Acordo de tratamento de dados

1. Detalhes do tratamento

• Objeto e duração: fornecer o Carreh for Business durante a vigência do contrato e até à eliminação nos termos da secção 10.
• Natureza e finalidade: alojar, organizar, ler (incluindo com IA), apresentar, exportar e eliminar registos de viagens e despesas, conforme o Cliente configura e instrui.
• Titulares dos dados: os colaboradores, prestadores de serviços e outros utilizadores do Cliente, e as pessoas nomeadas nos seus registos de viagens e despesas.
• Dados pessoais: dados de identidade e contacto, função e departamento, pedidos de viagem, itinerários, reservas e documentos de viagem, recibos, despesas, reembolsos, aprovações e comentários, registos de início de sessão.
• Special categories: none intended. Travel documents may incidentally contain identity document numbers; the Customer only uploads them where it has a lawful basis.

2. Instruções

A Carreh trata dados pessoais apenas segundo as instruções documentadas do Cliente, que são os Termos, este DPA e a utilização e configuração do Serviço pelo Cliente, salvo se a legislação da UE ou de um Estado-Membro exigir o contrário; nesse caso, a Carreh informa primeiro o Cliente, salvo se a lei o proibir. A Carreh informa o Cliente se considerar uma instrução ilícita.

3. Confidencialidade

Todos na Carreh autorizados a tratar os dados pessoais estão vinculados por confidencialidade.

4. Segurança

A Carreh implementa as medidas técnicas e organizativas do Anexo 1 e mantém-nas adequadas ao risco. A Carreh pode atualizá-las desde que o nível global de proteção não diminua.

5. Subcontratantes

O Cliente autoriza a Carreh a utilizar os subcontratantes aqui indicados. A Carreh avisa os Proprietários do espaço de trabalho com pelo menos 30 dias de antecedência, por email, da introdução de um novo subcontratante. O Cliente pode opor-se com fundamentos razoáveis de proteção de dados; se não for encontrada uma solução, o Cliente pode terminar o Serviço afetado e receber um reembolso das taxas pré-pagas relativas ao período restante. A Carreh impõe a cada subcontratante obrigações de proteção de dados equivalentes às deste DPA e continua a ser responsável por eles.

6. Transferências internacionais

Quando os dados pessoais são transferidos para fora do Espaço Económico Europeu para um país sem decisão de adequação, a Carreh recorre às Cláusulas Contratuais-Tipo da Comissão Europeia, com medidas adicionais quando necessário.

7. Assistência

Tendo em conta a natureza do tratamento, a Carreh ajuda o Cliente a responder a pedidos de titulares de dados (o Serviço permite aos Proprietários e Administradores encontrar, exportar, corrigir e eliminar registos), e com segurança, notificações de violações, avaliações de impacto e consultas às autoridades de controlo.

8. Violações de dados pessoais

A Carreh notifica o Cliente sem demora injustificada, e o mais tardar 48 horas após tomar conhecimento de uma violação de dados pessoais que afete dados pessoais do Cliente, com as informações disponíveis no momento, e depois atualiza-as à medida que a investigação prossegue.

9. Devolução e eliminação

O Cliente pode exportar os seus dados em qualquer momento. Quando o contrato termina, o Cliente tem 30 dias para exportar; a Carreh elimina então os dados pessoais no prazo de 90 dias, exceto quando a legislação da UE ou do Estado-Membro exija a sua conservação. As cópias de segurança são substituídas no seu ciclo normal.

10. Auditorias

A Carreh disponibiliza as informações necessárias para demonstrar a conformidade com este DPA. O Cliente pode auditar uma vez por ano, com 30 dias de aviso prévio por escrito, durante o horário de trabalho, sob confidencialidade e a suas expensas, ou basear-se nas certificações independentes atuais dos subcontratantes da Carreh quando abranjam o tratamento.

11. Responsabilidade e precedência

As limitações de responsabilidade dos Termos aplicam-se a este DPA, na medida permitida por lei. Para o tratamento de dados pessoais, este DPA prevalece sobre os Termos.

12. Anexo 1: medidas técnicas e organizativas

• Separação: o Carreh for Business tem contas, base de dados, armazenamento e chaves próprios, separados das aplicações de consumo da Carreh. Os dados de cada empresa são mantidos separados e cada pedido é verificado face à associação e função do utilizador na empresa.
• Controlo de acessos: códigos de início de sessão únicos enviados por email; sessões armazenadas apenas como hashes; os colaboradores da Carreh precisam de um código por email e de uma passkey; os colaboradores autorizados abrem o conteúdo do espaço de trabalho apenas para prestar apoio, manter o Serviço seguro, prevenir fraudes e cumprir obrigações legais, e cada abertura é registada no registo de ações do espaço de trabalho.
• Monitorização: os inícios de sessão e as ações são registados com rede e dispositivo; verificações automáticas sinalizam inícios de sessão invulgares, recibos duplicados ou alterados e abusos, e bloqueiam redes abusivas.
• Encriptação: TLS em trânsito; encriptação em repouso pelo fornecedor de alojamento; segredos de autenticação encriptados com AES-256-GCM; códigos e tokens com hash SHA-256 e uma chave secreta.
• Registo: um registo de ações apenas de adição, à prova de adulteração, de inícios de sessão e ações administrativas.
• Resiliência: base de dados gerida com recuperação point-in-time e cópias de segurança; procedimentos de restauro testados antes do lançamento.
• Desenvolvimento: revisão de código, testes automatizados, incluindo testes que garantem que uma empresa não consegue aceder aos dados de outra; segredos mantidos fora do código-fonte.
• Minimização: sem rastreadores publicitários; os fornecedores de IA não treinam com dados dos Clientes.