Contrato de subcontratação do tratamento

1. Partes e objeto

Este contrato é celebrado entre a clínica veterinária ou a associação protetora que usa a Mizuu (o «Responsável») e a Mizuu (o «Subcontratante»). Aceita-se ao registar a clínica ou a associação protetora e faz parte das suas condições de utilização.

Objeto: a Mizuu trata por conta do Responsável os dados pessoais que este guarda na plataforma, apenas para lhe prestar o serviço contratado (agenda e consultas, historial clínico, clientes, faturas, avisos e lembretes, importação de dados de outro programa, gestão de animais, candidaturas, acolhimentos e voluntariado, e contratos de adoção).

2. Dados e titulares

• Titulares: clientes e responsáveis pelos animais, candidatos a adotar, pessoas de acolhimento, voluntários e membros da equipa do Responsável.
• Dados: de identificação e contacto, morada, dados dos animais e do seu historial, consultas, faturas e pagamentos, mensagens, documentos de identidade de adotantes (cifrados) e assinaturas de contratos.
• Não se tratam categorias especiais de dados do art. 9 RGPD, a menos que o Responsável as introduza por sua conta em campos de texto livre, o que deve evitar.

3. Duração

Dura enquanto o Responsável tiver conta na Mizuu. No fim aplica-se o ponto 11 (devolução e apagamento).

4. Instruções do Responsável

A Mizuu trata os dados apenas seguindo as instruções documentadas do Responsável: estas condições, a configuração que o Responsável escolhe no seu painel e os pedidos que fizer por escrito para [email protected]. Se a Mizuu considerar que uma instrução infringe a regulamentação de proteção de dados, dirá isso de imediato ao Responsável.

A Mizuu não usa estes dados para os seus próprios fins, não os vende e não os cede, salvo obrigação legal. As famílias que têm a sua própria conta na Mizuu são, quanto aos dados dessa conta, utilizadoras da Mizuu, e nesse caso a Mizuu é responsável pelo seu próprio tratamento.

5. Confidencialidade

As pessoas da Mizuu que acedem aos dados são obrigadas a guardar sigilo, mesmo depois de deixarem de trabalhar com a Mizuu, e só acedem quando precisam para dar o serviço ou para tratar um incidente ou uma denúncia.

6. Medidas de segurança (art. 32 RGPD)

• Cifragem em trânsito (TLS) e cifragem em repouso dos dados mais sensíveis (documentos de identidade, IBAN, telefones e moradas) com AES-256-GCM.
• Palavras-passe guardadas com Argon2id, dois fatores para contas de associação protetora e administração, bloqueio após tentativas falhadas e limites de pedidos.
• Permissões por função dentro da equipa do Responsável e registo de auditoria das ações sensíveis.
• Cópias de segurança cifradas e procedimento de gestão de incidentes.

7. Subcontratantes ulteriores

O Responsável autoriza de forma geral a Mizuu a usar estes subcontratantes ulteriores, que tratam os dados com garantias equivalentes às deste contrato:

• Cloudflare (rede, proteção e alojamento de ficheiros).
• Resend (envio de emails).
• Google Firebase (notificações push).
• Stripe (pagamentos).
• Google Play (cobrança da subscrição a partir da app Android).
• Anthropic (só se for usada a digitalização de cadernetas com IA).
• OpenAI (só para converter notas de voz em texto).

A Mizuu avisará o Responsável com pelo menos 15 dias de antecedência antes de adicionar ou mudar um subcontratante ulterior, e o Responsável poderá opor-se. Se a oposição impedir a prestação do serviço, o Responsável poderá cancelar sem custos. As transferências para fora do Espaço Económico Europeu assentam no Quadro de Privacidade de Dados UE-EUA ou em cláusulas contratuais-tipo.

8. Ajuda com os direitos dos titulares

Se um titular pedir à Mizuu para exercer os seus direitos sobre dados do Responsável, a Mizuu passará o pedido ao Responsável no máximo em 5 dias úteis. A Mizuu ajudará o Responsável com as ferramentas da plataforma (exportar, corrigir e apagar dados) para que possa responder dentro do prazo.

9. Violações de segurança

A Mizuu avisará o Responsável sem demora injustificada, e em todo o caso antes de 48 horas desde que tome conhecimento de uma violação que afete os seus dados, com a informação disponível: o que aconteceu, que dados e quantas pessoas afeta, consequências prováveis e medidas tomadas. Assim o Responsável pode notificar a autoridade de controlo em 72 horas (art. 33 RGPD) e, se houver risco elevado, os titulares (art. 34 RGPD).

10. Outras ajudas ao Responsável

A Mizuu dará ao Responsável a informação razoável de que precise para fazer avaliações de impacto ou consultas prévias, quando sejam aplicáveis.

11. Devolução e apagamento no fim

Antes de cancelar a conta, o Responsável pode descarregar os seus dados a partir do painel (exportação de clientes, historial e faturas). Após o cancelamento, a Mizuu apagará os dados do Responsável no máximo em 90 dias, salvo o que a lei obrigue a conservar (por exemplo, faturas), que será guardado bloqueado durante o prazo legal. O historial clínico que faz parte do passaporte de um animal com dono na Mizuu conserva-se nesse passaporte, como informação do animal.

12. Informação e auditorias

A Mizuu porá à disposição do Responsável a informação necessária para demonstrar que cumpre este contrato e permitirá auditorias razoáveis, com aviso prévio de 30 dias, no máximo uma vez por ano salvo se houver uma violação, a cargo do Responsável e sem acesso a dados de outros clientes.

13. Obrigações do Responsável

O Responsável garante que tem base legal para tratar os dados que carrega na Mizuu (incluindo os que importa de outro programa) e que informou os seus clientes, candidatos e voluntários. Se a regulamentação o exigir, é quem atende os direitos dos titulares e quem notifica as violações à autoridade.