Contrato de Subcontratação

Partes

Responsável pelo tratamento ("Cliente")

Subcontratante ("Alvoru")

Doravante, em conjunto: "Partes".

Considerando que

• as Partes celebraram um contrato principal ao abrigo do qual a Alvoru, na qualidade de Subcontratante, trata dados pessoais por conta do Cliente (doravante: o "Contrato Principal");
• nos termos do artigo 28.º, n.º 3, do RGPD, é exigido um contrato de subcontratação escrito no qual sejam estabelecidas as condições sobre a forma como o Subcontratante trata os dados pessoais;
• este contrato de subcontratação (doravante: "DPA") constitui parte integrante do Contrato Principal.

Artigo 1.º — Definições

Os termos escritos com inicial maiúscula neste DPA têm o significado que lhes é atribuído no RGPD, complementados pelas definições dos Termos e Condições Gerais da Alvoru.

Artigo 2.º — Objeto e duração

2.1 Este DPA regula o tratamento de dados pessoais pela Alvoru por conta do Cliente no âmbito do Contrato Principal.

2.2 Este DPA entra em vigor na data de início do Contrato Principal e cessa de pleno direito com a cessação do Contrato Principal, sem prejuízo das disposições que, pela sua natureza, se destinam a manter-se em vigor.

Artigo 3.º — Natureza e finalidade do tratamento

3.1 A natureza e a finalidade do tratamento consistem na prestação do Serviço descrito no Contrato Principal (apoio ao cliente com IA, incluindo chatbot, e-mail e agenda).

3.2 A Alvoru trata os dados pessoais exclusivamente por instrução documentada do Cliente, salvo obrigações legais em contrário (art. 28.º, n.º 3, al. a), do RGPD). Neste último caso, a Alvoru informa o Cliente antes do tratamento, salvo se essa lei o proibir por razões de interesse público importante.

Artigo 4.º — Tipo de dados pessoais e categorias de titulares

As categorias especiais de dados pessoais (art. 9.º do RGPD) e os dados de natureza penal (art. 10.º do RGPD) não são tratados, salvo acordo escrito complementar.

Artigo 5.º — Obrigações do Subcontratante

5.1 A Alvoru trata os dados pessoais exclusivamente para as finalidades estabelecidas no Contrato Principal e neste DPA e por instrução escrita do Cliente.

5.2 A Alvoru assegura que as pessoas que tratam dados pessoais estão sujeitas a um dever de confidencialidade, seja por força da lei, seja por força de um contrato.

5.3 A Alvoru presta ao Cliente, tendo em conta a natureza do tratamento, assistência razoável no cumprimento dos pedidos dos titulares dos dados no exercício dos seus direitos ao abrigo do RGPD.

5.4 A Alvoru disponibiliza ao Cliente todas as informações necessárias para demonstrar o cumprimento do artigo 28.º do RGPD.

5.5 Proibição de treino de IA. A Alvoru nunca utilizará os dados pessoais que trata por conta do Responsável pelo tratamento para treinar, afinar (fine-tuning) ou de outra forma melhorar modelos de IA, nem para desenvolver aplicações de IA próprias ou de terceiros.

Artigo 6.º — Medidas de segurança (artigo 32.º do RGPD)

A Alvoru adota medidas técnicas e organizativas adequadas para assegurar um nível de segurança adaptado ao risco, incluindo:

• Encriptação em trânsito (TLS 1.2+) e, sempre que aplicável, encriptação em repouso;
• Controlo de acessos com base em least privilege; autenticação de dois fatores para os administradores;
• Firewalls, fail2ban e monitorização de intrusões;
• Cópias de segurança diárias encriptadas com um prazo de conservação máximo de 90 dias;
• Permissões de ficheiro restritivas (600) nos ficheiros de configuração e de dados;
• Registo e monitorização do acesso aos sistemas de produção;
• Avaliação e atualização periódicas das medidas de segurança.

Artigo 7.º — Subcontratantes

7.1 O Cliente concede à Alvoru uma autorização escrita de caráter geral para recorrer a subcontratantes, desde que a Alvoru cumpra as restantes disposições deste artigo.

7.2 Os subcontratantes atualmente utilizados são:

7.3 A Alvoru impõe aos subcontratantes as mesmas obrigações de proteção de dados que constam do presente DPA (artigo 28.º, n.º 4, do RGPD).

7.4 A Alvoru informa o Cliente com, pelo menos, 14 dias de antecedência sobre a substituição ou adição de subcontratantes. O Cliente pode opor-se fundamentadamente dentro desse prazo. Em caso de oposição fundamentada, o Cliente tem o direito de rescindir o Contrato Principal sem custos.

Artigo 8.º — Transferência para fora do EEE

A transferência de dados pessoais para um país fora do Espaço Económico Europeu ocorre exclusivamente com base numa decisão de adequação (art. 45.º do RGPD), regras vinculativas de empresa, Cláusulas Contratuais-Tipo da UE (art. 46.º, n.º 2, alínea c), do RGPD) ou outra garantia prevista no RGPD, complementada por medidas técnicas e organizativas adicionais sempre que necessário.

Artigo 9.º — Direitos dos titulares dos dados

9.1 A Alvoru presta ao Cliente o apoio adequado no tratamento de pedidos dos titulares dos dados (acesso, retificação, apagamento, limitação, portabilidade, oposição) através de funcionalidades técnicas no portal do cliente e, sempre que necessário, de assistência adicional.

9.2 A Alvoru reencaminha sem demora ao Cliente os pedidos dos titulares dos dados que sejam recebidos diretamente pela Alvoru.

Artigo 10.º — Violações de dados

10.1 A Alvoru informa o Cliente sem demora e no prazo máximo de 48 horas após a constatação de uma violação de dados pessoais (art. 33.º, n.º 2, do RGPD), para que o Cliente possa cumprir atempadamente a sua obrigação de notificação no prazo de 72 horas à autoridade de controlo.

10.2 A notificação inclui, no mínimo: a natureza da violação, as categorias e o número de titulares afetados, as categorias e o número de registos afetados, as prováveis consequências e as medidas tomadas ou propostas.

10.3 A Alvoru presta ao Cliente a assistência adequada na notificação à autoridade de controlo e, quando relevante, aos titulares dos dados.

Artigo 11.º — Auditoria

11.1 O Cliente pode, uma vez por ano civil, mediante aviso prévio por escrito de, pelo menos, 30 dias, realizar (ou mandar realizar) a expensas próprias uma auditoria ao cumprimento do presente DPA pela Alvoru.

11.2 A auditoria é realizada por um auditor independente, sujeito a dever de confidencialidade, durante o horário de expediente e de uma forma que não perturbe o funcionamento normal da Alvoru.

11.3 Em vez de uma auditoria no local, a Alvoru pode limitar-se a apresentar um relatório atual de um terceiro independente (por exemplo, ISO 27001 ou SOC 2), desde que esse relatório ofereça razoavelmente garantias suficientes.

Artigo 12.º — Cessação e apagamento de dados

12.1 Após a cessação do Contrato Principal, a Alvoru irá, à escolha do Cliente e mediante o primeiro pedido por escrito, apagar ou devolver ao Cliente todos os dados pessoais, nos termos do artigo 28.º, n.º 3, alínea g), do RGPD.

12.2 Esse pedido pode ser apresentado no prazo de 60 dias após a cessação. Na sua ausência, os dados são automaticamente apagados após 60 dias.

12.3 As cópias de segurança offline são apagadas de acordo com o esquema regular de rotação, no prazo máximo de 90 dias após a cessação.

12.4 Os dados que a Alvoru deve conservar por força da lei são conservados durante o prazo legalmente estabelecido.

Artigo 13.º — Responsabilidade

13.1 A responsabilidade da Alvoru ao abrigo do presente DPA está incluída e limitada pelas disposições de responsabilidade dos Termos e Condições Gerais associados ao Contrato Principal.

13.2 As disposições imperativas do RGPD permanecem inalteradas.

Artigo 13.º-A — Registo das atividades de tratamento

A Alvoru mantém um registo das atividades de tratamento nos termos do artigo 30.º do RGPD. Este registo inclui, no mínimo: o nome e os dados de contacto da Alvoru enquanto subcontratante, as categorias de tratamentos efetuados em nome dos Responsáveis pelo Tratamento, as transferências para países terceiros e as garantias aplicadas, e uma descrição geral das medidas técnicas e organizativas de segurança. O registo está disponível, mediante pedido, para a autoridade de controlo.

Artigo 14.º — Direito aplicável e litígios

O presente DPA rege-se pelo direito neerlandês. Os litígios são submetidos ao tribunal de Overijssel, comarca de Almelo.

Assinatura

Envie a versão assinada (digitalizada ou assinada digitalmente) para info@alvoru.com. A Alvoru devolve uma cópia coassinada.