Adenda de tratamento
de dados.

Esta DPA aplica-se entre o senhor ("Responsável pelo tratamento") — normalmente um anfitrião de evento, organização ou wedding planner que utiliza o Vowly Event para gerir dados de convidados — e a CKR Technology Group Ltd ("Subcontratante"). O Responsável pelo tratamento determina as finalidades e os meios do tratamento de dados pessoais; o Subcontratante trata os dados pessoais apenas com base em instruções documentadas do Responsável pelo tratamento.

O Subcontratante tratará os dados pessoais em nome do Responsável pelo tratamento para prestar o serviço Vowly Event, incluindo, entre outros, a criação de eventos, a distribuição de convites, a recolha de RSVP, a gestão da lista de convidados, o processamento de pagamentos de eventos e a análise da plataforma.

• Categorias de titulares de dados: convidados de eventos, acompanhantes, fornecedores e pessoal do Responsável pelo tratamento
• Categorias de dados pessoais: nomes, dados de contacto, respostas de RSVP, fotografias (quando carregadas pelos convidados) e — apenas com o consentimento explícito e separado do convidado — informações sobre alergias e regime alimentar, que podem revelar detalhes de saúde ou religiosos (dados de categorias especiais ao abrigo do Artigo 9.º)
• Duração: durante a vigência da subscrição do Responsável pelo tratamento e qualquer período de conservação de dados acordado por escrito

Em conformidade com o Artigo 28.º(3) do RGPD do Reino Unido/UE, o Subcontratante compromete-se com as seguintes obrigações relativamente aos dados pessoais tratados em nome do Responsável pelo tratamento.

• Tratar os dados pessoais apenas com base em instruções documentadas do Responsável pelo tratamento
• Garantir que todo o pessoal autorizado a tratar dados pessoais está vinculado por um dever de confidencialidade
• Implementar medidas técnicas e organizativas adequadas (MTO) — detalhadas na nossa página de Segurança
• Auxiliar o Responsável pelo tratamento nos pedidos de exercício de direitos dos titulares, nas AIPD e nas consultas prévias às autoridades de controlo
• Notificar o Responsável pelo tratamento, sem demora injustificada, de qualquer violação de dados pessoais que afete os seus dados
• Disponibilizar todas as informações necessárias para demonstrar a conformidade com o Artigo 28.º

O Subcontratante recorre a uma lista criteriosa de subcontratantes ulteriores para prestar o serviço. Ao assinar esta DPA, concede uma autorização geral para a utilização de subcontratantes ulteriores, sujeita a um aviso prévio de 30 dias sobre quaisquer alterações, que lhe confere o direito de oposição.

• Google Ireland Limited (Google Cloud / Firebase) — base de dados, armazenamento de ficheiros e alojamento na UE; início de sessão operado a partir de centros de dados nos EUA ao abrigo das CCT
• Stripe Payments Europe Ltd (Irlanda) — processamento de pagamentos
• Resend Inc. (EUA) — entrega de e-mails transacionais, ao abrigo das CCT da UE
• Crisp IM SARL (França) — chat de apoio, quando o Responsável pelo tratamento o utilizar
• Functional Software, Inc. (Sentry, EUA) — monitorização de erros, com os identificadores pessoais desativados
• Cloudflare, Inc. — DNS dos nossos domínios
• Apple Inc. e Google LLC — distribuição nas lojas de aplicações e processamento de compras dentro da aplicação
• A lista sempre atualizada, incluindo qualquer serviço que não receba dados pessoais, é mantida em vowly.co/subprocessors

Sempre que dados pessoais sejam transferidos para fora do Reino Unido ou do EEE, o Subcontratante recorre a salvaguardas adequadas, conforme exigido pelo Capítulo V do RGPD do Reino Unido/UE. Os principais mecanismos são as Cláusulas Contratuais-Tipo (CCT) da UE e a Adenda de Transferência Internacional de Dados (IDTA) do Reino Unido, complementadas por medidas técnicas e organizativas adicionais sempre que necessário.

O Subcontratante permitirá e contribuirá, mediante aviso prévio razoável por escrito, para auditorias realizadas pelo Responsável pelo tratamento ou por um auditor terceiro mandatado (sujeito a compromissos de confidencialidade). Para minimizar a perturbação, o Subcontratante oferecerá primeiro relatórios de auditoria de referência do setor (por exemplo, relatórios SOC 2 Type II dos fornecedores de infraestrutura) e questionários de segurança.

O Responsável pelo tratamento pode exportar os dados dos eventos a qualquer momento a partir da plataforma e elimina os dados pessoais diretamente, eliminando convidados, eventos ou a própria conta — a eliminação produz efeitos imediatos nos sistemas de produção. Mediante pedido escrito após a cessação, o Subcontratante devolverá ou eliminará quaisquer dados pessoais remanescentes no prazo de 30 dias, salvo se a conservação for exigida pela lei aplicável. As cópias residuais na infraestrutura da Google Cloud são expurgadas de acordo com os prazos de eliminação documentados da Google (até 180 dias).

A responsabilidade do Subcontratante ao abrigo desta DPA está sujeita às limitações estabelecidas nos Termos de Serviço. Nada nesta DPA limita a responsabilidade de qualquer das partes por incumprimento do RGPD do Reino Unido ou do RGPD da UE, sempre que tal responsabilidade não possa ser excluída por lei.