O presente acordo de subcontratação (adiante o "DPA") enquadra o tratamento de dados pessoais efetuado por Expeteo SARL, société à responsabilité limitée de droit luxembourgeois, com sede em Op der Haart 28, L-9999 Wemperhardt, Luxembourg (RCS Luxemburgo B212614), que explora a marca Pulsar (adiante o "Subcontratante"), por conta do seu cliente (adiante o "Responsável pelo tratamento"), no âmbito do serviço Pulsar Analytics. Complementa as Condições Gerais e prevalece em caso de contradição apenas nas questões de proteção de dados. É celebrado em conformidade com o artigo 28.º do Regulamento (UE) 2016/679 ("RGPD").

1. Definições

Os termos "dados pessoais", "tratamento", "responsável pelo tratamento", "subcontratante", "titular dos dados", "violação de dados" e "autoridade de controlo" têm o sentido que lhes dá o artigo 4.º do RGPD. O "Serviço" designa o Pulsar Analytics; os "Dados de audiência" designam os dados tratados através do pixel nos sites do Responsável.

2. Papéis das partes

O Responsável pelo tratamento determina as finalidades e os meios do tratamento dos Dados de audiência dos seus próprios sites. O Subcontratante trata esses dados unicamente por conta e sob instruções documentadas do Responsável, para efeitos de prestação do Serviço. O Subcontratante não é responsável pela licitude da recolha decidida pelo Responsável (fundamento jurídico, informação aos visitantes), que cabe a este último.

3. Objeto, duração, natureza e finalidade do tratamento

Objeto e natureza: medição de audiência web sem cookies (recolha, agregação e apresentação de estatísticas). Finalidade: fornecer ao Responsável estatísticas de audiência agregadas, com exclusão de qualquer utilização publicitária, de personalização ou de retargeting. Duração: durante toda a vigência do contrato de Serviço. As categorias de dados e de titulares estão detalhadas no Anexo 1.

4. Obrigações do Subcontratante (artigo 28.º, n.º 3)

O Subcontratante compromete-se a:

• (a) tratar os dados apenas mediante instruções documentadas do Responsável, incluindo para transferências fora da UE, salvo obrigação legal (informando então o Responsável, salvo proibição legal);
• (b) assegurar que as pessoas autorizadas a tratar os dados estão sujeitas a um dever de confidencialidade;
• (c) aplicar as medidas de segurança exigidas pelo artigo 32.º (ver Anexo 2);
• (d) respeitar as condições de recurso a um subcontratante ulterior (artigo 5 abaixo);
• (e) auxiliar o Responsável, através de medidas técnicas e organizativas adequadas, a responder aos pedidos de exercício dos direitos dos titulares;
• (f) auxiliar o Responsável a assegurar o cumprimento das obrigações de segurança (art. 32.º), de notificação de violações (art. 33.º-34.º) e de avaliação de impacto (art. 35.º-36.º);
• (g) à escolha do Responsável, apagar ou devolver os dados no final da prestação e destruir as cópias existentes, salvo obrigação legal de conservação;
• (h) disponibilizar ao Responsável todas as informações necessárias para demonstrar o cumprimento do artigo 28.º e permitir a realização de auditorias (artigo 8 abaixo).

O Subcontratante informa imediatamente o Responsável se, no seu entender, uma instrução constituir uma violação do RGPD.

5. Subcontratantes ulteriores

O Responsável autoriza o recurso aos subcontratantes ulteriores enumerados no Anexo 3 (autorização geral). O Subcontratante informa o Responsável de qualquer adição ou substituição, deixando-lhe a possibilidade de se opor por motivo legítimo. O Subcontratante impõe a cada subcontratante ulterior, por contrato, obrigações de proteção de dados equivalentes às do presente DPA, e mantém-se responsável pela sua execução.

6. Segurança (artigo 32.º)

O Subcontratante aplica as medidas técnicas e organizativas descritas no Anexo 2, adequadas ao risco, nomeadamente: conceção sem cookies nem identificador persistente, truncagem/anonimização do endereço IP, cifragem em trânsito e em repouso, separação por site, controlo de acessos e registo.

7. Violações de dados (artigos 33.º-34.º)

Em caso de violação que afete os Dados de audiência, o Subcontratante notifica o Responsável sem demora injustificada após dela ter tomado conhecimento, com as informações úteis, a fim de permitir ao Responsável cumprir as suas próprias obrigações de notificação à autoridade de controlo e, se for caso disso, de comunicação aos titulares.

8. Auditorias

O Subcontratante disponibiliza as informações necessárias para demonstrar a sua conformidade e permite auditorias, incluindo inspeções, conduzidas pelo Responsável ou por um auditor mandatado, mediante pré-aviso razoável, no respeito da confidencialidade e da segurança, e sem perturbar o Serviço.

9. Transferências fora da União Europeia

Os Dados de audiência são tratados na Suíça, que beneficia de uma decisão de adequação da Comissão Europeia. Os únicos dados tratados na União Europeia são os de faturação, na Stripe (Irlanda). Nenhuma transferência para fora deste espaço é realizada sem fundamento jurídico adequado na aceção dos artigos 44.º a 49.º do RGPD (nomeadamente cláusulas contratuais-tipo).

10. Fim do contrato

No final da prestação, o Subcontratante apaga ou devolve os Dados de audiência à escolha do Responsável, e apaga as cópias existentes, salvo obrigação legal de conservação. Os dados em bruto são, em todo o caso, apagados no máximo 25 meses após a sua recolha (prazo de conservação aplicado automaticamente).

11. Responsabilidade e direito aplicável

A responsabilidade das partes é regida pelas Condições Gerais e pelo artigo 82.º do RGPD. O presente DPA está sujeito ao direito luxemburguês; os tribunais do Grão-Ducado do Luxemburgo são competentes, sem prejuízo das regras imperativas aplicáveis.

---

Anexo 1: descrição do tratamento

• Categorias de titulares: visitantes dos sites do Responsável.
• Categorias de dados: dados técnicos de navegação agregados e pseudonimizados (páginas consultadas, origem/referenciador, canal, UTM, tipo de dispositivo, navegador, sistema, país derivado de um IP truncado, data e hora, eventos e profundidade de deslocamento). Quando a opção mapas de calor é ativada pelo Responsável para um site: posições agregadas de cliques e amostra de movimentos do cursor, contabilizados por célula e por página, sem identificador e sem reconstituição de uma navegação individual; os campos de formulário e as zonas mascaradas (data-pulsar-mask) são excluídos. Sem identificador persistente: o identificador de visitante é um hash diário não persistente (menos de 24 horas). Sem dados diretamente identificantes, sem categorias especiais na aceção do artigo 9.º.
• Natureza e finalidade: medição de audiência estatística agregada (incluindo, em opção, mapas de calor agregados).
• Duração: vigência do contrato; dados em bruto conservados no máximo 25 meses; dados agregados de mapas de calor conservados no máximo 12 meses.

Anexo 2: medidas técnicas e organizativas

• Ausência de cookies e de armazenamento no equipamento; ausência de fingerprinting.
• Endereço IP utilizado unicamente para derivar um país, depois truncado/anonimizado imediatamente, nunca conservado em texto simples.
• Identificador de visitante: hash rotativo diário não persistente, calculado com um sal secreto; separação por site (sem cruzamento entre sites).
• Cifragem dos dados em trânsito (HTTPS) e em repouso.
• Controlo de acessos, registo, limitação de débito do ponto de recolha.
• Minimização dos dados e purga automática após o prazo de conservação.
• Alojamento dos Dados de audiência na Suíça (Infomaniak, Genebra).

Anexo 3: subcontratantes ulteriores autorizados

• Infomaniak Network SA (Suíça): alojamento da aplicação e do servidor de recolha.
• Stripe Payments Europe, Limited (Irlanda, UE): tratamento dos pagamentos (dados de conta/faturação, fora dos Dados de audiência).

Para receber uma versão assinada deste DPA ou colocar uma questão, escreva para privacy@pulsar.lu. Este documento constitui uma base contratual padrão; recomenda-se a sua validação pelo seu consultor jurídico.