Acordo de Subcontratação de Tratamento de Dados

Doravante designadas, respetivamente, «Responsável» e «Subcontratante», e em conjunto «Partes».

O Subcontratante trata dados pessoais exclusivamente por conta do Responsável, no âmbito do fornecimento da plataforma de gestão de agendamentos Alayah.

Natureza do tratamento: recolha, registo, organização, conservação, consulta, utilização, transmissão aos subcontratantes ulteriores do Anexo II e apagamento.

Duração: o presente Acordo vigora enquanto durar a subscrição da plataforma e cessa com ela, sem prejuízo das obrigações do ponto 9.

Instruções: as instruções documentadas do Responsável são as que decorrem da utilização normal da plataforma e das configurações que nela definir, bem como as que dirigir por escrito ao Subcontratante. O Subcontratante informa o Responsável sempre que considere que uma instrução viola o RGPD (Art. 28.º, n.º 3, parágrafo final).

Titulares: clientes do prestador; profissionais e colaboradores do prestador com acesso à plataforma.

Dados tratados: nome e apelido; número de telemóvel; endereço de e-mail; data de nascimento; histórico de marcações e serviços; observações relativas a preferências de serviço; registos de consentimento (data, canal, versão da política e código irreversível derivado do endereço IP); dados de conta e de acesso dos colaboradores.

Nos termos do Art. 28.º, n.º 3, o Subcontratante obriga-se a:

• Tratar os dados pessoais apenas mediante instruções documentadas do Responsável, incluindo quanto a transferências para países terceiros, salvo obrigação legal — caso em que informa o Responsável antes do tratamento, se a lei o permitir;
• Assegurar que as pessoas autorizadas a tratar os dados estão sujeitas a dever de confidencialidade;
• Aplicar as medidas técnicas e organizativas do ponto 6 (Art. 32.º);
• Respeitar as condições de recurso a outro subcontratante previstas no ponto 5;
• Auxiliar o Responsável, na medida do possível, a responder aos pedidos de exercício de direitos dos titulares (Arts. 15.º a 22.º), disponibilizando na plataforma as funções de consulta, correção, exportação e eliminação;
• Auxiliar o Responsável no cumprimento dos Arts. 32.º a 36.º, incluindo a notificação de violações e, se aplicável, a avaliação de impacto;
• Eliminar ou devolver os dados nos termos do ponto 9;
• Disponibilizar ao Responsável toda a informação necessária para demonstrar o cumprimento do Art. 28.º e permitir auditorias nos termos do ponto 8;
• Não usar os dados das clientes do Responsável para fins próprios, não os ceder nem vender a terceiros, e não os usar para publicidade do Subcontratante.

O Responsável dá autorização geral prévia ao recurso aos subcontratantes ulteriores abaixo, os únicos hoje utilizados. O Subcontratante impõe-lhes, por contrato, obrigações de proteção de dados equivalentes às do presente Acordo e responde perante o Responsável pelo respetivo incumprimento (Art. 28.º, n.º 4).

Qualquer alteração — acrescento ou substituição — é comunicada ao Responsável com a antecedência mínima de 30 dias, podendo este opor-se por escrito dentro desse prazo. Havendo oposição fundada que impeça a prestação do serviço, qualquer das Partes pode resolver o contrato de subscrição sem penalização.

• Cifra dos dados em trânsito (HTTPS/TLS 1.2 ou superior) e em repouso;
• Controlo de acessos por perfil, limitado ao necessário para cada função, com isolamento dos dados entre prestadores;
• Autenticação com palavras-passe guardadas cifradas e sessões de duração limitada;
• Registos de auditoria das operações sensíveis e dos consentimentos;
• Endereços IP guardados nos registos de consentimento sob a forma de código irreversível, nunca em texto simples;
• Cópias de segurança regulares e cifradas, com procedimento de reposição testado;
• Política de conservação e de eliminação definida por categoria de dados;
• Monitorização de erros e de incidentes com dados técnicos minimizados.

O Subcontratante notifica o Responsável sem demora injustificada após ter conhecimento de uma violação de dados pessoais e, sempre que possível, no prazo de 36 horas, para que o Responsável possa cumprir o seu dever de notificação à autoridade de controlo em 72 horas (Art. 33.º). A notificação descreve a natureza da violação, as categorias e o número aproximado de titulares e de registos afetados, as consequências prováveis e as medidas adotadas.

O Subcontratante disponibiliza ao Responsável a informação necessária para demonstrar o cumprimento das obrigações do Art. 28.º e permite auditorias, incluindo inspeções, realizadas pelo Responsável ou por auditor por si mandatado, mediante pré-aviso de 30 dias, no máximo de uma por ano civil — salvo incidente de segurança ou determinação de autoridade de controlo, casos em que não há limite nem pré-aviso mínimo.

Cessando a prestação do serviço, o Responsável dispõe de 30 dias para exportar os dados através da plataforma ou para pedir a sua entrega em formato estruturado e de uso corrente. Findo esse prazo, o Subcontratante elimina todos os dados pessoais, incluindo das cópias de segurança no respetivo ciclo de rotação, salvo na medida em que o direito da União ou nacional exija a sua conservação.

A base de dados está alojada na União Europeia. As transferências para os Estados Unidos decorrentes dos subcontratantes ulteriores identificados no Anexo II assentam na decisão de adequação da Comissão Europeia relativa ao EU-U.S. Data Privacy Framework, de 10 de julho de 2023, complementada por cláusulas contratuais-tipo. Não são efetuadas outras transferências para fora do Espaço Económico Europeu sem instrução ou autorização do Responsável.

Cada Parte responde nos termos dos Arts. 82.º e 83.º do RGPD. O presente Acordo é regido pela lei portuguesa e prevalece sobre quaisquer disposições contrárias do contrato de subscrição em matéria de proteção de dados.

Sem prejuízo do direito de qualquer das Partes e dos titulares de apresentar reclamação junto da Comissão Nacional de Proteção de Dados (CNPD), é competente o foro da comarca do domicílio do Responsável.