Acordo de Tratamento de Dados no Diagnóstico

Aplica-se ao diagnóstico de processo (consultoria inicial ou primeiro mês do Plano 90 dias). Quando a sua empresa passa a usar uma aplicação nossa, vale o Acordo de Tratamento de Dados das aplicações.

1. Quem é quem

Este acordo produz efeitos quando o representante legal do Cliente o aceita, e vigora até à eliminação prevista no ponto 9.

2. O que fazemos, e só isto

O diagnóstico mede e descreve um processo do Cliente, o escolhido na conversa inicial: quantas vezes acontece, quanto tempo leva, quantas vezes sai do caminho normal e porquê. Para isso:

• Lemos o rasto que já existe nas fontes que o Cliente autorizar (caixas de correio, programas, pastas), de preferência pelos dados de cada registo: remetente, data e assunto. Só abrimos o conteúdo quando é preciso para saber se um registo pertence ao processo.
• Acompanhamos 3 a 4 execuções reais, por partilha de ecrã de quem faz o trabalho, e medimos o tempo.
• Gravamos e transcrevemos as reuniões, só com autorização pedida no início de cada uma. Sem autorização, tomamos notas.
• Registamos o que medimos numa ficha do Cliente no nosso sistema interno, e produzimos o relatório do diagnóstico.

Não usamos os dados do Cliente para fins próprios, não os vendemos nem cedemos, e não os usamos para treinar modelos de inteligência artificial, nem permitimos que os nossos fornecedores o façam.

3. Acessos

• Só pedimos acessos de leitura ou delegados. Nunca nos envie palavras-passe por email ou mensagem.
• Cada acesso fica escrito na ficha do diagnóstico: que fonte, quem o deu, até quando.
• No fim do diagnóstico, o Cliente retira os acessos. Lembramo-lo no dia da entrega do relatório e, se ajudar, fazemo-lo consigo.

4. Só segundo as suas instruções

A proposta de diagnóstico aceite, o plano de medição combinado na reunião de arranque e este acordo são as instruções do Cliente. Instruções adicionais dão-se por escrito para geral@desafiosdacidade.com. Se uma instrução nos parecer contrária ao RGPD, dizemo-lo antes de a executar.

5. Quem tem acesso do nosso lado

Só quem conduz o diagnóstico, sujeito a dever de confidencialidade que se mantém depois de terminado o serviço.

6. Fornecedores que tratam dados no diagnóstico

O Cliente autoriza os fornecedores desta lista, e só estes, para o diagnóstico. Com cada um temos acordo de tratamento de dados com obrigações equivalentes às deste acordo, e respondemos pelos atos deles como se fossem nossos. Um fornecedor novo tem aviso prévio de 30 dias.

As transferências para fora do Espaço Económico Europeu estão salvaguardadas pelas Cláusulas Contratuais-Tipo da Comissão Europeia (Decisão de Execução (UE) 2021/914). Tudo o que a inteligência artificial produz é revisto por uma pessoa antes de entrar no relatório.

7. Segurança

Acesso ao nosso sistema interno só com conta autorizada e verificação em dois passos. A ficha de cada cliente fica separada das dos outros. Gravações e transcrições guardam-se só na conta da Desafios da Cidade, nunca em dispositivos pessoais.

8. Direitos dos titulares e violações de dados

Um pedido de um titular que nos chegue é encaminhado para o Cliente sem demora, e ajudamos a responder. Se soubermos de uma violação de segurança que afete dados do Cliente, avisamo-lo sem demora injustificada e, no máximo, em 48 horas. A notificação à CNPD é feita pelo Cliente, com toda a informação de que precise.

9. Quanto tempo guardamos, e o que fica

• Gravações, transcrições, extratos do rasto e notas das execuções: eliminados até 30 dias depois da entrega do relatório. A pedido, confirmamos por escrito.
• Fica o relatório entregue ao Cliente e, na ficha interna, os números agregados do processo (contagens, tempos, causas), sem dados pessoais.
• Se o Cliente avançar para uma aplicação, o que for preciso para a configurar passa para o Acordo de Tratamento de Dados das aplicações.

10. Informação, auditoria, alterações e lei

Damos ao Cliente a informação necessária para demonstrar o cumprimento deste acordo, e permitimos auditorias com aviso de 30 dias. Alterações a este acordo têm aviso prévio de 30 dias e nova aceitação. Lei portuguesa e Regulamento (UE) 2016/679; foro da comarca de Faro. Autoridade de controlo: Comissão Nacional de Proteção de Dados (CNPD), www.cnpd.pt.

Anexo — Descrição do tratamento