Anexo de tratamento de dados

O presente Anexo faz parte integrante do Contrato e é celebrado entre e por: 

1. (i) O Cliente (« Exportador de dados ») ; e
2. (ii) IQUALIF (« Importador de dados »),

cada um sendo uma « Parte » e coletivamente as « Partes ».

Preâmbulo

CONSIDERANDO QUE o Importador de dados fornece serviços de software profissionais, serviços de TI e serviços afins (como Navegadores com funções de pesquisa avançada) ;

CONSIDERANDO QUE, em virtude do Contrato, o Importador de dados concordou em fornecer ao Exportador de dados os serviços especificados no Contrato (os « Serviços ») ;

CONSIDERANDO QUE, ao fornecer os Serviços, o Importador de dados recebe ou tem acesso à informação do Exportador de dados ou à informação de outras pessoas que mantêm uma relação (potencial) com o Exportador de dados, tais informações podendo qualificar-se como dados pessoais nos termos do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho de 27 de abril de 2016 relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (« RGPD ») e de outras leis de proteção de dados aplicáveis ;

CONSIDERANDO QUE este Anexo contém as condições gerais aplicáveis à recolha, tratamento e utilização desses dados pessoais pelo Importador de dados enquanto processador autorizado do Exportador de dados, com o objetivo de assegurar que as partes cumpram a legislação aplicável em matéria de proteção de dados.

AGORA, e para permitir que as Partes prossigam sua relação de forma conforme à lei, as Partes celebram este Anexo nos seguintes termos :

Parte 1

1. Estrutura do documento e definições

1.1 Estrutura

Este Anexo é composto por diferentes partes, como segue :

Parte 1 :	contém as disposições gerais, por exemplo relativas às definições usadas neste Anexo, conformidade com leis locais, duração e rescisão ;
Parte 2 :	contém o corpo do documento não alterado das Cláusulas-tipo ;
Anexo 1.1 e seguintes da Parte 2 :	contém os detalhes sobre as operações de tratamento prestadas pelo Importador de dados ao Exportador de dados enquanto processador autorizado (incluindo o assunto do tratamento, a natureza e a finalidade do tratamento, o tipo de dados pessoais e as categorias dos titulares dos dados) ao abrigo deste Anexo ;
Anexo 2 da Parte 2 :	contém uma descrição das medidas de segurança técnicas e organizacionais do Importador de dados, que são aplicadas de forma coerente em relação a todas as atividades de tratamento descritas no Anexo 1.1 e seguintes da Parte 2 ;
Parte 3 :	contém as assinaturas das Partes que declaram estar vinculadas por este Anexo e identifica cada Importador de dados.

1.2 Terminologia e definições

Para efeitos deste Anexo, a terminologia e as definições utilizadas pelo RGPD são aplicáveis (também no corpo do documento das Cláusulas-tipo na Parte 2, onde os termos definidos não são grafados em maiúscula). Para além disso, 

« Estado‑membro"	designa um país pertencente à União Europeia ou ao Espaço Económico Europeu ;
« Categorias especiais de dados (pessoais) »	refere‑se a dados pessoais que revelem origem racial ou étnica, opiniões políticas, convicções religiosas ou filosóficas, ou filiação sindical, e dados genéticos, dados biométricos quando processados para identificar de forma única uma pessoa singular, dados relativos à saúde ou dados relativos à vida sexual ou orientação sexual de uma pessoa ;
« Cláusulas‑tipo »	designa as Cláusulas Contratuais Tipo para a transferência de dados pessoais por processadores estabelecidos em países terceiros, nos termos da Decisão da Comissão 2010/87/UE de 5 de fevereiro de 2010, alterada pela Decisão de Execução da Comissão (UE) 2016/2297 de 16 de dezembro de 2016 ;
« Sub‑processador »	significa qualquer processador, situado dentro ou fora da UE/EEE, que aceita receber do Importador de dados ou de qualquer outro sub‑processador do Importador de dados dados pessoais com a exclusiva finalidade de realizar atividades de tratamento em nome do Exportador de dados após a transferência, de acordo com as instruções do Exportador de dados, com as condições deste Anexo e com o Contrato com o Importador de dados.

2. Obrigações do Exportador de dados

2.1 O Exportador de dados tem o dever de assegurar a conformidade com todas as obrigações aplicáveis ao abrigo do RGPD e de qualquer outra lei aplicável de proteção de dados que se aplique ao Exportador de dados, bem como demonstrar essa conformidade conforme exigido pelo Art. 5.º (2) do RGPD. O Exportador de dados garante ao Importador de dados que obteve previamente o consentimento dos titulares dos dados de acordo com o artigo 6.º (a) do RGPD e que cumpriu a sua obrigação de informar os titulares dos dados nos termos dos artigos 13 e 14 do RGPD.

2.2 O Exportador de dados tem o dever de fornecer ao Importador de dados os registos respetivos das atividades de tratamento nos termos do Art. 30.º (1) do RGPD relativos aos Serviços ao abrigo deste Anexo, na medida necessária para que o Importador de dados cumpra a obrigação nos termos do Art. 30.º (2) do RGPD. 

2.3 O Exportador de dados deve designar um encarregado ou representante de proteção de dados, na medida exigida pela lei aplicável em matéria de proteção de dados. O Exportador de dados tem a obrigação de fornecer os detalhes de contacto do encarregado ou do representante de proteção de dados, quando aplicável, ao Importador de dados. 

2.4. O Exportador de dados confirma, antes da realização do tratamento, mediante aceitação do presente Anexo, que as medidas de segurança técnicas e organizacionais do Importador de dados, conforme definidas no Anexo 2 da Parte 2, são apropriadas e suficientes para proteger os direitos do titular dos dados e confirma que o Importador de dados fornece garantias suficientes a esse respeito.

3. Conformidade com a legislação local

Para satisfazer os requisitos de implementação dos processadores nos termos do Art. 28.º do RGPD, as emendas seguintes são aplicáveis :

3.1 Instruções

1. (i) O Exportador de dados instrui o Importador de dados a processar os dados pessoais apenas em nome do Exportador de dados. As instruções do Exportador de dados são fornecidas neste Anexo e no Contrato. O Exportador de dados tem a obrigação de assegurar que todas as instruções dadas ao Importador de dados estão em conformidade com as leis aplicáveis de proteção de dados. O Importador de dados tem a obrigação de processar os dados pessoais apenas de acordo com as instruções fornecidas pelo Exportador de dados, salvo quando exigido de outra forma pela União Europeia ou pela lei do Estado‑membro (neste último caso, aplica‑se a Cláusula 3.2 (iv) (c) da Parte 1).
2. (ii) Todas as outras instruções que excedam as instruções contidas neste Anexo ou no Contrato devem enquadrar‑se no objeto deste Anexo e do Contrato. Se a execução desta instrução adicional implicar custos para o Importador de dados, este informará o Exportador de dados desses custos e fornecerá uma explicação antes de implementar a instrução. Só após o Exportador de dados confirmar a aceitação desses custos pela implementação da instrução é que o Importador de dados deve implementar essa instrução adicional. O Exportador de dados deverá dar instruções adicionais geralmente por escrito, salvo se a urgência ou outras circunstâncias específicas exigirem outra forma (por ex., oral, eletrónica). As instruções em forma diversa da escrita devem ser confirmadas por escrito e sem demora pelo Exportador de dados.

1. 1. Salvo se o Exportador de dados não puder efetuar a retificação, eliminação ou limitação dos dados pessoais por si, as instruções também podem estar relacionadas com a retificação, eliminação e/ou limitação dos dados pessoais conforme estabelecido na Cláusula 3.3 da Parte 1. 
2. 2. O Importador de dados deve informar imediatamente o Exportador de dados se, na sua opinião, uma instrução infringir o RGPD ou outras disposições de proteção de dados aplicáveis da União Europeia ou de um Estado‑membro (« Instrução contestada »). Caso o Importador de dados considere que uma instrução infringe o RGPD ou outras disposições de proteção de dados aplicáveis da União Europeia ou de um Estado‑membro, o Importador de dados não é obrigado a seguir a Instrução contestada. Se o Exportador de dados confirmar a Instrução contestada após receber as informações do Importador de dados e reconhecer a sua responsabilidade pela Instrução contestada, o Importador de dados implementará essa Instrução contestada, salvo se esta disser respeito (i) à implementação de medidas técnicas e organizacionais, (ii) aos direitos dos titulares dos dados ou (iii) à contratação de Sub‑processadores. Nos casos (i) a (iii), o Importador de dados pode contactar uma autoridade de supervisão competente para que esta avalie juridicamente a Instrução contestada. Se a autoridade de supervisão declarar que a Instrução contestada é legal, o Importador de dados deverá aplicar a Instrução contestada. A Cláusula 3.1 (ii) da Parte 1 permanece aplicável.

3.2 Obrigações do Importador de dados

1. (i) O Importador de dados é obrigado a assegurar que as pessoas autorizadas pelo Importador de dados a processar os dados pessoais em nome do Exportador de dados, em particular os empregados do Importador de dados bem como os empregados de qualquer Sub‑processador, tenham assumido um dever de confidencialidade ou estejam sujeitas a um dever estatutário de confidencialidade adequado, e que essas pessoas que têm acesso aos dados pessoais os tratem em conformidade com as instruções do Exportador de dados.
2. (ii) O Importador de dados é obrigado a implementar as medidas de segurança técnicas e organizacionais conforme estabelecidas no Anexo 2 da Parte 2 antes de processar os dados pessoais em nome do Exportador de dados. O Importador de dados pode alterar as medidas de segurança técnicas e organizacionais de tempos a tempos, desde que essas não ofereçam proteção inferior às estabelecidas no Anexo 2 da Parte 2.
3. (iii) O Importador de dados deve disponibilizar ao Exportador de dados, mediante pedido deste último, informações que demonstrem a conformidade com as obrigações do Importador de dados ao abrigo deste Anexo. As partes concordam que esta obrigação de informação é satisfeita mediante a entrega ao Exportador de dados de um relatório de auditoria (abrangendo os princípios de segurança, a disponibilidade do sistema e a confidencialidade) (« Relatório de auditoria »). Se auditorias adicionais forem legalmente exigidas, o Exportador de dados poderá solicitar que inspeções sejam efetuadas pelo Exportador de dados ou por outro auditor mandatado pelo Exportador de dados, sujeitas à celebração por esse auditor de um acordo de confidencialidade com o Importador de dados, em termos razoavelmente satisfatórios para este (« Auditoria »). Esta Auditoria está sujeita às seguintes condições: (i) aceitação formal prévia por escrito do Importador de dados; e (ii) o Exportador de dados suportará todos os custos decorrentes de ou relacionados com a Auditoria no local para o Exportador de dados e para o Importador de dados. O Exportador de dados tem a obrigação de elaborar um relatório de auditoria que resuma os resultados e observações da Auditoria no local (« Relatório de auditoria no local »). Os Relatórios de auditoria no local, bem como os Relatórios de auditoria, são informações confidenciais do Importador de dados e não devem ser divulgados a terceiros, salvo se exigido pela lei aplicável em matéria de proteção de dados ou com o consentimento do Importador de dados. 
4. (iv) O Importador de dados tem a obrigação de notificar o Exportador de dados sem demora indevida :
   1. a. relativamente a qualquer pedido juridicamente vinculativo de divulgação de dados pessoais por uma autoridade de aplicação da lei, salvo outra proibição, como uma proibição ao abrigo da lei penal para proteger a confidencialidade de uma investigação policial ;
   2. b. relativamente a qualquer reclamação e pedido recebidos diretamente de um titular de dados (por ex. relativos ao acesso, retificação, eliminação, limitação do tratamento, portabilidade dos dados, oposição ao tratamento, tomada de decisão automatizada) sem responder a esse pedido, salvo se o Importador de dados tiver autorização para o fazer ;
   3. c. se tiver a obrigação, de acordo com a lei da União Europeia ou do Estado‑membro à qual o Importador de dados ou o Sub‑processador está sujeito, de processar os dados pessoais para além das instruções do Exportador de dados, antes de proceder a esse tratamento para além da instrução, salvo se essa lei da União Europeia ou do Estado‑membro proibir tal informação por motivos importantes de interesse público, caso em que a notificação ao Exportador de dados deverá especificar o requisito legal ao abrigo dessa lei da União Europeia ou do Estado‑membro; ou
   4. d. se o Importador de dados tiver conhecimento de uma violação de dados pessoais imputável apenas a si mesmo ou ao seu sub‑processador, que afete os dados pessoais do Exportador de dados abrangidos por este contrato, caso em que o Importador de dados ajudará o Exportador de dados na sua obrigação, ao abrigo da lei aplicável em matéria de proteção de dados, de informar os titulares dos dados e, quando aplicável, as autoridades de controlo, fornecendo as informações de que disponha, em conformidade com o Art. 33.º (3) do RGPD. 
   5. (v) Mediante pedido do Exportador de dados, o Importador de dados deverá assisti‑lo na sua obrigação de realizar uma avaliação de impacto sobre a proteção de dados que possa ser exigida pelo Art. 35.º do RGPD e uma consulta prévia que possa ser exigida pelo Art. 36.º do RGPD relativa aos serviços prestados pelo Importador de dados ao Exportador de dados ao abrigo deste Anexo, fornecendo as informações necessárias e disponíveis ao Exportador de dados. O Importador de dados só será obrigado a prestar essa assistência na medida em que o Exportador de dados não possa cumprir a sua obrigação por outros meios. O Importador de dados informará o Exportador de dados do custo dessa assistência. Assim que o Exportador de dados confirmar que pode suportar esse custo, o Importador de dados prestará essa assistência.
   6. (vi) No término da prestação dos serviços, o Exportador de dados poderá solicitar a devolução dos dados pessoais processados pelo Importador de dados ao abrigo deste Anexo no prazo de um mês após o fim dos serviços. Salvo se a legislação do Estado‑membro ou da União Europeia exigir que o Importador de dados retenha ou conserve esses dados pessoais, o Importador de dados eliminará todos esses dados pessoais ou não pessoais após o prazo de um mês, quer tenham sido devolvidos ou não ao Exportador de dados a seu pedido.

3.3 Direitos dos titulares dos dados

1. 1. (i) O Exportador de dados é principalmente responsável pela gestão dos pedidos apresentados pelos titulares dos dados e pelas respostas a fornecer. O Importador de dados não é obrigado a responder diretamente aos titulares dos dados. 
   2. (ii) Se o Exportador de dados necessitar da assistência do Importador de dados para tratar os pedidos apresentados pelos titulares dos dados e as respostas a fornecer, emitirá uma instrução adicional, em conformidade com a Cláusula 3.1 (ii) da Parte 1. O Importador de dados ajudará o Exportador de dados com as medidas técnicas e organizacionais apropriadas e possíveis a seguir indicadas, a fim de responder aos pedidos de exercício dos direitos dos titulares dos dados expostos conforme segue no Capítulo III do RGPD : 
   3. a. Relativamente aos pedidos de informação, o Importador de dados só fornecerá ao Exportador de dados as informações exigidas pelos Arts. 13 e 14 do RGPD de que disponha se este último não for capaz de as obter por si só.
   4. b. Relativamente aos pedidos de acesso (Art. 15 do RGPD), o Importador de dados só fornecerá ao Exportador de dados as informações que devam ser fornecidas a um titular de dados para tal pedido de acesso, de que disponha, se este último não for capaz de as obter por si só.
   5. c. Relativamente aos pedidos de retificação (Art. 16 do RGPD), pedidos de eliminação (Art. 17 do RGPD), pedidos de limitação do tratamento (Art. 18 do RGPD), ou pedidos de portabilidade (Art. 20 do RGPD), e apenas se o Exportador de dados não puder por si próprio retificar ou, conforme o caso, apagar, limitar ou transmitir os dados pessoais a um terceiro, o Importador de dados oferecerá ao Exportador de dados a possibilidade de retificar ou, conforme o caso, apagar, limitar ou transmitir os dados pessoais em causa ao referido terceiro, ou, caso não seja possível, prestará a assistência necessária para retificar ou, conforme o caso, apagar, limitar ou transmitir ao referido terceiro os dados pessoais em causa.
   6. d. Relativamente à notificação de retificação, eliminação ou limitação do tratamento (Art. 19 do RGPD), o Importador de dados ajudará o Exportador de dados notificando todos os destinatários de dados pessoais engajados pelo Importador de dados enquanto sub‑processadores se o Exportador de dados o solicitar e se o Exportador de dados não for capaz de o fazer por si próprio. 
   7. e. Relativamente ao direito de oposição exercido por um titular dos dados (Arts. 21 e 22 do RGPD), o Exportador de dados determinará se a oposição é legítima e como lidar com a mesma.
   8. (iii) As obrigações de assistência do Importador de dados ficam limitadas aos dados pessoais processados no âmbito das suas infraestruturas (por ex., bases de dados, sistemas, aplicações possuídos ou fornecidos pelo Importador de dados).  
   9. (iv) O Exportador de dados deve determinar se um titular de dados tem ou não o direito de exercer os direitos dos titulares dos dados apresentados na Cláusula 3.1 desta Parte 1 e deve indicar ao Importador de dados em que medida a assistência especificada nas Cláusulas 3.3 (ii), (iii) da Parte 1 é necessária.
   10. (v) Se o Exportador de dados solicitar, para responder aos direitos dos titulares dos dados, medidas técnicas e organizacionais adicionais ou alteradas que vão além da assistência prestada pelo Importador de dados nos termos da Cláusula 3.3 (ii), (iii) da Parte 1, este deverá informar o Exportador de dados dos custos de implementação dessas medidas técnicas e organizacionais adicionais ou alteradas.  Assim que o Exportador de dados confirmar que poderá suportar esses custos, o Importador de dados implementará essas medidas técnicas e organizacionais adicionais ou alteradas para ajudar o Exportador de dados a responder aos pedidos dos titulares dos dados.
   11. (vi) Sem limitar o âmbito da Cláusula 3.3 (v) da Parte 1, o Exportador de dados será obrigado a reembolsar ao Importador de dados as despesas razoáveis por este suportadas em consequência dos pedidos dos titulares dos dados.

3.4 Subcontratação

1. 1. (i) O Exportador de dados autoriza o recurso a sub‑processadores pelo Importador de dados para a prestação dos serviços ao abrigo deste Anexo. O Importador de dados escolherá esses sub‑processadores com cuidado. O Exportador de dados aprova os sub‑processadores mencionados no Anexo 1.1 no final da Parte 2.
   2. (ii) O Importador de dados transferirá para os sub‑processadores as suas obrigações ao abrigo deste Anexo na medida aplicável aos serviços subcontratados. 
   3. (iii) O Importador de dados pode despedir, substituir ou nomear, a seu critério, outros sub‑processadores adequados e confiáveis. Se o Exportador de dados o solicitar por escrito, o Importador de dados estará obrigado a seguir o procedimento indicado abaixo :

1. 1. a. O Importador de dados informará previamente o Exportador de dados de todas as alterações à lista de sub‑processadores referenciada na Cláusula 3.4 (i) da Parte 1. Se o Exportador de dados não apresentar objeção nos termos da Cláusula 3.4. (b) da Parte 1 trinta dias após ter recebido a notificação do Importador de dados, os sub‑processadores adicionais considerar‑se‑ão aceites.
   2. b. Se o Exportador de dados tiver motivo legítimo para opor‑se a um sub‑processador adicional, notificará previamente o Importador de dados por escrito no prazo de trinta dias a contar da receção da notificação do Importador de dados e, em todo o caso, antes da entrada em funcionamento da prestação a ser fornecida pelo Importador de dados. Se o Exportador de dados se opuser à utilização de um sub‑processador adicional, o Importador de dados terá o direito de sanar a objeção por meio de uma das opções seguintes (a sua escolha): (A) o Importador de dados cancelará os seus planos de utilização do sub‑processador adicional relativos aos dados pessoais do Exportador de dados; (B) o Importador de dados tomará as medidas corretivas exigidas pelo Exportador de dados na sua objeção (o que anulará a referida objeção) e utilizará o sub‑processador adicional relativamente aos dados pessoais do Exportador de dados; (C) o Importador de dados poderá deixar de fornecer ou o Exportador de dados aceitará não utilizar (temporária ou permanentemente) um aspeto específico do serviço que envolveria a utilização do sub‑processador adicional relativamente aos dados pessoais do Exportador de dados.

1. 1. (iv) No caso de o sub‑processador estar localizado fora da UE‑EEE, num país que não seja reconhecido como fornecendo um nível adequado de proteção de dados na sequência de uma decisão da Comissão Europeia, o Importador de dados tomará as medidas necessárias para conformar‑se a um nível adequado de proteção de dados nos termos do RGPD (tais medidas poderão incluir – entre outras e conforme o caso – a utilização de contratos de tratamento de dados baseados nas cláusulas do Modelo da UE, a transferência para sub‑processadores auto‑certificados ao abrigo do Escudo de Privacidade UE‑EUA, ou um programa semelhante).

3.5 Prazo

A duração deste Anexo é idêntica à do Contrato correspondente. Salvo disposição em contrário no presente Anexo, os direitos e deveres relacionados com a rescisão serão os mesmos que constem do Contrato.

4. Limitação de responsabilidade

4.1 Cada parte é responsável pelas suas obrigações decorrentes deste Anexo e pela legislação aplicável em matéria de proteção de dados.

4.2 Qualquer responsabilidade resultante de ou em ligação com uma violação das obrigações decorrentes deste Anexo ou da legislação aplicável em matéria de proteção de dados será regulada pelas disposições relativas à responsabilidade indicadas no Contrato, ou aplicáveis a esse contrato, e será regida por este, salvo disposição em contrário no presente Anexo. Se a responsabilidade for regida pelas disposições relativas à responsabilidade indicadas no Contrato ou aplicáveis a esse contrato, para efeitos de cálculo dos limites de responsabilidade ou de determinação da aplicação de outras limitações de responsabilidade, uma responsabilidade ocorrida ao abrigo deste Anexo será considerada como ocorrida ao abrigo do Contrato.

5. Disposições gerais

5.1 Na medida em que existam contradições ou divergências entre as Partes 1 e 2 do presente Anexo, prevalecerão as disposições da Parte 2. Mais especificamente, mesmo nesse caso, as disposições da Parte 1 que apenas complementem a Parte 2 (ou seja, as condições da Cláusula tipo) sem a contradizer, permanecerão válidas.

5.2 Em caso de divergência entre as disposições do presente Anexo e as de outros contratos vinculativos entre as partes, prevalecerão as disposições do presente Anexo no que diz respeito às obrigações das partes relativas à proteção de dados. Em caso de dúvida sobre se as cláusulas de outros contratos dizem respeito às obrigações das partes relacionadas com a proteção de dados, o presente Anexo prevalecerá.

5.3 Se ocorrer que qualquer disposição do presente Anexo seja inválida ou inaplicável, o restante do presente Anexo permanecerá totalmente válido. A disposição inválida ou inaplicável será (i) modificada, se necessário, para assegurar a sua validade e aplicabilidade, preservando tanto quanto possível a intenção das partes, ou – se isso não for possível – (ii) interpretada como se a parte inválida ou inaplicável nunca fizesse parte do contrato.  O exposto aplica‑se igualmente caso o presente Anexo contenha uma omissão.

5.5 Na medida necessária, as Partes têm o direito de solicitar alterações à Parte 1, Cláusula 3 (Conformidade com a legislação local)  ou a outras partes do Anexo, a fim de cumprir interpretações, diretivas ou ordens emitidas pelas autoridades competentes da União ou dos Estados‑membros, disposições nacionais de implementação, ou quaisquer outras evoluções jurídicas relativas ao RGPD ou outras condições de subcontratação a quaisquer entidades envolvidas no tratamento de dados em geral, e especificamente no que respeita à utilização das Cláusulas‑tipo no âmbito do RGPD. Os termos das Cláusulas‑tipo não podem ser alterados ou substituídos a menos que a Comissão Europeia o aprove expressamente (por exemplo através de novas cláusulas adequadas e padrões de proteção de dados).

5.6 Qualquer referência neste Anexo às «Cláusulas» deve ser entendida como referindo‑se a todas as disposições deste Anexo, salvo disposição em contrário. 

5.7 A escolha da lei da parte 2, cláusula 9, diz respeito à totalidade do Contrato.

6. Dados pessoais transferidos e processados pelas partes para fins próprios (transferência entre controladores)

6.1 As Partes estão cientes de que alguns dados pessoais serão transferidos do Exportador de dados para o Importador e vice‑versa, e que esses dados são processados por cada parte para fins próprios. No que diz respeito a estes dados pessoais, as demais disposições do presente Anexo não são aplicáveis (com exceção desta cláusula 6).

6.2 O Exportador de dados pode transferir dados pessoais relativos ao pessoal do Importador de dados, ao próprio Importador de dados, nomeadamente informações sobre incidentes de segurança, ou quaisquer outros documentos ou ficheiros criados ou compilados pelo Exportador de dados em relação aos Serviços prestados pelo pessoal do Importador de dados. O Importador de dados pode processar esses dados pessoais para seus próprios fins, nomeadamente no âmbito das suas relações profissionais com o pessoal do Importador de dados, para fins de controlo de qualidade e formação, ou para objetivos comerciais.

6.3. O Importador de dados pode transferir dados pessoais ao Exportador de dados, nomeadamente nomes e dados de contacto relativos ao pessoal do Importador de dados. O Exportador de dados pode processar esse tipo de dados pessoais para seus próprios fins.

6.4 Ambas as partes cumprem qualquer legislação em vigor sobre proteção de dados, incluindo o RGPD, ao recolher, processar e utilizar esses dados pessoais recebidos da outra parte ao abrigo desta cláusula 1 da Parte 1. Em particular, ambas as partes devem adotar medidas de segurança adequadas, conferindo um nível de proteção similar às medidas de segurança enunciadas no Anexo 2 da Parte 2. Todo o acesso a esses dados pessoais deve limitar‑se ao estritamente necessário.

6.5 Ambas as partes devem eliminar esses dados pessoais assim que possível após a finalidade ser alcançada.

Parte 2

 DECISÃO DA COMISSÃO 

de 5 de fevereiro de 2010

relativa às cláusulas contratuais tipo para a transferência de dados pessoais para processadores estabelecidos em países terceiros ao abrigo da diretiva 95/46/CE do Parlamento Europeu e do Conselho

Cláusula primeira 

Definições 

Para efeitos das cláusulas: 

a) «dados pessoais», «categorias especiais de dados», «tratar/tratamento», «responsável pelo tratamento», «processador», «titular dos dados» e «autoridade de controlo» têm o mesmo significado que na diretiva 95/46/CE do Parlamento Europeu e do Conselho de 24 de outubro de 1995 relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados ( 1 ); 

b) o «exportador de dados» é o responsável pelo tratamento que transfere os dados pessoais; 

c) o «importador de dados» é o processador que aceita receber do exportador de dados dados pessoais destinados a serem tratados em nome deste após a transferência de acordo com as instruções deste último e com os termos das presentes cláusulas e que não está sujeito ao mecanismo de um país terceiro que assegure um nível de proteção adequado ao sentido do artigo 25.º, n.º 1, da diretiva 95/46/CE; d) o «sub‑processador subsequente» é o processador contratado pelo importador de dados ou por qualquer outro sub‑processador subsequente deste, que aceita receber do importador de dados ou de qualquer outro sub‑processador subsequente dados pessoais exclusivamente destinados a atividades de tratamento a realizar em nome do exportador de dados após a transferência de acordo com as instruções deste último, às condições estabelecidas nas presentes cláusulas e nos termos do contrato de subcontratação escrito; 

e) o «direito aplicável à proteção de dados» é a legislação que protege as liberdades e os direitos fundamentais das pessoas, incluindo o direito à privacidade no que diz respeito ao tratamento de dados pessoais, e que se aplica a um responsável pelo tratamento no Estado‑membro onde o exportador de dados está estabelecido; 

f) as «medidas técnicas e organizacionais relativas à segurança» são as medidas destinadas a proteger os dados pessoais contra destruição acidental ou ilícita, perda acidental, alteração, divulgação ou acesso não autorizado, incluindo quando o tratamento implique a transmissão de dados por rede, e contra qualquer outra forma ilícita de tratamento. 

Cláusula 2 

Detalhes da transferência 

Os detalhes da transferência e, nomeadamente, se for o caso, as categorias especiais de dados pessoais, são especificados no apêndice 1 que faz parte integrante das presentes cláusulas. 

Cláusula 3 

Cláusula do terceiro beneficiário 

1. O titular dos dados pode fazer valer contra o exportador de dados a presente cláusula, bem como a cláusula 4, pontos b) a i), a cláusula 5, pontos a) a e) e pontos g) a j), a cláusula 6, números 1 e 2, a cláusula 7, a cláusula 8, n.º 2, e as cláusulas 9 a 12 enquanto terceiro beneficiário. 

2. O titular dos dados pode fazer valer contra o importador de dados a presente cláusula, bem como a cláusula 5, pontos a) a e) e g), a cláusula 6, a cláusula 7, a cláusula 8, n.º 2, e as cláusulas 9 a 12 nos casos em que o exportador de dados tenha materialmente desaparecido ou deixado de existir nos termos da lei, a menos que todos os seus deveres jurídicos tenham sido transferidos, por contrato ou por efeito de lei, para a entidade que o sucede, à qual, por conseguinte, cabem os direitos e deveres do exportador de dados, e contra a qual o titular dos dados pode, portanto, fazer valer essas cláusulas. 

3. O titular dos dados pode fazer valer contra o sub‑processador subsequente a presente cláusula, bem como a cláusula 5, pontos a) a e) e g), a cláusula 6, a cláusula 7, a cláusula 8, n.º 2, e as cláusulas 9 a 12, mas apenas nos casos em que o exportador de dados e o importador de dados tenham materialmente desaparecido, deixado de existir nos termos da lei ou se tornaram insolventes, a menos que todos os deveres jurídicos do exportador de dados tenham sido transferidos, por contrato ou por efeito de lei, para o sucessor legal, ao qual, por conseguinte, cabem os direitos e deveres do exportador de dados, e contra o qual o titular dos dados pode, então, fazer valer essas cláusulas. A responsabilidade civil do sub‑processador subsequente deverá ser limitada às suas próprias atividades de tratamento de acordo com as presentes cláusulas. 4. As partes não se opõem a que o titular dos dados seja representado por uma associação ou outro organismo se assim o desejar e se o direito nacional o permitir. 

Cláusula 4 

Obrigações do exportador de dados 

O exportador de dados aceita e garante o seguinte: 

a) o tratamento, incluindo a própria transferência de dados pessoais, foi e continuará a ser efetuado em conformidade com as disposições relevantes do direito aplicável à proteção de dados (e, quando aplicável, foi notificado às autoridades competentes do Estado‑membro em que o exportador de dados está estabelecido) e não infringe as disposições relevantes desse Estado; 

b) incumbiu, e incumbirá durante toda a duração dos serviços de tratamento de dados pessoais, o importador de dados de processar os dados pessoais transferidos em exclusivo nome do exportador de dados e em conformidade com o direito aplicável à proteção de dados e com as presentes cláusulas; 

c) o importador de dados oferecerá garantias suficientes no que respeita às medidas técnicas e organizacionais relativas à segurança especificadas no apêndice 2 do presente contrato; 

d) após avaliação das exigências do direito aplicável à proteção de dados, as medidas de segurança são adequadas para proteger os dados pessoais contra destruição acidental ou ilícita, perda acidental, alteração, divulgação ou acesso não autorizado, incluindo quando o tratamento implique a transmissão de dados por rede, e contra qualquer outra forma ilícita de tratamento e asseguram um nível de segurança adequado aos riscos relacionados com o tratamento e à natureza dos dados a proteger, tendo em conta o nível tecnológico e o custo de implementação; 

e) assegurará o cumprimento das medidas de segurança; 

f) se a transferência envolver categorias especiais de dados, o titular dos dados foi informado ou será informado antes da transferência ou logo que possível após a transferência de que os seus dados poderão ser transmitidos para um país terceiro que não proporcione um nível de proteção adequado ao sentido da diretiva 95/46/CE; 

g) transmitirá qualquer notificação recebida do importador de dados ou de qualquer sub‑processador subsequente nos termos da cláusula 5, ponto b), e da cláusula 8, n.º 3), à autoridade de controlo de proteção de dados se decidir prosseguir com a transferência ou levantar a sua suspensão; 

h) disponibilizará aos titulares dos dados, se assim o solicitarem, uma cópia das presentes cláusulas, com exceção do apêndice 2, e uma descrição resumida das medidas de segurança, bem como uma cópia de qualquer contrato de subcontratação subsequente celebrado nos termos das presentes cláusulas, salvo se as cláusulas ou o contrato contiver(em) informações comerciais, caso em que poderá suprimir essas informações; 

i) em caso de subcontratação subsequente, a atividade de tratamento será efetuada nos termos da cláusula 11 por um sub‑processador subsequente que ofereça pelo menos o mesmo nível de proteção dos dados pessoais e dos direitos do titular dos dados que o importador de dados nos termos das presentes cláusulas; e 

j) assegurará o cumprimento da cláusula 4, pontos a) a i). 

Cláusula 5 

Obrigações do importador de dados  

O importador de dados aceita e garante o seguinte: 

a) processará os dados pessoais em exclusivo nome do exportador de dados e de acordo com as instruções deste último e com as presentes cláusulas; se não puder cumprir por qualquer motivo, compromete‑se a informar prontamente o exportador de dados da sua incapacidade, caso em que este último terá o direito de suspender a transferência de dados e/ou rescindir o contrato; 

b) não tem razões para crer que a legislação aplicável o impede de cumprir as instruções dadas pelo exportador de dados e as obrigações que lhe incumbem ao abrigo do contrato, e se essa legislação for alterada de forma suscetível de ter consequências negativas significativas para as garantias e obrigações previstas nas cláusulas, comunicará a alteração ao exportador de dados sem demora após dela ter tomado conhecimento, caso em que este último terá o direito de suspender a transferência de dados e/ou rescindir o contrato; c) implementou as medidas técnicas e organizacionais relativas à segurança especificadas no apêndice 2 antes de processar os dados pessoais transferidos;

d) comunicará sem demora ao exportador de dados: 

i) qualquer pedido vinculativo de divulgação de dados pessoais por uma autoridade de manutenção da ordem, salvo disposição em contrário, como uma proibição de natureza penal destinada a preservar o segredo de uma investigação policial; 

ii) qualquer acesso acidental ou não autorizado; e 

iii) qualquer pedido recebido diretamente dos titulares dos dados sem responder a esse pedido, a menos que tenha sido autorizado a fazê‑lo; 

e) tratará rápida e adequadamente todos os pedidos de informação do exportador de dados relativos ao seu tratamento dos dados pessoais objeto da transferência e conformar‑se‑á ao parecer da autoridade de controlo relativamente ao tratamento dos dados transferidos; 

f) mediante pedido do exportador de dados, submeterá os seus meios de tratamento de dados a uma verificação das atividades de tratamento abrangidas pelas presentes cláusulas que será efetuada pelo exportador de dados ou por um órgão de controlo composto por membros independentes com as qualificações profissionais necessárias, sujeitos a um dever de segredo e escolhidos pelo exportador de dados, quando aplicável com o acordo da autoridade de controlo; 

g) disponibilizará ao titular dos dados, se solicitado, uma cópia das presentes cláusulas, ou de qualquer contrato de subcontratação subsequente existente, a menos que as cláusulas ou o contrato contenham informações comerciais, caso em que poderá suprimir essas informações, com exceção do apêndice 2, que será substituído por uma descrição resumida das medidas de segurança, quando o titular dos dados não for capaz de obter uma cópia do exportador de dados; 

h) em caso de subcontratação subsequente, informará previamente o exportador de dados e obterá o seu acordo por escrito; 

i) os serviços de tratamento prestados pelo sub‑processador subsequente estarão em conformidade com a cláusula 11; 

j) enviará prontamente uma cópia de qualquer acordo de subcontratação subsequente celebrado por si ao abrigo das presentes cláusulas ao exportador de dados. 

Cláusula 6 

Responsabilidade 

1. As partes concordam que qualquer titular dos dados que tenha sofrido danos devido a incumprimento das obrigações previstas na cláusula 3 ou na cláusula 11 por qualquer das partes ou por um sub‑processador subsequente tem o direito de obter do exportador de dados reparação pelo prejuízo sofrido. 

2. Se um titular dos dados ficar impedido de intentar a ação indemnizatória prevista no n.º 1 contra o exportador de dados por incumprimento do importador de dados ou do seu sub‑processador subsequente de uma ou outra das suas obrigações previstas na cláusula 3 ou na cláusula 11, porque o exportador de dados materialmente desapareceu, deixou de existir nos termos da lei ou se tornou insolvente, o importador de dados aceita que o titular dos dados possa apresentar uma reclamação contra si como se fosse o exportador de dados, salvo se todos os deveres jurídicos do exportador de dados tiverem sido transferidos, por contrato ou por efeito de lei, para a entidade que o sucedeu, contra a qual o titular dos dados poderá então fazer valer os seus direitos. O importador de dados não pode invocar o incumprimento por parte de um sub‑processador subsequente das suas obrigações para se eximir das suas próprias responsabilidades. 

3. Se um titular dos dados ficar impedido de intentar a ação prevista nos n.os 1 e 2 contra o exportador de dados ou o importador de dados por incumprimento do sub‑processador subsequente de uma ou outra das suas obrigações previstas na cláusula 3 ou na cláusula 11, porque o exportador de dados e o importador de dados materialmente desapareceram, deixaram de existir nos termos da lei ou se tornaram insolventes, o sub‑processador subsequente aceita que o titular dos dados possa apresentar uma reclamação contra si relativamente às suas próprias atividades de tratamento de acordo com as presentes cláusulas como se fosse o exportador de dados ou o importador de dados, salvo se todos os deveres jurídicos do exportador de dados ou do importador de dados tiverem sido transferidos, por contrato ou por efeito de lei, para o sucessor legal, contra o qual o titular dos dados poderá então fazer valer os seus direitos. A responsabilidade do sub‑processador subsequente deve ser limitada às suas próprias atividades de tratamento nos termos das presentes cláusulas. 

Cláusula 7 

Mediação e jurisdição 

1. O importador de dados concorda que, se, ao abrigo das cláusulas, o titular dos dados invocar contra si o direito de terceiro beneficiário e/ou reclamar indemnização pelo prejuízo sofrido, aceitará a decisão do titular dos dados: 

a) de submeter a disputa à mediação de uma pessoa independente ou, se aplicável, da autoridade de controlo; 

b) de levar a disputa aos tribunais do Estado‑membro onde o exportador de dados está estabelecido. 

2. As partes concordam que a escolha efetuada pelo titular dos dados não prejudicará o direito processual ou material deste de obter reparação nos termos de outras disposições do direito nacional ou internacional. 

Cláusula 8 

Cooperação com as autoridades de controlo 

1. O exportador de dados concorda em depositar uma cópia do presente contrato junto da autoridade de controlo se esta o exigir ou se esse depósito for previsto pelo direito aplicável à proteção de dados. 

2. As partes concordam que a autoridade de controlo tem o direito de efetuar verificações junto do importador de dados e de qualquer sub‑processador subsequente na mesma medida e nas mesmas condições que no caso de verificações efetuadas junto do exportador de dados nos termos do direito aplicável à proteção de dados. 

3. O importador de dados informa o exportador de dados, sem demora, da existência de legislação aplicável ao mesmo ou a qualquer sub‑processador subsequente que impeça a realização de verificações junto dele ou junto de qualquer sub‑processador subsequente nos termos do n.º 2. Nesse caso, o exportador de dados tem o direito de adotar as medidas previstas na cláusula 5, ponto b). 

Cláusula 9 

Lei aplicável 

As cláusulas são regidas pelo direito do Estado‑membro onde o exportador de dados está estabelecido., 

Cláusula 10 

Alteração do contrato 

As partes comprometem‑se a não alterar as presentes cláusulas. As partes permanecem livres de incluir outras cláusulas de natureza comercial que considerem necessárias, desde que não contrariem as presentes cláusulas. 

Cláusula 11 

Subcontratação subsequente 

1. O importador de dados não subcontrata quaisquer das suas atividades de tratamento efetuadas em nome do exportador de dados nos termos das presentes cláusulas sem o acordo prévio por escrito do exportador de dados. O importador de dados só subcontrata as obrigações que lhe incumbem nos termos das presentes cláusulas, com o acordo do exportador de dados, mediante um acordo escrito celebrado com o sub‑processador subsequente, impondo a este as mesmas obrigações que incumbem ao importador de dados nos termos das presentes cláusulas ). Em caso de incumprimento por parte do sub‑processador subsequente das obrigações em matéria de proteção de dados que lhe incumbem nos termos desse acordo escrito, o importador de dados continua totalmente responsável pelo cumprimento dessas obrigações perante o exportador de dados. 

2. O contrato escrito prévio entre o importador de dados e o sub‑processador subsequente prevê igualmente uma cláusula de terceiro beneficiário conforme enunciada na cláusula 3 para os casos em que o titular dos dados esteja impedido de intentar a ação indemnizatória prevista na cláusula 6, n.º 1, contra o exportador de dados ou o importador de dados porque estes materialmente desapareceram, deixaram de existir nos termos da lei ou se tornaram insolventes, e todos os deveres jurídicos do exportador de dados ou do importador de dados não tenham sido transferidos, por contrato ou por efeito de lei, para outra entidade que os tenha sucedido. Essa responsabilidade civil do sub‑processador subsequente deverá ser limitada às suas próprias atividades de tratamento nos termos das presentes cláusulas. 

3. As disposições relativas aos aspetos da subcontratação subsequente relacionados com a proteção de dados do contrato referido no n.º 1 são regidas pelo direito do Estado‑membro onde o exportador de dados está estabelecido. 

4. O exportador de dados mantém uma lista dos acordos de subcontratação subsequente celebrados nos termos das presentes cláusulas e notificados pelo importador de dados nos termos da cláusula 5, ponto j), que será atualizada pelo menos uma vez por ano. Esta lista é colocada à disposição da autoridade de controlo de proteção de dados do exportador de dados. 

Cláusula 12 

Obrigações após a cessação dos serviços de tratamento de dados pessoais 

1. As partes concordam que, ao término dos serviços de tratamento de dados, o importador de dados e o sub‑processador subsequente devolverão ao exportador de dados, consoante este desejar, todos os dados pessoais transferidos bem como as cópias, ou destruirão todos esses dados e o atestarão ao exportador de dados, salvo se a legislação aplicável ao importador de dados o impedir de devolver ou destruir total ou parcialmente os dados pessoais transferidos. Nesse caso, o importador de dados garante que assegurará a confidencialidade dos dados pessoais transferidos e que não processará ativamente esses dados. 

2. O importador de dados e o sub‑processador subsequente garantem que, se o exportador de dados e/ou a autoridade de controlo o solicitarem, sujeitar‑ão os seus meios de tratamento de dados a uma verificação das medidas previstas no n.º 1. 

Anexo 1.1 da parte 2

Detalhes da transferência

Exportador de dados

O Exportador de dados é o Cliente definido no Contrato.

Importador de dados

O Importador de dados é a IQUALIF e é encarregado do tratamento de dados, prestando serviços ao Exportador de dados.

Titulares dos dados

Os dados pessoais transferidos dizem respeito às seguintes categorias de titulares dos dados :

☒ os assinantes telefónicos inscritos no diretório universal

☐ Outros, nomeadamente :

Categorias de dados

Os dados pessoais transferidos dizem respeito às seguintes categorias de dados :

Categorias de dados pessoais dos titulares dos dados do Exportador de dados, em particular,

☒ Nome completo

☒ Morada postal

☒ Dados de contacto (e‑mail, telefone, endereço IP, etc.)

☒ Detalhes sobre atividades de marketing relativas ao assinante telefónico

☒ Outros, nomeadamente : tipo de habitação, rendimentos e idades médias por cidade anonimizados

Categorias especiais de dados (se aplicável)

Os dados pessoais transferidos dizem respeito às seguintes categorias especiais de dados :

☒ A transferência de categorias especiais de dados não está prevista

☐ Raça ou origem étnica

☐ Crenças religiosas ou filosóficas

☐ Filiação sindical

☐ Opiniões políticas

☐ Informações genéticas 

☐ Informações biométricas

☐ Informações sobre orientação sexual ou vida sexual

☐ Dados relativos à saúde

Atividades de tratamento

Os dados pessoais transferidos estarão sujeitos às seguintes atividades elementares de tratamento :

• • • Objeto do tratamento

O tratamento efetuado em nome do Exportador de dados incide sobre os seguintes assuntos, em particular :

☒ Suporte de produtos ou serviços oferecidos pelo Exportador de dados

☒ Oferta de um produto ou serviço que a pessoa contactada possa solicitar

☒ Pedidos efetuados às pessoas contactadas e tratamento posterior desses pedidos

☒ Questionários de estudos e análises

☒ Telemarketing

☐ Outros, nomeadamente :

• • • Natureza e finalidade do tratamento

O Importador de dados processa os dados pessoais dos titulares em nome do Exportador de dados, com o objetivo de fornecer os seguintes serviços, em particular :

☒ Vendas e marketing

☒ Outros, nomeadamente : atualização das bases de dados das câmaras municipais e de partidos políticos

• • • Prestação de serviços e utilização de prestadores de serviços

A IQUALIF combina, centraliza e fornece principalmente os serviços ao Exportador de dados. Os serviços prestados pelo fornecedor de serviços referido podem incluir (entre outros e conforme o caso) os seguintes serviços auxiliares: (i) fornecimento de aplicações, ferramentas, sistemas e infraestrutura de TI em relação aos centros de processamento de dados utilizados, a fim de fornecer e suportar os serviços, incluindo o tratamento dos dados pessoais dos titulares conforme descrito acima, através deste tipo de aplicações, ferramentas e sistemas; (ii) prestação de suporte informático, manutenção e outros serviços relativos a essas aplicações, ferramentas, sistemas e infraestrutura de TI, incluindo potencial acesso aos dados pessoais armazenados nessas aplicações, ferramentas e sistemas; e (iii) prestação de serviços de proteção de dados, monitorização de proteção e serviços de intervenção em caso de incidentes, incluindo potencial acesso a dados pessoais durante a prestação deste tipo de serviços de proteção. A IQUALIF pode contratar sub‑processadores conforme indicado abaixo, para prestar os serviços, incluindo os serviços auxiliares.

• • • Fornecedores de serviços terceiros externos enquanto sub‑entidades encarregadas do processamento de dados

A IQUALIF contrata fornecedores de serviços externos e terceiros, que não são subsidiárias da IQUALIF, de forma a apoiar a prestação de serviços ao Exportador de dados. O Exportador de dados aprova este tipo de fornecedores de serviços terceiros externos enquanto sub‑entidades encarregadas do processamento de dados

Se uma sub‑entidade encarregada do processamento de dados estiver localizada fora da UE / EEE, num país considerado não dispor de um nível adequado de proteção de dados de acordo com uma decisão da Comissão Europeia, o Importador de dados tomará medidas para obter um nível adequado de proteção de dados em conformidade com o RGPD, assim como com a secção 3.4 (iv) da Parte 1.

Anexo 2, parte 2

Medidas de proteção técnicas e organizacionais

O Importador de dados adota as seguintes medidas de proteção técnicas e organizacionais, quando aplicável confirmadas pelo Exportador de dados, de forma a garantir um nível de segurança apropriado dos direitos e liberdades das pessoas, em função dos riscos. Ao avaliar o nível de proteção em causa, o Exportador de dados teve em conta, nomeadamente, os riscos inerentes ao tratamento, incluindo destruição acidental ou ilícita, alteração, divulgação não autorizada ou acesso aos dados pessoais transmitidos, armazenados ou tratados de qualquer outra forma. Para esclarecimento: Estas medidas de proteção técnicas e organizacionais não dizem respeito às aplicações, ferramentas, sistemas e/ou infraestruturas de TI fornecidas pelo Exportador de dados.

1 Medidas gerais de proteção técnicas e organizacionais

1.1 Estratégias gerais de proteção da informação e dos dados

Devem ser tomadas as seguintes medidas para seguir as estratégias gerais de proteção de dados e informação :

a) adotar medidas para avaliar as medidas de proteção técnicas e organizacionais implementadas ;

b) ministrar formação para sensibilizar os colaboradores ;

c) dispor de uma descrição dos sistemas em causa e conceder acesso aos colaboradores ;

d) implementar um processo oficial de documentação sempre que sistemas sejam implementados ou modificados ;

e) documentação da estrutura organizacional, dos processos, das responsabilidades e das respetivas avaliações ;

1.2 Organização da proteção da informação

Devem ser tomadas as seguintes medidas para coordenar as atividades de proteção de dados e informação :

a) definição de responsabilidades em matéria de proteção da informação e dos dados (por exemplo, através de uma política de gestão da proteção de dados) ;

b) manter competências necessárias em matéria de proteção da informação e dos dados disponíveis ;

c) todos os colaboradores comprometeram‑se a manter os dados pessoais confidenciais e foram informados das possíveis consequências em caso de violação desse compromisso.

1.3 Controlo de acesso às áreas de processamento

Devem ser adotadas as seguintes medidas para impedir o acesso de pessoas não autorizadas aos sistemas de processamento de dados (incluindo software e hardware) quando os dados pessoais são processados, armazenados ou transmitidos:

a) estabelecer áreas seguras ;

b) proteger e restringir o acesso aos sistemas de processamento de dados ;

c) estabelecer autorizações de acesso para colaboradores e terceiros, incluindo os documentos respetivos ;

d) qualquer acesso aos centros de processamento de dados onde os dados pessoais são alojados será registado.

1.4 Controlo de acesso aos sistemas de processamento de dados

Devem ser tomadas as seguintes medidas para impedir qualquer acesso não autorizado aos sistemas de processamento de dados:

a) políticas e procedimentos de autenticação dos utilizadores ;

b) utilizar palavras‑passe em todos os sistemas informáticos ;

c) o acesso remoto à rede requer autenticação multifator e é concedido ao pessoal relevante em função das responsabilidades e mediante autorização ;

d) o acesso a funções específicas baseia‑se em funções profissionais e/ou atributos atribuídos individualmente à conta do utilizador ;

e) os direitos de acesso relacionados com dados pessoais são revistos regularmente ;

f) manter atualizados os registos das alterações aos direitos de acesso.

1.4 Controlo de acesso a áreas específicas de utilização dos sistemas de processamento de dados

Devem ser adotadas as seguintes medidas de forma a que as pessoas autorizadas a utilizar o sistema de processamento de dados só possam aceder aos dados que correspondam às suas responsabilidades e autorizações de acesso respetivas, e para que os dados pessoais não possam ser lidos, copiados, alterados ou eliminados sem autorização:

a) políticas, instruções e formação dos colaboradores relativas às obrigações de cada um quanto à confidencialidade, aos direitos de acesso aos dados pessoais e ao âmbito do tratamento dos dados pessoais;

b) medidas disciplinares contra pessoas que acedam a dados pessoais sem autorização ;

c) o acesso aos dados pessoais só será concedido a pessoas autorizadas, e apenas na medida do necessário para o desempenho das suas funções ;

d) manter uma lista de administradores de sistema e adotar medidas para monitorizar os administradores de sistema ;

e) não copiar nem reproduzir dados pessoais em quaisquer sistemas de armazenamento, de forma a impedir que pessoas não autorizadas suprimam a autoria da informação ;

f) eliminação controlada e documentada ou destruição de dados ;

g) armazenar de forma segura todos os dados pessoais que devam ser conservados por razões legais ou regulamentares (por exemplo, obrigações de retenção de dados), e apenas enquanto a lei o exigir.

1.6 Controlo das transmissões

Devem ser adotadas as seguintes medidas para impedir que os dados pessoais sejam lidos, copiados, alterados ou eliminados por terceiros não autorizados durante a transmissão ou transporte de dispositivos de armazenamento de dados (consoante o tratamento realizado dos dados pessoais) :

a) utilização de firewalls ;

b) evitar o armazenamento de dados pessoais em dispositivos móveis de armazenamento para fins de transporte, ou encriptar os dispositivos c) usá‑los em laptops e outros dispositivos móveis apenas após ativação da proteção por encriptação ;

d) registo das transmissões de dados pessoais.

1.7 Controlo da entrada

Devem ser adotadas as seguintes medidas para garantir que seja possível verificar e determinar se dados pessoais foram introduzidos nos sistemas de processamento de dados ou eliminados, e por quem o fizeram :

a) uma política de autorização para leitura, alteração e eliminação dos dados armazenados ;

b) medidas de proteção relativas à leitura, alteração e eliminação dos dados armazenados.

1.8 Controlo do trabalho

No caso de um tratamento delegado de dados pessoais, devem ser adotadas as seguintes medidas para garantir que esses dados são processados de acordo com as instruções do responsável pelo tratamento :

a) entidades ou sub‑entidades encarregadas do tratamento de dados escolhidas com cuidado (fornecedores de serviços que processam dados pessoais em nome do responsável);

b) instruções sobre o âmbito de qualquer tratamento de dados pessoais aos colaboradores, entidades ou sub‑entidades encarregadas do tratamento de dados ;

c) direitos de auditoria acordados com as entidades ou sub‑entidades encarregadas do tratamento de dados

d) acordos estabelecidos com as entidades ou sub‑entidades encarregadas do tratamento de dados.

1,9 Separação do tratamento para outros fins

Devem ser adotadas as seguintes medidas para assegurar que dados recolhidos para outros fins possam ser processados separadamente :

a) separar o acesso aos dados pessoais de acordo com os direitos em vigor dos utilizadores ;

b) as interfaces, os processamentos por lotes e os relatórios destinam‑se a outros fins e funções, de modo a que os dados recolhidos para outros fins possam ser tratados separadamente.

1.10 Pseudonimização

Devem ser tomadas as seguintes medidas relativas à pseudonimização dos dados pessoais :

a) Se o Exportador de dados ordenar um tratamento específico ou se isso for considerado apropriado pelo importador de dados, e em conformidade com as leis aplicáveis de proteção de dados relativamente a determinadas atividades de tratamento, o tratamento dos dados pessoais será efetuado de modo que os dados não possam mais ser atribuídos a uma pessoa específica sem a utilização de informações adicionais. Essas informações adicionais serão conservadas separadamente ;

b) utilização de técnicas de pseudonimização, incluindo randomização em tabela de alocação; criação de valores sob forma de hashes.

1,11 Criptografia

Devem ser adotadas as seguintes medidas para encriptar os dados pessoais no âmbito de aplicações e transmissões que suportem encriptação : a) utilização de técnicas de encriptação ;

b) estabelecimento da gestão da encriptação para suportar as técnicas autorizadas a empregar ;

c) suportar o uso da criptografia através de procedimentos e protocolos de geração, alteração, revogação, destruição, distribuição, certificação, armazenamento, introdução, utilização e arquivamento das chaves criptográficas como proteção contra alterações e divulgações não autorizadas.

1.12 Integridade dos sistemas de processamento de dados e dos serviços

Devem ser adotadas as seguintes medidas para garantir a integridade dos sistemas de processamento de dados e dos serviços :

a) proteger os sistemas de processamento de dados contra manipulação ou destruição, através de meios apropriados (ex. software antivírus, software de prevenção de perda de dados e software contra malware, atualizações de software, firewalls e proteção gerida dos desktops) ;

b) proibir a instalação de qualquer serviço ou software prejudicial aos sistemas de processamento de dados, aos serviços ou à manipulação de dados pessoais ;

c) utilização de um sistema de deteção e prevenção de intrusões na rede na própria estrutura da rede.

1,14 Disponibilidade dos sistemas de processamento de dados e dos serviços, bem como capacidade de restaurar o acesso e a utilização dos dados pessoais em caso de incidente material ou técnico

Devem ser adotadas as seguintes medidas para garantir a disponibilidade dos sistemas de processamento de dados, bem como para poder restaurar rapidamente a disponibilidade dos dados pessoais e o seu acesso em caso de incidente material ou técnico (nomeadamente assegurando que os dados pessoais estão protegidos contra destruição ou perda acidental):

a) dispor de meios de controlo para manter cópias de segurança e restaurar dados perdidos ou apagados ;

b) redundância de infraestrutura e testes de funcionamento ;

c) proteção física dos recursos informáticos ;

d) utilização de ferramentas para monitorizar o estado e a disponibilidade da rede interna ;

e) relatórios sobre incidentes e políticas de intervenção que regem o procedimento de gestão de incidentes, e reafirmação da adesão a essas políticas no âmbito de formação regular ;

f) backups (por vezes fora do local) que permitam restaurar o sistema e permitir‑lhe assim retomar as suas funções ;

g) planos de continuidade de negócios / recuperação de desastres.

1.12 Resiliência dos sistemas de processamento de dados e dos serviços

Devem ser adotadas as seguintes medidas para garantir a resiliência dos sistemas de processamento de dados e dos serviços :

a) sistemas configurados de forma harmoniosa, com parâmetros de segurança aprovados ;

b) redundância de rede ;

c) proteção por contenção de sistemas críticos.

1,16 Procedimento para testar, avaliar e julgar regularmente a eficácia das medidas técnicas e organizacionais destinadas a assegurar a segurança do tratamento de dados

Procedimento para testar, avaliar e julgar regularmente a eficácia das medidas técnicas e organizacionais destinadas a proteger o tratamento de dados

a) adotar medidas necessárias para avaliar os riscos e as estratégias de mitigação ;

b) reuniões de análise de serviço do departamento de TI para tratar questões atuais ;

c) os planos de continuidade de negócios / recuperação de desastres são regularmente atualizados.

Parte 3

Assinaturas das partes e lista de Importadores de dados

No momento de preencher seu o formulário de pedido online e validá‑lo, ao assinalar a caixa de aceitação dos termos e condições de utilização, o contrato que rege a relação entre o Cliente e a IQUALIF fica celebrado. 

O envio do pagamento à IQUALIF será suficiente para considerar o contrato celebrado.