Subcontratação de Dados

1. Quem é Quem

Subcontratante: empresário em nome individual, sob a marca FortFox, NIF 260568830, Rua João de Deus, Edifício Aliança, 8900-314 Vila Real de Santo António, Portugal.

Responsável pelo tratamento: tu, cliente do Serviço, relativamente aos dados dos visitantes dos sites que puseres atrás da plataforma.

Este contrato aplica-se a partir do momento em que ligas o primeiro site, e vigora enquanto tiveres conta ativa. Não substitui os Termos de Uso nem a Política de Privacidade — acrescenta-se-lhes para o que o artigo 28.º do RGPD exige que esteja escrito.

2. O Que Trato, de Quem, e Para Quê

2.1 Objeto e finalidade: entregar e proteger o tráfego dos teus sites — cache, mitigação de ataques, filtragem por WAF, emissão de certificados e estatísticas que te mostro no painel. Nada mais.

2.2 Categorias de titulares: os visitantes dos teus sites.

2.3 Categorias de dados: endereço IP, data e hora do pedido, país inferido do IP, método e caminho pedidos, código de resposta, volume transferido, agente do utilizador e referenciador. Quando uma regra do WAF dispara, guardo também o excerto do pedido que a fez disparar.

2.4 Não trato categorias especiais de dados (artigo 9.º) de forma deliberada. Se o teu site as fizer passar num URL ou num corpo de pedido, elas podem aparecer num excerto guardado por uma regra do WAF — e é uma razão para não as pores em URLs.

2.5 Duração: enquanto o site estiver ligado, com os prazos de conservação do ponto 6.

3. As Minhas Instruções São as Tuas

3.1 Trato os dados apenas segundo as tuas instruções documentadas. As instruções documentadas são: estes termos, a configuração que fizeres no painel, e o que me pedires por escrito.

3.2 Se uma instrução tua me parecer violar o RGPD ou outra lei de proteção de dados, digo-to antes de a executar.

3.3 Se a lei da União ou de um Estado-Membro me obrigar a tratar dados fora das tuas instruções, informo-te antes, salvo se essa mesma lei o proibir por razões de interesse público.

3.4 Não uso os dados dos teus visitantes para fins próprios: não os vendo, não os cruzo com os de outros clientes, não os uso para publicidade e não treino modelos com eles.

4. Segurança

4.1 Medidas em vigor: tráfego cifrado com TLS 1.2 e 1.3; segregação por site na configuração servida a cada nó; acesso administrativo restrito ao mínimo necessário e autenticado; segredos de infraestrutura cifrados em repouso; registo das operações administrativas.

4.2 Quem trata os dados do meu lado está vinculado a dever de confidencialidade.

4.3 Estas medidas podem evoluir. Não as reduzo abaixo do nível descrito acima sem te avisar com 30 dias de antecedência.

5. Quem Mais Toca nos Dados

5.1 Autorizas, de forma geral, os seguintes subcontratantes ulteriores:

• Oracle Cloud Infrastructure — servidores da rede edge em Amesterdão, Madrid e Marselha. É por eles que passa o tráfego. • OVH SAS (França) — alojamento da plataforma central e da base de dados, em Gravelines. • Amazon Web Services (Route 53) — DNS autoritativo, quando nos confias o DNS do domínio.

5.2 Todos tratam dados dentro da União Europeia.

5.3 Se quiser acrescentar ou substituir algum, aviso-te com 30 dias de antecedência. Podes opor-te por escrito nesse período; se o fizeres e não houver alternativa técnica, podes rescindir sem penalização.

5.4 A lista acima é a dos que tocam nos dados dos teus visitantes. A Stripe, a Google e o Let's Encrypt, que aparecem na Política de Privacidade, tratam dados TEUS enquanto cliente — não dos teus visitantes — e por isso não entram aqui.

6. Quanto Tempo Guardo

6.1 Eventos de segurança por pedido (bloqueios do WAF): 30 dias.

6.2 Amostras de tráfego permitido: 48 horas.

6.3 Estatísticas agregadas, que já não identificam ninguém: entre 7 e 90 dias, consoante o teu plano.

6.4 Findos estes prazos, os registos são eliminados automaticamente. Quando encerrares a conta, o que ainda esteja dentro destes prazos é eliminado no prazo de 30 dias, salvo obrigação legal de conservação.

7. Ajuda que Te Devo

7.1 Direitos dos titulares: se um visitante teu te pedir acesso, correção ou eliminação e os dados estiverem do meu lado, ajudo-te a responder. Se o pedido me chegar diretamente, encaminho-to e não respondo por ti.

7.2 Violações de dados: se houver uma violação que afete dados dos teus visitantes, comunico-ta sem demora injustificada assim que dela tomar conhecimento, com o que souber sobre o que aconteceu, que dados foram afetados e o que já fiz. És tu que decides se notificas a autoridade e os titulares — a obrigação é tua, como responsável.

7.3 Avaliações de impacto: se precisares de fazer uma, dou-te a informação que tenho sobre o tratamento do meu lado.

7.4 Auditorias: disponibilizo-te a informação necessária para demonstrares o cumprimento deste contrato. Auditorias no local são possíveis, com aviso de 30 dias, uma vez por ano, e a expensas tuas — salvo se a auditoria revelar incumprimento meu.

8. Quando Acabar

Terminado o contrato, elimino os dados dos teus visitantes nos prazos do ponto 6. Não os devolvo em formato próprio porque não os guardo em forma que sirva para isso — são registos operacionais, não uma base de dados tua. As estatísticas agregadas que vês no painel podes exportá-las enquanto a conta estiver ativa.