1. Objeto e funções

O cliente é responsável pelo tratamento na aceção do art. 4.º, n.º 7, do RGPD relativamente aos dados pessoais que ele ou os seus utilizadores tratam na STRYK («dados de tratamento»). A Nextpulse trata os dados de tratamento na qualidade de subcontratante.

O objeto do tratamento é a disponibilização, a exploração, a manutenção, a cópia de segurança e o suporte da STRYK nos termos do contrato principal, incluindo os contratos de teste.

Para fins próprios – gestão contratual, faturação, contas de identidade Nextpulse ID, segurança da plataforma, prevenção de abusos e exercício de direitos –, a Nextpulse atua como responsável pelo tratamento autónomo; estes tratamentos são descritos na Política de Privacidade.

2. Duração

O acordo vigora pela duração do contrato principal, incluindo o período de transição e de recuperação após o termo do contrato, e para além disso, enquanto a Nextpulse tratar dados de tratamento, até à sua eliminação nos termos do n.º 14.

3. Natureza e finalidade do tratamento

Natureza do tratamento: recolha, registo, conservação, organização, adaptação, consulta, utilização, transmissão a destinatários escolhidos pelo cliente, cruzamento, limitação, cópia de segurança, restabelecimento e eliminação. A finalidade é a prestação das funcionalidades utilizadas pelo cliente, designadamente:

gestão hoteleira: reservas, quartos, ocupação, housekeeping, perfis de hóspedes, faturas, estado de pagamento, lançamentos financeiros, análises e organização do pessoal;
Booking Engine, website do hóspede, check-in online, portal do hóspede e quiosque, incluindo o registo de dados de comunicação às autoridades e de documentos de identificação, na medida em que o cliente ative estas funcionalidades;
comunicação com hóspedes por correio eletrónico e noutros canais, incluindo análise assistida por IA, propostas de resposta e respostas automáticas, na medida em que estejam ativadas;
distribuição de disponibilidades, preços e reservas através do channel manager, na medida em que esteja ativado;
ligação a sistemas de pagamento, de caixa, bancários e outros sistemas, na medida em que o cliente os tenha ativado;
importação de dados de sistemas anteriores, análise de erros, suporte e medidas de segurança, na medida em que sejam necessárias para a prestação.

4. Titulares dos dados e categorias de dados

Hóspedes, acompanhantes, pessoas que reservam e interessados: dados de identidade e de contacto, dados de estadia e de reserva, preferências, conteúdos de comunicações, dados de faturação e de estado de pagamento, dados de comunicação às autoridades e de registo de hóspedes.
Dados de documentos de identificação: informações de documentos de viagem e imagens de documentos de identificação, na medida em que o cliente utilize a respetiva funcionalidade.
Colaboradores e utilizadores do cliente: nome, dados de contacto, função, atribuição de serviço e de tarefas, registos de atividade e de acesso.
Clientes empresariais, fornecedores e parceiros de negócio: dados mestre, de contacto, contratuais e de faturação.
Categorias especiais de dados pessoais na aceção do art. 9.º do RGPD, por exemplo dados de saúde em pedidos dos hóspedes, apenas se o cliente decidir registar tais dados e dispuser de uma base jurídica para o efeito.
Não são tratados números completos de cartões, códigos de verificação de cartões nem credenciais de homebanking; os meios de pagamento são tratados pelo prestador de serviços de pagamento do cliente.

5. Instruções

A Nextpulse trata os dados de tratamento apenas mediante instrução documentada do cliente, inclusive no que respeita à transferência para países terceiros, salvo se for obrigada a tratar os dados pelo direito da União ou de um Estado-Membro; nesse caso, comunica ao cliente esses requisitos legais antes do tratamento, salvo se o direito proibir tal comunicação.

O contrato principal, o presente acordo e a configuração e utilização das funcionalidades pelo cliente constituem as instruções. Instruções individuais são dadas em forma de texto.

Se a Nextpulse entender que uma instrução viola disposições de proteção de dados, informa o cliente sem demora e pode suspender a execução até à confirmação ou alteração da instrução.

6. Confidencialidade

A Nextpulse garante que as pessoas autorizadas a tratar os dados se comprometeram com a confidencialidade ou estão sujeitas a um dever legal de sigilo adequado. Os acessos a dados de tratamento só ocorrem na medida em que sejam necessários para a exploração, a segurança ou o suporte. Medidas de suporte com efeitos de alteração na gestão da plataforma são registadas com fundamentação.

7. Segurança do tratamento

A Nextpulse adota as medidas técnicas e organizativas exigidas pelo art. 32.º do RGPD. Estas estão descritas no n.º 17. A Nextpulse pode adaptar as medidas ao progresso técnico, desde que não fique abaixo do nível de proteção.

8. Subcontratantes ulteriores

O cliente concede uma autorização geral para a contratação das empresas indicadas na lista de subcontratantes ulteriores. A Nextpulse informa o cliente, em forma de texto, pelo menos 30 dias antes da contratação de um novo subcontratante ulterior ou da substituição de um existente.

O cliente pode opor-se à alteração, em forma de texto, no prazo de 14 dias após a receção da informação, por motivo grave de proteção de dados. As partes procurarão uma solução consensual. Se não for alcançada, o cliente pode denunciar o contrato ou a parte contratual afetada com efeitos na data de utilização; remunerações pagas antecipadamente para o período posterior são reembolsadas proporcionalmente.

Se uma substituição for necessária a curto prazo para afastar um perigo agudo para a segurança ou a disponibilidade, a Nextpulse informa sem demora a posteriori; aplica-se em conformidade o direito de oposição e de denúncia.

A Nextpulse impõe a cada subcontratante ulterior, por via contratual, essencialmente as mesmas obrigações de proteção de dados estabelecidas no presente acordo, e responde perante o cliente pelo seu cumprimento.

9. Direitos dos titulares dos dados

A Nextpulse apoia o Cliente, através de medidas técnicas e organizativas adequadas, na resposta aos pedidos dos titulares dos dados, prioritariamente através das funções disponíveis no STRYK, em particular para retificação, exportação de dados e apagamento ou anonimização de perfis de hóspedes. Caso essas funções não sejam suficientes para um pedido, a Nextpulse disponibiliza, a pedido do Cliente e no prazo de dez dias úteis, os dados do titular tratados por conta do Cliente num formato de uso corrente e de leitura automática, ou apaga-os. Se um titular dos dados se dirigir diretamente à Nextpulse, a Nextpulse reencaminha o pedido ao Cliente no prazo de cinco dias úteis e não lhe responde diretamente, salvo obrigação legal.

10. Apoio em matéria de segurança, avaliação de impacto e consulta prévia

A Nextpulse apoia o cliente, tendo em conta a natureza do tratamento e as informações disponíveis, no cumprimento das obrigações nos termos dos art. 32.º a 36.º do RGPD, designadamente através de informações para uma avaliação de impacto sobre a proteção de dados e em caso de consulta prévia da autoridade de controlo.

A Nextpulse pode faturar, após informação prévia e a taxas adequadas, prestações de apoio que excedam a disponibilização de informações e funcionalidades existentes e que não sejam motivadas por uma violação da Nextpulse.

11. Violações da proteção de dados pessoais

A Nextpulse comunica ao cliente uma violação da proteção de dados de tratamento sem demora injustificada e, o mais tardar, no prazo de 48 horas após ter tomado conhecimento dela. A comunicação é enviada para o endereço de contacto registado pelo cliente.

A comunicação contém, na medida em que estejam disponíveis, uma descrição da natureza da violação, das categorias e do número aproximado de titulares dos dados e de registos afetados, das consequências prováveis e das medidas tomadas ou propostas, bem como um ponto de contacto. As informações ainda não disponíveis são fornecidas sem demora.

A decisão sobre notificações à autoridade de controlo e comunicações aos titulares dos dados cabe ao cliente. Uma comunicação não constitui reconhecimento de uma violação de obrigações.

12. Locais de tratamento e transferências para países terceiros

Os dados de tratamento são tratados prioritariamente na União Europeia ou no Espaço Económico Europeu. Alguns subcontratantes ulteriores tratam dados também em países terceiros, designadamente nos Estados Unidos da América; a lista de subcontratantes ulteriores indica, para cada prestador, o local e o fundamento da transferência.

As transferências para países terceiros só ocorrem nas condições dos art. 44.º e seguintes do RGPD, designadamente com base numa decisão de adequação, como o Quadro de Privacidade de Dados UE-EUA, para destinatários certificados, ou nas cláusulas contratuais-tipo da Comissão Europeia, incluindo as medidas adicionais necessárias. Quando se utilize uma decisão de adequação, a Nextpulse acorda, sempre que possível, cláusulas contratuais-tipo como base complementar.

13. Comprovativos e controlos

A Nextpulse disponibiliza ao cliente todas as informações necessárias para comprovar o cumprimento do presente acordo, designadamente uma descrição atualizada das medidas técnicas e organizativas e os comprovativos disponíveis dos subcontratantes ulteriores.

O cliente, ou um auditor por ele encarregado, obrigado ao sigilo e que não seja concorrente da Nextpulse, pode realizar verificações, incluindo inspeções. As verificações periódicas ocorrem no máximo uma vez por ano, com um aviso prévio de pelo menos 30 dias. Em caso de violação da proteção de dados de tratamento, de determinação da autoridade de controlo ou de indícios concretos de infração, são admissíveis verificações adicionais com aviso prévio adequado.

As verificações realizam-se durante o horário de expediente, sem perturbação desproporcionada da atividade e salvaguardando a confidencialidade dos dados de outros clientes. O cliente suporta os seus custos; se a verificação revelar uma violação relevante da Nextpulse, esta suporta os custos razoáveis.

14. Restituição e eliminação

Durante a vigência do contrato, o cliente pode obter os dados de tratamento através das funcionalidades de exportação disponíveis. Após o termo do contrato, a Nextpulse mantém os dados de tratamento disponíveis para restituição durante o período de transição e de recuperação nos termos das Condições B2B-SaaS; na medida em que já não exista acesso à STRYK, a Nextpulse disponibiliza uma exportação mediante solicitação.

Findo o período de recuperação, a Nextpulse elimina os dados de tratamento sem demora injustificada e, o mais tardar, no prazo de 90 dias, salvo se o direito da União ou de um Estado-Membro a obrigar a conservá-los. Existindo tal obrigação, a Nextpulse bloqueia os dados afetados e só os trata para essa finalidade. As cópias de segurança são substituídas no ciclo regular de cópias, o mais tardar após 90 dias, e até então não são mais utilizadas para a exploração corrente. Mediante solicitação, a Nextpulse confirma a eliminação em forma de texto.

As obrigações legais de conservação do cliente, designadamente nos termos do BAO, do UGB ou da Lei do Registo (Meldegesetz), incumbem ao cliente, que as cumpre com base na restituição ou nas exportações. A Nextpulse não conserva dados de tratamento após o termo do contrato por conta do cliente, salvo se o cliente encomendar expressamente esse serviço como prestação própria, com duração determinada. Os dados contratuais, de faturação e de comprovação próprios da Nextpulse não são dados de tratamento.

15. Dados anonimizados

A Nextpulse pode anonimizar dados de tratamento na medida do necessário para disponibilizar, proteger e melhorar a STRYK, e utilizar os dados anonimizados sem que seja possível deduzir pessoas singulares ou o cliente individual. Os dados de tratamento não são utilizados para treinar modelos de IA.

16. Prioridade e responsabilidade

Para questões de proteção de dados, o presente acordo prevalece sobre os restantes documentos contratuais, exceto relativamente a disposições individuais que façam referência expressa a uma disposição específica deste acordo; não se acorda qualquer desvio ao art. 28.º do RGPD em detrimento do cliente.

A responsabilidade imperativa nos termos do RGPD não é excluída nem limitada. Na relação entre as partes, a compensação rege-se pelo art. 82.º, n.º 5, do RGPD; para esse efeito e para o restante, aplicam-se as disposições de responsabilidade das Condições B2B-SaaS, incluindo as suas limitações em caso de negligência leve.

17. Anexo: medidas técnicas e organizativas

As medidas seguintes descrevem o estado atual. São revistas e desenvolvidas periodicamente.

Separação de clientes: os dados de cada cliente são identificados por titular; a base de dados impõe a separação, para além da lógica aplicacional, através de políticas de segurança ao nível da linha (Row Level Security), que não podem ser contornadas pela função de aplicação.
Controlo de acesso: autenticação dos utilizadores através da Nextpulse ID com OpenID Connect; suporte de um segundo fator; para ações administrativas sensíveis da gestão da plataforma é exigida uma nova autenticação com segundo fator. As contas de dispositivos para funções de quiosque são limitadas ao respetivo estabelecimento.
Controlo de autorização: permissões baseadas em funções segundo o princípio da necessidade, com verificação de cada pedido do lado do servidor; acessos não atribuídos são recusados. As medidas de suporte são executadas através da gestão da plataforma; as medidas com efeito de alteração exigem fundamentação e são registadas.
Controlo da transmissão: os acessos à STRYK através da Internet são exclusivamente cifrados com TLS. Os correios eletrónicos são transmitidos com cifragem de transporte, na medida em que o servidor recetor a suporte. Os segredos de acesso de sistemas de terceiros integrados são armazenados cifrados.
Cifragem de dados em repouso: as cópias de segurança são armazenadas de forma cifrada. Para conteúdos especialmente sensíveis, como imagens de documentos de identificação, a Nextpulse recomenda limitar o registo ao estritamente exigido por lei e definir prazos de eliminação.
Prazos de eliminação: para os dados do check-in online, incluindo os dados de documentos de identificação registados, o cliente pode definir um prazo de eliminação na STRYK. Por defeito, este não está ativado; a definição dos prazos de eliminação cabe ao cliente como responsável pelo tratamento.
Carregamentos: os ficheiros carregados são verificados quanto a software malicioso antes do tratamento.
Controlo de introdução e registo: registo de operações relevantes para a segurança e para a aplicação; os registos não contêm palavras-passe, tokens ou segredos de acesso.
Controlo de disponibilidade: cópias de segurança diárias, armazenadas de forma cifrada num local separado do ambiente de produção; procedimentos documentados de recuperação; limitação de consultas anónimas para evitar sobrecarga e abuso.
Controlo de separação: separação entre os ambientes de desenvolvimento, de teste e de produção; nenhuma credencial de produção no código-fonte.
Medidas organizativas: compromisso de confidencialidade, restrição dos acessos administrativos às pessoas autorizadas, procedimentos para atualizações de segurança e para o tratamento de incidentes de segurança.