um subcontratante ulterior, por e-mail ou nesta página, antes de produzir efeitos, e o Responsável pelo Tratamento pode opor-se com fundamentos razoáveis de proteção de dados. Se a oposição não se resolver, pode encerrar a conta.

A Momentzy impõe a cada subcontratante ulterior obrigações equivalentes às deste DPA e continua a responder perante o Responsável pelo Tratamento pelo seu cumprimento.

8. Transferências internacionais

A Momentzy guarda os dados na União Europeia ou no Espaço Económico Europeu sempre que possível. Quando um subcontratante ulterior transfere dados para fora do EEE, fá-lo apenas ao abrigo de uma decisão de adequação ou das cláusulas contratuais-tipo aprovadas pela Comissão Europeia, com as medidas suplementares que forem necessárias.

9. Eliminação ou devolução dos dados

O Responsável pelo Tratamento pode exportar a lista de visitantes e as fotografias a qualquer momento enquanto a conta estiver ativa. Quando a conta terminar, ou ele o pedir, a Momentzy elimina os dados abrangidos por este DPA, dentro dos prazos de conservação descritos na Política de Privacidade, salvo se a lei a obrigar a guardar alguns (por exemplo registos de faturação).

Eliminar uma galeria elimina a sua lista de visitantes. Um visitante que retire o consentimento sai da lista.

10. Auditorias

A Momentzy disponibiliza ao Responsável pelo Tratamento, mediante pedido escrito, a informação necessária para demonstrar o cumprimento deste DPA. O Responsável pelo Tratamento pode realizar uma auditoria, uma vez por ano ou após uma violação de dados, com aviso prévio razoável, sem perturbar o serviço e com dever de confidencialidade.

11. Responsabilidade

A responsabilidade entre as partes rege-se pelos Termos de Utilização, incluindo os seus limites. Nada neste DPA limita os direitos dos titulares dos dados contra qualquer das partes ao abrigo do artigo 82.º do RGPD.

12. Lei aplicável e prevalência

Este DPA rege-se pela lei portuguesa. No que respeita ao tratamento de dados pessoais, prevalece sobre os Termos de Utilização em caso de conflito.

As dúvidas sobre este DPA podem ser enviadas para o contacto abaixo.

Contacto de privacidade: support@momentzy.com

13. Aceitação e versões

O Responsável pelo Tratamento aceita este DPA ao assinalar a caixa quando cria uma conta de parceiro, ou ao carregar no botão de aceitar no seu painel. A Momentzy regista a data, a versão e o utilizador que aceitou. Quando o texto mudar, a versão muda e o Responsável pelo Tratamento é convidado a aceitar de novo. Até lá, as funcionalidades que dependem dele, como a lista de visitantes, ficam fechadas.