Condições de Tratamento de Dados por Subcontratantes
Versão: 20250407
1.Introdução
1.1. As presentes Condições de Tratamento de Dados aplicam-se a todos os fornecimentos de bens e prestações de serviços que envolvam o tratamento de dados pessoais por parte do Fornecedor (doravante designado “Subcontratante”) por conta da nossa organização (doravante designada “Responsável pelo Tratamento”).
1.2. As presentes Condições de Tratamento de Dados consideram-se aceites pelo Subcontratante mediante:
a) Aceitação expressa após receção;
b) Aceitação da Nota de Encomenda, Requisição de Serviços ou Comunicação de Adjudicação que remeta para as presentes Condições;
c) Início da execução do fornecimento ou prestação de serviços.
2.Definições
2.1. Para efeitos das presentes Condições, entende-se por:
“RGPD”: o Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados.
“Dados Pessoais”: informação relativa a uma pessoa singular identificada ou identificável; é considerada identificável uma pessoa singular que possa ser identificada, direta ou indiretamente, em especial por referência a um identificador, como por exemplo um nome, um número de identificação, dados de localização, identificadores por via eletrónica ou a um ou mais elementos específicos da identidade física, fisiológica, genética, mental, económica, cultural ou social dessa pessoa singular.
“Tratamento”: uma operação ou um conjunto de operações efetuadas sobre dados pessoais ou sobre conjuntos de dados pessoais, por meios automatizados ou não automatizados, tais como a recolha, o registo, a organização, a estruturação, a conservação, a adaptação ou alteração, a recuperação, a consulta, a utilização, a divulgação por transmissão, difusão ou qualquer outra forma de disponibilização, a comparação ou interconexão, a limitação, o apagamento ou a destruição.
“Responsável pelo Tratamento”: a pessoa singular ou coletiva, a autoridade pública, a agência ou outro organismo que, individualmente ou em conjunto com outras, determina as finalidades e os meios de tratamento de dados pessoais.
“Subcontratante”: uma pessoa singular ou coletiva, a autoridade pública, agência ou outro organismo que trate os dados pessoais por conta do responsável pelo tratamento destes.
“Violação de Dados Pessoais”: uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso, não autorizados, a dados pessoais transmitidos, conservados ou sujeitos a qualquer outro tipo de tratamento.
3.Obrigações do Subcontratante
3.1. O Subcontratante compromete-se a:
a) Tratar os dados pessoais apenas mediante instruções documentadas do Responsável pelo Tratamento, a menos que seja obrigado a fazê-lo pelo direito da União ou do Estado-Membro a que está sujeito; nesse caso, o Subcontratante informa o Responsável pelo Tratamento desse requisito jurídico antes do tratamento, salvo se a lei proibir tal informação por motivos importantes de interesse público;
b) Assegurar que as pessoas autorizadas a tratar os dados pessoais assumiram um compromisso de confidencialidade ou estão sujeitas a adequadas obrigações legais de confidencialidade;
c) Adotar todas as medidas de segurança exigidas nos termos do artigo 32.º do RGPD;
d) Não contratar outro subcontratante sem que o Responsável pelo Tratamento tenha dado, previamente e por escrito, autorização específica ou geral;
e) Prestar assistência ao Responsável pelo Tratamento, tendo em conta a natureza do tratamento, através de medidas técnicas e organizativas adequadas, para permitir que este cumpra a sua obrigação de dar resposta aos pedidos dos titulares dos dados tendo em vista o exercício dos seus direitos;
f) Prestar assistência ao Responsável pelo Tratamento no sentido de assegurar o cumprimento das obrigações previstas nos artigos 32.º a 36.º do RGPD, tendo em conta a natureza do tratamento e a informação ao dispor do Subcontratante;
g) Consoante a escolha do Responsável pelo Tratamento, apagar ou devolver-lhe todos os dados pessoais depois de concluída a prestação de serviços relacionados com o tratamento, apagando as cópias existentes, a menos que a conservação dos dados seja exigida ao abrigo do direito da União ou dos Estados-Membros;
h) Disponibilizar ao Responsável pelo Tratamento todas as informações necessárias para demonstrar o cumprimento das obrigações estabelecidas no presente artigo e facilitar e contribuir para as auditorias, inclusive as inspeções, conduzidas pelo Responsável pelo Tratamento ou por outro auditor por ele mandatado.
4.Violação de Dados Pessoais
4.1. Em caso de violação de dados pessoais, o Subcontratante notifica o Responsável pelo Tratamento sem demora injustificada e, em qualquer caso, no prazo máximo de 24 horas após ter conhecimento da mesma.
4.2. A notificação referida no número anterior deve ser enviada para [EMAIL EPD] e incluir, pelo menos:
a) A descrição da natureza da violação de dados pessoais;
b) O nome e os contactos do encarregado da proteção de dados ou de outro ponto de contacto;
c) A descrição das consequências prováveis da violação de dados pessoais;
d) A descrição das medidas adotadas ou propostas para reparar a violação de dados pessoais.
5.Subcontratação Ulterior
5.1. O Subcontratante não contrata outro subcontratante sem que o Responsável pelo Tratamento tenha dado, previamente e por escrito, autorização específica ou geral.
5.2. No caso de uma autorização geral por escrito, o Subcontratante informa o Responsável pelo Tratamento de quaisquer alterações pretendidas quanto ao acréscimo ou substituição de outros subcontratantes, dando assim ao Responsável pelo Tratamento a oportunidade de se opor a tais alterações.
5.3. Quando o Subcontratante contratar outro subcontratante para a realização de operações específicas de tratamento de dados por conta do Responsável pelo Tratamento, são impostas a esse outro subcontratante, por contrato ou outro ato normativo ao abrigo do direito da União ou dos Estados-Membros, as mesmas obrigações em matéria de proteção de dados que as estabelecidas nas presentes Condições de Tratamento de Dados.
6.Cessação do Tratamento
6.1. No termo da prestação de serviços ou fornecimento de bens, o Subcontratante deve, mediante instruções do Responsável pelo Tratamento:
a) Devolver ao Responsável pelo Tratamento todos os dados pessoais tratados por conta deste; ou
b) Apagar definitivamente todos os dados pessoais existentes nos seus sistemas e em quaisquer cópias de segurança.
7.Colaboração com o Responsável pelo Tratamento
7.1. O Subcontratante colabora com o Responsável pelo Tratamento no cumprimento das suas obrigações legais, nomeadamente:
a) Na resposta a pedidos dos titulares dos dados;
b) Na notificação de violações de dados pessoais à autoridade de controlo;
c) Na comunicação de violações de dados pessoais aos titulares dos dados;
d) Na realização de avaliações de impacto sobre a proteção de dados;
e) Na consulta prévia à autoridade de controlo.
8.Responsabilidade
8.1. O Subcontratante é responsável pelos danos causados por operações de tratamento em que tenha:
a) Incumprido as obrigações do RGPD dirigidas especificamente aos subcontratantes; ou
b) Agido à margem ou em contradição com as instruções lícitas do Responsável pelo Tratamento.
8.2. O Subcontratante fica isento de responsabilidade se provar que não é de modo algum responsável pelo evento que deu origem aos danos.
9.Disposições Finais
9.1. As presentes Condições de Tratamento de Dados prevalecem sobre quaisquer disposições em contrário constantes de condições gerais do Subcontratante.
9.2. As presentes Condições de Tratamento de Dados são complementadas pelas Políticas Gerais ou Especiais de Proteção de Dados em vigor no Responsável pelo Tratamento à data de hoje e acessíveis em https://cm-riomaior.protecaodedados.com/p/politicas/.
9.3. O Responsável pelo Tratamento reserva-se o direito de alterar as presentes Condições de Tratamento de Dados, sendo as alterações comunicadas ao Subcontratante e publicadas em https://cm-riomaior.protecaodedados.com/p/fornecedores/tratamentodedadosporsubcontratantes.
9.4. Quaisquer dúvidas relativas às presentes Condições de Tratamento de Dados devem ser dirigidas ao Encarregado de Proteção de Dados do Responsável pelo Tratamento, através dos contactos disponíveis em https://cm-riomaior.protecaodedados.com/p/encarregado/.