Acordo de Subcontratação para Igrejas no Estrangeiro

A igreja que utiliza o serviço fora da República da Coreia (a «Igreja») e a Wesleysoft (a «Empresa») acordam o seguinte relativamente ao tratamento, pela Empresa e por conta da Igreja, dos dados pessoais que a Igreja introduz no Wesley Gyojeok (웨슬리 교적), no Wesley Jaejeong (웨슬리 재정) e no Wesley Simbang Plus (웨슬리 심방플러스) (o «Serviço»). O presente Acordo aplica-se juntamente com os Termos de Utilização da Empresa, a sua Política de Privacidade e o «Anexo à Política de Privacidade para Igrejas no Estrangeiro» (o «Anexo»). Em caso de divergência entre eles quanto ao tratamento de dados pessoais, prevalece o presente Acordo.

Artigo 1.º (Funções)

1. Relativamente aos dados pessoais que a Igreja introduz no Serviço, a Igreja determina as finalidades e os meios do tratamento (responsável pelo tratamento) e a Empresa trata os dados por conta da Igreja (subcontratante).
2. A Igreja é responsável por assegurar que a recolha de dados pessoais e a sua introdução no Serviço cumprem a legislação do país da Igreja, e informa os membros sobre o tratamento e obtém o seu consentimento quando necessário.

Artigo 2.º (Elementos do tratamento)

O objeto e a duração, a natureza e a finalidade do tratamento, os tipos de dados pessoais e as categorias de titulares dos dados constam do Apêndice 1.

Artigo 3.º (Tratamento segundo as instruções da Igreja)

1. A Empresa trata os dados pessoais apenas mediante instruções documentadas da Igreja. A utilização de funcionalidades e a escolha de definições pela Igreja nos ecrãs do Serviço são consideradas instruções da Igreja.
2. A Empresa não trata dados pessoais para qualquer finalidade que não seja a prestação do Serviço, salvo se a tal for obrigada por lei. Caso a lei exija o tratamento, a Empresa informa a Igreja antes do tratamento, salvo se a lei o proibir.
3. Se a Empresa considerar que uma instrução da Igreja viola a legislação de proteção de dados, informa a Igreja sem demora.

Artigo 4.º (Confidencialidade)

A Empresa limita ao mínimo necessário as pessoas que podem tratar dados pessoais e assegura que estão sujeitas a um dever de confidencialidade. Este dever mantém-se após a cessação das suas funções.

Artigo 5.º (Medidas de segurança)

A Empresa aplica medidas técnicas e organizativas adequadas aos riscos para os dados pessoais, conforme estabelecido no Apêndice 2. A Empresa pode alterar estas medidas em função da evolução tecnológica, mas não reduzirá o nível de proteção.

Artigo 6.º (Separação por igreja)

A Empresa mantém os dados da Igreja separados dos dados de outras igrejas e assegura que os utilizadores de outras igrejas não podem ver os dados da Igreja.

Artigo 7.º (Subcontratação ulterior)

1. A Igreja autoriza a Empresa a recorrer aos subcontratantes ulteriores enumerados no Apêndice 3.
2. Se a Empresa pretender acrescentar ou substituir um subcontratante ulterior, informa a Igreja com, pelo menos, 30 dias de antecedência, podendo a Igreja opor-se com fundamento razoável dentro desse prazo. Se a Empresa não aceitar a oposição, a Igreja pode resolver o contrato de serviço sem penalização.
3. A Empresa impõe contratualmente a cada subcontratante ulterior obrigações de proteção de dados do mesmo nível que as do presente Acordo, e continua a ser responsável perante a Igreja caso um subcontratante ulterior não cumpra essas obrigações.

Artigo 8.º (Assistência relativa aos direitos dos titulares dos dados)

1. Quando membros ou outros titulares dos dados exercerem direitos como os de acesso, retificação, apagamento, limitação do tratamento ou portabilidade dos dados, a Empresa disponibiliza as funcionalidades do Serviço e a cooperação necessárias para que a Igreja possa responder.
2. Se um titular dos dados apresentar um pedido diretamente à Empresa, esta reencaminha-o sem demora para a Igreja e não responde diretamente sem instruções da Igreja.

Artigo 9.º (Violações de dados pessoais)

1. Se a Empresa tomar conhecimento de um incidente em que os dados pessoais da Igreja tenham sido ou possam ter sido divulgados indevidamente, notifica a Igreja sem demora e, em qualquer caso, no prazo de 48 horas após ter tomado conhecimento do mesmo.
2. A notificação descreve a natureza e as circunstâncias do incidente, as categorias e o número aproximado de titulares dos dados e de registos de dados pessoais em causa, as consequências prováveis, as medidas tomadas ou a tomar pela Empresa e uma pessoa de contacto. As informações que não possam ser prestadas de uma só vez são prestadas por fases, à medida que forem sendo conhecidas.
3. A Empresa presta as informações e a cooperação necessárias para que a Igreja possa notificar a autoridade de controlo e os titulares dos dados nos termos da legislação do seu país.

Artigo 10.º (Outra assistência)

Tendo em conta a natureza do tratamento e as informações ao dispor da Empresa, a Empresa presta as informações de que a Igreja necessita para cumprir as suas obrigações nos termos da legislação do seu país, tais como garantir a segurança, realizar avaliações de impacto sobre a proteção de dados e proceder à consulta prévia da autoridade de controlo.

Artigo 11.º (Local de armazenamento e transferências internacionais)

1. A Empresa armazena os dados da Igreja em servidores situados na República da Coreia e não os transfere para fora da República da Coreia, salvo nos casos descritos no artigo 6.º do Anexo (indicações de percurso).
2. As transferências do país da Igreja para a República da Coreia seguem o artigo 4.º do Anexo. Caso a legislação desse país exija um mecanismo distinto, como cláusulas contratuais-tipo, a Igreja e a Empresa implementam-no juntamente com o presente Acordo.

Artigo 12.º (Devolução e destruição após a cessação do contrato de serviço)

1. A Igreja pode descarregar os seus dados através da função de exportação do Serviço antes da cessação do contrato de serviço e durante 90 dias após a sua cessação.
2. Decorrido esse prazo, a Empresa destrói os dados da Igreja de modo a não poderem ser recuperados. Se a Igreja solicitar a destruição imediata, a Empresa destrói os dados sem demora. Os dados cuja conservação seja exigida por lei são conservados durante o prazo exigido.
3. Os dados que permaneçam em cópias de segurança são destruídos decorridos 90 dias, no caso das cópias de segurança nos servidores da Empresa, e decorrido 1 ano, no caso das cópias de segurança num dispositivo de armazenamento separado gerido pela Empresa. Até lá, não são utilizados para qualquer finalidade que não seja a reposição.
4. A pedido da Igreja, a Empresa confirma a destruição por escrito.

Artigo 13.º (Informações e auditorias)

1. A Empresa disponibiliza à Igreja as informações necessárias para demonstrar o cumprimento das obrigações do presente Acordo.
2. A Igreja pode apresentar questões por escrito uma vez por ano, às quais a Empresa responde gratuitamente. Se a Igreja ou um auditor por ela designado pretender realizar uma auditoria no local, o pedido deve ser apresentado com 30 dias de antecedência e os custos são suportados pela Igreja. O auditor está sujeito a um dever de confidencialidade.

Artigo 14.º (Responsabilidade)

A Igreja e a Empresa são, cada uma, responsáveis pelos danos causados à outra pela sua violação do presente Acordo ou da lei. A responsabilidade da Empresa está limitada ao montante total das tarifas pagas pela Igreja nos 12 meses anteriores à data em que o dano ocorreu. Este limite não se aplica aos danos causados por dolo ou negligência grave da Empresa, nem nos casos em que a lei não permita limitar a responsabilidade.

Artigo 15.º (Vigência)

O presente Acordo produz efeitos a partir da data em que a Igreja, após aprovação pela Empresa, celebra o contrato de serviço, até ao cumprimento das obrigações previstas no artigo 12.º após a cessação do contrato de serviço.

Artigo 16.º (Lei aplicável e foro competente)

O presente Acordo rege-se pela lei da República da Coreia. Contudo, continuam a aplicar-se as disposições da legislação de proteção de dados do país da Igreja que não possam ser derrogadas por acordo, bem como os poderes da autoridade de controlo desse país. Os litígios relacionados com o presente Acordo ficam sujeitos ao tribunal competente da área da morada da Empresa.

Artigo 17.º (Língua e celebração)

1. A versão coreana do presente Acordo é o original que faz fé. Se uma tradução divergir dela, prevalece o original coreano, salvo se a legislação do país da Igreja dispuser em contrário.
2. O presente Acordo considera-se celebrado quando a Igreja seleciona «Aceitar» (동의) relativamente ao presente Acordo no ecrã. A Empresa conserva um registo deste facto e fornece uma cópia assinada a pedido da Igreja.

Apêndice 1 — Elementos do tratamento

Objeto	Dados dos membros e registos financeiros que a Igreja introduz no Serviço
Categorias de titulares dos dados	Membros e respetivas famílias, novos membros e visitantes, doadores, pessoal da igreja e utilizadores do Serviço
Tipos de dados pessoais	Os elementos do artigo 2.º da Política de Privacidade e do artigo 3.º do Anexo — nome (apelido e nome próprio em carateres latinos), sexo, data de nascimento (facultativa), contactos, morada, fotografia, cargo eclesiástico, distrito (subdivisão da congregação) e reunião de classe, categoria de membro, registos de batismo e confirmação, funções de serviço e profissão, relações familiares, assiduidade, registos de visitas e pedidos de oração, notas de acompanhamento, registos de ofertas, registos de consentimento relativo aos dados pessoais e informações sobre os doadores para os recibos de donativos desse país
Categorias especiais de dados	O facto de ser membro da igreja e os registos da vida religiosa (dados que revelam convicções religiosas); dados relativos à saúde que a Igreja introduz nas notas de acompanhamento
Natureza e finalidade	Prestação do Serviço — armazenamento, consulta, edição, impressão, exportação, cópia de segurança, envio de mensagens de correio eletrónico e elaboração de rascunhos de textos para visitas (não é enviada qualquer informação que identifique um membro)
Duração	O período de vigência do contrato de serviço e 90 dias após a sua cessação (cópias de segurança: artigo 12.º, n.º 3 — 90 dias nos servidores, 1 ano no dispositivo de armazenamento separado)

Apêndice 2 — Medidas de segurança

• Cifragem em trânsito (HTTPS)
• Palavras-passe armazenadas exclusivamente através de um método irreversível
• Separação dos dados por igreja — uma barreira para cada igreja na base de dados, de modo que os dados de outras igrejas não possam ser lidos
• Permissões baseadas em funções e conservação dos registos de acesso
• Firewall — apenas estão abertas as portas necessárias para o acesso web e o acesso administrativo; a base de dados não é acessível a partir do exterior do servidor
• Software antimalware — atualização automática das assinaturas e análises diárias
• Cópias de segurança periódicas — diárias no servidor, copiadas para um dispositivo de armazenamento separado gerido pela Empresa (servidores 90 dias, dispositivo de armazenamento separado 1 ano)

Apêndice 3 — Subcontratantes ulteriores (todos estabelecidos e a tratar dados na República da Coreia)

Subcontratante ulterior	Atividade
YourIT Co., Ltd.	Disponibilização de servidores e de espaço de armazenamento; armazenamento de dados
NHN Cloud Corp.	Envio de mensagens de correio eletrónico (não são enviadas mensagens de texto para números de telemóvel fora da Coreia)
Upstage Co., Ltd.	Elaboração de rascunhos de sermões no Wesley Simbang Plus (não é enviada qualquer informação que identifique um membro)
Toss Payments Co., Ltd.	Processamento do pagamento das tarifas (as Igrejas no Estrangeiro pagam atualmente por transferência bancária)