Acordo de Tratamento de Dados

1. Partes

Este Acordo de Processamento de Dados ("DPA") é celebrado entre o Cliente ("Responsável pelo Tratamento") e a YARDtwin Ltd, registada na Irlanda ("Subcontratante"), coletivamente designadas "Partes". Este DPA faz parte integrante dos Termos de Serviço do YARDtwin e está sujeito aos mesmos Termos de Serviço.

2. Âmbito e Finalidade

O Subcontratante trata dados pessoais em nome do Responsável exclusivamente para fins de prestação da plataforma de gestão de pátio YARDtwin: agendamento de docas, operações de portaria, visualização do pátio em gémeo digital, gestão de transportadoras e motoristas, registo de auditoria desenvolvido para ambientes GMP, análises e integrações. O tratamento é realizado durante o período de subscrição do Responsável e qualquer período de retenção exigido pela Secção 11.

3. Categorias de Titulares de Dados

• Colaboradores e administradores do Responsável pelo Tratamento (utilizadores nomeados da plataforma)
• Motoristas e pessoal logístico com entrada registada nas portarias do Responsável pelo Tratamento
• Representantes de transportadoras e contactos de expedição
• Pessoal de segurança de portaria e operadores de armazém

4. Tipos de Dados Pessoais

• Dados de identidade: nomes, endereços de e-mail, números de telefone, cargo/função, nome e morada da empresa
• Dados de autenticação: palavras-passe com hash bcrypt (12 rondas), tokens de acesso e atualização JWT, marcas temporais de sessão, endereços IP, identificadores SSO (Google, Microsoft)
• Dados operacionais: agendamentos, alocações de docas, movimentos de reboques, registos de inspeção, documentos, atribuições de tarefas, matrículas de veículos
• Dados de motoristas: números de carta de condução e imagens da carta de condução. O pessoal da portaria pode tirar uma fotografia do rosto do condutor como prova de entrada. Quando um site ativa a comparação facial por IA, o nosso fornecedor de IA (Anthropic) compara essa fotografia individualmente com a fotografia da carta de condução ou com a fotografia armazenada do condutor, para ajudar o pessoal a confirmar a identidade do condutor. O resultado é uma sugestão: o pessoal da portaria decide e pode admitir um condutor cuja comparação não foi confirmada, indicando um motivo. Cada comparação é registada nos nossos servidores com o respetivo resultado. Quando a comparação facial está desativada (predefinição), nenhuma fotografia do rosto é enviada ao fornecedor de IA e o pessoal compara o condutor com a fotografia da carta de condução; as imagens da carta de condução continuam a ser lidas por IA quando a leitura por IA está ativa. O YARDtwin não armazena modelos faciais nem realiza identificação de um-para-muitos.
• Dados de auditoria: ações de utilizadores, marcas temporais, endereços IP, strings de user-agent, diferenças de valores antigos/novos, registos com flag GMP

5. Obrigações do Subcontratante

• Tratar dados pessoais apenas com base em instruções documentadas do Responsável pelo Tratamento (a interface da plataforma e a API constituem instruções documentadas)
• Assegurar que as pessoas autorizadas a tratar dados estão vinculadas por acordos de confidencialidade
• Implementar medidas de segurança técnicas e organizativas adequadas (Art. 32) — ver Secção 7
• Recorrer apenas aos subprocessadores listados na Secção 6, para os quais o Responsável concede autorização geral por escrito; notificar com pelo menos 30 dias de antecedência qualquer novo subprocessador, ao qual o Responsável pode opor-se (Secção 6)
• Auxiliar o Responsável pelo Tratamento nos pedidos dos titulares de dados (Art. 15–22) através dos endpoints DSAR descritos na Secção 9
• Notificar o Responsável sem demora injustificada, e em qualquer caso no prazo de 48 horas após tomar conhecimento de uma violação de dados pessoais; fornecer uma notificação inicial no prazo de 24 horas após qualquer incidente de segurança confirmado que afete os dados do Responsável (Secção 8)
• Eliminar ou devolver todos os dados pessoais após a cessação dos serviços (Secção 11)
• Disponibilizar todas as informações necessárias para demonstrar conformidade e apoiar auditorias (Secção 12)

6. Subprocessadores

O Subcontratante recorre atualmente aos seguintes subprocessadores, cada um atuando ao abrigo de um Acordo de Processamento de Dados e (quando aplicável) das Cláusulas Contratuais Padrão 2021:

O Responsável concede autorização geral por escrito para os subprocessadores listados acima. O Subcontratante notificará com pelo menos 30 dias de antecedência qualquer novo subprocessador; o Responsável pode opor-se com fundamentos razoáveis e, se a objeção não puder ser resolvida, encerrar o serviço afetado sem penalização.

Serviços exclusivos do website (sem dados operacionais de clientes)

Estes funcionam apenas no website público. Não recebem dados operacionais de clientes e não são subprocessadores dos mesmos; os que definem cookies carregam apenas com consentimento.

7. Medidas de Segurança (Art. 32)

• Encriptação em trânsito: TLS 1.2+ em todos os endpoints; certificados geridos pelo Microsoft Azure (DigiCert)
• Encriptação em repouso: Encriptação transparente de dados do Azure Postgres Flexible Server; encriptação do Azure Blob Storage
• Imagens de cartas de condução e assinaturas: As imagens de cartas de condução e as assinaturas são encriptadas em repouso com AES-256 pelo Azure Storage e pelo Azure Database for PostgreSQL (chaves geridas pela Microsoft), e o acesso às mesmas é limitado por função e organização
• Hashing de palavras-passe: bcrypt, 12 rondas
• Autenticação: Tokens de acesso JWT (validade de 1 hora) e tokens de atualização (validade de 7 dias, renovados a cada utilização, nunca válidos além de 30 dias após o início de sessão). Início de sessão único (SAML 2.0, Google, Microsoft); autenticação multifator por código temporário (TOTP), obrigatória para administradores da plataforma e disponível para todos os utilizadores
• Isolamento de tenant: aplicado no lado do servidor por âmbito de tenant, e testado automaticamente antes de cada lançamento: a verificação cruzada de tenants da porta de lançamento chama o API como uma organização com IDs de registos de outra organização, e o lançamento é bloqueado se algum dado dessa organização puder ser lido ou alterado
• Controlo de acesso baseado em funções: permissões baseadas em funções em rotas autenticadas, com âmbito de tenant aplicado no lado do servidor
• Firewall de Aplicação Web: Azure Front Door WAF em modo de prevenção (Prevention mode), com regras personalizadas de limitação de taxa nos endpoints de autenticação, registo, redefinição de palavra-passe e pedidos de titulares de dados, além de proteção DDoS L7 ao nível da plataforma. Não está associado nenhum conjunto de regras OWASP gerido — isso requer o escalão Front Door Premium.
• Limitação de taxa: limites por rota, mais restritivos nos endpoints de autenticação; rastreamento de tentativas em memória e persistido
• Registo de auditoria: com deteção de adulteração e somente de acréscimo (aplicado na base de dados), entradas relevantes para GMP sinalizadas separadamente e retidas durante pelo menos 7 anos enquanto o contrato de serviço vigorar (no fim do contrato é exportado para o Responsável pelo Tratamento, salvo se o Responsável pelo Tratamento recusar a exportação por escrito ou não for possível contactá-lo após tentativas razoáveis, sendo depois eliminado — Secção 11), outras entradas durante 365 dias, pseudonimizado (não eliminado) em caso de apagamento ao abrigo do Art. 17 por via do Art. 17(3)(b)
• Monitorização contínua: Azure Application Insights; um teste de disponibilidade do site a cada 10 minutos; um alerta de desvio de esquema (janela de 15 minutos); um alerta quando mais de 10 erros de servidor (HTTP 5xx) ocorrem em 5 minutos; e um worker de monitorização de violações que verifica o registo de auditoria a cada 5 minutos para detetar picos de falhas de autenticação (10 ou mais para uma conta numa hora), tentativas de início de sessão numa conta a partir de 5 ou mais endereços IP em 24 horas, e inícios de sessão bem-sucedidos a partir de um endereço IP não visto para esse utilizador nos últimos 30 dias
• Cadeia de fornecimento de software: Cada pull request deve passar em npm audit (vulnerabilidades de dependências), Semgrep (análise estática) e gitleaks (análise de segredos) antes de poder ser integrado, com uma análise de imagem de contentor Trivy como verificação consultiva; estas verificações também são executadas em cada push para master e diariamente, juntamente com uma análise de base OWASP ZAP consultiva (testes dinâmicos) do site de produção. Segredos: Azure Key Vault acedido via identidade gerida do App Service; sem segredos em código, ficheiros env ou imagens de contentor

8. Notificação de Violação de Dados Pessoais

O Subcontratante notificará o Responsável sem demora injustificada, e em qualquer caso no prazo de 48 horas após tomar conhecimento de uma violação de dados pessoais que afete os dados do Responsável, e fornecerá uma notificação inicial no prazo de 24 horas após qualquer incidente de segurança confirmado que afete os dados do Responsável. A notificação incluirá a natureza da violação, as categorias e o número aproximado de titulares de dados afetados, as consequências prováveis, as medidas tomadas ou propostas e a referência do registo de violações. As anomalias detetadas são encaminhadas para o Azure Monitor Action Group yardtwin-breach-actions; os incidentes confirmados são registados na tabela do registo de violações com uma contagem decrescente de 72 horas para a DPC.

9. Direitos dos Titulares de Dados

O Subcontratante disponibiliza ao Responsável pelo Tratamento os seguintes endpoints para cumprimento dos direitos dos titulares de dados no prazo de 30 dias previsto no Art. 12.º(3):

• POST /api/v1/dsar/export/by-email — exportação legível por máquina abrangendo o Art. 15.º (acesso) e o Art. 20.º (portabilidade)
• POST /api/v1/dsar/erase/by-email — apagamento mediante pedido verificado: as contas de utilizador próprias da pessoa nas contas de cliente selecionadas são anonimizadas e as suas sessões, tokens, notificações, convites pendentes, registos de newsletter e de inscrição e o seu próprio avatar são eliminados; os registos operacionais detidos pelo Responsável pelo tratamento (reservas, registos de portaria e de visitas, lista de motoristas, contactos) são listados para que o Responsável pelo tratamento possa atuar; o registo de auditoria mantém uma referência anonimizada ao autor para a integridade GMP (art. 17.º, n.º 3, alínea b))
• Portal de pedidos de autoatendimento em /data-request

10. Transferências Internacionais

Os dados operacionais são armazenados no Espaço Económico Europeu (Microsoft Azure, Suécia Central e Noruega Este). As Cláusulas Contratuais Padrão (2021) aplicam-se a cada transferência para um subprocessador fora do EEE; quando um destinatário está certificado ao abrigo do EU-US Data Privacy Framework, esse mecanismo é igualmente invocado. As avaliações de impacto das transferências estão a ser concluídas (previstas para novembro de 2026).

11. Duração, Rescisão e Devolução de Dados

Este DPA permanece em vigor durante a vigência do contrato de serviço. Após a rescisão:

• O Responsável pelo Tratamento poderá exportar todos os seus dados num prazo de 30 dias através das funções de exportação do produto ou mediante solicitação
• Após 30 dias, o Subcontratante eliminará todos os dados pessoais operacionais do Responsável pelo Tratamento
• Durante a vigência do contrato de serviço, os registos de auditoria são conservados em estado pseudonimizado: as entradas relevantes para GMP durante pelo menos 7 anos após o evento, para cumprimento dos requisitos regulatórios de retenção de registos GMP (21 CFR Part 11 / EU GMP Annex 11; exceção por obrigação legal ao abrigo do Art. 17(3)(b)), e as restantes entradas de auditoria durante 365 dias. No final do contrato, antes de os dados do Responsável pelo Tratamento serem eliminados, é-lhe fornecida uma exportação completa do seu registo de auditoria, acompanhada de um recibo de verificação, para conservação durante o seu próprio período de retenção de registos, salvo se recusar a exportação por escrito ou não puder ser contactado após tentativas razoáveis; o Subcontratante elimina então o registo de auditoria juntamente com os restantes dados do Responsável pelo Tratamento. Com exceção das cópias de segurança descritas abaixo, que expiram segundo o seu próprio calendário, e do registo próprio do Subcontratante relativo à entrega (o recibo, os hashes e as contagens da exportação, e a identidade de quem a realizou e recebeu), o registo de auditoria só é conservado por mais tempo se o Responsável pelo Tratamento instruir o Subcontratante por escrito, ao abrigo de um acordo separado.
• Os dados operacionais são eliminados no prazo de 30 dias após o fim do contrato. As cópias de segurança point-in-time da base de dados expiram no prazo de 7 dias. As cópias de segurança mensais arquivadas e encriptadas são conservadas por até 7 anos exclusivamente para recuperação de desastres; não são restauradas exceto para recuperar o serviço, os dados nelas contidos ficam fora de uso e expiram com a cópia de segurança.
• É efetuada uma cópia de segurança completa da base de dados todas as noites, mantida durante 35 dias em armazenamento encriptado separado no EEE (Suécia Central, com replicação geográfica para Suécia do Sul); os dados eliminados do serviço ativo permanecem nessas cópias de segurança, fora de uso, até expirarem.

12. Direitos de Auditoria

O Subcontratante disponibilizará ao Responsável todas as informações necessárias para demonstrar o cumprimento do Art. 28 GDPR. Os clientes podem solicitar: o registo atual de subprocessadores, o relatório mais recente de testes de regressão de isolamento de tenant, o resumo do teste de penetração externo após a realização de um teste (ver Política GDPR 11.1), e respostas a um questionário de segurança de fornecedor. Auditorias presenciais ou remotas razoáveis podem ser acordadas com pelo menos 30 dias de antecedência, realizadas pelo Responsável ou por um terceiro independente vinculado por confidencialidade. O Subcontratante não possui atualmente certificação ISO 27001 nem SOC 2; após a obtenção da certificação ISO 27001 (prevista para o 1.º trimestre de 2027), o Subcontratante disponibilizará o certificado como prova substituta.

13. Responsabilidade e Lei Aplicável

A responsabilidade ao abrigo deste DPA está sujeita às limitações estabelecidas nos Termos de Serviço. Este DPA é regido pelas leis da Irlanda e pelo Regulamento Geral de Proteção de Dados da UE (GDPR). Quaisquer litígios ficam sujeitos à jurisdição exclusiva dos tribunais da Irlanda.

14. Contacto

Para questões sobre este DPA, para solicitar uma cópia de revisão (uma edição com assinatura de ambas as partes é emitida após a conclusão do registo da empresa) ou para exercer qualquer dos direitos acima indicados, contacte admin@yardtwin.com ou o contacto de proteção de dados em dpo@yardtwin.com. Esta é uma caixa de correio de função monitorizada pela pessoa responsável pela proteção de dados na YARDtwin Ltd. A YARDtwin não designou um Encarregado de Proteção de Dados estatutário ao abrigo do Artigo 37.º do GDPR, o que não é obrigatório para o seu tratamento (Política GDPR 11.2); o endereço de contacto é publicado em substituição do nome de uma pessoa singular.