Acordo de Tratamento de Dados Pessoais

O presente Acordo é celebrado entre:

Prestador: [Denominação social — por completar], adiante designado por Doconti;

e

Cliente: a entidade identificada no processo de contratação e titular da subscrição.

O presente Acordo integra os Termos e Condições da plataforma.

É aplicável quando a Doconti trata dados pessoais por conta do Cliente, na qualidade de subcontratante.

Quando o Cliente atue ele próprio como subcontratante de uma empresa ou de outro responsável pelo tratamento, declara possuir autorização adequada para contratar os serviços da Doconti na qualidade de subcontratante ulterior, nos termos do RGPD.

2.1. O Acordo regula o tratamento de dados pessoais realizado pela Doconti por conta do Cliente, no âmbito dos serviços SaaS contratados.

2.2. O tratamento tem início quando o Cliente disponibiliza dados pessoais no serviço ou autoriza a sua recolha.

2.3. O Acordo mantém-se em vigor enquanto a Doconti tratar dados pessoais por conta do Cliente, incluindo os períodos de devolução, eliminação e conservação residual legalmente permitida.

O tratamento poderá compreender:

• Recolha e receção;
• Registo;
• Organização;
• Estruturação;
• Armazenamento;
• Consulta autorizada;
• Extração de dados;
• Classificação documental;
• Pesquisa;
• Transmissão autorizada;
• Automatização de processos;
• Conservação;
• Exportação;
• Apagamento;
• Operações de inteligência artificial necessárias aos serviços contratados.

A finalidade é prestar os serviços de gestão documental e processamento contratados pelo Cliente.

4.1. Categorias de titulares

Consoante os documentos inseridos, poderão ser tratados dados de:

• Trabalhadores e colaboradores;
• Representantes de empresas;
• Clientes e fornecedores;
• Prestadores de serviços;
• Sócios e administradores;
• Contabilistas e profissionais;
• Outras pessoas singulares identificadas nos documentos.

4.2. Categorias de dados

Poderão incluir:

• Dados identificativos e de contacto;
• Identificadores fiscais;
• Dados de faturação;
• Informação financeira e bancária;
• Dados remuneratórios e laborais;
• Informação contratual;
• Documentação fiscal e contabilística;
• Dados técnicos de acesso;
• Outras categorias legitimamente disponibilizadas pelo Cliente.

O tratamento de categorias especiais de dados depende da existência de fundamento jurídico adequado, necessidade e garantias proporcionais.

5.1. A Doconti tratará os dados pessoais apenas mediante instruções documentadas do Cliente ou de entidade legalmente competente, salvo obrigação imposta pelo direito aplicável.

5.2. Constituem instruções documentadas os presentes documentos contratuais, as configurações do serviço, as operações legítimas realizadas pelos utilizadores autorizados e as instruções adicionais validamente comunicadas.

5.3. A Doconti informará o Cliente, sem demora injustificada, quando considerar que uma instrução viola o RGPD ou outra disposição aplicável de proteção de dados, salvo impedimento legal.

5.4. A Doconti poderá suspender a execução da instrução contestada na medida necessária à prevenção da violação, enquanto solicita esclarecimentos.

5.5. O Cliente é responsável pela legitimidade das suas instruções e pela determinação das finalidades e fundamentos jurídicos, sem prejuízo dos deveres autónomos da Doconti.

6.1. A Doconti assegurará que as pessoas autorizadas a tratar dados pessoais estão sujeitas a obrigação legal ou contratual de confidencialidade.

6.2. O acesso aos dados será limitado ao necessário para prestar os serviços, prestar assistência autorizada, garantir a segurança ou cumprir obrigações legais.

6.3. A Doconti manterá controlos proporcionais sobre os acessos administrativos e privilegiados.

7.1. A Doconti aplicará medidas técnicas e organizativas adequadas aos riscos apresentados pelo tratamento, nos termos do artigo 32.º do RGPD.

7.2. As medidas poderão abranger, conforme adequado, encriptação, controlo de acessos, segregação lógica, gestão de vulnerabilidades, registos de auditoria, mecanismos de recuperação, continuidade operacional e testes periódicos.

7.3. A descrição operacional das medidas efetivamente implementadas deverá constar da documentação de segurança aplicável.

7.4. As medidas poderão evoluir durante a vigência contratual, desde que não seja reduzido injustificadamente o nível global de proteção exigível.

8.1. O Cliente concede autorização geral para utilização dos subcontratantes ulteriores identificados na lista publicada em [Endereço da lista de subcontratantes — por completar].

8.2. A Doconti informará o Cliente acerca da introdução ou substituição de subcontratantes ulteriores, com antecedência razoável, em regra de 15 dias, permitindo oposição fundamentada por motivos de proteção de dados.

8.3. A oposição deverá ser comunicada por escrito e fundamentada em riscos concretos.

8.4. A Doconti procurará avaliar medidas alternativas proporcionais. Na impossibilidade de solução adequada, as partes poderão cessar os serviços afetados, sem penalização de resolução antecipada relativa a esses serviços.

8.5. A Doconti imporá contratualmente aos subcontratantes ulteriores obrigações de proteção de dados substancialmente equivalentes às legalmente exigidas.

8.6. A Doconti mantém perante o Cliente a responsabilidade pelo cumprimento das obrigações dos subcontratantes ulteriores, nos termos do artigo 28.º, n.º 4, do RGPD.

9.1. A Doconti não efetuará transferências internacionais de dados pessoais em violação do capítulo V do RGPD.

9.2. Sempre que aplicável, serão utilizados mecanismos legalmente reconhecidos, incluindo decisões de adequação ou cláusulas contratuais-tipo.

9.3. Serão adotadas medidas suplementares quando a avaliação jurídica e técnica da transferência o exigir.

9.4. A Doconti disponibilizará informação adequada sobre os subcontratantes, destinos e salvaguardas aplicáveis, nos limites legítimos de confidencialidade.

10.1. Tendo em conta a natureza do tratamento e a informação disponível, a Doconti prestará assistência ao Cliente no cumprimento das obrigações aplicáveis previstas no RGPD.

10.2. Esta assistência incluirá, na medida possível, apoio relativo a:

• a) Pedidos de exercício de direitos dos titulares;
• b) Segurança do tratamento;
• c) Avaliação e comunicação de violações de dados;
• d) Avaliações de impacto sobre a proteção de dados;
• e) Consulta prévia à autoridade de controlo, quando exigível;
• f) Documentação de conformidade.

10.3. A assistência ordinária será prestada através dos mecanismos disponíveis na plataforma e dos procedimentos de suporte aplicáveis.

10.4. Trabalhos extraordinários especificamente solicitados poderão estar sujeitos a custos razoáveis previamente acordados, sem prejuízo das obrigações legais inderrogáveis.

11.1. A Doconti notificará o Cliente sem demora injustificada após tomar conhecimento de uma violação de dados pessoais que afete os tratamentos realizados por sua conta.

11.2. A notificação conterá, na medida da informação disponível, elementos sobre a natureza do incidente, possíveis consequências, dados afetados e medidas adotadas ou propostas.

11.3. Informações adicionais poderão ser prestadas por fases.

11.4. Quando o Cliente seja o responsável pelo tratamento, cabe-lhe avaliar as notificações à autoridade de controlo e aos titulares, com a assistência devida da Doconti.

11.5. A Doconti documentará as violações de dados pessoais que lhe digam respeito nos termos legais aplicáveis.

12.1. A Doconti comunicará ao Cliente os pedidos recebidos que digam respeito a tratamentos realizados exclusivamente por sua conta, salvo se a lei exigir atuação diferente.

12.2. Não responderá autonomamente sobre o mérito desses pedidos sem instrução adequada, exceto quando esteja legalmente obrigada.

12.3. A Doconti deverá disponibilizar mecanismos proporcionais para localização, acesso, retificação, exportação e eliminação de dados, conforme a natureza dos serviços.

13.1. A Doconti disponibilizará ao Cliente as informações necessárias para demonstrar o cumprimento das obrigações previstas no artigo 28.º do RGPD.

13.2. Permitirá e contribuirá para auditorias e inspeções legalmente exigíveis, realizadas pelo Cliente ou por auditor mandatado.

13.3. Para salvaguardar a segurança e a confidencialidade de terceiros, as auditorias poderão ser organizadas através de documentação, relatórios, evidências técnicas e procedimentos de acesso controlado, sem prejuízo dos direitos de auditoria legalmente garantidos.

13.4. As auditorias deverão evitar perturbações desnecessárias e respeitar obrigações de confidencialidade.

13.5. Custos extraordinários e proporcionais associados a procedimentos adicionais solicitados pelo Cliente poderão ser acordados previamente, sem tornar inexequíveis os direitos legais de auditoria.

14.1. Após o termo da prestação dos serviços, o Cliente poderá optar pela devolução ou eliminação dos dados pessoais tratados por sua conta, nos termos do artigo 28.º, n.º 3, alínea g), do RGPD.

14.2. Na ausência de instrução diferente e válida, a Doconti disponibilizará um período normal de 30 dias para exportação, após o qual procederá à eliminação dos dados sujeitos a apagamento.

14.3. A eliminação de cópias existentes será realizada segundo os procedimentos técnicos aplicáveis, ressalvados os dados cuja conservação seja legalmente exigida.

14.4. Cópias de segurança residuais não poderão ser reutilizadas para finalidades operacionais ordinárias e serão eliminadas segundo o ciclo de retenção documentado: [Prazo a confirmar — por completar].

14.5. A Doconti poderá emitir confirmação de eliminação mediante pedido razoável, de acordo com as evidências disponíveis.

14.6. Os dados conservados por obrigação legal ficarão sujeitos às limitações de finalidade, confidencialidade e segurança aplicáveis.

15.1. O Cliente mantém as responsabilidades que lhe sejam legalmente atribuídas enquanto responsável pelo tratamento ou subcontratante principal.

15.2. A Doconti é responsável pelo cumprimento das obrigações que o RGPD lhe atribui diretamente enquanto subcontratante e pelas demais obrigações contratualmente assumidas.

15.3. Nenhuma disposição transfere integralmente para uma das partes a responsabilidade legal própria da outra.

15.4. A responsabilidade civil por danos decorrentes de violações do RGPD rege-se, nomeadamente, pelo artigo 82.º do Regulamento, não podendo ser afastada em prejuízo dos titulares dos dados.

Em caso de conflito entre este Acordo e cláusulas gerais dos Termos e Condições, prevalece este Acordo nas matérias específicas de proteção de dados pessoais, sem prejuízo da legislação imperativa.

O Acordo entra em vigor com a aceitação dos Termos e aplica-se durante toda a vigência do tratamento de dados pessoais realizado por conta do Cliente.

As alterações materiais serão comunicadas segundo os procedimentos contratuais aplicáveis, sem redução dos direitos legalmente garantidos.

Contacto para proteção de dados: [E-mail de privacidade — por completar]

Entidade: [Denominação social — por completar]