Acordo de Tratamento de Dados Pessoais (DPA)

Identificação contratual: este DPA aplica-se entre o fornecedor EasyGuest e a entidade cliente identificados no orçamento, proposta, encomenda ou contrato principal que o incorpore. A identidade jurídica completa das partes e a qualidade do Cliente como responsável pelo tratamento ou subcontratante devem constar desse documento.

1. Partes, âmbito e definições

Este Acordo de Tratamento de Dados Pessoais (“DPA”) integra o contrato principal relativo aos serviços EasyGuest. Aplica-se apenas ao tratamento de dados pessoais realizado pela EasyGuest por conta e segundo instruções documentadas do Cliente. “RGPD”, “dados pessoais”, “tratamento”, “responsável pelo tratamento”, “subcontratante” e “subcontratante ulterior” têm o significado previsto no Regulamento (UE) 2016/679.

2. Funções das partes

O Cliente pode atuar como responsável pelo tratamento ou, quando contratado por outra entidade, como subcontratante autorizado a recorrer à EasyGuest como subcontratante ulterior. A função depende da realidade do tratamento, não de quem paga a fatura. A EasyGuest atua como subcontratante ou subcontratante ulterior apenas para o tratamento descrito neste DPA. Para gestão das suas contas, segurança, faturação, obrigações legais e relação comercial, a EasyGuest pode atuar como responsável pelo tratamento, conforme a Política de Privacidade.

3. Objeto, duração, natureza e finalidade

O objeto consiste na disponibilização e operação dos serviços de gestão de eventos contratados. O tratamento dura enquanto vigorar o serviço e durante os períodos limitados de conservação ou eliminação previstos no contrato, neste DPA e na Política de Privacidade. As operações podem incluir recolha, registo, organização, consulta, alteração, comunicação, exportação, cópia de segurança temporária e eliminação, para executar as funcionalidades configuradas pelo Cliente.

4. Instruções documentadas

A EasyGuest tratará os dados apenas segundo instruções documentadas do Cliente, incluindo o contrato principal, configuração do evento e pedidos escritos autorizados, salvo obrigação legal aplicável. Nesse caso informará o Cliente antes do tratamento, salvo proibição legal. Se considerar que uma instrução viola a legislação de proteção de dados, informará o Cliente e poderá suspendê-la enquanto aguarda esclarecimento.

5. Confidencialidade

A EasyGuest limita o acesso a pessoas autorizadas sujeitas a dever adequado de confidencialidade e necessidade funcional. O Cliente deve aplicar o mesmo princípio aos seus utilizadores, subcontas e acessos partilhados.

6. Segurança

A EasyGuest mantém medidas técnicas e organizacionais adequadas ao risco, incluindo as descritas no Anexo II. As medidas podem evoluir, desde que não seja materialmente reduzido o nível global de proteção aplicável ao serviço contratado.

7. Subcontratantes ulteriores

O Cliente concede autorização geral para recurso aos subcontratantes ulteriores identificados na Lista de Subcontratantes, onde se encontra disponível a lista atual de subcontratantes da EasyGuest. A EasyGuest imporá obrigações de proteção de dados adequadas ao serviço contratado e continuará responsável pelo cumprimento das obrigações aplicáveis do subcontratante ulterior. Alterações materiais serão publicadas na lista; até existir um mecanismo direto de notificação, o Cliente deve consultar a lista ou contactar a EasyGuest. Condições adicionais de aviso ou oposição podem ser acordadas por escrito no contrato principal.

8. Transferências internacionais

O ambiente principal de produção, base de dados, armazenamento e backups do alojamento EasyGuest encontra-se em Portugal, no EEE. A EasyGuest não realizará transferências internacionais por conta do Cliente sem instrução ou fundamento e salvaguarda aplicáveis. As localizações e notas aplicáveis aos restantes fornecedores constam da Lista de Subcontratantes.

9. Direitos dos titulares

Tendo em conta a natureza do tratamento, a EasyGuest prestará assistência razoável ao Cliente, através de medidas técnicas e organizacionais disponíveis, para responder a pedidos de exercício de direitos. Se receber diretamente um pedido relativo a dados tratados por conta do Cliente, encaminhá-lo-á, quando possível, sem responder em nome do Cliente salvo instrução ou obrigação legal.

10. Segurança, violações e cooperação

A EasyGuest informará o Cliente sem demora injustificada após tomar conhecimento de uma violação de dados pessoais abrangida por este DPA e disponibilizará informação razoavelmente disponível para apoiar a avaliação e notificações do Cliente. A comunicação não constitui admissão de responsabilidade.

11. AIPD e autoridades

A EasyGuest prestará assistência razoável, tendo em conta a natureza do tratamento e a informação disponível, em avaliações de impacto e consultas prévias a autoridades de controlo relacionadas com o serviço.

12. Devolução e eliminação

No termo do serviço ou mediante instrução válida, a EasyGuest eliminará ou devolverá os dados pessoais tratados por conta do Cliente, conforme aplicável, salvo conservação legalmente exigida. O encerramento de eventos remove dados operacionais detalhados e pode gerar backups privados temporários. Um apagamento de cliente aprovado elimina dados e backups abrangidos, salvo exceção documentada de conservação, podendo exigir seguimento manual junto de fornecedores externos. Contagens técnicas sem identidade de cliente/evento, data, identificadores originais ou ligação reversível podem ser conservadas exclusivamente para métricas globais históricas, conforme a Política de Privacidade.

13. Demonstração de cumprimento e auditoria

A EasyGuest disponibilizará informação razoavelmente necessária para demonstrar o cumprimento deste DPA. Auditorias devem ser proporcionais, previamente acordadas, proteger outros clientes e informação confidencial e, sempre que possível, começar por documentação e evidência remota. Custos extraordinários podem ser acordados no contrato principal.

14. Responsabilidade e contrato principal

A responsabilidade e limitações aplicáveis são as previstas no contrato principal e na lei imperativa. Este DPA prevalece apenas em caso de conflito sobre o tratamento por conta do Cliente; as cláusulas obrigatórias de proteção de dados prevalecem sobre disposições incompatíveis.

15. Alterações e versões

A versão e data de vigência constam do cabeçalho. Alterações materiais devem ser associadas a nova versão. As partes devem conservar o orçamento/contrato aceite e a versão do DPA aplicável.

Anexo I — Detalhes do Tratamento

Objeto e finalidade	Operação das funcionalidades EasyGuest configuradas e instruídas para o evento, como convites, RSVP, convidados, email, QR/check-in, presença, seating, relatórios, jogos/interações, Q&A, páginas de evento, exportações e recuperação temporária.
Duração	Duração do serviço/evento e períodos limitados de conservação, suporte, backup e eliminação aplicáveis.
Titulares possíveis	Convidados, colaboradores do Cliente, staff de evento, oradores/participantes, acompanhantes ou membros do agregado quando configurado, e utilizadores de Q&A/interações.
Dados possíveis	Nome, email, telefone, empresa, estado RSVP, presença, acompanhantes/agregado e contagens por grupo etário quando configurados, restrições alimentares/alergias, transporte, respostas a campos definidos pelo Cliente, lugar/sala, função/VIP, Q&A/interações e identificadores técnicos necessários. Nem todos os eventos recolhem todos os campos.
Categorias especiais	Restrições alimentares ou alergias podem revelar dados relativos à saúde. O Cliente decide se ativa/recolhe estes campos e é responsável por instruções, base legal, transparência e minimização adequadas.
Frequência	Contínua ou ocasional, conforme a configuração e utilização de cada evento.
Instruções adicionais	Devem constar do orçamento/contrato, configuração autorizada ou comunicação escrita identificável.

Anexo II — Medidas Técnicas e Organizacionais

Identidade: hashing de passwords, política de password, TOTP 2FA, códigos de recuperação protegidos por hash e dispositivos de confiança com expiração, rotação e revogação; configuração 2FA obrigatória para identidades administrativas EasyGuest.
Sessões: regeneração de ID, cookies HttpOnly/SameSite e Secure em HTTPS, modo estrito, timeout de inatividade de 2 horas e duração absoluta de 24 horas para sessões autenticadas de conta.
Autorização: verificações centralizadas de cliente/evento, isolamento entre clientes, funções de subconta, acessos partilhados limitados por âmbito, expiração e revogação.
Aplicação: proteção CSRF, validação de entradas/uploads, redução da divulgação de erros e cabeçalhos de segurança incluindo HSTS quando servidos pela configuração Apache prevista.
Tokens e segredos: tokens aleatórios protegidos por hash quando aplicável e tokens V2 AES-256-GCM associados a uma finalidade, com nonces aleatórios e dados autenticados específicos.
Armazenamento: backups privados fora da raiz pública, ficheiros seating validados e escrita/cópia atómica, controlo de caminhos e eliminação associada ao ciclo de vida.
Monitorização: logs da aplicação tratados, redução de dados em erros e Sentry configurado sem PII predefinida/corpos de pedidos, sendo o diagnóstico no navegador dependente de consentimento.
Minimização e retenção: encerramento manual ou automático 15 dias após o evento, backups operacionais temporários, processo controlado de apagamento de cliente com validação, transação atómica, quarentena/restauro seguro e legal hold segregado quando documentado.
Dependências: dependências PHP instaladas numa área privada e controladas por manifesto/lockfile. Não se declara uma cadência automática de scanning que não esteja documentada.
Infraestrutura: HTTPS/HSTS está configurado ao nível da aplicação/servidor. O alojamento principal, base de dados, armazenamento e backups aplicáveis são prestados pela AlmourolTec/PTisp em Portugal. Não são aqui garantidos controlos de infraestrutura não confirmados.

Anexo III — Subcontratantes

A lista atual integra este DPA por referência e está disponível na página de Subcontratantes.

Contract identification: this DPA applies between the EasyGuest supplier and client entity identified in the quote, proposal, order, or Main Agreement incorporating it. That document must state the parties' full legal identities and whether the Client acts as controller or processor.

1. Parties, scope, and definitions

This Data Processing Agreement (“DPA”) forms part of the Main Agreement for EasyGuest services. It applies only where EasyGuest processes personal data on the Client's behalf and documented instructions. GDPR terms have the meanings given in Regulation (EU) 2016/679.

2. Roles of the parties

The Client may be a controller or, where engaged by another entity, a processor authorized to appoint EasyGuest as subprocessor. The role follows the factual arrangement, not who pays the invoice. EasyGuest is processor/subprocessor only for processing covered by this DPA. It may act as controller for account management, security, billing, legal obligations, and the commercial relationship, as described in the Privacy Policy.

3. Subject matter, duration, nature, and purpose

The subject matter is provision and operation of the contracted event-management services. Processing lasts for the service term and limited retention/deletion periods. Operations may include collection, recording, organization, consultation, alteration, communication, export, temporary backup, and deletion to deliver Client-configured features.

4. Documented instructions

EasyGuest processes data only on documented Client instructions, including the Main Agreement, event configuration, and authorized written requests, unless applicable law requires otherwise. It will inform the Client first unless legally prohibited. EasyGuest will notify the Client if it considers an instruction unlawful and may suspend it pending clarification.

5. Confidentiality

Access is limited to authorized persons under appropriate confidentiality duties and functional need. The Client must apply the same principle to its users, subaccounts, and shared access.

6. Security

EasyGuest maintains risk-appropriate technical and organizational measures, including Annex II. Measures may evolve provided the overall protection of the contracted service is not materially reduced.

7. Subprocessors

The Client gives general authorization for subprocessors identified in the Subprocessor List. EasyGuest will impose appropriate data-protection duties and remain responsible for applicable subprocessor obligations. Material changes will be published in the list; until direct notice exists, Clients should review it or contact EasyGuest. Additional notice or objection terms may be agreed in writing in the Main Agreement.

8. International transfers

EasyGuest's primary production environment, database, storage, and hosting backups are located in Portugal, within the EEA. EasyGuest will not make international transfers on the Client's behalf without applicable instructions or legal basis and safeguards. Locations and notes for other providers appear in the Subprocessor List.

9. Data-subject rights

Taking account of the processing nature, EasyGuest will provide reasonable assistance through available measures. Direct requests concerning Client-controlled data will be forwarded where possible; EasyGuest will not answer for the Client unless instructed or legally required.

10. Security incidents and breaches

EasyGuest will notify the Client without undue delay after becoming aware of a personal-data breach covered by this DPA and provide reasonably available information to support assessment and notices. Notification is not an admission of liability.

11. DPIAs and authorities

Taking account of the processing and available information, EasyGuest will provide reasonable assistance with relevant impact assessments and prior supervisory-authority consultations.

12. Return and deletion

At service end or upon valid instruction, EasyGuest will delete or return Client personal data as applicable, unless law requires retention. Event closure removes detailed operational data and may create temporary private backups. Approved client erasure removes covered data/backups subject to documented retention exceptions and may require manual external-provider follow-up. Non-identifying counts without client/event identity, date, original identifiers, or reversible links may remain solely for platform-wide all-time metrics as described in the Privacy Policy.

13. Compliance information and audits

EasyGuest will provide information reasonably necessary to demonstrate compliance. Audits must be proportionate, agreed in advance, protect other clients/confidential information, and ordinarily begin with documentation and remote evidence. Extraordinary costs may be agreed under the Main Agreement.

14. Liability and Main Agreement

Liability and limitations follow the Main Agreement and mandatory law. This DPA prevails only for conflicts about Client-instructed processing; mandatory data-protection provisions prevail over incompatible terms.

15. Changes and versions

The version/effective date appears above. Material changes require a new version. The parties should preserve the accepted quote/agreement and applicable DPA version.

Annex I — Details of Processing

Subject/purpose	Client-configured event functions such as invitations, RSVP, guest management, email, QR/check-in, attendance, seating, reports, games/interactions, Q&A, event pages, exports, and temporary recovery.
Duration	Service/event duration and applicable limited support, backup, retention, and deletion periods.
Possible data subjects	Guests, Client employees, event staff, speakers/participants, configured plus-ones/family members, and Q&A/interaction users.
Possible data	Name, email, telephone, company, RSVP, attendance, configured plus-one/family and age-group counts, dietary restrictions/allergies, transport, Client-defined answers, seating, role/VIP, Q&A/interactions, and necessary technical identifiers. Not every event collects every field.
Special-category data	Dietary restrictions/allergies may reveal health data. The Client decides whether to collect them and is responsible for lawful instructions, transparency, legal basis, and minimization.
Frequency	Continuous or occasional depending on each event's configuration and use.
Additional instructions	Recorded in the quote/agreement, authorized configuration, or identifiable written communication.

Annex II — Technical and Organisational Measures

Identity: password hashing/policy; TOTP 2FA; hashed recovery codes; expiring, rotating, revocable trusted devices; mandatory 2FA setup for EasyGuest admin identities.
Sessions: ID regeneration; HttpOnly/SameSite cookies and Secure on HTTPS; strict mode; 2-hour idle and 24-hour absolute authenticated-account limits.
Authorization: centralized tenant/event checks, tenant isolation, subaccount roles, scoped/expiring/revocable shared access.
Application: CSRF, input/upload validation, reduced error disclosure, and security headers including HSTS under the intended Apache configuration.
Tokens/secrets: random hashed tokens where applicable and purpose-bound AES-256-GCM V2 tokens with random nonces and purpose-specific authenticated data.
Storage: private backups outside the public root, validated seating files, atomic writes/copies, path controls, lifecycle deletion.
Monitoring: sanitized application logs, reduced error data, and Sentry configured without default PII/request bodies; browser diagnostics require consent.
Minimization/retention: manual or 15-day automatic closure, temporary operational backups, a validated controlled client-erasure process with an atomic transaction, safe quarantine/restore, and segregated documented legal hold.
Dependencies: private PHP dependencies controlled by manifest/lockfile; no undocumented automated scanning cadence is claimed.
Infrastructure: HTTPS/HSTS is configured at application/server level. Primary hosting, database, storage, and applicable backups are provided by AlmourolTec/PTisp in Portugal. Infrastructure controls not confirmed are not guaranteed here.

Annex III — Subprocessors

The current list is incorporated by reference and is available on the Subprocessors page.

Voltar ao Início