Política de privacidade

1. Gestão de contratos

Fundamento jurídico: As operações de tratamento descritas abaixo são necessárias para a execução dos contratos celebrados pela OVHcloud (incluindo a execução das medidas pré-contratuais necessárias), bem como para a gestão de vários pedidos (como a candidatura a um emprego ou um pedido de participação num evento) (Artigo 6.1b) RGPD).

1. Compromissos da OVHcloud

Como parte do tratamento abrangido por esta política, a OVHcloud cumpre, como Responsável pelo Tratamento, os regulamentos em vigor, em particular o Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados, e que revoga a Diretiva 95/46/CE(RGPD), bem como quaisquer leis e regulamentos dos Estados-Membros da União Europeia que se possam aplicar a esse tratamento, em particular a Lei nº 78-17 de 6 de Janeiro de 1978, relativa à informática, aos ficheiros e às liberdades, alterada pelo Despacho nº 2019-964 de 18 de setembro de 2019, em França.

Como tal, a OVHcloud compromete-se a:

• Recolher apenas os dados pessoais necessários para os fins acima referidos;
• Implementar processos para assegurar a exatidão e atualização dos dados utilizados nesse tratamento, e a eliminação dos dados quando os mesmos já não forem necessários;
• Não tratar dados pessoais na sua posse para fins diferentes dos mencionados na presente Política, exceto para obter o consentimento das pessoas em causa, ou para as informar em caso de tratamento com base noutro fundamento jurídico que não seja o consentimento;
• Documentar o tratamento num registo e realizar qualquer avaliação de impacto do tratamento de dados sempre que necessária;
• Instaurar um processo para gerir incidentes e violações de dados e, em caso de violação, notificar as autoridades competentes, em conformidade com o artigo 33º do RGPD, e informar os titulares dos dados, em conformidade com o artigo 34º do RGPD, quando a violação for suscetível de representar um risco elevado para os seus direitos e liberdades; e
• Implementar medidas técnicas e organizativas para proteger os dados pessoais contra riscos de segurança, tal como definido na Política de Segurança do Sistema de Informação da OVHcloud.

2. Medidas de segurança técnicas e organizativas

A proteção de dados pessoais está integrada no programa de segurança da informação da OVHcloud, para o que a OVHcloud pretende alcançar os seguintes objetivos:

• Implementação de uma abordagem industrial e em larga escala da segurança
• Posicionamento da OVHcloud como um agente de confiança no ecossistema
• Operar  uma computação em nuvem segura para todos
• Implementação de Sistemas de Gestão de Segurança da Informação (ISMS) e Sistema de Gestão de Informação Pessoal (PIMS)
• Abordagem baseada no risco para a segurança
• Demonstração de segurança através de certificação, controlo interno e auditoria externa
• Resposta unificada a incidentes de segurança e violações de dados pessoais
• Integrar as questões de segurança e privacidade no desenvolvimento de produtos
• Avaliação da segurança e melhoria contínua.

Estes elementos são detalhados na Política de Segurança do Sistema de Informação da OVHcloud.

3. Anonimização

A OVHcloud reserva-se o direito de anonimizar os dados abrangidos por esta Política, ou seja, de os modificar de modo a que deixem de permitir a identificação, mesmo indireta, da pessoa em causa e de os reutilizar apenas sob esta forma anónima.

A OVHcloud esforça-se por aplicar os seguintes princípios de anonimização:

1. A impossibilidade de isolar um indivíduo dentro de um grupo maior, com base nos dados;
2. A impossibilidade de ligar dois registos relativos à mesma pessoa;
3. A impossibilidade de inferir, com elevada probabilidade, informações desconhecidas sobre uma pessoa.

Uma vez que os dados anónimos já não são dados pessoais, a OVHcloud reserva-se o direito de os armazenar e utilizar para outros fins que não os previstos na presente Política, em particular, designadamente para estatísticas, serviços novos ou melhorados, análise de marketing e estratégias empresariais.

4. Subcontratação

5. Transferências de dados fora da União Europeia

A OVHcloud visa limitar a transferência de Dados Pessoais para fora da União Europeia.

Alojamento de dados

Para os clientes das entidades europeias da OVHcloud, é sempre preferível o alojamento dos seus dados dentro da União Europeia, incluindo quando se utilizam Subcontratantes. No entanto, quando esses clientes europeus escolhem serviços alojados em centros de dados da OVHcloud localizados fora da União Europeia, tais como no Canadá, Austrália ou Singapura, os Dados Pessoais necessários para o desempenho dos serviços podem ser alojados fora da União Europeia.

Tratamento à distância

Devido à organização internacional da OVHcloud, as atividades de tratamento de dados descritas nesta Política podem ser realizadas a partir de locais fora da União Europeia pelas Empresas participadas da OVHcloud e prestadores de serviços de terceiros, como previsto na Secção 2. D.

Esta secção refere-se apenas aos dados tratados pela OVHcloud como Responsável pelo Tratamento de acordo com esta política, excluindo os Dados Pessoais confiados pelos clientes da OVHcloud que são tratados pela OVHcloud como Subcontratante de dados sob as instruções dos clientes. As condições de transferência de Dados Pessoais tratados pela OVHcloud sob as instruções dos seus clientes são estabelecidas no Anexo "Acordo de Tratamento de Dados".

Quando os Dados Pessoais sujeitos a esta Política são transferidos (incluindo no caso de acesso remoto) para países terceiros não europeus que não estão sujeitos a uma decisão de adequação da Comissão Europeia adotada em conformidade com o artigo 25º da Diretiva 95/46/CE ou o artigo 45º da RGPD, a OVHcloud assegura que são implementadas as salvaguardas adequadas, conforme estabelecido no artigo 46º da RGPD, independentemente de o importador de dados ser ou não uma entidade da OVHcloud.

Se o importador for uma entidade da OVHcloud, as referidas garantias adequadas consistem nas cláusulas contratuais-tipo 2010/87/UE adotadas pela Comissão Europeia com base no nº 4 do artigo 26 da Diretiva 95/46/CE que, em conformidade com o artigo 4º da Decisão de Aplicação (UE) 2021/914 da Comissão Europeia datada de 4 de junho de 2021 RGPD, são consideradas como fornecendo garantias adequadas na aceção do nº 1 do artigo 46 do RGPD até 27 de dezembro de 2022.

A este respeito, a OVHcloud, que se reserva o direito de substituir as referidas cláusulas contratuais-tipo por quaisquer outras salvaguardas apropriadas previstas no Capítulo V do RGPD, está a trabalhar, em particular, na implementação das cláusulas contratuais-tipo para a transferência de dados pessoais para países terceiros nos termos do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, adotado pela Decisão de Implementação (UE) 2021/914 da Comissão, datada de 4 de Junho de 2021.

Além disso, a OVHcloud assegura que a lei e as práticas dos países de destino não sejam suscetíveis de afetar a eficácia das referidas cláusulas contratuais e, caso contrário, esforça-se por estabelecer medidas suplementares para assegurar a eficácia das referidas cláusulas contratuais, em conformidade com as Recomendações 01/2020 do Comité Europeu para a Proteção de Dados.

Em qualquer caso, a OVHcloud implementa medidas técnicas e organizativas (tais como rastreabilidade, limitação de acessos) para proteger os dados transferidos, em particular contra qualquer acesso ou divulgação não autorizados, e assegura o cumprimento do RGPD, em particular do artigo 48, no caso de pedidos das autoridades de países terceiros para obter a comunicação de dados pessoais relativos aos clientes das suas entidades europeias.

Se pretender obter mais informação sobre os mecanismos ao abrigo dos quais os seus dados são transferidos para fora do EEE, contacte-nos (mais detalhes a seguir, Parte 2). 7. Direitos dos titulares dos dados").

6. Processamento de pedidos de autoridades

A OVHcloud pode receber pedidos de autoridades judiciais, administrativas ou outras para obter a comunicação de dados pessoais sob a sua proteção relativos aos seus clientes.

Neste caso, a OVHcloud envida todos os esforços razoáveis para:

• analisar a competência da autoridade requerente;
• responder apenas a pedidos que não sejam obviamente inválidos;
• se autorizada, informar previamente o cliente em causa para que este possa fazer valer os seus direitos;
• limitar a comunicação aos dados exigidos pela autoridades

No caso de pedidos recebidos de uma autoridade não europeia para obter a comunicação de dados relativos a um cliente europeu, a OVHcloud opõe-se ao pedido, exceto nos seguintes casos

a) o pedido é feito em conformidade com um acordo internacional, como um tratado de assistência jurídica mútua, em vigor entre o país requerente e a União Europeia ou o Estado-Membro da entidade da OVHcloud para o qual o cliente registou a sua conta de cliente da OVHcloud; ou

b) o cliente tenha registado uma conta de cliente da OVHcloud numa entidade da OVHcloud que esteja sob a mesma jurisdição que a autoridade requerente; ou

c) o pedido é feito em conformidade com o artigo 49º do RGPD, nomeadamente quando o pedido prossegue um interesse público reconhecido pelo direito da União ou pela legislação de um Estado-Membro da União Europeia ou é necessário para salvaguardar interesses vitais.

7. Direitos dos titulares dos dados