Acordo de tratamento de dados

Este acordo é um anexo dos termos do serviço. Aplica-se automaticamente quando adiciona o script do Statsdot aos seus sites, sem assinatura separada. Se este acordo e os termos divergirem quanto à proteção de dados pessoais, prevalece este acordo.

1. Partes

Responsável pelo tratamento: o cliente titular da conta Statsdot, para os dados dos visitantes dos seus sites.

Subcontratante:

Mihai Stana Ionescu
NIF: 03236201D
Morada: Ana Frank, 20, Valdemoro Madrid Spain
Email: [email protected]

Os dados da sua própria conta e de faturação, incluindo os endereços de email das pessoas que convida para a sua equipa, não estão abrangidos aqui: para esses somos responsáveis pelo tratamento, como explica a política de privacidade.

2. Objeto e duração

Tratamos dados pessoais para lhe prestar o Statsdot. O acordo dura enquanto a sua conta existir e, depois, até os dados terem sido apagados conforme a secção 12.

3. Natureza e finalidade

Recolher, guardar, agregar e mostrar as visitas aos seus sites, para que possa medir a sua audiência. Os dados servem apenas as suas próprias estatísticas: nunca são vendidos, partilhados com terceiros nem usados para publicidade ou definição de perfis.

4. Categorias de dados e titulares

Visitantes dos seus sites. Por cada visualização de página ou evento, o Statsdot guarda:

• o endereço da página sem parâmetros de consulta;
• o domínio do site de origem, não o endereço completo;
• as etiquetas de campanha UTM (origem, meio, campanha);
• o nome do evento e uma etiqueta opcional, como o endereço de uma ligação externa;
• o país, tal como indicado pela Cloudflare;
• o tipo de dispositivo, deduzido da largura do ecrã;
• o navegador e o sistema operativo;
• a hora;
• um código de visitante calculado a partir do endereço IP, da cadeia do navegador e de uma chave aleatória apagada todos os dias.

O servidor recebe o endereço IP e a cadeia completa do navegador em cada pedido, como qualquer servidor web. São usados em memória para calcular o código de visitante e filtrar bots, e não são guardados. O endereço IP também serve para limitar o número de pedidos: o contador fica guardado sob um hash do endereço IP que expira ao fim de um minuto. Como a chave do código de visitante muda todos os dias, não é possível seguir a mesma pessoa de um dia para o outro.

Não são tratadas categorias especiais de dados na aceção do artigo 9.º do RGPD.

5. Instruções

Tratamos os dados apenas segundo as suas instruções documentadas. Os termos, este acordo e as definições da sua conta (sites, objetivos, ligações partilhadas, widget em tempo real, relatório semanal) são as suas instruções. Só os tratamos de outra forma se o direito da UE ou de um Estado-Membro o exigir e, nesse caso, informamo-lo antes, salvo se esse direito o proibir. Se considerarmos que uma instrução viola a legislação de proteção de dados, dizemos-lhe.

6. Confidencialidade

Todas as pessoas autorizadas a tratar os dados estão sujeitas a confidencialidade.

7. Segurança

Aplicamos as medidas técnicas e organizativas do anexo. Podemos atualizá-las, desde que o nível de proteção não diminua.

8. Subcontratantes ulteriores

Dá-nos uma autorização geral para recorrer a subcontratantes ulteriores. Os atuais são os indicados na política de privacidade:

• Alojamento: Contabo GmbH, servidores na Alemanha. As estatísticas e os dados das contas são guardados aí.
• Rede e segurança: Cloudflare, Inc. Os pedidos a statsdot.com e ao ponto de recolha passam pela sua rede, que vê os endereços IP em trânsito mas não guarda as estatísticas.
• Email: Mailgun Technologies, Inc., para os emails da conta.
• Pagamentos: Stripe. Trata apenas os seus próprios dados de faturação, nunca dados de visitantes.

Avisamo-lo por email 30 dias antes de adicionar ou substituir um subcontratante ulterior. Pode opor-se nesse prazo escrevendo para [email protected]. Se não conseguirmos resolver a objeção, pode cancelar antes de a alteração produzir efeitos. Impomos a cada subcontratante ulterior as mesmas obrigações de proteção de dados e continuamos responsáveis perante si pelo seu trabalho.

9. Transferências internacionais

As estatísticas e os dados das contas são guardados na Alemanha. Os pedidos passam pela rede da Cloudflare, Inc., uma empresa dos EUA, pelo que os dados podem sair da UE em trânsito. Estas transferências estão cobertas pelo Quadro de Privacidade de Dados UE-EUA e por cláusulas contratuais-tipo.

10. Assistência

Ajudamo-lo, tendo em conta a natureza do tratamento e a informação de que dispomos:

• a responder aos pedidos dos titulares que exercem os seus direitos. Os dados de visitantes que guardamos não podem ser associados a uma pessoa identificada, o que na maioria dos casos limita o que se pode encontrar para um pedido;
• nas avaliações de impacto sobre a proteção de dados e nas consultas prévias a uma autoridade de controlo;
• a cumprir as suas obrigações de segurança.

11. Violações de dados pessoais

Avisamo-lo sem demora injustificada depois de termos conhecimento de uma violação de dados pessoais que afete os seus dados, com a informação que tivermos sobre a sua natureza, as consequências prováveis e as medidas tomadas, para que possa cumprir as suas próprias obrigações de notificação.

12. Apagamento

• As visitas são apagadas automaticamente quando ultrapassam o prazo de conservação do seu plano, no máximo 24 meses.
• Quando apaga um site, as suas estatísticas são apagadas.
• Quando apaga a sua conta, todos os seus dados são apagados.
• Se um período experimental terminar sem plano (a conta nunca teve uma subscrição nem um plano atribuído manualmente), as visitas continuam a ser registadas durante 7 dias e é avisado por email quando o período termina. Passados esses 7 dias, todas as visitas dos sites da conta são apagadas e o registo para. A conta e os seus sites mantêm-se.

As cópias de segurança são substituídas no prazo de 30 dias.

Ainda não existe uma exportação automática das visitas guardadas. Se o pedir para [email protected] antes de fechar a sua conta, entregamos-lhe os dados que guardamos dos seus sites ou apagamo-los, como preferir.

13. Informação e auditorias

A pedido, por email para [email protected], fornecemos-lhe a informação necessária para demonstrar o cumprimento deste acordo. Permitimos e contribuímos para auditorias e inspeções feitas por si ou por um auditor que designe, com um pré-aviso razoável.

Anexo: medidas técnicas e organizativas

• Cifragem em trânsito: o painel, o script de medição e o ponto de recolha são servidos apenas por TLS.
• Cópias de segurança: cifradas e guardadas durante 30 dias.
• Acesso: o acesso aos servidores, à base de dados e às cópias de segurança está limitado às pessoas que operam o serviço. As palavras-passe são guardadas como hash. Dentro de uma conta, os membros da equipa são leitores ou gestores; só o titular da conta gere a faturação e a equipa.
• Rotação diária da chave: a chave do código de visitante é apagada todos os dias, pelo que cada visitante é contado uma vez por dia e não pode ser seguido de um dia para o outro.
• Sem cookies nem armazenamento no dispositivo: o script de medição não define cookies e não usa armazenamento local nem impressão digital do dispositivo.
• Minimização de dados: não são guardados endereços IP nem cadeias completas do navegador; os endereços das páginas são guardados sem parâmetros de consulta e as origens apenas como domínio.
• Conservação: as visitas que ultrapassam o prazo de conservação do plano, no máximo 24 meses, são apagadas automaticamente todos os dias.