Acordo de Tratamento de Dados (DPA — art. 28.º RGPD)
Este Acordo de Tratamento de Dados regula o tratamento de dados pessoais realizado pela Omera (subcontratante) por conta da empresa cliente (responsável pelo tratamento), no âmbito da prestação do serviço, nos termos do artigo 28.º do RGPD.
1. Objeto e duração
Objeto: o tratamento de dados pessoais necessário à prestação do serviço de gestão de frota e conformidade. Duração: vigência do contrato de subscrição. O acordo cessa com o termo do contrato, sem prejuízo das obrigações que por natureza sobrevivam (confidencialidade, eliminação e deveres legais de conservação).
2. Natureza e finalidade do tratamento
Recolha, registo, organização, armazenamento, consulta, exportação e eliminação de dados, com a finalidade de operar o serviço (autenticação, gestão de frota e atividade, geração de relatórios, notificações, faturação e suporte).
3. Categorias de dados e titulares
- Titulares: utilizadores administrativos das empresas cliente e condutores cujos dados de atividade sejam geridos na plataforma.
- Dados: identificação e conta, permissões/papel, dados de frota e de atividade (jornadas), dados de faturação e registos técnicos.
4. Obrigações do subcontratante
- Tratar os dados apenas segundo instruções documentadas do responsável.
- Garantir confidencialidade das pessoas autorizadas a tratar os dados.
- Implementar medidas técnicas e organizativas adequadas (ver secção 6).
- Assistir o responsável no cumprimento das suas obrigações (ver secção 7).
5. Subcontratantes ulteriores
O responsável autoriza o recurso aos seguintes subcontratantes ulteriores, necessários à operação do serviço:
- Google Cloud Platform / Google Ireland Limited — Cloud Run, Firestore, Firebase Auth, FCM e alojamento (regiões UE).
- Stripe Payments Europe Limited — pagamentos e faturação.
- Microsoft Ireland Operations Limited — Microsoft Graph, envio de email transacional.
A lista mantida e detalhada consta da Lista de Subcontratantes. Alterações a esta lista são comunicadas ao responsável.
6. Medidas de segurança
- Isolamento multi-tenant por identificador de empresa.
- Controlo de acessos por papel e permissões granulares; autenticação via Firebase Auth.
- Alojamento em Google Cloud Run, em regiões da União Europeia.
- Cifra em trânsito (TLS) e cifra em repouso no Firestore (predefinição GCP).
- Pagamentos tratados pela Stripe (o prestador não armazena dados completos de cartão).
Os perfis de consultoria da Omera podem aceder transversalmente às empresas para suporte e administração da plataforma. Esse acesso é limitado ao pessoal autorizado e sujeito a confidencialidade.
7. Assistência ao responsável
A Omera assiste o responsável no cumprimento dos pedidos de exercício de direitos dos titulares e nas obrigações de segurança, avaliação de impacto e consulta prévia, na medida do aplicável e do que for razoável tendo em conta a natureza do tratamento. Os pedidos devem ser enviados para omera@omera.pt.
8. Notificação de incidentes
A Omera notifica o responsável, sem demora injustificada, após ter conhecimento de uma violação de dados pessoais, nos termos do artigo 33.º, n.º 2, do RGPD, por email para o contacto administrativo da empresa e para omera@omera.pt.
9. Eliminação ou devolução no fim do contrato
No termo da prestação do serviço, a Omera elimina ou anonimiza os dados pessoais tratados por conta do responsável, salvo obrigação legal de conservação. Os dados de faturação são conservados pelo prazo de 10 anos, nos termos do artigo 52.º do CIVA. A empresa pode exportar os seus dados através das funcionalidades do dashboard.
10. Auditorias e direitos de verificação
O responsável dispõe dos direitos de auditoria e de obtenção de informação previstos no artigo 28.º, n.º 3, alínea h), do RGPD. As condições concretas de exercício são acordadas caso a caso, sem aceder a dados de outras empresas cliente.