Contrato de processamento de dados (AVV) – Anexo 1 dos Termos de uso do momoscreen

Última atualização: 18.10.2026

nos termos do art. 28 do Regulamento Geral sobre a Proteção de Dados (RGPD), entre o Cliente que utiliza o momoscreen de acordo com os Termos de uso (“Cliente”, controlador) e a JetCoders GmbH, Kirchengasse 7, 1070 Wien, Österreich, FN 619970 x, info@momoscreen.com (“momoscreen”, operador).

1. Celebração, duração, hierarquia

1.1 Este contrato de processamento de dados faz parte dos Termos de uso e é celebrado eletronicamente com a aceitação destes (art. 28(9) do RGPD), inclusive quando uma nova versão é aceita no app.

1.2 Ele vigora enquanto existir o contrato nos termos dos Termos de uso e, além disso, até a exclusão ou devolução dos Dados do Cliente (item 11).

1.3 Em caso de divergências, este contrato de processamento de dados prevalece sobre os Termos de uso em questões de proteção de dados. As expressões utilizadas têm o significado previsto no art. 4 do RGPD.

2. Objeto, natureza e finalidade

2.1 Objeto: disponibilização do momoscreen nos termos dos Termos de uso. Nesse contexto, o momoscreen trata dados pessoais em nome do Cliente (“Dados do Cliente”).

2.2 Natureza e finalidade: coleta, armazenamento, exibição, transmissão (p. ex., envio de e-mails), tradução, anonimização e exclusão de Dados do Cliente, para disponibilizar as funções utilizadas pelo Cliente, em especial reservas e e-mails aos comensais, estatísticas para o Cliente (p. ex., origem das reservas), consentimentos dos comensais para publicidade do Cliente, a publicação de conteúdos do Cliente, acessos para pessoas que o Cliente convida para a sua conta e um histórico de alterações (quem alterou o quê e quando), o tratamento de solicitações de titulares dos dados (item 8), cópias de segurança e suporte.

2.3 Não estão abrangidos os dados que o momoscreen trata como controlador próprio, p. ex., dados de conta e de contrato do Cliente como titular da conta, solicitações de suporte, estatísticas internas de uso e dados técnicos de acesso para a operação e a segurança da plataforma (p. ex., logs de servidor, endereços IP, sessões), também nos acessos de funcionários. Para esses dados, aplica-se a Política de privacidade do momoscreen.

3. Titulares dos dados e dados

A observação pode conter dados de saúde voluntários dos comensais (p. ex., alergias, intolerâncias). O momoscreen não solicita esses dados; no formulário, em nome do Cliente, informa que o fornecimento é voluntário e que, ao inseri-los, o comensal consente com o seu uso pelo Cliente. O Cliente é responsável pela licitude.

4. Instruções

4.1 O momoscreen trata os Dados do Cliente apenas mediante instrução documentada do Cliente, inclusive no que diz respeito a transferências para países terceiros, salvo se o momoscreen for obrigado a isso pelo direito da União ou pelo direito austríaco; nesse caso, o momoscreen informa previamente o Cliente dessa obrigação, a menos que o direito o proíba.

4.2 Os Termos de uso, este contrato de processamento de dados e as configurações e ações do Cliente no app, inclusive as realizadas por pessoas que ele convidou para a sua conta, constituem as instruções completas do Cliente. O momoscreen só implementa instruções adicionais enviadas por e-mail na medida em que isso seja técnica e organizacionalmente possível e razoável; o momoscreen pode cobrar pelo esforço correspondente.

4.3 Se o momoscreen considerar uma instrução ilegal, informará o Cliente sem demora e poderá suspender a sua execução até que o Cliente a confirme ou a altere.

5. Obrigações do Cliente

O Cliente é responsável pela licitude do tratamento, em especial pela base legal e pela informação aos comensais. Para isso, o momoscreen disponibiliza avisos de privacidade para comensais que contêm o nome, o endereço completo e o número de telefone do estabelecimento, extraídos do perfil deste; o Cliente deve manter essas informações corretas. O Cliente não insere dados de comensais no chat de suporte e comunica sem demora erros no tratamento.

Os acessos de funcionários e o histórico de alterações são voluntários. O Cliente decide sozinho quem convida para a sua conta e quais áreas libera, e é responsável por tudo o que essas pessoas fizerem na sua conta. Antes do primeiro uso, ele as informa e as treina sobre as suas tarefas e sobre o tratamento dos seus dados, incluindo o histórico de alterações, e verifica por conta própria se precisa, para isso, de um consentimento (p. ex., da representação dos empregados ou dos funcionários). O histórico de alterações serve apenas para tornar rastreáveis as alterações na conta (quem alterou o quê e quando).

6. Confidencialidade e segurança

6.1 As pessoas que têm acesso aos Dados do Cliente estão obrigadas à confidencialidade ou sujeitas a uma obrigação legal de sigilo (§ 6 do DSG). Elas só recebem acesso na medida em que precisem dele para as suas tarefas.

6.2 O momoscreen adota as medidas técnicas e organizacionais nos termos do art. 32 do RGPD (Anexo A) e pode alterá-las, desde que o nível de proteção não seja reduzido.

7. Suboperadores e países terceiros

7.1 O Cliente concede ao momoscreen a autorização geral para contratar suboperadores. Os indicados no Anexo B são considerados autorizados.

7.2 O momoscreen comunica a inclusão ou a substituição pretendida de suboperadores com pelo menos 14 dias de antecedência, por e-mail ou no app; se uma mudança for urgente (p. ex., falha ou problema de segurança), o momoscreen informa sem demora após a mudança. O Cliente pode se opor por e-mail, por motivo relacionado à proteção de dados, até a data anunciada ou, no caso de mudanças urgentes, no prazo de 14 dias após a informação; nesse caso, ambas as partes podem rescindir o contrato sem aviso prévio.

7.3 O momoscreen obriga contratualmente os suboperadores a cumprir obrigações de proteção de dados equivalentes às deste contrato de processamento de dados (art. 28(4) do RGPD); os contratos-padrão dos fornecedores são suficientes se contiverem essas obrigações.

7.4 Alguns suboperadores têm sede nos EUA ou podem acessar dados a partir de lá (Anexo B). O Cliente instrui o momoscreen a transferir Dados do Cliente para países terceiros nessa medida. Isso ocorre apenas nos termos dos arts. 44 e seguintes do RGPD, em especial com base em uma decisão de adequação (inclusive o EU-US Data Privacy Framework) ou em cláusulas contratuais-padrão da Comissão Europeia.

7.5 Se o Cliente tiver sede fora do Espaço Econômico Europeu (EEE) e fora de um país com decisão de adequação da Comissão Europeia, aplicam-se adicionalmente as cláusulas contratuais-padrão da Comissão Europeia (Decisão (UE) 2021/914), Módulo 4, com o momoscreen como exportador de dados e o Cliente como importador de dados; os anexos resultam deste contrato de processamento de dados, e o foro e a autoridade de controle são os austríacos. Em caso de divergência, as cláusulas prevalecem.

8. Solicitações de titulares dos dados

8.1 O momoscreen auxilia o Cliente, com medidas técnicas e organizacionais adequadas, na resposta a solicitações nos termos do Capítulo III do RGPD, na medida do possível.

8.2 O Cliente incumbe e autoriza o momoscreen a responder e atender, em nome do Cliente, às solicitações de comensais (p. ex., acesso, retificação, exclusão, revogação de consentimento) recebidas pelo momoscreen. O momoscreen não é obrigado a informar o Cliente a esse respeito. As solicitações que o momoscreen não atender por conta própria são encaminhadas por ele ao endereço de e-mail da conta do Cliente. O momoscreen pode verificar a identidade do solicitante (p. ex., respondendo ao endereço de e-mail indicado na reserva), documenta o atendimento e, mediante solicitação, presta informações ao Cliente sobre isso.

9. Assistência nos termos dos arts. 32 a 36 do RGPD

9.1 O momoscreen auxilia o Cliente, tendo em conta a natureza do tratamento e as informações disponíveis, em matéria de segurança, notificações, comunicações, avaliação de impacto sobre a proteção de dados e consulta prévia, na medida em que exigido por lei. O momoscreen presta assistência adicional (inclusive nos termos do item 8.1) mediante reembolso do esforço.

9.2 O momoscreen comunica ao Cliente uma violação de dados pessoais relativa aos Dados do Cliente sem demora após tomar conhecimento dela, por e-mail para o endereço da conta do Cliente, com as informações previstas no art. 33(3) do RGPD, na medida em que estejam disponíveis; o momoscreen envia posteriormente as informações em falta. As notificações à autoridade de controle e as comunicações aos titulares dos dados são feitas pelo Cliente.

10. Comprovações e auditorias

10.1 O momoscreen comprova o cumprimento deste contrato de processamento de dados prioritariamente por meio deste contrato de processamento de dados e seus anexos, de informações por e-mail e de certificados ou relatórios de auditoria dos suboperadores.

10.2 Uma auditoria no local é admissível se essas comprovações não eliminarem dúvidas fundamentadas do Cliente. Ela deve ser anunciada com pelo menos 30 dias de antecedência, ocorre durante o horário comercial e no máximo uma vez por ano civil, e é realizada pelo Cliente ou por um auditor obrigado ao sigilo que não seja concorrente do momoscreen. Os custos são suportados pelo Cliente, incluindo o esforço do momoscreen. Os poderes das autoridades de controle permanecem inalterados.

11. Exclusão e devolução

11.1 Durante a vigência, o momoscreen anonimiza ou exclui automaticamente os Dados do Cliente de acordo com as seguintes instruções do Cliente (item 4.2): solicitações de reserva que o comensal não confirmou (link de confirmação não clicado), 7 dias após o recebimento (exclusão); observações das reservas, 30 dias após a data da reserva (exclusão); os demais dados de reserva, 6 meses após a data da reserva (anonimização); consentimentos para publicidade, até a revogação, e a comprovação do consentimento e da revogação, três anos depois; entradas no histórico de alterações, 90 dias após a entrada (exclusão). O próprio Cliente exclui no app os conteúdos e os acessos das pessoas convidadas. Alterações desses prazos ocorrem nos termos do item 12.2.

11.2 Se o Cliente solicitar a devolução por e-mail até 30 dias após o fim do contrato, o momoscreen entrega os Dados do Cliente em um formato comum e legível por máquina. Após o término desse prazo (em caso de solicitação, após a devolução), o momoscreen exclui os Dados do Cliente em prazo razoável, desde que não exista obrigação de conservação nos termos do direito da União ou do direito austríaco. As cópias em backups não são excluídas individualmente, mas sobrescritas no ciclo regular.

12. Responsabilidade, alterações, disposições finais

12.1 Na relação entre o Cliente e o momoscreen, aplicam-se as limitações de responsabilidade dos Termos de uso (item 10), na medida em que permitido por lei. A responsabilidade perante os titulares dos dados nos termos do art. 82 do RGPD permanece inalterada.

12.2 Para alterações, aplica-se o item 13 dos Termos de uso; para suboperadores, o item 7.2. Quanto ao mais, aplicam-se as disposições finais dos Termos de uso.

Anexo A – Medidas técnicas e organizacionais

• Data centers e servidor: hospedagem da aplicação em fornecedores com certificações de segurança reconhecidas (p. ex., ISO 27001, SOC 2). O banco de dados roda em um servidor em nuvem que alugamos da Hetzner Online GmbH e administramos nós mesmos, em um data center com certificação ISO 27001 na Alemanha; o acesso físico ao data center é controlado pela Hetzner. Medidas no servidor: acesso apenas com chaves SSH (sem senhas), firewall com apenas as portas necessárias abertas, conexões ao banco de dados a partir da internet somente criptografadas (TLS com certificado verificado), atualizações de segurança automáticas, bloqueio automático após repetidas tentativas de login malsucedidas.
• Acesso e autorização: login apenas com conta pessoal e senha; as senhas são armazenadas somente em formato hash. Cada Cliente vê apenas os dados do seu estabelecimento. Funcionários convidados recebem acessos próprios, apenas para as áreas que o Cliente libera. Acesso a interfaces de administração e a dados de produção somente para pessoas autorizadas, na medida do necessário para as suas tarefas.
• Criptografia: transmissões via TLS, inclusive para o banco de dados; os backups do banco de dados são criptografados (AES-256) antes de sair do servidor e armazenados na UE. O disco do servidor do banco de dados não é criptografado.
• Integridade e proteção contra abusos: rastreabilidade das reservas (origem, status, momento) e das alterações na conta (histórico de alterações); confirmação do endereço de e-mail dos comensais; medidas contra solicitações abusivas e automatizadas.
• Minimização de dados: configurações padrão favoráveis à proteção de dados (p. ex., consentimento para publicidade não pré-selecionado); anonimização e exclusão automáticas (item 11).
• Disponibilidade: aplicação em infraestrutura em nuvem escalável; backups diários e contínuos do banco de dados (criptografados, armazenados na UE, mantidos por até 14 dias, restauração testada); monitoramento do banco de dados, dos backups e do servidor com alertas por e-mail.
• Verificação: verificação e ajuste regulares destas medidas.

Anexo B – Suboperadores