Acordo de subcontratação de dados (DPA)

Este Acordo de Subcontratação de Dados (doravante, «DPA») faz parte dos Termos e Condições da Zobooq e regula o tratamento de dados pessoais que a VACATIOLABS, S.L.U. realiza por conta de cada cliente ao prestar o Serviço, em conformidade com o artigo 28 do Regulamento (UE) 2016/679 (RGPD).

Ao aceitar os Termos e Condições e utilizar o Serviço, o cliente (responsável pelo tratamento) e a VACATIOLABS, S.L.U. (subcontratante) celebram este DPA. Não é necessário assiná-lo separadamente; se a tua organização necessitar de uma cópia assinada, escreve-nos para legal@zobooq.com.

1. Partes e funções

Relativamente aos dados de terceiros (principalmente hóspedes, mas também contactos ou pessoal do cliente) introduzidos no Serviço, as partes e as suas funções são:

• Responsável pelo tratamento: o cliente que contrata o Serviço e decide que dados introduz e com que finalidade.
• Subcontratante: VACATIOLABS, S.L.U. (NIF B93814903), que trata esses dados unicamente para prestar o Serviço seguindo as instruções do responsável.

2. Objeto e âmbito

O objeto do tratamento é a prestação do Serviço descrito nos Termos: gestão de reservas, motor de reservas e sítio web do alojamento, ligação com canais/OTA, comunicações com hóspedes e registo de viajantes. O subcontratante tratará os dados pessoais contidos nas reservas, os perfis de hóspedes, as comunicações e os documentos que o responsável carregue ou gira na plataforma. A natureza, finalidade, tipos de dados e categorias de titulares dos dados são detalhados no Anexo I.

3. Duração

O tratamento durará enquanto estiver em vigor a relação contratual (enquanto a conta do cliente estiver ativa). No seu termo aplicar-se-á o previsto na cláusula de devolução e eliminação, sem prejuízo dos prazos de conservação legal.

4. Obrigações do subcontratante

Enquanto subcontratante, a VACATIOLABS, S.L.U. obriga-se a:

• Tratar os dados pessoais unicamente seguindo as instruções documentadas do responsável, incluindo as relativas a transferências internacionais, salvo obrigação legal.
• Garantir que as pessoas autorizadas a tratar os dados se comprometeram a respeitar a confidencialidade.
• Aplicar as medidas técnicas e organizativas apropriadas descritas no Anexo II (art. 32 RGPD).
• Não recorrer a outro subcontratante sem autorização; aplica-se a autorização geral regulada na cláusula de subcontratantes e no Anexo III.
• Assistir o responsável, na medida do possível, para que possa cumprir a sua obrigação de responder às solicitações de exercício de direitos dos titulares dos dados.
• Disponibilizar ao responsável as ferramentas para aceder, exportar, retificar e eliminar os dados diretamente a partir da aplicação.
• Notificar o responsável, sem demora indevida, das violações de segurança dos dados pessoais de que tenha conhecimento.
• Disponibilizar ao responsável a informação necessária para demonstrar o cumprimento e permitir auditorias ou inspeções razoáveis.
• À escolha do responsável, eliminar ou devolver os dados pessoais uma vez terminada a prestação, salvo que deva conservá-los por obrigação legal.
• Manter um registo das atividades de tratamento realizadas por conta do responsável.

5. Obrigações do responsável

O responsável garante que dispõe de base legal para tratar os dados que introduz no Serviço (por exemplo, os dos seus hóspedes), que informou os titulares dos dados quando aplicável — incluindo a informação sobre a comunicação de dados às autoridades no âmbito do registo de viajantes — e que as suas instruções cumprem o RGPD. O responsável é quem decide as finalidades e os meios do tratamento.

6. Subcontratantes

O responsável autoriza com caráter geral que o subcontratante recorra aos subcontratantes enumerados no Anexo III para prestar o Serviço. O subcontratante impõe a cada subcontratante, mediante contrato, as mesmas obrigações de proteção de dados. Antes de incorporar ou substituir um subcontratante, comunicá-lo-á com antecedência razoável (por exemplo, atualizando esta página); o responsável poderá opor-se por motivos razoáveis e, se a oposição impedir a prestação do Serviço, resolver o contrato.

7. Transferências internacionais

Quando um subcontratante esteja localizado fora do Espaço Económico Europeu, a transferência está protegida por uma decisão de adequação ou pelas Cláusulas Contratuais-Tipo da Comissão Europeia, juntamente com as medidas adicionais que correspondam. O Anexo III indica a localização de cada subcontratante.

8. Violações de segurança

Em caso de violação da segurança dos dados, o subcontratante notificará o responsável sem demora indevida após ter conhecimento, fornecendo a informação disponível para que o responsável possa, se aplicável, notificar a autoridade de controlo (AEPD) e os titulares dos dados dentro dos prazos legais.

9. Responsabilidade

A responsabilidade de cada parte rege-se pelo artigo 82 do RGPD e pela cláusula de limitação de responsabilidade dos Termos e Condições. Cada parte responde pelo incumprimento das obrigações que o RGPD lhe atribui na sua respetiva função.

Anexo I — Detalhe do tratamento

Categorias de titulares dos dados

• Hóspedes do responsável (pessoas singulares que realizam ou figuram numa reserva).
• Contactos, fornecedores ou colaboradores do responsável que apareçam na documentação.
• Utilizadores autorizados pelo responsável a aceder à sua conta.

Categorias de dados pessoais

• Dados identificativos: nome e apelidos.
• Dados de contacto: morada, correio eletrónico e telefone.
• Dados do documento de identidade recolhidos para o registo de viajantes (tipo e número de documento, data de nascimento, nacionalidade e demais dados exigidos pela legislação de registo de viajantes).
• Dados da reserva e da estadia: datas, alojamento, número de hóspedes e comunicações.
• Dados económicos: montantes da reserva e, se aplicável, dados de pagamento.

Finalidade e natureza do tratamento

Armazenamento, organização, consulta e processamento dos dados de reservas, hóspedes e comunicações com o fim de prestar as funções do Serviço contratadas pelo responsável, incluindo a comunicação dos dados de viajantes às autoridades quando o responsável utilize essa função.

O Serviço não está concebido para tratar categorias especiais de dados (art. 9 RGPD). O responsável compromete-se a não introduzir este tipo de dados salvo que seja estritamente necessário e conforme à lei.

Anexo II — Medidas de segurança

O subcontratante aplica, no mínimo, as seguintes medidas técnicas e organizativas (art. 32 RGPD), que podem evoluir para manter um nível de segurança adequado:

• Cifragem em trânsito de todas as comunicações (HTTPS/TLS).
• Cifragem em repouso dos segredos sensíveis (credenciais de integrações) através de chaves geridas.
• Controlo de acesso baseado em perfis e princípio do menor privilégio.
• Isolamento lógico entre os dados de diferentes clientes.
• Armazenamento de palavras-passe através de funções de hash robustas (nunca em texto simples).
• Registo de auditoria das operações.
• Cópias de segurança periódicas da base de dados.
• Minimização de dados: aos subcontratantes só são enviados os dados necessários para cada função.
• Procedimentos de deteção, gestão e notificação de incidentes de segurança.

Anexo III — Subcontratantes do tratamento

O responsável autoriza os seguintes subcontratantes. A ativação de cada integração depende de que o responsável a ligue ou utilize; se não for utilizada, não são comunicados dados ao subcontratante correspondente.

Subcontratante / função	Finalidade	Localização e transferências
Processamento de pagamentos (Stripe)	Cobrança de subscrições e, se aplicável, das reservas.	UE / EUA — cláusulas contratuais-tipo.
Ligação com canais/OTA (channel manager)	Sincronização de disponibilidade, preços e reservas com os portais ligados.	UE / Reino Unido — com garantias adequadas.
Envio de correio transacional (Resend)	Confirmações, convites e avisos do Serviço.	EUA — cláusulas contratuais-tipo.
Alojamento e infraestrutura (Digital Value, S.L.)	Alojamento, base de dados e infraestrutura do Serviço.	Espanha (UE).
Publicidade (Meta), apenas se a ligares	Gestão de campanhas publicitárias em redes que o responsável ative.	EUA — com garantias adequadas.
Análise de comportamento (Microsoft Clarity), apenas com o consentimento do utilizador	Mapas de calor e gravações de sessão do backoffice para melhorar a usabilidade; as gravações mascaram os dados introduzidos.	EUA — EU-U.S. Data Privacy Framework.

Esta lista mantém-se atualizada nesta página. Os fornecedores de pagamento e os portais de reserva podem atuar, relativamente a certos dados, como responsáveis independentes em conformidade com a sua própria legislação.