Proteção de dados e DPA: disponibilizar em conformidade com o RGPD

À primeira vista, umas instruções de utilização digitais quase não envolvem o tratamento de dados pessoais. Mas, assim que os utilizadores pedem uma versão em papel ou a sua equipa trabalha na aplicação, surgem nomes, endereços, endereços de e-mail e dados de início de sessão. Esta página explica como o ManualPass lida com eles. As medidas técnicas de proteção, como a cifragem e a separação entre clientes, são descritas na página Segurança.

Que dados pessoais são tratados?

Quem é responsável pelo tratamento e quem é subcontratante?

Responsável pelo tratamento, na aceção do RGPD, é quem determina as finalidades e os meios de um tratamento. Subcontratante é quem trata dados pessoais por conta e segundo as instruções do responsável pelo tratamento.

Celebrar o DPA online na aplicação

Um contrato de subcontratação (DPA) regula, nos termos do artigo 28.º do RGPD, a forma como um prestador de serviços trata dados pessoais por conta de outrem. No ManualPass, celebra-o diretamente na aplicação:

1. Na aplicação, abra a área «Proteção de dados & DPA».
2. Verifique o texto do contrato com as medidas técnicas e organizativas no anexo 2.
3. Celebre o contrato eletronicamente.
4. Guarde o contrato celebrado em PDF para os seus registos.

A forma eletrónica é suficiente: o artigo 28.º, n.º 9, do RGPD admite expressamente, além da forma escrita em papel, também o formato eletrónico. A celebração do DPA fica documentada no registo de alterações com data e hora e pessoa.

Onde são tratados os dados?

Todos os dados estão em servidores na Alemanha: documentos, registo, dados da equipa e da conta, bem como os dados dos pedidos em papel. O único subcontratante ulterior é o fornecedor de alojamento lima-city (TrafficPlex GmbH, Bremen).

Página de digitalização sem cookies e sem rastreio

A página de digitalização é a página web pública que os utilizadores veem depois de lerem o código QR. Não utiliza cookies nem rastreio. Os seus clientes não são, portanto, seguidos enquanto leem as instruções.

Pedidos em papel: minimização de dados através da anonimização

Quando um utilizador pede uma versão em papel, o fabricante precisa do nome e do endereço para o envio. Depois disso, estes dados deixam de ser necessários. Por isso, o ManualPass anonimiza automaticamente os pedidos em papel após o envio:

• Prazo à escolha: 6, 12, 24 ou 36 meses após o envio.
• Mantém-se: a data, a máquina e o estado do pedido.
• É removido: os dados pessoais do requerente.

Assim, continua a poder comprovar que os pedidos foram tratados dentro do prazo, sem conservar dados de endereço mais tempo do que o necessário. O procedimento do pedido é descrito na página Pedido em papel.

Dados de segurança eliminados após 24 horas

As tentativas de início de sessão falhadas e as ligações expiradas para repor a palavra-passe são guardadas pelo ManualPass apenas por pouco tempo, para prevenir abusos. Estes dados são eliminados após 24 horas. Só as entradas do registo de alterações, como os inícios de sessão bem-sucedidos, são conservadas durante mais tempo, porque servem para comprovar quem executou que ação e quando.

Texto-modelo para a sua política de privacidade

Como, enquanto responsável pelo tratamento, tem de informar os utilizadores sobre o tratamento, o ManualPass disponibiliza na aplicação um texto-modelo. Integra-o na sua própria política de privacidade e adapta-o à sua empresa. O texto descreve que recorre a um prestador de serviços para disponibilizar os documentos e tratar os pedidos em papel. Verifique o texto adaptado com o seu encarregado da proteção de dados.

Lista de verificação de proteção de dados

• Celebrar o DPA na aplicação em «Proteção de dados & DPA» e guardá-lo em PDF
• Definir o prazo de anonimização dos pedidos em papel
• Integrar o texto-modelo na própria política de privacidade
• Inscrever o ManualPass e o subcontratante ulterior no registo das atividades de tratamento