Acordo de Tratamento de Dados

1.1. Para efeitos de interpretação deste Acordo, aplicam-se as definições constantes do RGPD.

1.2. Sem prejuízo do exposto, os seguintes termos e expressões têm o significado abaixo indicado:

(A) "Legislação" ou "legislação aplicável" designa a legislação da União Europeia ou de um Estado-Membro relativa à Privacidade e Proteção de Dados Pessoais aplicável às Partes, nomeadamente a Lei n.º 58/2019, de 8 de agosto;

(B) "Instruções" designa qualquer comunicação escrita dirigida pelo Responsável pelo Tratamento à Subcontratante, ordenando a esta que atue de determinada forma relativamente aos dados pessoais. Estas instruções podem ser retificadas, retiradas, ampliadas ou substituídas a qualquer momento, mediante notificação escrita do Responsável pelo Tratamento;

(C) "Subsubcontratante" designa um subcontratante que, no âmbito dos serviços contratados e prestados ao Responsável pelo Tratamento nos termos do Contrato, realiza operações específicas de tratamento de dados pessoais por conta da Legau, em conformidade com as instruções desta, as condições estabelecidas nos documentos contratuais e as condições estabelecidas no presente Acordo.

2.1. O presente Acordo tem por objeto autorizar e regular o tratamento de dados pessoais pela Legau, na qualidade de Subcontratante, relativamente aos dados pessoais pelos quais o Responsável pelo Tratamento é responsável.

2.2. O referido tratamento de dados pessoais por conta do Responsável pelo Tratamento destina-se ao cumprimento, pela Subcontratante, das obrigações decorrentes do Contrato para a execução dos Serviços.

2.3. Através do presente Acordo, o Responsável pelo Tratamento determina o âmbito, as finalidades e a forma como a Subcontratante pode tratar dados pessoais no âmbito do Contrato e deste Acordo.

2.4. A Subcontratante apenas tratará dados pessoais em estrita conformidade com o Contrato, o presente Acordo e as instruções escritas do Responsável pelo Tratamento.

3.1. As atividades de tratamento dizem respeito aos dados pessoais cujos respetivos titulares se encontram identificados na Secção 1 do Anexo 1 ("Descrição do Tratamento de Dados Pessoais") ao presente Acordo.

3.2. A Subcontratante realizará as operações de tratamento identificadas na Cláusula 5, relativamente às categorias de dados pessoais identificadas na Secção 2 do Anexo 1 a este Acordo.

3.3. O Responsável pelo Tratamento reconhece expressamente e garante que instruirá os seus utilizadores a não utilizar, disponibilizar ou inserir nos sistemas e plataformas da Subcontratante, no âmbito do Contrato e deste Acordo, quaisquer dados pessoais diferentes dos previstos neste Acordo.

3.4. O Responsável pelo Tratamento compromete-se ainda a informar e a assegurar que os seus colaboradores, subsubcontratantes e outros prestadores de serviços que tenham acesso aos sistemas e plataformas da Subcontratante estão devidamente informados do disposto na Cláusula 3.3, sendo responsáveis perante a Subcontratante por quaisquer danos resultantes do incumprimento do mesmo.

4.1. As categorias de dados pessoais identificadas na Secção 2 do Anexo 1 serão tratadas pela Subcontratante por conta do Responsável pelo Tratamento, exclusivamente para efeitos da realização de operações no âmbito dos Serviços contratados pelo Responsável pelo Tratamento.

4.2. Em particular, a Subcontratante realizará as operações de tratamento identificadas na Secção 3 do Anexo 1.

4.3. As operações de tratamento identificadas no Anexo 1 não prejudicam outras que possam ser indicadas em função da execução dos Serviços e dos termos deste Acordo.

4.4. As operações de tratamento devem ser realizadas em conformidade com o disposto neste Acordo, no Contrato, na legislação em vigor e nas melhores práticas, bem como em conformidade com as instruções do Responsável pelo Tratamento.

4.5. Sem prejuízo das instruções do Responsável pelo Tratamento, a Subcontratante, no âmbito da execução do Contrato e das práticas do seu setor, está autorizada a exercer o seu próprio critério na seleção e utilização dos meios que considere necessários para prosseguir o objeto do Contrato, em conformidade com este Acordo.

5.1. O Responsável pelo Tratamento compromete-se a:

(a) Permitir o acesso e/ou disponibilizar dados pessoais à Subcontratante, sempre que necessário para o cumprimento e a execução do Contrato;

(b) Transmitir as suas instruções relativas às operações de tratamento a realizar através de comunicação escrita;

(c) Manter as condições de licitude em que se baseia o tratamento dos dados pessoais;

(d) Cumprir a obrigação de transparência perante os titulares dos dados;

(e) Manter os dados pessoais atualizados;

(f) Cumprir as suas obrigações legais, nos termos da lei;

(g) Quando aplicável, manter um registo de todas as atividades de tratamento pelas quais seja responsável, contendo a informação exigida por lei;

(h) Informar a Subcontratante da existência de qualquer pedido de exercício de direitos e/ou reclamação relativa a dados pessoais tratados pela Subcontratante por conta do Responsável pelo Tratamento.

5.2. O Responsável pelo Tratamento tem o direito de solicitar documentação e informação razoáveis, a fim de auditar o tratamento de dados pessoais pela Subcontratante, exclusivamente para efeitos de verificar que os dados pessoais:

(a) Estão a ser tratados de acordo com as suas instruções;

(b) Estão a ser tratados em conformidade com a lei;

(c) Estão sujeitos a medidas técnicas e organizativas adequadas para a sua proteção.

6.1. A Subcontratante compromete-se a:

(a) Tratar apenas os dados pessoais identificados, bem como aqueles que recolha durante e para a execução dos Serviços, exclusivamente em conformidade com as finalidades do Contrato;

(b) Tratar os dados pessoais em conformidade com as instruções do Responsável pelo Tratamento, bem como em cumprimento das suas obrigações legais enquanto Subcontratante;

(c) Manter um registo das operações que realiza em conformidade com as instruções do Responsável pelo Tratamento, registando todas as categorias de atividades de tratamento realizadas por conta do Responsável pelo Tratamento;

(d) Assegurar que o acesso aos dados pessoais é limitado apenas aos seus colaboradores que necessitem de aceder aos dados pessoais e na medida do necessário, os quais a Subcontratante procurará ter expressamente vinculado, por escrito, a garantir a confidencialidade e a cumprir as medidas de segurança implementadas;

(e) Manter a confidencialidade e o dever de sigilo relativamente aos dados pessoais a que tenha acesso através deste Acordo, mesmo após a sua cessação;

(f) Não utilizar os dados pessoais que lhe sejam confiados para finalidades diferentes das explicitamente identificadas no Contrato e/ou neste Acordo, nomeadamente para fins próprios, exceto conforme previsto no Contrato;

(g) Não comunicar os dados a terceiros, exceto quando tal seja necessário para o cumprimento e a execução das suas obrigações legais decorrentes do Contrato;

(h) Informar o Responsável pelo Tratamento da existência de qualquer pedido de exercício de direitos e/ou reclamação relativa aos dados pessoais tratados por sua conta pela Subcontratante, colaborando com o Responsável pelo Tratamento na resposta aos pedidos de exercício de direitos pelos titulares dos dados;

(i) Colaborar com as autoridades de controlo sempre que para tal seja notificada, devendo, contudo, informar o Responsável pelo Tratamento dessa obrigação assim que dela tome conhecimento, salvo se a lei expressamente o impedir e/ou proibir de fornecer essa informação.

6.2. Caso a Subcontratante considere que alguma das instruções do Responsável pelo Tratamento viola a legislação de proteção de dados ou qualquer outra disposição legal, deverá informar o Responsável pelo Tratamento por escrito e poderá recusar-se a cumprir tal instrução, sem que tal recusa constitua uma violação do Contrato e/ou do Acordo.

7.1. A Legau, na qualidade de Subcontratante do Responsável pelo Tratamento, manterá um registo, em formato eletrónico, das atividades de tratamento realizadas por conta do Responsável pelo Tratamento, contendo a informação prevista no artigo 32.º, n.º 2, do RGPD.

7.2. A Subcontratante, sempre que para tal seja notificada, disponibilizará o registo à autoridade de controlo, sem prejuízo do dever de informar o Responsável pelo Tratamento dessa notificação assim que dela tome conhecimento.

8.1. A Subcontratante apenas poderá armazenar dados pessoais por conta do Responsável pelo Tratamento durante a vigência do Contrato.

8.2. No termo do referido período, a Subcontratante atuará em conformidade com o disposto na Cláusula 20 deste Acordo.

9.1. A Subcontratante compromete-se a realizar uma avaliação de impacto sobre a proteção de dados sempre que tal seja exigido por lei e nos termos nela definidos.

9.2. A Subcontratante compromete-se a fornecer o resultado das referidas avaliações de impacto sobre a proteção de dados e as orientações recebidas da autoridade de controlo sempre que solicitado pelo Responsável pelo Tratamento, no prazo máximo de quarenta e oito (48) horas após a receção do pedido escrito do Responsável pelo Tratamento.

10.1. As medidas técnicas e organizativas adequadas para a proteção dos dados pessoais devem assegurar um nível de segurança adequado aos riscos apresentados pelo tratamento, tendo em conta o estado da arte e a natureza dos dados a proteger, devendo permitir a proteção dos dados pessoais contra a destruição acidental ou ilícita, a perda acidental, a alteração, a divulgação ou o acesso não autorizados, e contra todas as demais formas ilícitas de tratamento.

10.2. Sem prejuízo do exposto, a Subcontratante assegurará a implementação de medidas técnicas e organizativas adequadas para garantir um nível de segurança adequado ao risco, incluindo, consoante aplicável:

(a) A confidencialidade, integridade e disponibilidade permanente dos sistemas e serviços de tratamento;

(b) A resiliência dos sistemas e serviços que tratam dados pessoais;

(c) A capacidade de restabelecer a disponibilidade e o acesso aos dados pessoais de forma atempada, em caso de incidente físico ou técnico;

(d) Um processo para testar, apreciar e avaliar regularmente a eficácia das medidas técnicas e organizativas destinadas a garantir a segurança do tratamento;

(e) A possibilidade de pseudonimização e/ou encriptação dos dados pessoais.

10.3. O Responsável pelo Tratamento pode, ao seu critério razoável, solicitar à Subcontratante elementos que demonstrem o cumprimento das obrigações desta Cláusula.

11.1. A Subcontratante informará o Responsável pelo Tratamento no prazo de vinte e quatro (24) horas após ter tomado conhecimento de qualquer incidente de segurança, tentado ou não, que afete os dados pessoais ou as operações de tratamento contratadas.

11.2. A Subcontratante deve manter um registo documentado de todos os incidentes de segurança que possam afetar os dados pessoais e/ou as operações de tratamento.

11.3. Em caso de violação de dados pessoais, a Subcontratante compromete-se a prestar assistência e a colaborar com o Responsável pelo Tratamento no que respeita a:

(a) Notificação à autoridade de controlo;

(b) Comunicação aos titulares dos dados afetados;

(c) Comunicação à autoridade judiciária.

11.4. A Subcontratante pode contactar as autoridades policiais locais em caso de violação das suas instalações ou de furto de equipamento ou documentos.

11.5. As obrigações desta Cláusula não prejudicam as decorrentes da legislação, nomeadamente em matéria de segurança da informação e cibercrime.

12.1. É vedado à Subcontratante comunicar quaisquer dados a terceiros, com exceção de:

(a) Comunicações instruídas pelo Responsável pelo Tratamento;

(b) Em cumprimento das suas obrigações legais;

(c) Para subsubcontratantes da Subcontratante, nos termos previstos na Cláusula 14;

(d) Nos casos previstos na lei.

13.1. A Subcontratante não pode realizar quaisquer operações relativas a dados pessoais que consistam na sua transferência para países fora do Espaço Económico Europeu, incluindo dados pessoais em trânsito, nem o armazenamento de dados pessoais em servidores localizados em países terceiros.

13.2. Sem prejuízo da Cláusula 13.1, a Subcontratante notificará imediatamente e por escrito o Responsável pelo Tratamento de quaisquer transferências de dados pessoais, permanentes ou temporárias, para um ou mais países fora da União Europeia, fornecendo toda a informação necessária para determinar se estão reunidas todas as condições previstas no RGPD, nomeadamente:

(a) A adequação do país de destino; ou

(b) A existência de garantias adequadas; ou

(c) A existência de regras vinculativas aplicáveis a empresas certificadas; ou

(d) A existência de derrogações para situações específicas.

13.3. A Subcontratante apenas procederá a quaisquer transferências, permanentes ou temporárias, após obter o consentimento expresso e escrito do Responsável pelo Tratamento, o qual poderá recusar esse consentimento ao seu exclusivo critério, conforme descrito nos Anexos I e II deste Acordo.

13.4. Sempre que o Responsável pelo Tratamento autorize a transferência para um país terceiro sujeita a garantias adequadas, o Responsável pelo Tratamento adotará as medidas necessárias para colmatar a inadequação da proteção de dados nesse país terceiro, devendo tais medidas assegurar o cumprimento dos requisitos de proteção de dados e o respeito pelos direitos dos titulares dos dados.

13.5. Qualquer transferência baseada nas derrogações para situações específicas previstas no artigo 49.º do RGPD deve ser fundamentada por escrito e acompanhada da documentação necessária que a sustente.

14.1. A Subcontratante está autorizada a subcontratar as suas obrigações sem autorização prévia do Responsável pelo Tratamento, devendo, contudo, comunicar ao Responsável pelo Tratamento a informação descrita na Secção 5 do Anexo 1.

14.2. O subsubcontratante ficará sujeito às mesmas obrigações de proteção de dados estabelecidas neste Acordo e na legislação acima referida, nomeadamente a obrigação de prestar garantias quanto à implementação de medidas técnicas e organizativas adequadas para a segurança do tratamento, de forma a que este cumpra os requisitos do Regulamento.

14.3. A Subcontratante reconhece que o incumprimento das suas obrigações e das do subsubcontratante é da sua responsabilidade, sem prejuízo de quaisquer direitos que a Subcontratante possa ter perante o subsubcontratante, seja ao abrigo do respetivo contrato, seja ao abrigo da lei.

14.4. Sem prejuízo do disposto na Cláusula 14.1, qualquer empresa pertencente ao grupo empresarial da Subcontratante que preste serviços a esta no âmbito da execução do Contrato não será, no entanto, considerada subsubcontratante da Subcontratante:

(a) A Subcontratante compromete-se a cooperar com o Responsável pelo Tratamento no cumprimento das suas obrigações ao abrigo deste Acordo;

(b) A Subcontratante assume total responsabilidade pelos serviços prestados por qualquer empresa pertencente ao seu grupo empresarial que lhe preste serviços no âmbito da execução do Contrato, permanecendo a única entidade plenamente responsável perante o Responsável pelo Tratamento pelas atividades realizadas e pela sua qualidade, bem como por quaisquer danos e/ou perdas que possam causar na respetiva execução.

14.5. O Responsável pelo Tratamento é, por este meio, informado das identidades identificadas na Secção 5 do Anexo 1 ("Descrição do Tratamento de Dados Pessoais"), para efeitos da realização das operações identificadas na Subsecção 5.1 do referido Anexo 1.

15.1. A Subcontratante disponibilizará ao Responsável pelo Tratamento, mediante pedido, toda a informação razoável necessária para demonstrar a conformidade das atividades de tratamento de dados realizadas por conta do Responsável pelo Tratamento com este Acordo e com a lei aplicável, em particular no que respeita ao cumprimento das medidas de segurança exigidas, devendo fornecer, quando necessário e na medida razoável, qualquer informação e documentação razoáveis diretamente relacionadas com o tratamento dos dados, de modo a que o Responsável pelo Tratamento possa verificar essa conformidade.

15.2. Estas auditorias podem ser realizadas diretamente pelo Responsável pelo Tratamento ou por um terceiro mandatado por este, desde que não se trate de uma entidade que concorra, direta ou indiretamente, com a Subcontratante.

15.3. A Subcontratante garantirá o acesso à documentação e informação necessárias e, se e quando necessário e razoável, e na medida estritamente necessária, durante o horário de trabalho e sem causar perturbação ao normal funcionamento da Subcontratante, o acesso às suas instalações onde se realizam as operações de tratamento, na medida razoável, para efeitos da realização da auditoria e revisão dos procedimentos de tratamento de dados pessoais, bem como a todos os colaboradores da Subcontratante envolvidos nas operações de tratamento.

15.4. A Subcontratante é responsável por assegurar o cumprimento da obrigação prevista nesta Cláusula pelos seus subsubcontratantes, garantindo que são tomadas todas as diligências necessárias e razoáveis para o efeito.

A Subcontratante não está autorizada a responder aos pedidos dos titulares dos dados no exercício dos seus direitos ao abrigo do RGPD, devendo informar o Responsável pelo Tratamento de qualquer pedido que receba no prazo de vinte e quatro (24) horas após a sua receção, indicando sempre a data e a hora de receção do pedido de exercício de direitos.

17.1. Este Acordo entrará em vigor na data em que for assinado por ambas as Partes e terá duração idêntica à prevista no Contrato.

17.2. No que respeita à cessação deste Acordo, aplicar-se-á o disposto no Contrato.

17.3. O incumprimento de quaisquer obrigações decorrentes do Acordo e/ou da legislação que possa afetar e/ou pôr em causa o tratamento de dados pessoais poderá constituir fundamento para a resolução do Acordo pelo Responsável pelo Tratamento.

17.4. Nos casos previstos no número anterior, o Responsável pelo Tratamento compromete-se a estipular um prazo dentro do qual a Subcontratante poderá sanar a violação das obrigações, findo o qual poderá resolver o Acordo.

17.5. Após a cessação ou o termo do Contrato, a Subcontratante devolverá ou destruirá os dados pessoais, em conformidade com a Cláusula 20 deste Acordo.

Caso necessário, no termo ou cessação deste Acordo, a Subcontratante compromete-se a tomar todas as medidas necessárias para assegurar uma transferência ordenada das operações de tratamento de dados para o Responsável pelo Tratamento ou para um terceiro por este designado.

19.1. A Subcontratante é responsável por danos diretos causados por dolo ou negligência grosseira, comprovadamente causados ao Responsável pelo Tratamento, quando:

(a) Não tenha cumprido as obrigações decorrentes da legislação diretamente aplicável;

(b) Não tenha cumprido o disposto neste acordo;

(c) Não tenha seguido as boas práticas em vigor no setor;

(d) Não tenha seguido as instruções, desde que lícitas e razoáveis, do Responsável pelo Tratamento.

20.1. No termo e/ou cessação do Contrato, a Subcontratante destruirá todos os dados pessoais em sua posse, obrigação que inclui a eliminação dos dados pessoais de todos os suportes em que estejam armazenados.

20.2. Quando os dados pessoais forem destruídos, o Responsável pelo Tratamento deverá apresentar um documento que ateste que os dados foram destruídos e/ou eliminados dos suportes em que se encontravam armazenados.

20.3. A Subcontratante é responsável por assegurar o cumprimento da obrigação prevista nesta Cláusula pelos seus subsubcontratantes, garantindo que são tomadas todas as diligências necessárias para o efeito.

20.4. Esta Cláusula não prejudica a conservação da documentação necessária para o cumprimento de obrigações legais e/ou judiciais e/ou administrativas a que a Subcontratante esteja vinculada.

Para efeitos das comunicações entre as Partes, todas as comunicações, notificações, autorizações, pedidos e/ou reclamações a efetuar em execução deste Acordo serão feitas por carta registada com aviso de receção ou por email, para os contactos definidos no Acordo, aplicando-se as regras nele estabelecidas.

22.1. Na ocorrência de qualquer evento suscetível de ser considerado de força maior, as Partes ficarão dispensadas do cumprimento das obrigações decorrentes deste Acordo que sejam afetadas por esse evento, devendo a Parte afetada informar a outra, por escrito, no prazo de cinco (5) dias a contar da ocorrência do evento, especificando as suas causas e a sua eventual duração e consequências na execução do Contrato.

22.2. Caso as circunstâncias persistam por trinta (30) dias após a referida comunicação e afetem a capacidade de uma das Partes de cumprir a totalidade das suas obrigações ao abrigo deste Acordo, qualquer das Partes poderá resolver o Acordo com efeitos imediatos, mediante notificação escrita à outra Parte.

23.1. Nas situações em que a Legau atue como Subcontratante e VOCÊ como Responsável pelo Tratamento, este Acordo prevalecerá sobre qualquer disposição contraditória do Contrato. Nas situações em que a Legau atue como Responsável pelo Tratamento, prevalecerá o disposto na Cláusula 9 do Contrato.

23.2. Sem prejuízo do disposto no Acordo para as situações em que a Legau atue como responsável pelo tratamento, caso a Legau, na qualidade de Subcontratante, utilize os dados para finalidades diferentes das indicadas neste Acordo, será considerada, para todos os efeitos, como responsável pelo tratamento, garantindo ao Responsável pelo Tratamento a indemnidade perante quaisquer reclamações dos titulares dos dados.

23.3. Sem prejuízo do disposto no Contrato para as situações em que a Legau atue como responsável, a situação prevista no número anterior não afeta a responsabilidade civil e criminal da Subcontratante, quer perante VOCÊ, enquanto Responsável pelo Tratamento, quer perante os titulares dos dados pessoais.

23.4. Faz parte integrante deste Acordo o Anexo 1, o qual constitui a totalidade do acordo entre as Partes, não produzindo efeitos qualquer alteração, modificação ou aditamento ao mesmo que não seja feito por escrito e assinado por ambas as Partes.

24.1. Este Acordo será interpretado em conformidade com o Contrato.

24.2. A não utilização, por qualquer das partes, de um direito que lhe seja conferido não pode nem deve ser entendida como renúncia a esse direito.

24.3. Este Acordo rege-se pela legislação em vigor em Portugal.

24.4. As Partes acordam que, para a resolução de qualquer litígio decorrente deste Acordo que não possa ser resolvido amigavelmente, é competente, com exclusividade, o Tribunal Judicial da Comarca de Lisboa, renunciando expressamente a qualquer outra jurisdição.

As Partes celebraram este Acordo em duplicado, considerando-se cada exemplar um original, constituindo, no entanto, todos em conjunto um único instrumento.

Os anexos abaixo fazem parte integrante deste Acordo e estão disponíveis em PDF.