1. Introdução
Esta Adenda de Tratamento de Dados ("DPA") faz parte do acordo entre si ("Cliente") e a Getia AS ("Subcontratante") para a utilização dos serviços da Portifer.
2. Definições
- Personal Data: Dados pessoais: Qualquer informação relativa a uma pessoa singular identificada ou identificável
- Processing: Tratamento: Qualquer operação realizada sobre dados pessoais
- Controller: Responsável pelo tratamento: A entidade que determina as finalidades e os meios do tratamento
- Processor: Subcontratante: A entidade que trata os dados pessoais em nome do responsável pelo tratamento
3. Âmbito do tratamento
O Subcontratante deve:
- Tratar os dados pessoais apenas com base em instruções documentadas do Cliente
- Assegurar que as pessoas que tratam os dados estão sujeitas a obrigações de confidencialidade
- Implementar medidas de segurança técnicas e organizativas adequadas
- Auxiliar o Cliente a responder aos pedidos dos titulares dos dados
- Eliminar ou devolver todos os dados pessoais após a cessação dos serviços
4. Subprocessadores
O Cliente autoriza o Subcontratante a recorrer a subprocessadores conforme indicado na Lista de Subprocessadores.
5. Medidas de segurança
- Encriptação em trânsito: o serviço é disponibilizado exclusivamente através de HTTPS, com HTTP Strict Transport Security.
- Encriptação das credenciais armazenadas: as credenciais de API das transportadoras, os tokens de CRM e as chaves do serviço de impressão são encriptados ao nível da aplicação com AES-256-GCM. Os restantes dados armazenados são protegidos pelos controlos de segurança dos subprocessadores de alojamento e armazenamento.
- Hashing: as chaves de API dos clientes são armazenadas apenas como hashes, e as palavras-passe dos utilizadores são submetidas a hashing com bcrypt.
- Controlo de acesso: acesso baseado em funções por organização cliente, autenticação de dois fatores opcional (TOTP), expiração de sessões com revogação centralizada e limitação de taxa com bloqueio temporário após tentativas de início de sessão falhadas repetidas.
- Registo: as ações administrativas relevantes para a segurança, os inícios de sessão e o acesso do pessoal às contas de clientes são registados em registos de auditoria.
- Integrações: os webhooks de saída são assinados com HMAC-SHA256 e os pedidos para endereços de rede internos são bloqueados.
- As violações de dados pessoais são tratadas e notificadas conforme descrito na secção 6.
6. Notificação de violação de dados
Em caso de violação de dados pessoais, o Subcontratante deve notificar o Cliente no prazo de 72 horas.
7. Contacto
Para questões sobre o tratamento de dados, contacte-nos através de [email protected]
Empresa: Getia AS (Org. nr: 926 610 198)
Endereço: At Mesh, Møllergata 6, 0179 Oslo, Noruega