Acordo de tratamento de dados
Este REGULAMENTO DE TRATAMENTO DE DADOS (doravante designado por “RTD”) incluindo os seus anexos descreve as obrigações das Partes, inclusive ao abrigo das leis de proteção de dados aplicáveis, no que diz respeito ao tratamento de dados pessoais (conforme definido abaixo). O RTD faz parte integrante do Contrato de Utilizador.
Este RTD é celebrado entre a Organização (doravante designada por “Responsável pelo Tratamento”)
e
Mollie B.V., uma sociedade de responsabilidade limitada (besloten vennootschap) com sede registada em Amesterdão, na Keizersgracht 126, 1015 CW Amesterdão, Países Baixos, e registada na Câmara de Comércio Holandesa com o número 30204462 (doravante designada por “Mollie” ou “Subcontratante”)
e
Mollie UK Ltd., uma sociedade de responsabilidade limitada com sede registada em Londres, no endereço 7 Pancras Square, Londres N1C 4AG, Reino Unido, e registada na Companies House com o número 14013554 (doravante designada por “Mollie” ou “Subcontratante”),
cada uma individualmente designada por “Parte” e conjuntamente por “Partes”.
Definições
Neste RTD, os termos seguintes têm o significado definido abaixo. Os termos em Capital utilizados mas não definidos no presente documento terão o significado estabelecido no Contrato.
Contrato: O contrato estabelecido entre o Responsável pelo Tratamento e o Subcontratante para a prestação de serviços ("Contrato de Utilizador”).
Regras Corporativas Vinculativas: Políticas de proteção de dados pessoais aderidas por um responsável pelo tratamento ou subcontratante estabelecido no território de um Estado-Membro para transferências ou um conjunto de transferências de Dados Pessoais para um responsável pelo tratamento ou subcontratante num ou mais países terceiros, no seio de um grupo empresarial ou grupo de empresas que realizam uma atividade económica conjunta.
Responsável pelo Tratamento: A pessoa singular ou coletiva, autoridade pública, agência ou outro organismo que, individualmente ou em conjunto com outros, determina as finalidades e os meios do Tratamento de Dados Pessoais.
Cliente: Clientes da Organização que pretendem pagar por produtos e/ou serviços fornecidos pela Organização através do Módulo de Pagamento da Mollie.
Violação de dados: Uma violação de segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação não autorizada de Dados Pessoais transmitidos, conservados ou de outro modo tratados, ou o acesso não autorizado aos mesmos.
Regulamento de Tratamento de Dados: O presente regulamento, incluindo todos os anexos.
Autoridade de Controlo: Um organismo governamental independente responsável por supervisionar a conformidade com as leis aplicáveis relativas ao Tratamento de Dados Pessoais. Nos Países Baixos, trata-se da Autoriteit Persoonsgegevens.
Avaliação de Impacto sobre a Proteção de Dados: Uma avaliação do impacto das operações de tratamento previstas na proteção de Dados Pessoais.
Leis de Proteção de Dados: Toda a legislação aplicável relativa à proteção de dados e à privacidade incluindo, sem limitação, o Regulamento Geral sobre a Proteção de Dados da UE, todas as leis e regulamentos locais que alterem ou substituam qualquer um deles, juntamente com quaisquer leis nacionais de execução em qualquer Estado-Membro do Espaço Económico Europeu (EEE), na medida do aplicável, em qualquer outro país, conforme alterado, revogado, consolidado ou substituído periodicamente.
Titular dos Dados: A pessoa singular a quem os Dados Pessoais dizem respeito (por exemplo, Clientes).
RGPD: O Regulamento Geral sobre a Proteção de Dados (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados.
Dados Pessoais: Qualquer informação relativa a uma pessoa singular identificada ou identificável; é considerada identificável uma pessoa singular que possa ser identificada, direta ou indiretamente, em especial por referência a um identificador, como por exemplo um nome, um número de identificação, dados de localização, identificadores por via eletrónica ou a um ou mais elementos específicos da identidade física, fisiológica, genética, mental, económica, cultural ou social dessa pessoa singular.
Tratamento: Qualquer operação ou conjunto de operações efetuadas sobre dados pessoais ou sobre conjuntos de dados pessoais, por meios automatizados ou não automatizados, tais como a recolha, o registo, a organização, a estruturação, a conservação, a adaptação ou alteração, a recuperação, a consulta, a utilização, a divulgação por transmissão, difusão ou qualquer outra forma de disponibilização, a comparação ou interconexão, a limitação, o apagamento ou a destruição. Esta lista não é exaustiva. Os termos “tratar” e “tratado” serão interpretados em conformidade.
Subcontratante: Uma pessoa singular ou coletiva, autoridade pública, agência ou outro organismo que trata Dados (Pessoais) por conta do Responsável pelo Tratamento.
Organização: A organização que utiliza o Módulo de Pagamento da Mollie para fins que incluem, mas não se limitam a, a venda de produtos e/ou serviços a Clientes.
Cláusulas Contratuais-Tipo: As Cláusulas Contratuais-Tipo da Comissão Europeia para Subcontratantes de Dados (2010/87/UE) ou a Decisão de Execução da Comissão (UE) 2021/914, de 4 de junho de 2021, relativa às cláusulas contratuais-tipo para a transferência de dados pessoais para países terceiros em conformidade com o Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho (C/2021/3972).
Subsubcontratante: qualquer terceiro, entidade ou empresa contratada pelo Subcontratante para tratar Dados Pessoais na prestação de serviços ao abrigo do Contrato.
SECÇÃO A: FINALIDADE
Artigo A.1 Âmbito
A Mollie concordou em prestar serviços ao Responsável pelo Tratamento na qualidade de subcontratante, de acordo com os termos aplicáveis específicos do produto ou com o Contrato de Utilizador. Ao prestar estes serviços, o Subcontratante irá tratar Dados Pessoais em nome do Responsável pelo Tratamento, conforme identificado neste RTD. A Mollie, enquanto instituição financeira, também trata Dados Pessoais agindo como responsável pelo tratamento de dados.
As Partes reconhecem e concordam que, na medida em que a Mollie trate Dados Pessoais envolvidos de transações de pagamento para: i) executar o Contrato de Utilizador com o Responsável pelo Tratamento; ii) monitorizar, prevenir e detetar transações de pagamento fraudulentas; iii) cumprir obrigações legais ou regulamentares aplicáveis ao tratamento e à conservação de dados de pagamento aos quais a Mollie esteja sujeita, incluindo a triagem aplicável contra o branqueamento de capitais e o cumprimento das obrigações de identificação do cliente (know-your-customer); e iv) melhorar os produtos e serviços da Mollie, a Mollie está a agir como responsável pelo tratamento de dados e tem a autoridade única e exclusiva de determinar as finalidades e os meios do tratamento dos Dados Pessoais que recebe de ou através da (prestação de serviços à) Organização.
As atividades de tratamento, os Dados Pessoais e as categorias de Titulares dos Dados para os quais o Subcontratante trata Dados Pessoais em nome do Responsável pelo Tratamento encontram-se identificados no Anexo A.
SECÇÃO B: OBRIGAÇÕES
Artigo B.1 Obrigações do Responsável pelo Tratamento
O Responsável pelo Tratamento é responsável pelos Dados Pessoais que o Subcontratante irá tratar e deve garantir a conformidade com todas as Leis de Proteção de Dados, incluindo os requisitos referentes à transferência dos Dados Pessoais ao abrigo deste RTD e do Contrato de Utilizador. O Responsável pelo Tratamento garante ter o direito de tratar os Dados Pessoais e possui o direito de nomear o Subcontratante para tratar os dados em nome do Responsável pelo Tratamento.
O Responsável pelo Tratamento concorda que, sem limitação das obrigações do Subcontratante ao abrigo deste RTD, o Responsável pelo Tratamento é o único responsável pela utilização que faz dos serviços, incluindo (a) fazer um uso adequado dos serviços para garantir um nível de segurança adequado ao risco em relação aos Dados Pessoais; (b) proteger as credenciais de autenticação da conta, os sistemas e os dispositivos que utiliza para aceder aos serviços; (c) proteger os seus próprios sistemas e dispositivos que utiliza com os serviços; e (d) manter as suas próprias cópias de segurança de Dados Pessoais.
Artigo B.2 Obrigações do Subcontratante
O Subcontratante compromete-se a:
tratar os Dados Pessoais apenas em conformidade com as instruções documentadas do Responsável pelo Tratamento e tomar as medidas necessárias para garantir que qualquer pessoa singular que atue sob a sua autoridade e tenha acesso aos Dados Pessoais não os trate, exceto sob instruções do Responsável pelo Tratamento;
informar imediatamente o Responsável pelo Tratamento se alguma das instruções fornecidas relativas ao Tratamento de Dados Pessoais violar as Leis de Proteção de Dados aplicáveis ou as disposições estabelecidas neste RTD;
implementar procedimentos técnicos e organizativos adequados para proteger os Dados Pessoais, tendo em conta o estado da arte, os custos de implementação e a natureza, o âmbito, o contexto e as finalidades do tratamento, bem como os riscos de probabilidade e gravidade variáveis para os direitos e liberdades das pessoas singulares; e
sem atrasos indevidos, informar o Responsável pelo Tratamento se receber uma reclamação ou pedido relacionado com as obrigações de qualquer uma das Partes ao abrigo das Leis de Proteção de Dados relevantes para este RTD, incluindo qualquer pedido de indemnização de um Titular dos Dados ou qualquer aviso, investigação ou outra ação de uma Autoridade de Controlo, e fornecer ao Responsável pelo Tratamento todos os detalhes dessa investigação, reclamação ou pedido, a menos que isso seja proibido por lei ou a pedido da Autoridade de Controlo.
SECÇÃO C: TRANSFERÊNCIAS E SUBSUBCONTRATANTES
Artigo C.1 Transferência de Dados Pessoais
Sempre que Dados Pessoais relativos a um Titular de Dados da UE sejam transferidos para fora do EEE, estes devem ser tratados por uma entidade: (i) localizada num país terceiro ou território reconhecido pela Comissão Europeia como tendo um nível de proteção adequado; ou (ii) que esteja sujeita às Cláusulas Contratuais-Tipo da UE e/ou ao Acordo de Transferência Internacional de Dados do Reino Unido ou ao Adendo de CCTs do Reino Unido; ou (iii) que tenha outras salvaguardas adequadas legalmente reconhecidas, tais como as Regras Corporativas Vinculativas, que garantam o mesmo nível de proteção e salvaguardas que este RTD.
Artigo C.2 Subsubcontratantes
O Responsável pelo Tratamento consente, pelo presente, na utilização de Subsubcontratantes especificados no Anexo B por parte do Subcontratante. Esta lista pode ser atualizada periodicamente pelo Subcontratante, nos termos deste RTD.
O Subcontratante dará ao Responsável pelo Tratamento a possibilidade de se opor a cada novo Subsubcontratante que venha a ser envolvido exclusivamente no âmbito das atividades de tratamento de dados identificadas no Anexo A.
Antes de contratar um novo Subsubcontratante, o Subcontratante deve notificar o Responsável pelo Tratamento e dar-lhe pelo menos dez (10) dias de calendário para se opor, exceto se o Subcontratante acreditar razoavelmente que a contratação urgente de um novo Subsubcontratante é necessária para proteger a confidencialidade, integridade ou disponibilidade dos Dados Pessoais ou para evitar uma interrupção material dos serviços prestados. Nesse caso, o Subcontratante enviará essa notificação assim que for razoavelmente praticável. Se, no prazo de cinco (5) dias de calendário após essa notificação, o Responsável pelo Tratamento notificar o Subcontratante por escrito da sua objeção à nomeação do novo Subsubcontratante com base em preocupações razoáveis de proteção de dados, as partes discutirão essas preocupações de boa-fé para ver se podem ser resolvidas. As objeções a novos Subsubcontratantes devem ser enviadas para privacy@mollie.com.
O Responsável pelo Tratamento reconhece que os Subsubcontratantes são essenciais para a prestação dos serviços e que a objeção à utilização de um Subsubcontratante pode impedir o Subcontratante de lhe oferecer os serviços. Se as partes não conseguirem chegar a acordo mútuo sobre a resolução de tais preocupações, o Responsável pelo Tratamento poderá, como recurso único e exclusivo, rescindir o RTD sem penalizações.
Todos os Subsubcontratantes que tratem Dados Pessoais na prestação de serviços ao Responsável pelo Tratamento devem cumprir as obrigações estabelecidas neste RTD. O Subcontratante deve, antes da divulgação de Dados Pessoais a qualquer Subsubcontratante, realizar uma auditoria prévia adequada (due diligence) para garantir que o Subsubcontratante é capaz de fornecer o nível de proteção exigido por este RTD para os Dados Pessoais do Responsável pelo Tratamento
e celebrar um acordo com esse Subsubcontratante no qual este concorde em cumprir obrigações equivalentes às estabelecidas no presente RTD.
SECÇÃO D: SEGURANÇA
Artigo D.1 Medidas de segurança
O Subcontratante deve implementar medidas técnicas e organizativas adequadas para garantir um nível de segurança adequado ao risco, incluindo, entre outras, conforme apropriado:
a pseudonimização e a cifragem de Dados Pessoais;
a capacidade de assegurar a confidencialidade, integridade, disponibilidade e resiliência permanentes dos sistemas e serviços de tratamento;
a capacidade de restabelecer a disponibilidade e o acesso aos Dados Pessoais de forma atempada em caso de incidente físico ou técnico; e
um processo para testar, apreciar e avaliar regularmente a eficácia das medidas técnicas e organizativas para garantir a segurança do Tratamento. Na avaliação do nível de segurança adequado,
devem ser tidos em conta, em especial, os riscos apresentados pelo tratamento, resultantes de destruição, perda, alteração acidental ou ilícita, divulgação ou acesso não autorizado a Dados Pessoais transmitidos, conservados ou de outro modo tratados.
Artigo D.2 Notificação de Violação de Dados
O Subcontratante notificará o Responsável pelo Tratamento de qualquer destruição, perda, alteração ou divulgação acessível ou ilícita, ou acesso não autorizado a Dados Pessoais o mais rápido possível após a descoberta, desde que a Violação de Dados esteja estritamente relacionada com o tratamento de Dados Pessoais pelo Subcontratante na sua qualidade de subcontratante. Se e onde a Violação de Dados disser respeito a Dados Pessoais em relação aos quais o Subcontratante é considerado Responsável pelo Tratamento, conforme descrito na Declaração de Privacidade da Mollie, o Subcontratante reserva-se o direito de tratar a Violação de Dados como responsável pelo tratamento.
Um atraso no envio de uma notificação de Violação de Dados solicitada pelas autoridades policiais e/ou à luz das necessidades legítimas do Subcontratante de investigar ou corrigir a situação antes de enviar a notificação não constituirá um atraso indevido. Tais notificações descreverão, na medida do possível, os detalhes da Violação de Dados, incluindo as medidas tomadas para mitigar os riscos potenciais. Sem prejuízo das obrigações do Subcontratante nos termos desta Secção D.1, o Responsável pelo Tratamento é o único responsável por cumprir as leis de notificação de Violação de Dados aplicáveis ao próprio e por cumprir quaisquer obrigações de notificação de terceiros relacionadas com quaisquer Violações de Dados. A notificação de ou resposta do Subcontratante a uma Violação de Dados ao abrigo desta Secção D.1. não será interpretada como um reconhecimento de culpa ou responsabilidade por parte do Subcontratante em relação à Violação de Dados.
Quaisquer custos incorridos na resolução da Violação de Dados e na implementação de medidas necessárias para prevenir tal Violação de Dados no futuro serão suportados pela Parte que incorrer nos custos.
SECÇÃO E: AUDITORIA
Artigo E.1 Direito de Auditoria
O Responsável pelo Tratamento terá o direito de solicitar, mediante aviso prévio razoável, relatórios de auditoria ao Subcontratante relativos ao Tratamento de Dados Pessoais no âmbito dos serviços prestados ao abrigo deste RTD.
Os relatórios de auditoria, referidos nesta cláusula, devem incluir, mas não se limitar a, relatórios relacionados com as medidas de segurança, confidencialidade e proteção de dados implementadas pelo Subcontratante em ligação com o Tratamento de Dados Pessoais. Estes relatórios também podem abranger a conformidade com as Leis de Proteção de Dados aplicáveis.
Os pedidos de relatórios de auditoria devem ser feitos por escrito e enviados para privacy@mollie.com, especificando o âmbito e a finalidade do pedido. O Subcontratante confirmará a receção de tais pedidos de forma atempada.
A receção de relatórios de auditoria estará sujeita ao dever de confidencialidade profissional. O Responsável pelo Tratamento poderá utilizar os relatórios de auditoria apenas para fins de cumprimento dos seus requisitos de auditoria regulamentar e para confirmar que o Tratamento de Dados Pessoais por parte do Subcontratante está em conformidade com este RTD. Os relatórios de auditoria não devem ser partilhados externamente.
SECÇÃO F: AVALIAÇÕES DE IMPACTO SOBRE A PROTEÇÃO DE DADOS E CONSULTAS PRÉVIAS
Artigo F.1 Assistência
O Subcontratante deve ajudar o Responsável pelo Tratamento a realizar uma avaliação de impacto sobre o Tratamento de Dados Pessoais (artigo 35.º do RGPD) e em quaisquer consultas com uma Autoridade de Controlo (artigo 36.º do RGPD), se e na medida em que essa avaliação ou consulta seja exigida pelas Leis de Proteção de Dados e onde o Subcontratante esteja autorizado e/ou seja obrigado a cooperar.
SECÇÃO G: DIREITOS DOS TITULARES DOS DADOS
Artigo G.1 Assistência
Se o Subcontratante receber um pedido de um Titular dos Dados em relação aos Dados Pessoais do Responsável pelo Tratamento, o Subcontratante aconselhará o Titular dos Dados a enviar o seu pedido ao Responsável pelo Tratamento e/ou encaminhará o pedido para o mesmo, que será responsável por responder a esse pedido.
A pedido do Responsável pelo Tratamento e a expensas deste, o Subcontratante fornecer-lhe-á a assistência de que este possa razoavelmente necessitar para cumprir as obrigações decorrentes das Leis de Proteção de Dados no sentido de responder aos pedidos dos titulares dos dados para exercerem os seus direitos ao abrigo das referidas leis (por exemplo, direitos de acesso, retificação, apagamento, limitação, portabilidade e oposição) nos casos em que o Responsável pelo Tratamento não possa razoavelmente consiga satisfazer tais pedidos de forma independente através do seu acesso aos produtos e serviços do Subcontratante.
SECÇÃO H: DISPOSIÇÕES DIVERSAS
Artigo H.1 Confidencialidade
O Subcontratante deve manter confidenciais todos os Dados Pessoais e deve garantir que todos os colaboradores, agentes, diretores e prestadores de serviços que tenham acesso ou estejam envolvidos no Tratamento de Dados Pessoais tenham conhecimento da natureza confidencial dos mesmos, estejam contratualmente vinculados a manter o seu sigilo e estejam informados e em conformidade com as obrigações deste RTD.
Artigo H.2 Responsabilidade
Toda e qualquer responsabilidade decorrente deste RTD será regida pelas disposições aplicáveis do Contrato de Utilizador, incluindo as limitações de responsabilidade.
Não obstante as disposições do Contrato de Utilizador, cada Parte só será responsável perante a outra por quaisquer danos que lhe cause devido a qualquer violação deste RTD. Estes danos devem ser claramente demonstrados. O Subcontratante apenas será responsável pelos danos causados pelo tratamento se não tiver cumprido as obrigações das Leis de Proteção de Dados especificamente dirigidas aos subcontratantes ou se tiver agido fora ou contra as instruções legais do Responsável pelo Tratamento, conforme descrito no presente RTD. Nesse contexto, o Subcontratante só será responsável se o Responsável pelo Tratamento provar que o Subcontratante é responsável pelo evento que deu origem ao dano.
O Responsável pelo Tratamento será o único responsável perante o Titular dos Dados, e este terá o direito de receber uma indemnização, por quaisquer danos patrimoniais ou não patrimoniais que o Responsável pelo Tratamento ou o Subcontratante (ou o(s) seu(s) Subsubcontratante(s)) cause ao Titular dos Dados por violação deste RTD.
Artigo H.3 Vigência e Rescisão
A vigência deste RTD coincidirá com o início do Contrato de Utilizador e/ou com a utilização do produto ou serviço específico incluído no Anexo A.
Este RTD rescindir-se-á automaticamente com a cessação do Contrato de Utilizador e/ou o fim da utilização do produto ou serviço específico incluído no Anexo A, consoante o que ocorrer primeiro.
Após a rescisão deste RTD, o Subcontratante deverá, a pedido do Responsável pelo Tratamento, devolver os Dados Pessoais ao Responsável pelo Tratamento ou a um Subcontratante por este indicado, ou apagar os Dados Pessoais, a menos que o Subcontratante seja obrigado a conservar uma cópia em conformidade com o direito da União Europeia ou de um Estado-Membro da União Europeia.
SECÇÃO I: DISPOSIÇÕES FINAIS
Artigo I.1 Integralidade do Contrato
Este RTD constitui parte integrante do Contrato de Utilizador. Todos os direitos e obrigações decorrentes do Contrato de Utilizador são também aplicáveis a este RTD. O Anexo A constitui parte integrante do presente RTD.
Artigo I.2 Alterações apenas por Acordo
Nenhuma alteração a este RTD será válida a menos que seja feita por escrito e assinada por representantes autorizados de cada Parte.
Artigo I.3 Divisibilidade
Cada uma das disposições do presente RTD é distinta e divisível, e se qualquer disposição, ou parte de uma disposição, for considerada inexequível, ilegal ou nula, no todo ou em parte, por qualquer tribunal, autoridade reguladora ou outra autoridade competente, essa disposição deverá, nessa medida, considerar-se como não fazendo parte deste RTD, não afetando a exequibilidade, legalidade e validade do restante documento. As Partes acordam em tentar substituir qualquer disposição inválida ou inexequível por uma disposição válida ou exequível que atinja, na maior medida possível, o mesmo efeito que teria sido alcançado pela disposição inválida ou inexequível. Exceto pelas alterações introduzidas por este RTD, o Contrato de Utilizador permanece inalterado e em pleno vigor e efeito.
Artigo I.4 Direito de Cessão
As Partes só podem transferir este RTD em conformidade com o Contrato de Utilizador (cláusula 8.9).
Artigo I.5 Lei Aplicável
Este RTD será regido e interpretado em conformidade com as leis dos Países Baixos. Cada Parte aceita a jurisdição exclusiva dos tribunais de Amesterdão para resolver qualquer litígio decorrente deste RTD. Caso algum tribunal ou órgão administrativo de jurisdição competente considere qualquer disposição deste RTD inválida, inexequível ou ilegal, as restantes disposições deste RTD permanecerão em pleno vigor e efeito.
ANEXO A - ESPECIFICAÇÃO DO TRATAMENTO DE DADOS PESSOAIS
FINALIDADE DO TRATAMENTO
O Tratamento de Dados Pessoais está diretamente relacionado com a prestação de serviços previstos em determinados termos específicos do produto nos quais a Mollie é identificada como subcontratante.
Em particular, as finalidades do tratamento são:
Facilitar o envio de faturas aos Clientes do Responsável pelo Tratamento através dos produtos e serviços da Mollie; e/ou
Fornecer ao Responsável pelo Tratamento as ferramentas e informações necessárias para responder a reclamações de litígios, tais como estornos (chargebacks) ou consultas de pagamento.
CATEGORIES DE TITULARES DOS DADOS
O Subcontratante irá tratar Dados Pessoais das seguintes categorias de Titulares de Dados para o Responsável pelo Tratamento:
Clientes do Responsável pelo Tratamento (ou seja, o ordenante (consumidores, clientes empresariais))
Destinatários Terceiros: Indivíduos identificados nos registos de entrega ou comprovativos de transação que podem não ser o ordenante (por exemplo, uma pessoa que recebe um presente num endereço de envio).
Representantes Autorizados / Pessoal: Pessoas do responsável pelo tratamento cujos nomes, dados de contacto ou assinaturas possam constar de provas de contestação, registos de comunicação ou pedidos de suporte.
Prestadores de Serviços Terceiros: Indivíduos cujos dados possam estar contidos em provas fornecidas por subsubcontratantes ou parceiros (por exemplo, nomes de motoristas de entregas numa assinatura de comprovativo de entrega).
TIPOS DE DADOS PESSOAIS
O Subcontratante irá tratar os seguintes tipos de Dados Pessoais para o Responsável pelo Tratamento:
Dados básicos de contacto (inclui nome completo, número de telefone (profissional), endereço de e-mail (profissional), endereço residencial/comercial)
Detalhes da fatura (conforme incluídos pelo Responsável pelo Tratamento)
Nenhumas categorias especiais de Dados Pessoais (conforme definido pelo artigo 9.º do RGPD) serão tratadas pelo Subcontratante.
MEDIDAS DE SEGURANÇA
Contexto
Como instituição financeira, os controlos de segurança e procedimentos operacionais que a Mollie criou para as nossas aplicações, sistemas e processos de TI estão sujeitos a revisão pelo Banco Central Holandês (DNB), que, por sua vez, utiliza as orientações da Autoridade Bancária Europeia (EBA) para os padrões técnicos que os titulares de licenças devem cumprir.
Além disso, como a Mollie funciona (também) como responsável pelo tratamento de dados pessoais, a Mollie é igualmente regulada por outra legislação que define padrões de segurança e proteção de dados, aplicada por autoridades adicionais - nomeadamente o RGPD e o seu regulador nos Países Baixos (Autoriteit Persoonsgegevens).
Adicionalmente, os sistemas que tratam especificamente dados de cartões são sistemas em conformidade com o nível 1 da norma PCI DSS, o que significa que esta aplicação específica e os procedimentos para a desenvolver e manter estão sujeitos às medidas de proteção de dados delineadas pelo PCI Council, cuja conformidade da Mollie é avaliada anualmente por uma entidade externa.
Medidas Gerais
Todas as aplicações, sistemas e procedimentos relacionados estão sujeitos à Política de Segurança de Informação da Mollie. Destacam-se desta e de outras políticas relevantes ao âmbito dos serviços prestados:
Processo de recrutamento e triagem de colaboradores
Programa de formação em segurança para programadores
Programa de consciencialização de segurança
Segregação de funções
Gestão de alterações
Gestão de vulnerabilidades
Gestão de incidentes
Gestão de resiliência e cópias de segurança
Aplicação robusta de controlo de acessos (IAM e IGA)
Revisões de autorizações de utilizadores
Normas de classificação de sistemas
Normas de classificação de dados e política de dados
Normas de configuração segura com base nas melhores práticas da indústria, aplicação de políticas de segurança (hardening)
Segregação física e lógica do ambiente de rede
Normas de cifragem seguras
Gestão de chaves de cifragem
Cifragem (em trânsito, em repouso para ambientes de infraestrutura partilhada, como a cloud)
Gestão de riscos associados a terceiros
Monitorização de disponibilidade e de erros
Ciclo de vida de desenvolvimento seguro (SDLC)
Modelação de ameaças em alterações significativas e novas funcionalidades
Gestão de dependências e deteção de vulnerabilidades conhecidas
Análise estática de segurança do código
Deteção interna e externa de vulnerabilidades
Divulgação coordenada de vulnerabilidades (CVD) e programa de recompensas por deteção de erros (bug bounty)
Programa de inteligência sobre ameaças (ex.: participação no PI-ISAC holandês - centro de partilha e análise de informações de instituições de pagamento -, monitorização da dark web)
Colaboração com prestadores de serviços de segurança geridos (MSSP) para operações de segurança, análise e investigações forenses
Gestão de Informações e Eventos de Segurança (SIEM)
Segurança de terminais (endpoints) do pessoal
Segurança do correio eletrónico
Plataforma Mollie
Além das medidas gerais de segurança descritas acima, a aplicação Plataforma Mollie é abrangida pelas seguintes medidas de segurança - resultantes da implementação das nossas políticas gerais de segurança ou como medida de mitigação para lidar com um risco identificado na avaliação de riscos específica da aplicação:
Controlo de acessos com autenticação de dois fatores (2-Factor)
Testes de intrusão por parte de terceiros
Gestão de eventos e incidentes de segurança
Mitigação de ataques DDoS
Resposta a incidentes de segurança
Monitorização de disponibilidade
Armazenamento seguro de credenciais
Infraestrutura redundante
Recuperação de desastres com transição automática (failover)
Limitação de taxa (rate limiting) e bloqueio
Política rigorosa de segurança de conteúdos (Content-Security-Policy)
Captcha
Firewall de aplicações web (WAF)
ANEXO B - VISÃO GERAL DE SUBSUBCONTRATANTES
Applicable to users of the Disputes Service
Nome | Localização | Mecanismo de transferência | Finalidade | Dados pessoais tratados |
|---|---|---|---|---|
Google Cloud Platform | UE (Multirregião) | API | Alojamento e armazenamento de evidências de litígios, registos de transações e dados da plataforma. | Dados de Identidade e Contacto; Metadados de Transações; Dados de Cumprimento e Logística (Informação de Rastreio, Comprovativo de Entrega); Evidências de Litígios (Ficheiros Carregados, Dados da Plataforma, Identificadores Técnicos) |
OPSWAT | UE (Multirregião) | API | Deteção de malware em evidências de litígios carregadas pelos utilizadores. | Evidências de Litígios (Dados Não Estruturados): Ficheiros Carregados |
PPRO Financial Limited (UK) / PPRO Payment Services SA (Luxembourg) | UE (Irlanda e Alemanha) | API / Carregamento no portal / E-mail | Dados encaminhados para a rede de pagamento relevante para processar reclamações de litígios. | Dados do Comprador, do Vendedor, da Transação e do Envio. |
Rapyd | EUA / EEE (Islândia) | API / Carregamento no portal / E-mail | Dados encaminhados para a rede de pagamento relevante para processar reclamações de litígios. | Dados do Comprador, do Vendedor, da Transação e do Envio. |
Checkout.com | UE (Irlanda) | API / Carregamento no portal / E-mail | Dados encaminhados para a rede de pagamento relevante para processar reclamações de litígios. | Dados do Comprador, do Vendedor, da Transação e do Envio. |
Applicable to users of the Invoicing Service
Nome | Localização | Mecanismo de transferência | Finalidade | Dados pessoais tratados |
|---|---|---|---|---|
Storecove | UE | n/d | Registo na rede de faturação eletrónica, Faturação Eletrónica & e-Reporting (comunicação eletrónica de dados) | Dados básicos de contacto (nome completo, número de telefone, endereço de e-mail), Detalhes da fatura |
Google Cloud Platform | UE (Bélgica, Países Baixos, Alemanha e Finlândia) | n/d | Alojamento em cloud pública do Dashboard da Mollie | Dados básicos de contacto (nome completo, número de telefone, endereço de e-mail) |
Mollie Business B.V. | UE | n/d | Gestão e manutenção do serviço Invoicing | Dados básicos de contacto (nome completo, número de telefone, endereço de e-mail), Detalhes da fatura |
