Data Processing Agreement

1. Partes

Este DPA é celebrado entre a CloudNewhotel, Lda. (Subcontratante) e o cliente hoteleiro identificado na respectiva encomenda ou contrato-quadro (Responsável pelo Tratamento). Rege a subcontratação de operações de tratamento de dados pessoais realizadas pela CloudNewhotel ao abrigo da prestação dos módulos SEF, Factura Electrónica, Reservas, Widget de Reserva directa, Ligação Booking.com, Ligação Expedia, Multibanco + MB Way SIBS, Yield Management, Análise de receitas e ocupação, e Multi-propriedade para grupos hoteleiros.

2. Objecto, natureza e finalidade do tratamento

O tratamento consiste na recolha, armazenamento, estruturação, consulta, alteração, comunicação e apagamento de dados pessoais de hóspedes e colaboradores do Responsável pelo Tratamento, com a finalidade de execução dos módulos contratados junto da CloudNewhotel. As categorias de dados tratados incluem dados de identificação de hóspedes, dados de contacto, dados de documento de identificação (para o módulo SEF), dados de facturação e dados de pagamento tokenizados (via SIBS).

3. Obrigações do Subcontratante

A CloudNewhotel obriga-se a: (a) tratar os dados pessoais apenas conforme instruções documentadas do Responsável pelo Tratamento, salvo obrigação legal em contrário; (b) garantir que as pessoas autorizadas a tratar os dados assumiram compromisso de confidencialidade; (c) adoptar as medidas técnicas e organizativas previstas no artigo 32.º do RGPD; (d) auxiliar o Responsável no cumprimento das suas obrigações de resposta aos titulares; (e) auxiliar no cumprimento das obrigações de notificação de violações; (f) suprimir ou devolver todos os dados após o termo do contrato; (g) disponibilizar a informação necessária para demonstrar o cumprimento das suas obrigações.

4. Subcontratação em cadeia

A CloudNewhotel utiliza os seguintes subcontratantes técnicos, todos localizados em Estados-Membros da União Europeia: (i) fornecedor de datacenter Sines, Portugal, para alojamento primário; (ii) fornecedor de datacenter Amesterdão, Países Baixos, para cópia geo-redundante; (iii) fornecedor de e-mail transaccional Frankfurt, Alemanha, para envio de facturas AT e notificações operacionais. Qualquer alteração à lista de subcontratantes é comunicada ao Responsável com antecedência mínima de 30 dias.

5. Medidas técnicas e organizativas

A CloudNewhotel adopta as seguintes medidas: cifra em trânsito (TLS 1.3), cifra em repouso (AES-256), autenticação multifactor para acesso ao painel administrativo, segregação de ambientes de produção e teste, gestão de identidades com rotação de credenciais, monitorização contínua por SOC dedicado, backups diários com retenção de 90 dias, plano de recuperação de desastre testado semestralmente, formação anual obrigatória de colaboradores em RGPD e segurança da informação. Certificações activas: ISO 27001, ISO 27701.

6. Duração e cessação

O presente DPA vigora enquanto durar a relação contratual entre as partes. Após a cessação, a CloudNewhotel suprime ou devolve os dados no prazo máximo de 30 dias, conforme instrução do Responsável, salvo obrigação legal de conservação.

7. Auditorias

O Responsável tem o direito de auditar a conformidade da CloudNewhotel com o presente DPA, mediante pré-aviso mínimo de 30 dias. A CloudNewhotel disponibiliza previamente os relatórios de auditoria ISO 27001 e ISO 27701 mais recentes, os quais são geralmente suficientes para dispensar auditoria in loco.

8. Lei aplicável e foro

O presente DPA rege-se pela legislação portuguesa e é interpretado em conjunto com o RGPD e a Lei n.º 58/2019. Para dirimir qualquer litígio, é competente o Tribunal Judicial da Comarca de Lisboa.