Acordo de Processamento de Dados

Versão AV2024-1.0

Partes:
1. Jimani, doravante designada “Subprocessador”;
2. Cliente, doravante designado “Responsável pelo Tratamento”;
‍
O Subprocessador e o Responsável pelo Tratamento doravante designados conjuntamente como: “Partes”

Considerando que:

– O Responsável pelo Tratamento instruiu o Subprocessador a tratar os dados pessoais da sua empresa no âmbito do contrato principal, que faz parte integrante deste acordo de processamento de dados; – O Responsável pelo Tratamento designa as finalidades e os meios aos quais se aplicam as condições aqui mencionadas; – O Subprocessador está disposto a realizar o tratamento e também a cumprir as obrigações relativas à segurança e outros aspetos do Regulamento Geral sobre a Proteção de Dados (“RGPD”), na medida em que tal esteja ao seu alcance; – O Subprocessador não trata os dados pessoais para fins próprios; – O Responsável pelo Tratamento pode ser classificado como responsável pelo tratamento na aceção do artigo 4.º, n.º 7, do RGPD; – O Subprocessador pode ser classificado como subcontratante na aceção do artigo 4.º, n.º 8, do RGPD; – Sempre que este acordo se refira a Dados Pessoais, entende-se por dados pessoais na aceção do artigo 4.º, n.º 1, do RGPD; – As Partes, tendo também em conta o requisito do artigo 28.º, n.º 3, do RGPD, desejam registar os seus direitos e obrigações por escrito através deste Acordo de Processamento de Dados (doravante (“ Acordo de Processamento de Dados”).

As Partes acordaram o seguinte:

‍Artigo 1.º – Objeto do tratamento

‍1. O Subprocessador compromete-se, nos termos deste Acordo de Processamento de Dados, a tratar Dados Pessoais por conta do Responsável pelo Tratamento. O tratamento realizar-se-á exclusivamente no âmbito da execução do contrato de prestação de serviços e deste Acordo de Processamento de Dados, na aceção do artigo 28.º, n.º 3, do RGPD. 2. É proibido ao Subprocessador tratar os Dados Pessoais para qualquer outra finalidade que não a estabelecida pelo Responsável pelo Tratamento. A finalidade do tratamento é a prestação dos serviços solicitados pelo Responsável pelo Tratamento, conforme descrito e estabelecido no Contrato Principal. Para o efeito, são realizadas as seguintes atividades: a disponibilização de uma plataforma para as atividades do cliente e outras atividades relacionadas. 3. A categoria de titulares cujos Dados Pessoais são recolhidos diz respeito aos dados de clientes, dados de início de sessão, dados de colaboradores do Cliente e/ou outras pessoas ou contactos do Responsável pelo Tratamento com os quais o Subprocessador entre em contacto ao tratar Dados Pessoais em nome do Responsável pelo Tratamento. 4. A categoria de dados pessoais tratados são: dados pessoais, dados de colaboradores do Cliente. 5. O Subprocessador não tratará os dados pessoais para qualquer outra finalidade que não a estabelecida pelo Responsável pelo Tratamento. O Responsável pelo Tratamento informará o Subprocessador sobre as finalidades do tratamento, caso estas ainda não tenham sido mencionadas neste Acordo de Processamento de Dados. 6. O Subprocessador tem controlo sobre os meios para o tratamento e armazenamento dos dados pessoais. O Responsável pelo Tratamento é responsável por determinar a finalidade do tratamento e deve registá-la claramente. 7. O tratamento realizar-se-á de forma manual e (semi)automática. 8. Os dados pessoais a tratar por conta do Responsável pelo Tratamento permanecem propriedade do Responsável pelo Tratamento e/ou dos respetivos titulares dos dados.

‍Artigo 2.º – Duração do acordo

1. Este acordo entra em vigor após a aprovação do mesmo e é celebrado pela duração do contrato principal. 2. Este acordo não pode ser rescindido antecipadamente. 3. As alterações a este acordo resultantes de modificações no eventual contrato de prestação de serviços subjacente, na legislação ou regulamentação, ou noutras circunstâncias relevantes, só serão legalmente válidas se forem anexadas ao Acordo de Processamento de Dados após consulta e com o consentimento expresso das partes. 4. Este acordo termina automaticamente se o Contrato Principal terminar. 5. Assim que o acordo for rescindido, por qualquer motivo e de qualquer forma, o Subprocessador – por opção do Responsável pelo Tratamento – devolverá todos os Dados Pessoais que possua em formato original ou cópia ao Responsável pelo Tratamento e/ou eliminará e/ou destruirá esses Dados Pessoais originais e quaisquer cópias dos mesmos num prazo máximo de 28 dias. Quaisquer custos decorrentes serão suportados pelo Responsável pelo Tratamento. 6. As disposições relativas a confidencialidade, responsabilidade e resolução de litígios permanecem em vigor após a cessação deste acordo.

‍Artigo 3.º – Obrigações do Subprocessador

1. O Subprocessador é obrigado a cumprir as condições impostas pela legislação e regulamentação aplicáveis, em particular o RGPD e a respetiva lei de execução, relativas ao tratamento de Dados Pessoais. 2. É proibido ao Subprocessador enriquecer a(s) sua(s) própria(s) base(s) de dados e/ou ficheiros com quaisquer dados (pessoais) da(s) base(s) de dados do Responsável pelo Tratamento, exceto no caso de o Subprocessador necessitar de criar base(s) de dados e/ou ficheiros temporários para o correto tratamento dos Dados Pessoais. Os ficheiros temporários serão eliminados imediatamente a partir do momento em que deixem de ser necessários para o tratamento. 3. O Subprocessador informará o Responsável pelo Tratamento, mediante o seu primeiro pedido, sobre as medidas por si tomadas relativamente às suas obrigações ao abrigo deste Acordo de Processamento de Dados. 4. Se o Responsável pelo Tratamento der instruções ao Subprocessador relativamente ao tratamento de Dados Pessoais, o Subprocessador deve seguir essas instruções se tal for necessário para um tratamento correto, exceto se essas instruções forem contrárias à legislação e regulamentação e a quaisquer regras profissionais e de conduta aplicáveis. Apenas o Responsável pelo Tratamento tem competência para emitir o seu juízo exclusivo sobre esta matéria. 5. Todas as obrigações que recaem sobre o Subprocessador aplicam-se também às pessoas que tratam Dados Pessoais sob a autoridade do Subprocessador (após consentimento expresso do Responsável pelo Tratamento), incluindo colaboradores e terceiros contratados pelo Subprocessador. 6. O Subprocessador é responsável por garantir que apenas os colaboradores e/ou terceiros tenham acesso aos dados pessoais para os quais o acesso é necessário para a execução do contrato. Os colaboradores e/ou terceiros trabalham sob a responsabilidade do Subprocessador. 7. O Responsável pelo Tratamento não tem acesso limitado aos Dados Pessoais junto do Subprocessador. O Subprocessador é obrigado a prestar a sua colaboração a pedido do Responsável pelo Tratamento relativamente à consulta dos dados. 8. Este acordo não é transferível, a menos que expressamente acordado de outra forma.

‍Artigo 4.º – Transferência de dados pessoais

1. Salvo autorização por escrito do Responsável pelo Tratamento, o Subprocessador não permitirá que Dados Pessoais, tratados por ou em nome do Subprocessador ou de um subcontratante por este contratado, no âmbito da execução do Contrato, sejam transferidos para ou tornados acessíveis a partir de países ou organizações internacionais para os quais a Comissão Europeia ainda não tenha decidido que garantem um nível de proteção adequado, em conformidade com a regulamentação de privacidade aplicável. Os artigos 44.º a 50.º do RGPD serão cumpridos em todos os momentos. O Subprocessador fornecerá, ao primeiro pedido do Responsável pelo Tratamento, informações sobre o(s) local(is) onde o tratamento ocorre. 2. O Subprocessador tratará os dados pessoais do Responsável pelo Tratamento com o devido cuidado.

‍Artigo 5.º – Responsabilidade do Subprocessador

1. O Subprocessador realizará para o Responsável pelo Tratamento, no âmbito deste acordo, as atividades mencionadas no artigo 1.2 deste acordo, bem como outras atividades estabelecidas no Contrato Principal. 2. O Subprocessador é responsável pelo tratamento dos Dados Pessoais ao abrigo deste Acordo de Processamento de Dados, de acordo com as instruções do Responsável pelo Tratamento. Para os restantes tratamentos de Dados Pessoais, incluindo, em qualquer caso, mas não se limitando a, a recolha dos Dados Pessoais pelo Responsável pelo Tratamento, tratamentos para finalidades que não foram comunicadas pelo Responsável pelo Tratamento ao Subprocessador, tratamentos por terceiros e/ou para outras finalidades, o Subprocessador é igualmente responsável.

‍Artigo 6.º – Terceiros

Os trabalhos do Subcontratante só podem ser subcontratados a terceiros após autorização prévia e expressa do Responsável pelo Tratamento. O Subcontratante garante estes terceiros e é ele próprio responsável e passível de indemnização por todos os danos causados por terceiros ao Responsável pelo Tratamento. Todas as obrigações decorrentes deste contrato aplicam-se igualmente a estes terceiros (o sub-subcontratante).

Artigo 7.º – Medidas de Segurança de Dados Pessoais

‍1. O Subcontratante envidará esforços para tomar medidas organizativas e técnicas suficientes e adequadas contra qualquer forma de tratamento ilícito relativamente aos tratamentos de Dados Pessoais a realizar por si. 2. O nível de segurança das medidas deve corresponder, pelo menos, a um nível que não seja irrazoável no âmbito dos custos associados, da sensibilidade dos Dados Pessoais em questão, bem como do estado da arte e dos riscos. O Subcontratante não garante que as medidas de segurança por si tomadas sejam eficazes em todos os momentos e sob todas as circunstâncias. Mediante consulta, as partes podem tomar outras medidas de segurança adicionais ou complementares. 3. O Subcontratante tem a responsabilidade própria de informar a si próprio e/ou aos seus colaboradores e aos terceiros a contratar sobre todos os protocolos, a política (de segurança) e outras instruções que permitam e promovam um tratamento seguro. 4. O Subcontratante é responsável pelo seu quinhão do tratamento. 5. Caso ocorra uma violação da segurança dos Dados Pessoais que possa causar danos ou ter consequências adversas para a proteção dos Dados Pessoais, o Subcontratante deve informar o Responsável pelo Tratamento imediatamente, ou pelo menos sem demora injustificada, mas no prazo de 24 horas após o Subcontratante ter tido conhecimento razoável da mesma. O Responsável pelo Tratamento informará então a Autoridade de Proteção de Dados no prazo de 48 horas e os eventuais titulares dos dados o mais rapidamente possível sobre a violação. 6. De acordo com o dever de notificação do Subcontratante, a notificação de uma violação deve consistir, pelo menos, nos seguintes componentes: – a natureza da violação de dados pessoais, indicando, sempre que possível, as categorias de titulares e de dados pessoais em questão e, aproximadamente, o número de titulares e de registos de dados pessoais em questão; – o nome e os dados de contacto do encarregado da proteção de dados ou de outro ponto de contacto onde possam ser obtidas mais informações; – as consequências prováveis da violação de dados pessoais; – as medidas propostas ou tomadas pelo Subcontratante para fazer face à violação de dados pessoais, incluindo, se for caso disso, as medidas para atenuar os seus eventuais efeitos adversos. 7. O Responsável pelo Tratamento deve manter um registo de todas as violações em conformidade com o n.º 5 do artigo 33.º do RGPD. 8. Caso tenha ocorrido uma violação da segurança dos Dados Pessoais no Subcontratante, este é obrigado a tomar, a expensas próprias, as medidas adequadas para evitar futuros incidentes e/ou violações.

‍Artigo 8.º – Confidencialidade

O Subcontratante e os seus colaboradores, bem como os terceiros contratados pelo Subcontratante, estão obrigados ao dever de sigilo relativamente a todos os dados pessoais, informações sensíveis e/ou dados comerciais obtidos através deste contrato. O dever de confidencialidade não se aplica se o Responsável pelo Tratamento tiver dado autorização expressa e por escrito ao Subcontratante para partilhar estes dados e informações com terceiros, ou se existir uma obrigação legal de fornecer os dados e informações a terceiros. Após a cessação deste contrato, as partes continuam obrigadas a cumprir este dever de confidencialidade.

‍Artigo 9.º – Direitos do titular dos dados

‍1. Caso o Subcontratante receba um pedido de acesso de um titular de dados ou de uma autoridade competente, o Subcontratante processará esse pedido o mais rapidamente possível, mas o mais tardar no prazo de 5 dias úteis. Se não for possível processar o pedido por si próprio, o pedido será reencaminhado para o Responsável pelo Tratamento no prazo de 5 dias úteis. O Subcontratante deve, se solicitado, prestar colaboração na execução do pedido. Os custos que o Subcontratante tenha de suportar para efeitos dessa colaboração serão por conta do Responsável pelo Tratamento. 2. O disposto no artigo 9.1 aplica-se correspondentemente se um titular de dados pretender exercer outros direitos, tais como o seu direito de retificação, apagamento de dados, direito à limitação do tratamento, direito à portabilidade dos dados, direito de oposição e direitos em caso de decisões individuais automatizadas, conforme estabelecido nas secções 3 e 4 do Regulamento Geral sobre a Proteção de Dados.

‍Artigo 10.º – Responsabilidade

‍1. O Subcontratante é responsável pelo tratamento dos Dados Pessoais e garante que o tratamento é lícito e não viola os direitos dos titulares dos dados. O Subcontratante apenas é responsável por danos resultantes de atos e/ou omissões, ou do incumprimento de leis e regulamentos pelo Subcontratante. 2. O Subcontratante apenas é responsável até ao valor máximo de uma vez o valor da adjudicação. Todos os danos consequenciais estão expressamente excluídos da responsabilidade do Subcontratante. 3. Sem prejuízo do disposto neste artigo, o Subcontratante é responsável pelos danos causados pelo tratamento sempre que este tratamento não tenha cumprido as obrigações do RGPD especificamente dirigidas ao Subcontratante ou se tiver agido em contrário às instruções legítimas do Responsável pelo Tratamento. 4. O Subcontratante não é responsável pelos danos se conseguir provar que não é, de modo algum, responsável pelo facto que causou o dano.

‍Artigo 11.º – Exoneração de responsabilidade

‍1. O Responsável pelo Tratamento isenta o Subcontratante de reclamações, coimas e/ou sanções pecuniárias compulsórias da ou em nome da Autoridade de Proteção de Dados e/ou de outras autoridades, sempre que fique estabelecido que as infrações são da responsabilidade do Responsável pelo Tratamento. 2. O Subcontratante pode recuperar as coimas e/ou sanções pecuniárias compulsórias aplicadas junto do Responsável pelo Tratamento se e na medida em que o Subcontratante possa ser considerado responsável pelas infrações do Responsável pelo Tratamento.

‍Artigo 12.º – Resolução de Litígios

‍1. O presente contrato rege-se pela lei neerlandesa. 2. Todos os litígios que surjam entre as partes decorrentes de, ou relacionados com, este Acordo de Subcontratação serão resolvidos pelo tribunal competente do local de estabelecimento do Subcontratante.

Artigo 13.º – Responsáveis pelo Tratamento fora dos Países Baixos e idioma

1. Se o Responsável pelo Tratamento estiver estabelecido noutro Estado-Membro do Espaço Económico Europeu, no presente Acordo de Processamento de Dados qualquer referência à Uitvoeringswet AVG (lei neerlandesa de execução do RGPD) deve ser lida como referência à legislação nacional de execução do RGPD desse Estado-Membro, e qualquer referência à Autoriteit Persoonsgegevens como referência à autoridade de controlo competente para o Responsável pelo Tratamento. A título de exemplo, para Portugal trata-se da Lei n.º 58/2019 e a autoridade de controlo é a Comissão Nacional de Proteção de Dados (cnpd.pt).

2. O Subcontratante notifica uma violação de dados pessoais ao Responsável pelo Tratamento nos termos do artigo 7.º. O Responsável pelo Tratamento continua a ser responsável pela notificação à autoridade de controlo competente dentro do prazo do artigo 33.º do RGPD (o mais tardar 72 horas após ter tido conhecimento da mesma) e pela informação dos titulares dos dados nos termos do artigo 34.º do RGPD.

3. O Subcontratante trata os Dados Pessoais em centros de dados situados no Espaço Económico Europeu, salvo se o Responsável pelo Tratamento tiver consentido expressamente outra coisa ou se tal for permitido nos termos do artigo 4.º. A pedido, o Subcontratante fornece uma lista atualizada dos subcontratantes ulteriores a que recorre.

4. O presente Acordo de Processamento de Dados foi redigido em neerlandês. As traduções são disponibilizadas exclusivamente como serviço. Em caso de divergência entre uma tradução e o texto neerlandês, prevalece o texto neerlandês, salvo se o direito imperativo dispuser em contrário.