Acordo de tratamento de dados

1. Âmbito

Este acordo faz parte dos Termos de Serviço. Aplica-se quando a Joy trata dados pessoais por conta de um escritório que a utiliza — sobre os seus clientes, outras partes, pessoal e candidatos — quando se aplicam a lei israelita de proteção da privacidade, 5741-1981, e o regulamento de proteção da privacidade (segurança dos dados), 5777-2017, o RGPD (Regulamento (UE) 2016/679) ou o RGPD do Reino Unido. O escritório é o responsável pelo tratamento; a Neos Tech Ltd é o subcontratante.

2. Objeto, natureza e duração

A Joy guarda, organiza, partilha e assina os documentos e registos do escritório, gere os seus portais de clientes, colaboradores e candidatos e, a pedido do escritório, as funcionalidades de inteligência artificial. O tratamento dura enquanto durar a subscrição e termina com o apagamento descrito na secção 8.

3. Tipos de dados e titulares dos dados

Titulares dos dados: os clientes do escritório e os seus contactos, outras partes e testemunhas, o pessoal do escritório, colaboradores e candidatos a emprego, signatários e destinatários de documentos partilhados. Dados: dados de contacto e de identificação (incluindo números de identificação nos questionários de conheça o seu cliente e no formulário 101 do trabalhador), o conteúdo de documentos e mensagens, assinaturas e respetiva prova (hora, endereço IP, dispositivo), dados salariais e fiscais, CV. Categorias especiais (como dados de saúde num processo de danos corporais) apenas na medida em que o escritório as decida carregar; cabe ao escritório dispor de fundamento jurídico.

4. Instruções e confidencialidade

A Joy trata dados pessoais apenas segundo as instruções documentadas do escritório — a utilização do serviço e as definições que escolhe são essas instruções — salvo se a lei exigir outra coisa, caso em que informamos primeiro o escritório, se a lei o permitir. Todas as pessoas da Neos Tech com acesso aos dados estão sujeitas a confidencialidade. Não vendemos os dados, não os usamos para publicidade e não treinamos modelos com eles.

5. Segurança

Medidas adequadas ao risco, enumeradas no anexo abaixo e revistas à medida que o serviço muda.

6. Subcontratantes ulteriores

O escritório autoriza estes subcontratantes ulteriores: Netlify, Inc. (alojamento do site, funções de servidor e armazenamento de documentos; Estados Unidos, com uma rede de distribuição global); Supabase, Inc. (contas e a base de dados na nuvem; União Europeia — Irlanda); e, apenas quando o escritório usa funcionalidades de inteligência artificial, Anthropic PBC, OpenAI, L.L.C. e Google LLC (os modelos de inteligência artificial). Impomos a cada um obrigações equivalentes a este acordo e continuamos responsáveis por eles. Anunciamos um novo subcontratante ulterior com pelo menos 30 dias de antecedência nesta página e na aplicação; o escritório pode opor-se por motivos razoáveis e, se não houver solução, pôr termo à subscrição. Os serviços que o próprio escritório liga (Google Drive, Microsoft, Dropbox, ou Claude e ChatGPT como chat) funcionam ao abrigo dos acordos do próprio escritório com eles.

7. Transferências internacionais

A Comissão Europeia reconhece que Israel assegura um nível de proteção adequado. As transferências para subcontratantes ulteriores nos Estados Unidos assentam no Quadro de Privacidade de Dados UE-EUA quando o subcontratante está certificado e, caso contrário, nas cláusulas contratuais-tipo da Comissão Europeia.

8. Direitos, incidentes e apagamento

As ferramentas da aplicação permitem ao escritório responder a pedidos de acesso (exportação) e de apagamento (apagar todos os dados). Ajudamos com outros pedidos e com avaliações de impacto na medida do razoável. Notificamos o escritório de um incidente de segurança que afete os seus dados pessoais sem demora injustificada e no prazo de 48 horas após dele termos conhecimento, com a informação de que dispomos. Quando a subscrição termina, o escritório pode exportar os seus dados e depois apagá-los; os dados ainda guardados nos servidores da Joy são apagados no prazo de 30 dias após pedido escrito, salvo se a lei exigir a sua conservação.

9. Auditorias

Disponibilizamos a informação necessária para demonstrar o cumprimento deste acordo e permitimos uma auditoria mediante aviso prévio razoável, a expensas do escritório, uma vez por ano e sob confidencialidade.

10. Ordem de prevalência

Se este acordo e os Termos de Serviço entrarem em conflito quanto a dados pessoais, prevalece este acordo. Questões: adir@joyworkos.com.

Anexo — medidas de segurança

Apenas HTTPS (HSTS) e uma Política de Segurança de Conteúdo rigorosa; os documentos de cada escritório separados pela sua chave de espaço de trabalho, guardando o servidor apenas um hash da chave; OAuth 2.1 com PKCE e tokens com hash e de curta duração; ligações de partilha e salas de dados protegidas por palavra-passe, com registo de acesso de cada abertura; assinaturas eletrónicas com um registo de auditoria encadeado por hash; permissões por função dentro do escritório; limites de pedidos nos pontos de acesso públicos; segurança ao nível da linha na base de dados na nuvem.