Acordo de tratamento de dados (DPA)

Artigo 1.º · Definições

Para efeitos do presente DPA:

• “Cliente” designa a pessoa coletiva ou singular que subscreve a Ooklo ou utiliza o Marketplace.
• “Ooklo” designa a VICMEDIA LTD, 126 Aldersgate Street, Londres EC1A 4JQ, Reino Unido, que opera sob a marca “Ooklo”.
• “Dados do Cliente” designa os Dados Pessoais carregados, importados ou sincronizados pelo Cliente na plataforma (clientes, potenciais clientes, trabalhadores e afins).
• “Dados do Marketplace” designa os contactos B2B ou B2C disponibilizados ao Cliente através do Marketplace da Ooklo, provenientes de bases produzidas por vários editores qualificados e independentes.
• “Subcontratante Ulterior” designa qualquer terceiro a que a Ooklo recorra para tratar dados por conta do Cliente (“outro subcontratante” na aceção do RGPD).
• “Titulares dos Dados” designa as pessoas singulares cujos Dados Pessoais são tratados no âmbito do presente DPA.

Os termos “Responsável pelo Tratamento”, “Subcontratante”, “Dados Pessoais”, “Tratamento”, “Violação de Dados Pessoais”, “Destinatário” e “Titular dos Dados” têm o significado previsto no artigo 4.º do RGPD.

Artigo 2.º · Objeto e duração

O presente DPA estabelece as condições em que a Ooklo trata os Dados do Cliente por conta do Cliente e as condições em que a Ooklo disponibiliza os Dados do Marketplace.

O DPA produz efeitos na primeira das seguintes datas: (i) aceitação dos Termos de Serviço da Ooklo, (ii) primeiro carregamento de uma lista de contactos na plataforma, (iii) primeira encomenda no Marketplace. Vigora durante toda a relação contratual, acrescida dos prazos legais de conservação previstos no artigo 9.º.

Artigo 3.º · Parte A: a Ooklo enquanto subcontratante do Cliente

Relativamente aos Dados do Cliente, o Cliente é o único Responsável pelo Tratamento. A Ooklo atua como Subcontratante na aceção do artigo 28.º do RGPD e trata os Dados Pessoais apenas mediante instruções documentadas do Cliente. As instruções do Cliente resultam (a) da configuração da sua conta Ooklo, (b) da utilização das funcionalidades da plataforma e (c) se for caso disso, de instruções escritas específicas enviadas para dpo@ooklo.com.

3.1 Natureza e finalidade do Tratamento

A Ooklo trata os Dados do Cliente para as seguintes finalidades:

• Alojamento e armazenamento seguros das listas de contactos do Cliente.
• Envio das campanhas de marketing criadas pelo Cliente: e-mail, SMS, publicações em redes sociais, Perfil da Empresa no Google, WhatsApp, módulos do Hub.
• Medição da entregabilidade, relatórios de desempenho e análises no painel de controlo.
• Tratamento automático de anulações de subscrição e de reclamações (lista de supressão partilhada no âmbito da conta do Cliente).
• Apoio técnico a pedido do Cliente, com registo para efeitos de auditoria.

3.2 Categorias de Titulares dos Dados

• Clientes e potenciais clientes do Cliente.
• Membros, assinantes e participantes em programas do Cliente.
• Trabalhadores do Cliente (apenas se carregados pelo Cliente).
• Autores de avaliações e contactos recebidos através dos canais ligados.

3.3 Categorias de Dados Pessoais

• Dados de identificação: apelido, nome próprio, forma de tratamento, identificador interno.
• Dados de contacto: e-mail, telefone fixo e telemóvel, morada postal.
• Dados transacionais: histórico de compras, valor médio por compra, frequência de visitas (quando fornecidos pelo Cliente).
• Dados comportamentais: aberturas, cliques, conversões associadas às campanhas da Ooklo.
• Dados de consentimento: estado de opt-in / opt-out, data e origem do consentimento.
• Dados técnicos associados aos envios: endereço IP, user agent, estado de entrega.

Salvo instrução escrita e expressa do Cliente, a Ooklo não trata quaisquer categorias especiais de dados na aceção dos artigos 9.º e 10.º do RGPD.

3.4 Duração do Tratamento

O Tratamento dura enquanto vigorar a subscrição do Cliente, acrescida de um período de tolerância de 30 dias após o encerramento da conta, durante o qual o Cliente pode reativar a conta ou exportar os seus Dados. Findo esse período, os Dados do Cliente são apagados nos termos do artigo 9.º.

Artigo 4.º · Obrigações da Ooklo enquanto Subcontratante

A Ooklo compromete-se, nos termos do artigo 28.º, n.º 3, do RGPD, a:

• Tratar os Dados do Cliente apenas mediante instruções documentadas do Cliente, incluindo no que respeita a transferências para fora da UE. À data do presente DPA, não ocorre qualquer transferência para fora da UE/EEE.
• Assegurar que as pessoas autorizadas a tratar os Dados do Cliente estão sujeitas a uma obrigação de confidencialidade adequada, contratual ou legal.
• Aplicar as medidas técnicas e organizativas descritas no Anexo 2.
• Respeitar as condições de recurso a Subcontratantes Ulteriores previstas no artigo 5.º e no Anexo 1.
• Prestar assistência ao Cliente, através de medidas técnicas e organizativas adequadas, para dar resposta aos pedidos dos Titulares dos Dados (acesso, retificação, apagamento, oposição, limitação, portabilidade, retirada do consentimento).
• Prestar assistência ao Cliente no cumprimento das obrigações previstas nos artigos 32.º a 36.º do RGPD (segurança, notificação de violações, avaliações de impacto, consulta prévia).
• Findo o serviço, apagar ou devolver todos os Dados do Cliente, à escolha do Cliente, sem prejuízo das obrigações legais de conservação.
• Disponibilizar ao Cliente todas as informações necessárias para demonstrar o cumprimento do presente DPA e permitir auditorias nos termos do artigo 10.º.
• Informar imediatamente o Cliente se, no seu entender, uma instrução violar o RGPD ou qualquer outra norma aplicável.

Artigo 5.º · Subcontratantes Ulteriores

O Cliente concede à Ooklo uma autorização geral para recorrer aos Subcontratantes Ulteriores enumerados no Anexo 1 para a prestação do serviço. Todos os Subcontratantes Ulteriores atuais estão localizados na União Europeia ou no EEE.

A Ooklo celebra com cada Subcontratante Ulterior um contrato escrito que impõe obrigações de proteção de dados equivalentes às do presente DPA, nomeadamente os requisitos de segurança do artigo 32.º do RGPD.

Em caso de alteração dos Subcontratantes Ulteriores (aditamento ou substituição), a Ooklo informa o Cliente com uma antecedência mínima de trinta (30) dias, por e-mail para o endereço de contacto da conta ou mediante publicação na página /dpa. O Cliente pode opor-se, por motivos razoáveis, dentro desse prazo. Se a oposição for legítima, as Partes procurarão de boa-fé uma solução alternativa; na falta de solução, o Cliente pode pôr termo ao serviço afetado sem qualquer penalização.

Artigo 6.º · Segurança

A Ooklo aplica as medidas técnicas e organizativas descritas no Anexo 2 para garantir um nível de segurança adequado ao risco, nomeadamente:

• Cifragem dos Dados Pessoais em repouso (AES-256) e em trânsito (TLS 1.2+).
• Autenticação multifator para todas as contas de administração.
• Controlos de acesso baseados em funções e no princípio do menor privilégio.
• Registo e monitorização dos acessos sensíveis.
• Cópias de segurança cifradas, com restauro testado regularmente.
• Testes de intrusão e análises de vulnerabilidades anuais.

Artigo 7.º · Violação de Dados Pessoais

Se uma Violação de Dados Pessoais afetar os Dados do Cliente, a Ooklo notifica o Cliente sem demora injustificada e, o mais tardar, setenta e duas (72) horas após ter tido conhecimento da mesma. A notificação descreve:

• A natureza da Violação, as categorias e o número aproximado de Titulares dos Dados e de registos de Dados afetados.
• As consequências prováveis.
• As medidas adotadas ou propostas para remediar a Violação e atenuar os seus efeitos.
• O ponto de contacto na Ooklo.

A Ooklo presta assistência ao Cliente na notificação à autoridade de controlo competente e, se necessário, na comunicação aos Titulares dos Dados.

Artigo 8.º · Direitos dos Titulares dos Dados

Quando um Titular dos Dados apresenta à Ooklo um pedido de exercício dos seus direitos (acesso, retificação, apagamento, oposição, limitação, portabilidade), a Ooklo reencaminha o pedido para o Cliente no prazo de cinco (5) dias úteis e, salvo instrução em contrário do Cliente, não responde diretamente.

A Ooklo disponibiliza ao Cliente funcionalidades de exportação e de apagamento na plataforma, para que o Cliente possa responder aos Titulares dos Dados dentro do prazo de um mês previsto no RGPD.

Artigo 9.º · Conservação, devolução e apagamento

Os prazos de conservação são os seguintes:

• Conta ativa: enquanto durar a subscrição.
• Período de tolerância após o encerramento: 30 dias, durante os quais o Cliente pode reativar a conta ou exportar os seus Dados.
• Dados do Cliente após o período de tolerância: apagados dos sistemas ativos; as cópias de segurança cifradas são eliminadas no prazo máximo de 60 dias.
• Dados sujeitos a conservação legal (faturação, contabilidade, prevenção de fraudes): arquivados durante o prazo exigido pela lei aplicável e, em seguida, apagados.
• Dados do Marketplace utilizados pelo Cliente: ver artigo 12.º.

Artigo 10.º · Auditoria

O Cliente pode, a expensas suas, auditar o cumprimento do presente DPA pela Ooklo, no máximo uma vez em cada período de doze (12) meses e mediante pré-aviso razoável de, pelo menos, trinta (30) dias. A auditoria é realizada pelo Cliente ou por um auditor terceiro independente sujeito a um dever de confidencialidade. A auditoria não pode abranger dados ou sistemas de outros clientes da Ooklo.

A Ooklo pode cumprir esta obrigação fornecendo relatórios de auditoria recentes (SOC 2, ISO 27001 ou equivalente), quando disponíveis.

Artigo 11.º · Parte B: Marketplace de dados de potenciais clientes

11.1 Origem dos Dados

Os Dados do Marketplace são agregados a partir de várias fontes qualificadas, com um volume indicativo de aproximadamente 3 milhões de contactos B2B e 8 milhões de contactos B2C, localizados em França.

11.2 Fundamento de licitude

• Contactos B2B: interesses legítimos do remetente (artigo 6.º, n.º 1, alínea f), do RGPD e considerando 47), associados a um direito de oposição simples e gratuito para os Titulares dos Dados. As abordagens são estritamente profissionais e relacionadas com as funções do destinatário.
• Contactos B2C: consentimento livre, específico, informado e inequívoco (artigo 6.º, n.º 1, alínea a), e artigo 7.º do RGPD), obtido pelos produtores das bases no momento da recolha, com data, hora e origem documentadas. Os opt-ins para marketing e para SMS são distintos.

11.3 Atualização e qualidade dos dados

• Atualização mensal completa das bases pelos produtores (modalidade “anula e substitui” entre o dia 1 e o dia 10 de cada mês).
• Atualização semanal de anulações de subscrição, reclamações, moradas postais inválidas (NPAI), spamtraps e hardbounces. Estes sinais são integrados de imediato na lista de supressão do Marketplace.
• Os endereços de e-mail B2B e os números de telemóvel B2B são disponibilizados sob a forma de hash SHA-256 para o encaminhamento; os Dados B2C são entregues em texto claro para permitir o encaminhamento pela Ooklo ou por encaminhadores acreditados.

11.4 Contrato de licença

A Ooklo detém licenças de comercialização com os produtores das bases qualificadas referidas no §11.1. Estas licenças regulam: os direitos de propriedade intelectual dos produtores sobre as bases (artigo L341-1 do Código da Propriedade Intelectual francês), as obrigações de segurança, o relatório mensal de volumes, o tratamento dos pedidos dos Titulares dos Dados, a destruição dos Dados no termo do contrato e as obrigações do capítulo III do RGPD.

Artigo 12.º · Obrigações do Cliente na utilização do Marketplace

Ao efetuar uma encomenda no Marketplace, o Cliente compromete-se a:

• Enviar mensagens aos contactos alugados apenas dentro do setor de atividade e da zona geográfica declarados à Ooklo no momento da encomenda.
• No aluguer de e-mails e SMS B2B/B2C: não extrair os endereços de e-mail nem os números de telemóvel, e não os partilhar com terceiros. O encaminhamento é efetuado exclusivamente pela Ooklo ou por um encaminhador acreditado nos termos da licença aplicável.
• Nos serviços de venda ou de enriquecimento de dados: respeitar os prazos de conservação previstos na nota de encomenda, nunca revender os Dados e devolver ou destruir todos os Dados do Marketplace no termo do serviço, nos termos do artigo 9.º.
• Dar seguimento imediato a qualquer oposição, pedido de retificação ou de apagamento recebido de um Titular dos Dados e transmiti-lo à Ooklo no prazo de cinco (5) dias úteis através do endereço dpo@ooklo.com, para que a Ooklo e os produtores das bases possam suprimir o contacto na origem.
• Incluir em todas as comunicações uma ligação de anulação da subscrição funcional, juntamente com uma menção clara que identifique o responsável pelo tratamento (o Cliente) e a origem dos Dados (“Fonte: Ooklo Marketplace”).
• Respeitar os horários e as regras legais de envio (em França: Decreto n.º 2023-1085 relativo à prospeção telefónica, lista de oposição Bloctel para os contactos telefónicos B2C) e a lista de exclusão comunicada pelos produtores das bases.

Em caso de incumprimento, a Ooklo pode suspender o acesso do Cliente ao Marketplace e recorrer a qualquer outro meio previsto na lei.

Artigo 13.º · Transferências internacionais

À data do presente DPA, todas as operações de Tratamento das Partes A e B são alojadas e realizadas na União Europeia ou no Espaço Económico Europeu. Não ocorre qualquer transferência para fora da UE/EEE.

Caso, no futuro, um Subcontratante Ulterior tenha de tratar Dados a partir de um país terceiro, a Ooklo aplicará as garantias adequadas exigidas pelo capítulo V do RGPD (cláusulas contratuais-tipo da Comissão Europeia, decisão de adequação ou qualquer outro mecanismo reconhecido) e informará previamente o Cliente.

Artigo 14.º · Responsabilidade

A responsabilidade de cada Parte no âmbito do presente DPA rege-se pelas cláusulas de limitação e de exclusão previstas nos Termos de Serviço da Ooklo, sem prejuízo das normas imperativas e, em especial, do artigo 82.º do RGPD.

A limitação de responsabilidade não se aplica em caso de culpa grave, dolo ou incumprimento das obrigações de proteção de Dados Pessoais e de segurança da informação.

Artigo 15.º · Lei aplicável e foro competente

O presente DPA rege-se pelo direito inglês e fica sujeito à jurisdição dos tribunais de Londres, sem prejuízo das normas imperativas e da competência das autoridades de controlo e dos tribunais dos Estados-Membros da União Europeia em matéria de proteção de Dados Pessoais.

Artigo 16.º · Atualizações do DPA

A Ooklo pode atualizar o presente DPA para refletir alterações da regulamentação, dos seus Subcontratantes Ulteriores ou dos produtos da Ooklo. Qualquer atualização significativa é comunicada ao Cliente com, pelo menos, trinta (30) dias de antecedência relativamente à sua entrada em vigor, por e-mail ou mediante publicação na página /dpa. A continuação da utilização do serviço implica a aceitação da versão atualizada.

Para qualquer questão sobre o presente DPA, contacte-nos através do endereço dpo@ooklo.com.

Anexo 1 · Lista de Subcontratantes Ulteriores

Todos os Subcontratantes Ulteriores estão localizados na União Europeia ou no Espaço Económico Europeu. Não ocorre qualquer transferência para fora da UE/EEE.

A lista atualizada é publicada nesta página. Os Clientes que pretendam receber notificações ativas das alterações podem solicitá-lo através do endereço dpo@ooklo.com.

Anexo 2 · Medidas técnicas e organizativas (MTO)

Confidencialidade

• Cifragem dos Dados Pessoais em repouso (AES-256) e em trânsito (TLS 1.2+).
• Autenticação multifator obrigatória em todas as contas de administração e técnicas.
• Controlos de acesso baseados em funções, princípio do menor privilégio, revisão trimestral dos acessos.
• Pseudonimização dos identificadores diretos nos ambientes de apoio e de depuração.

Integridade

• Registo inalterável das operações sensíveis, com conservação de 12 meses.
• Verificações de integridade ao nível da aplicação nas importações e exportações de listas de contactos.
• Revisão de código obrigatória e testes automatizados em cada implementação.

Disponibilidade

• Cópias de segurança diárias cifradas, conservadas durante 30 dias e testadas mensalmente.
• Replicação em várias zonas na infraestrutura principal de alojamento.
• Plano de continuidade de negócio documentado, RPO de 24 h, RTO de 8 h.

Governação e organização

• Encarregado da proteção de dados (DPO) interno, contactável através de dpo@ooklo.com.
• Registo das atividades de tratamento mantido nos termos do artigo 30.º do RGPD.
• Avaliações de impacto sobre a proteção de dados (AIPD) para os tratamentos de risco elevado.
• Programa anual de sensibilização e formação das equipas em proteção de Dados e segurança da informação.
• Procedimento documentado de gestão de violações, com exercícios anuais.

Segurança dos Subcontratantes Ulteriores

• Avaliação da conformidade com o RGPD de cada Subcontratante Ulterior antes de se recorrer aos seus serviços.
• Cláusulas contratuais que impõem obrigações equivalentes às do presente DPA.
• Revisão anual da cadeia de subcontratação.

Anexo 3 · Marketplace: divulgação das fontes

Produtores das bases

O Marketplace utiliza bases produzidas por vários editores qualificados e independentes, cada um deles atuando como produtor na aceção do artigo L341-1 do Código da Propriedade Intelectual francês e como Responsável pelo Tratamento original da respetiva fonte. A composição indicativa consta do §11.1.

Licenciado e entidade exploradora do Marketplace

A Ooklo detém licenças de comercialização com os produtores das bases qualificadas referidas no §11.1. Estas licenças abrangem os direitos de propriedade intelectual dos produtores, as obrigações de segurança, o relatório mensal de volumes, o tratamento dos pedidos dos Titulares dos Dados, a destruição dos Dados no termo do contrato e todas as obrigações do capítulo III do RGPD.

Entidade exploradora

O serviço Ooklo é explorado pela Vicmedia Ltd, sociedade constituída em Inglaterra e no País de Gales, com sede em 126 Aldersgate Street, Londres, Inglaterra, EC1A 4JQ. Toda a comunicação com os Clientes, a faturação e o apoio são assegurados sob a marca Ooklo.

Volumes indicativos

• Cerca de 3 milhões de contactos B2B (França).
• Cerca de 8 milhões de contactos B2C (França).

Campos disponíveis

B2B: e-mail, forma de tratamento, apelido, nome próprio, telefone fixo e telemóvel, opt-ins para marketing e para SMS com data de recolha, denominação social, marca, SIREN/SIRET, código e designação da função, tipo de endereço de e-mail (nominativo ou genérico), morada postal completa com geocodificação, URL do site, última ação observada e respetiva data.

B2C: e-mail, forma de tratamento, apelido, nome próprio, data e ano de nascimento, telefone fixo e telemóvel, opt-ins para marketing e para SMS com data de recolha, morada postal completa com geocodificação, última ação observada e respetiva data.

Formato técnico de entrega

• B2B: e-mail, telefone fixo e telemóvel entregues sob a forma de hash SHA-256; os restantes campos em texto claro.
• B2C: todos os campos entregues em texto claro.
• Atualização mensal na modalidade “anula e substitui” entre o dia 1 e o dia 10 de cada mês. Atualização semanal de anulações de subscrição e reclamações.

Supressão e tratamento de reclamações

Qualquer oposição ou reclamação recebida pela Ooklo ou pelos produtores das bases é transmitida à fonte no prazo máximo de sete (7) dias e impede qualquer utilização posterior do contacto em causa em toda a cadeia. Os hardbounces, spamtraps e moradas postais inválidas (NPAI) detetados pela Ooklo são comunicados aos produtores das bases no mesmo prazo.