1. Partes, âmbito e funções
O presente Acordo de Tratamento de Dados («DPA») faz parte dos Termos de Serviço celebrados entre a Tatic ApS (CVR 42532940), Mejsevej 2, Hadbjerg, 8370 Hadsten, Dinamarca, que opera a open-banking.io sob a denominação secundária OpenBanking IO ApS («Subcontratante», «nós»), e o cliente empresarial que utiliza o serviço («Responsável pelo tratamento», «tu», «você»).
Aplica-se ao abrigo do artigo 28.º do RGPD sempre que ligas contas bancárias cujos extratos ou transações contenham dados pessoais (tais como nomes de contrapartes, IBAN, salários de colaboradores ou referências de pagamento). Questões: privacy@open-banking.io.
2. Natureza, finalidade e duração do tratamento
Tratamos dados pessoais exclusivamente para prestar o serviço open-banking.io: obtenção de dados de contas e transações através de APIs PSD2 durante as sincronizações, encriptação de cargas bancárias sensíveis sob a tua chave pública registada, armazenamento dos registos resultantes e dos metadados estruturais de sincronização, e disponibilização dos mesmos através da aplicação web e da API.
O tratamento mantém-se enquanto a tua conta permanecer ativa e termina quando removes uma conta bancária individual ou eliminas a tua conta de utilizador.
3. Categorias de titulares dos dados e de dados pessoais
- Titulares dos dados: titulares de contas, contrapartes, clientes, fornecedores e colaboradores cujos dados constem nas tuas contas bancárias ligadas e extratos de transações, bem como utilizadores autorizados da tua conta.
- Dados pessoais: identificadores de conta (IBAN, BBAN, números de conta), nomes de titulares e contrapartes, montantes de transações, descrições e referências de pagamento (selados sob a tua chave pública após o registo), juntamente com os metadados estruturais necessários para sincronização, desduplicação e conformidade com a PSD2 (identificador do banco, moeda, datas-valor/de lançamento, UIDs de sessão/conta encriptados, endereço IP e User-Agent do utilizador em sincronizações assistidas e registos operacionais de API e sincronização de 90 dias).
As credenciais de acesso bancário nunca são recolhidas, vistas ou armazenadas por nós.
4. Instruções documentadas e encriptação do lado do cliente
Tratamos dados pessoais apenas mediante instruções documentadas tuas — nomeadamente a tua configuração e utilização do serviço e da API — salvo se exigido de outra forma pelo direito da UE ou pelo direito dinamarquês.
Assim que registas uma chave pública ECDH P-256, os dados bancários sensíveis obtidos através da Enable Banking (nomes de titulares e contrapartes, IBAN/BBAN, montantes de transações, descrições de pagamentos e JSON bancário bruto) são selados sob a tua chave pública (ECDH P-256 efémero + HKDF-SHA256 + AES-256-GCM), de modo que não os podemos desencriptar em repouso, a menos que atives explicitamente a depuração temporária de suporte durante um período limitado.
5. Confidencialidade e medidas de segurança (art. 32.º do RGPD)
Qualquer pessoa por nós autorizada a aceder à infraestrutura está vinculada a rigorosas obrigações de confidencialidade.
Implementamos medidas técnicas e organizativas adequadas ao risco:
- Encriptação envelope ponta a ponta sob chaves geradas e guardadas nos teus próprios dispositivos ou sistemas
- Encriptação TLS 1.2/1.3 para todos os dados em trânsito
- Alojamento em centros de dados da UE certificados segundo a norma ISO/IEC 27001:2022 com políticas de rede Kubernetes rigorosas e acesso de privilégio mínimo
- Mitigação europeia de DDoS, firewall de aplicações web (WAF) e limitação de taxa na periferia da rede
6. Subcontratantes ulteriores autorizados
Concedes autorização geral por escrito para os seguintes subcontratantes europeus:
- Enable Banking Oy (Espoo, Finlândia) — prestador de serviços de informação sobre contas (AISP) ao abrigo da PSD2 supervisionado pela Autoridade de Supervisão Financeira da Finlândia (FIN-FSA).
- Hetzner (Hetzner Online GmbH / Hetzner Finland Oy, Alemanha e Finlândia) — alojamento e armazenamento em centros de dados certificados segundo a ISO/IEC 27001:2022.
- Bunny.net (BunnyWay d.o.o., Liubliana, Eslovénia) — proteção DDoS, WAF, DNS e rede periférica em infraestrutura europeia.
- Stripe (Stripe Payments Europe, Ltd., Irlanda) — processamento de pagamentos e faturação.
Vinculamos cada subcontratante a obrigações de proteção de dados não menos protetoras do que o presente DPA e permanecemos responsáveis pelo seu cumprimento. Notificamos-te por e-mail antes de adicionar ou substituir um subcontratante para que te possas opor encerrando a tua conta antes de a alteração produzir efeitos.
7. Residência de dados na UE e transferências internacionais
Todos os dados bancários e de contas são armazenados e processados exclusivamente na União Europeia e no EEE (Alemanha, Finlândia e infraestrutura periférica europeia). Não transferimos os teus dados bancários para fora da UE/EEE.
8. Assistência, notificação de violações de dados e auditorias
Uma vez que os teus dados bancários te são diretamente acessíveis através da aplicação e da API, podes exportar ou apagar registos a qualquer momento. Tendo em conta a natureza do tratamento, prestamos-te assistência mediante pedido enviado para privacy@open-banking.io relativamente a pedidos de titulares dos dados, avaliações de segurança e questões sobre AIPD.
Notificamos-te sem demora injustificada — e no prazo máximo de 48 horas após termos tomado conhecimento — de qualquer violação de dados pessoais que afete a tua conta, fornecendo os elementos exigidos pelo artigo 33.º do RGPD.
Disponibilizamos todas as informações razoavelmente necessárias para demonstrar a conformidade com o artigo 28.º do RGPD e permitimos auditorias ou inspeções mediante aviso prévio razoável por escrito.
9. Eliminação após cessação e lei aplicável
Desligar uma ligação bancária revoga a sessão PSD2 e interrompe novas sincronizações, mantendo o teu histórico importado disponível até removeres a conta. Quando removes uma conta bancária individual ou eliminas a tua conta de utilizador, os registos da conta e das transações são permanentemente eliminados das bases de dados ativas e expurgados das cópias de segurança da base de dados no prazo de 30 dias (sendo apenas conservados os documentos legais de faturação e contabilidade ao abrigo da Lei de Contabilidade dinamarquesa e os registos operacionais de curta duração que expiram no prazo de 90 dias).
O presente DPA rege-se pela lei dinamarquesa e está sujeito à jurisdição dos tribunais dinamarqueses. Contacto para todas as questões de proteção de dados: privacy@open-banking.io.