Acordo de tratamento de dados

As partes

O anfitrião titular da conta é o responsável pelo tratamento.

Meik Schütz, NIF 231101538, Rua Parque Norte, 23, 2.1, 4600-105 Braga, Portugal, que presta a stay’in, é o subcontratante. Contacto: hello@stayin.pt.

Objeto, natureza e finalidade

A stay’in trata os dados apenas para prestar o serviço ao anfitrião:

• guardar e mostrar as reservas, lidas dos calendários e dos emails das plataformas;
• recolher os dados de registo dos hóspedes e comunicá-los ao SIBA quando o anfitrião o pede;
• mostrar a cada hóspede a página da sua estadia;
• ler e enviar as mensagens com os hóspedes através da caixa de correio que o anfitrião liga;
• guardar os documentos, faturas e recibos que o anfitrião carrega;
• preparar a taxa turística, o IVA e o Modelo 30;
• as funcionalidades de inteligência artificial que o anfitrião usa.

Duração

Enquanto a conta existir, e até os dados serem apagados nos termos da secção «Fim do tratamento».

Dados e titulares

Titulares: os hóspedes do anfitrião e as pessoas com quem troca mensagens através da plataforma.

Dados:

• identificação: nome, data de nascimento, nacionalidade, país de residência, tipo, número e país emissor do documento de identificação;
• contacto: email e telefone;
• estadia: datas, número de hóspedes, plataforma e valores da reserva;
• mensagens trocadas com o anfitrião e documentos que este carrega.

O serviço não se destina a categorias especiais de dados (artigo 9.º do RGPD). O anfitrião não as deve introduzir.

Instruções

Tratamos os dados apenas segundo as instruções documentadas do anfitrião. Estes termos e a utilização que o anfitrião faz da plataforma são essas instruções.

Se uma instrução nos parecer violar a lei de proteção de dados, informamos o anfitrião.

Não usamos os dados para fins próprios, não os vendemos e não os usamos para publicidade.

Confidencialidade

Só têm acesso aos dados as pessoas que precisam dele para prestar o serviço, e todas estão obrigadas a confidencialidade.

Segurança

Aplicamos medidas técnicas e organizativas adequadas ao risco (artigo 32.º do RGPD), entre elas:

• servidores na Finlândia, na União Europeia;
• ligações cifradas (HTTPS);
• palavras-passe guardadas apenas em forma cifrada;
• palavras-passe de aplicação das caixas de correio guardadas cifradas;
• uma conta não tem acesso aos dados de outra;
• as páginas dos hóspedes só se abrem com uma ligação impossível de adivinhar;
• os dados pessoais dos hóspedes são apagados automaticamente no prazo que o anfitrião define.

Subcontratantes ulteriores

O anfitrião autoriza o recurso a estes subcontratantes:

• Hetzner Online GmbH (Alemanha): alojamento dos servidores, na Finlândia (União Europeia).
• Anthropic, PBC (EUA): funcionalidades de inteligência artificial que o anfitrião usa — sugestões de resposta a mensagens, leitura de faturas e recibos, e traduções.

Impomos a cada um obrigações de proteção de dados equivalentes às deste acordo. Antes de acrescentar ou substituir um subcontratante, avisamos por email com pelo menos 30 dias de antecedência. O anfitrião pode opor-se; se não pudermos atender à oposição, pode cancelar antes da mudança.

Transferências para fora da União Europeia

Quando um subcontratante trata dados fora da União Europeia, a transferência assenta nas cláusulas contratuais-tipo aprovadas pela Comissão Europeia ou no Quadro de Privacidade de Dados UE-EUA.

Direitos dos titulares

Se um hóspede nos contactar para exercer os seus direitos, encaminhamos o pedido ao anfitrião. Ajudamos o anfitrião a responder, na medida do que a plataforma permite.

Violações de dados

Se tivermos conhecimento de uma violação de dados pessoais que afete a conta, informamos o anfitrião sem demora injustificada e, sempre que possível, no prazo de 48 horas, com a informação de que dispusermos para que possa cumprir os artigos 33.º e 34.º do RGPD.

Assistência

Ajudamos o anfitrião, tendo em conta a natureza do tratamento e a informação de que dispomos, a cumprir as obrigações dos artigos 32.º a 36.º do RGPD: segurança, notificação de violações, avaliações de impacto e consulta prévia.

Fim do tratamento

Quando a conta termina, o anfitrião pode pedir uma cópia dos dados. Apagamos os dados no prazo de 30 dias, salvo o que a lei nos obrigue a guardar.

Auditorias

Pomos à disposição do anfitrião a informação necessária para demonstrar o cumprimento deste acordo. O anfitrião, ou um auditor por si mandatado e obrigado a confidencialidade, pode fazer uma auditoria uma vez por ano, com pré-aviso razoável e a expensas suas, ou a qualquer momento após uma violação de dados.

Disposições finais

A responsabilidade, a lei aplicável e os tribunais competentes são os dos termos de serviço. Em caso de conflito entre este acordo e os termos quanto à proteção de dados, prevalece este acordo.