CLÁUSULAS CONTRATUAIS TIPO PARA TRANSFERÊNCIAS INTERNACIONAIS

SECÇÃO I

Cláusula 1. Finalidade e âmbito de aplicação

O objetivo destas cláusulas contratuais tipo é garantir que se cumpram os requisitos exigidos pelo Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (1) (Regulamento Geral sobre a Proteção de Dados), para a transferência de dados pessoais para um país terceiro.
As partes:

A(s) pessoa(s) singular(es) ou coletiva(s), autoridade(s) pública(s), serviço(s) ou organismo(s) (doravante, «entidade» ou «entidades») que irá(ão) transferir os dados pessoais, enumerada(s) no anexo I.A (doravante designada(s) «exportador de dados»); e
A(s) entidade(s) num país terceiro que irá(ão) receber os dados pessoais do exportador de dados, direta ou indiretamente, através de outra entidade que também seja parte no presente conjunto de cláusulas, enumerada(s) no anexo I.A (doravante designada(s) «importador de dados»),

acordaram as presentes cláusulas contratuais tipo (doravante, «conjunto de cláusulas»).
O presente conjunto de cláusulas aplica-se à transferência de dados pessoais especificada no anexo I.B.
O apêndice do presente conjunto de cláusulas, que contém os anexos nele referidos, faz parte integrante do conjunto.

Cláusula 2. Efeitos e invariabilidade das cláusulas

O presente conjunto de cláusulas estabelece garantias adequadas, incluindo direitos exigíveis dos titulares dos dados e meios judiciais eficazes, em conformidade com o artigo 46.º, n.º 1, e o artigo 46.º, n.º 2, alínea c), do Regulamento (UE) 2016/679 e, no que respeita a transferências de dados de responsáveis para subcontratantes ou de subcontratantes para outros subcontratantes, em conformidade com as cláusulas contratuais tipo referidas no artigo 28.º, n.º 7, do Regulamento (UE) 2016/679, desde que estas não sejam alteradas, salvo para selecionar o módulo ou módulos aplicáveis ou para acrescentar ou atualizar informações do apêndice. Tal não impede que as partes incluam as cláusulas contratuais tipo do presente conjunto num contrato mais amplo, nem que acrescentem outras cláusulas ou garantias adicionais, desde que estas não entrem em conflito, direta ou indiretamente, com o presente conjunto de cláusulas nem prejudiquem os direitos ou liberdades fundamentais dos titulares dos dados.
O presente conjunto de cláusulas aplica-se sem prejuízo das obrigações a que o exportador de dados esteja sujeito ao abrigo do Regulamento (UE) 2016/679.

Cláusula 3. Terceiros beneficiários

Os titulares dos dados podem invocar o presente conjunto de cláusulas contra o exportador e/ou o importador de dados, enquanto terceiros beneficiários, e exigir o seu cumprimento, com as seguintes exceções:

Cláusulas 1, 2, 3, 6 e 7;
Cláusula 8: [módulo um] cláusula 8.5, alínea e), e cláusula 8.9, alínea b); [módulo dois] cláusula 8.1, alínea b), e cláusula 8.9, alíneas a), c), d) e e); [módulo três] cláusula 8.1, alíneas a), c) e d), e cláusula 8.9, alíneas a), c), d), e), f) e g); [módulo quatro] cláusula 8.1, alínea b), e cláusula 8.3, alínea b);
Cláusula 9: [módulo dois] cláusula 9, alíneas a), c), d) e e); [módulo três] cláusula 9, alíneas a), c), d) e e);
Cláusula 12: [módulo um] cláusula 12, alíneas a) e d); [módulos dois e três] cláusula 12, alíneas a), d) e f);
Cláusula 13;
Cláusula 15.1, alíneas c), d) e e);
Cláusula 16, alínea e);
Cláusula 18: [módulos um, dois e três] cláusula 18, alíneas a) e b); [módulo quatro] cláusula 18.

O disposto na alínea a) aplica-se sem prejuízo dos direitos que o Regulamento (UE) 2016/679 confere aos titulares dos dados.

Cláusula 4. Interpretação

Sempre que o presente conjunto de cláusulas utilize termos definidos no Regulamento (UE) 2016/679, presume-se que os mesmos têm o significado estabelecido nesse Regulamento.
O presente conjunto de cláusulas deve ser lido e interpretado em conformidade com as disposições do Regulamento (UE) 2016/679.
O presente conjunto de cláusulas não pode ser interpretado de forma a entrar em conflito com os direitos e obrigações previstos no Regulamento (UE) 2016/679.

Cláusula 5. Hierarquia

Em caso de contradição entre o presente conjunto de cláusulas e as disposições de acordos conexos entre as partes vigentes à data de celebração ou entrada em vigor do presente conjunto de cláusulas, prevalecerá o presente conjunto de cláusulas.

Cláusula 6. Descrição da transferência ou transferências

Os dados objeto da transferência ou transferências, nomeadamente as categorias de dados pessoais transferidos e os fins para os quais se transferem, estão especificados no anexo I.B.

Cláusula 7 (opcional). Cláusula de adesão

Qualquer entidade que não seja parte no presente conjunto de cláusulas pode, com o consentimento prévio de todas as partes, aderir ao presente conjunto de cláusulas em qualquer momento, seja como exportador de dados ou como importador de dados, preenchendo o apêndice e assinando o anexo I.A.
Após o preenchimento do apêndice e a assinatura do anexo I.A, a entidade aderente será considerada parte no presente conjunto de cláusulas, com os direitos e obrigações de um exportador de dados ou de um importador de dados, conforme a categoria em que esteja inscrita no anexo I.A.
A entidade aderente não adquire direitos nem assume obrigações decorrentes do presente conjunto de cláusulas relativos ao período anterior à adesão.

SEÇÃO II: OBRIGAÇÕES DAS PARTES

Cláusula 8. Garantias em matéria de proteção de dados

O exportador de dados garante que tomou medidas razoáveis para determinar que o importador de dados pode, aplicando medidas técnicas e organizativas adequadas, cumprir as obrigações que lhe são atribuídas pelo presente conjunto de cláusulas.

8.1. Instruções

O importador de dados apenas tratará os dados pessoais de acordo com instruções documentadas do exportador de dados. O exportador de dados poderá fornecer tais instruções durante todo o período de vigência do contrato. O importador de dados informará imediatamente o exportador de dados caso não consiga seguir essas instruções.

8.2. Limitação da finalidade

O importador de dados tratará os dados pessoais exclusivamente para os fins específicos da transferência indicados no anexo I.B, salvo quando seguir instruções adicionais do exportador de dados.

8.3. Transparência

A pedido, o exportador de dados disponibilizará gratuitamente ao interessado uma cópia do presente conjunto de cláusulas, incluindo o apêndice preenchido pelas partes. Na medida em que seja necessário para proteger segredos comerciais ou outro tipo de informação confidencial, como as medidas descritas no anexo II e dados pessoais, o exportador de dados poderá expurgar o texto do apêndice antes de partilhar uma cópia, mas deverá fornecer um resumo significativo se, caso contrário, o interessado não puder compreender o conteúdo do apêndice ou exercer os seus direitos. A pedido, as partes comunicarão ao interessado os motivos do expurgo, na medida do possível sem revelar a informação expurgada. A presente cláusula não prejudica as obrigações que os artigos 13 e 14 do Regulamento (UE) 2016/679 impõem ao exportador de dados.

8.4. Precisão

Se o importador de dados tiver conhecimento de que os dados pessoais recebidos são imprecisos ou ficaram desatualizados, informará imediatamente o exportador de dados. Neste caso, o importador de dados colaborará com o exportador de dados para suprimir ou corrigir os dados.

8.5. Duração do tratamento e supressão ou devolução dos dados

O tratamento por parte do importador de dados será realizado apenas durante o período especificado no anexo I.B. Uma vez prestados os serviços de tratamento, o importador de dados eliminará, a pedido do exportador de dados, todos os dados pessoais tratados por conta deste e acreditará o exportador de dados de que o fez, ou devolverá todos os dados pessoais tratados em seu nome e eliminará as cópias existentes. Até que os dados sejam destruídos ou devolvidos, o importador de dados continuará a garantir o cumprimento do presente conjunto de cláusulas. Se a legislação do país aplicável ao importador de dados proibir a devolução ou destruição dos dados pessoais, o importador de dados compromete-se a continuar a garantir o cumprimento do presente conjunto de cláusulas e só tratará os dados na medida e pelo tempo que a legislação do país exigir. O exposto não prejudica a cláusula 14 e, em particular, a obrigação desta em informar o exportador de dados durante todo o período de vigência do contrato se houver motivos para acreditar que o importador de dados esteve ou está sujeito a normas ou práticas que não cumprem os requisitos da cláusula 14, alínea a).

8.6. Segurança do tratamento

O importador de dados e, durante a transferência, também o exportador de dados aplicarão medidas técnicas e organizativas adequadas para garantir a segurança dos dados; em particular, para proteção contra violações de segurança que causem a destruição, perda ou alteração acidental ou ilícita de dados pessoais, ou comunicação ou acesso não autorizados (doravante, «violação da segurança dos dados pessoais»). Ao determinar o nível adequado de segurança, as partes terão devidamente em conta o estado da técnica, os custos de aplicação, a natureza, o alcance, o contexto e os fins do tratamento, bem como os riscos que o tratamento apresenta para os interessados. As partes deverão considerar, em particular, a utilização de encriptação ou pseudonimização, especialmente durante a transmissão, caso isso permita atingir a finalidade do tratamento. No caso de pseudonimização, a informação adicional necessária para atribuir os dados pessoais a um interessado específico ficará, na medida do possível, sob o controlo exclusivo do exportador de dados. No cumprimento das obrigações que lhe são impostas pelo presente parágrafo, o importador de dados aplicará, no mínimo, as medidas técnicas e organizativas descritas no anexo II. O importador de dados realizará controlos periódicos para garantir que estas medidas continuam a proporcionar um nível adequado de segurança.

O importador de dados só concederá acesso aos dados pessoais aos membros do seu pessoal na medida estritamente necessária para a execução, gestão e monitorização do contrato. Garantirá que as pessoas autorizadas a tratar os dados pessoais tenham assumido um compromisso de confidencialidade ou estejam sujeitas a uma obrigação de confidencialidade de natureza estatutária.

Em caso de violação da segurança dos dados pessoais tratados pelo importador de dados nos termos do presente conjunto de cláusulas, o importador de dados adotará medidas adequadas para remediar a situação e, em particular, medidas para mitigar os efeitos negativos. O importador de dados notificará igualmente o exportador de dados sem demora indevida assim que tomar conhecimento da violação de segurança. A notificação incluirá os dados de um ponto de contacto onde se possa obter mais informações, uma descrição da natureza da violação (incluindo, sempre que possível, as categorias e o número aproximado de interessados e registos de dados pessoais afetados), as consequências prováveis e as medidas adotadas ou propostas para remediar a violação da segurança, nomeadamente, quando aplicável, as medidas para mitigar os efeitos negativos. Quando e na medida em que não seja possível fornecer toda a informação de uma só vez, a notificação inicial deverá incluir a informação disponível no momento e, à medida que mais informação seja recolhida, a informação adicional deverá ser fornecida sem demora indevida.

O importador de dados deverá colaborar com o exportador de dados e ajudá-lo a cumprir as obrigações que lhe são atribuídas pelo Regulamento (UE) 2016/679, nomeadamente em relação à notificação à autoridade de controlo competente e aos interessados afetados, tendo em conta a natureza do tratamento e a informação de que o importador de dados dispuser.

8.7. Dados sensíveis

Na medida em que a transferência inclua dados pessoais que revelem a origem étnica ou racial, as opiniões políticas, as crenças religiosas ou filosóficas, a filiação sindical, dados genéticos ou dados biométricos destinados a identificar de forma única uma pessoa singular, dados relativos à saúde ou dados relativos à vida sexual ou à orientação sexual de uma pessoa singular, ou dados relativos a condenações e infrações penais (doravante, «dados sensíveis»), o importador de dados aplicará as restrições específicas e/ou as garantias adicionais descritas no anexo I.B.

8.8. Transferências subsequentes

O importador de dados só comunicará os dados pessoais a um terceiro de acordo com instruções documentadas do exportador de dados. Por outro lado, os dados só poderão ser comunicados a terceiros situados fora da União Europeia (4) (no mesmo país que o importador de dados ou noutro país terceiro; doravante, «transferência subsequente») se o terceiro estiver vinculado ao presente conjunto de cláusulas ou consentir em sujeitar-se a estas, escolhendo o módulo correspondente, ou se:

a transferência subsequente for destinada a um país sobre o qual tenha recaído uma decisão de adequação, nos termos do artigo 45 do Regulamento (UE) 2016/679, que cubra a transferência subsequente;
o terceiro fornecer de outra forma garantias adequadas, nos termos dos artigos 46 ou 47 do Regulamento (UE) 2016/679, relativamente ao tratamento em questão;
se a transferência subsequente for necessária para a formulação, exercício ou defesa de reclamações no âmbito de processos administrativos, regulamentares ou judiciais específicos; ou
se a transferência subsequente for necessária para proteger interesses vitais do interessado ou de outra pessoa singular.

A validade das transferências subsequentes depende de o importador de dados fornecer as demais garantias previstas no presente conjunto de cláusulas e, em particular, a limitação da finalidade.

8.9. Documentação e cumprimento

O importador de dados resolverá de forma célere e adequada as consultas do exportador de dados relacionadas com o tratamento nos termos do presente conjunto de cláusulas.
As partes deverão ser capazes de demonstrar o cumprimento do presente conjunto de cláusulas. Em particular, o importador de dados manterá documentação suficiente das atividades de tratamento realizadas por conta do exportador de dados.
O importador de dados colocará à disposição do exportador de dados toda a informação necessária para demonstrar o cumprimento das obrigações previstas no presente conjunto de cláusulas e, a pedido do exportador de dados, permitirá e contribuirá para a realização de auditorias das atividades de tratamento cobertas pelo presente conjunto de cláusulas, a intervalos razoáveis ou caso existam indícios de incumprimento. Ao decidir se realiza ou não um exame ou auditoria, o exportador de dados poderá ter em conta as certificações pertinentes que o importador de dados detenha.
O exportador de dados poderá optar por realizar a auditoria por si mesmo ou autorizar um auditor independente. As auditorias poderão consistir em inspeções das instalações físicas ou locais do importador de dados e, quando aplicável, realizar-se com um aviso prévio razoável.
As partes colocarão à disposição da autoridade de controlo competente, a pedido desta, a informação a que se referem as alíneas b) e c) e, em particular, os resultados das auditorias.

Cláusula 9. Uso de Subcontratantes

O importador de dados não subcontratará nenhuma das suas atividades de tratamento realizadas em nome do exportador de dados ao abrigo das presentes cláusulas a um subcontratante sem a autorização prévia específica por escrito do exportador de dados. O importador de dados apresentará o pedido de autorização específica pelo menos trinta (30) dias naturais antes da contratação do subcontratante, juntamente com a informação necessária para que o exportador de dados possa decidir sobre a autorização. A lista de subcontratantes já autorizados pelo exportador de dados encontra-se no Anexo III. As Partes manterão atualizado o Anexo III.
Quando o importador de dados recorra a um subcontratante para realizar atividades específicas de tratamento (por conta do exportador de dados), fará isso por meio de um contrato escrito que estabeleça, essencialmente, as mesmas obrigações em matéria de proteção de dados que as impostas ao importador de dados ao abrigo do presente conjunto de cláusulas, especialmente no que diz respeito aos direitos dos interessados enquanto terceiros beneficiários (8). As Partes concordam que, ao cumprir o presente conjunto de cláusulas, o importador de dados também cumpre as obrigações que lhe são atribuídas pela cláusula 8.8. O importador de dados assegurará que o subcontratante cumpra as obrigações que lhe sejam atribuídas pelo presente conjunto de cláusulas.
O importador de dados fornecerá ao exportador de dados, a pedido deste, uma cópia do contrato com o subcontratante e de qualquer modificação posterior do mesmo. Na medida em que seja necessário para proteger segredos comerciais ou outro tipo de informação confidencial, como dados pessoais, o importador de dados poderá expurgar o texto do contrato antes de partilhar a cópia.
O importador de dados continuará a ser plenamente responsável perante o exportador de dados pelo cumprimento das obrigações impostas ao subcontratante pelo seu contrato com o importador de dados. O importador de dados notificará o exportador de dados sobre incumprimentos por parte do subcontratante das obrigações que lhe são atribuídas pelo referido contrato.
O importador de dados acordará com o subcontratante uma cláusula de terceiro beneficiário nos termos da qual, caso o importador de dados desapareça de facto, cesse de existir juridicamente ou seja insolvente, o exportador de dados terá o direito de rescindir o contrato com o subcontratante e ordenar-lhe que suprima ou devolva os dados pessoais.

Cláusula 10. Direitos do interessado

O importador de dados notificará com celeridade o exportador de dados sobre as solicitações que receber do interessado. Não responderá a tal solicitação por si próprio, a menos que o exportador de dados lhe tenha autorizado a fazê-lo.
O importador de dados ajudará o exportador de dados a cumprir as suas obrigações ao responder às solicitações de exercício de direitos que o Regulamento (UE) 2016/679 atribui aos interessados. A este respeito, as partes estabelecerão no anexo II medidas técnicas e organizativas apropriadas, tendo em conta a natureza do tratamento, pelas quais se garantirá que será prestada ajuda ao responsável pelo tratamento para aplicar a presente cláusula, bem como o objeto e o alcance da ajuda requerida.

No cumprimento das obrigações atribuídas pelas alíneas a) e b), o importador de dados seguirá as instruções do exportador de dados.

Cláusula 11. Reparação

O importador de dados informará os interessados, de forma transparente e num formato de fácil acesso, através de notificação individual ou no seu website, sobre o ponto de contacto autorizado para tratar das reclamações. Este tratará com celeridade as reclamações que receber dos interessados.
O importador de dados aceita que os interessados possam também apresentar uma reclamação junto de um organismo independente de resolução de litígios sem custo algum para o interessado. Informará os interessados, na forma estabelecida na alínea a), sobre tal mecanismo de recurso e sobre o facto de não estarem obrigados a utilizá-lo nem a seguir uma sequência determinada para solicitar o recurso.

Em caso de litígio entre um interessado e uma das Partes no que diz respeito ao cumprimento das presentes cláusulas, essa Parte fará todo o possível por resolver a questão de forma amigável, no momento oportuno. As Partes manter-se-ão mutuamente informadas sobre tais litígios e, se for o caso, cooperarão para resolvê-los.
Quando o interessado invocar um direito de terceiro beneficiário ao abrigo da cláusula 3, o importador de dados aceitará a decisão do interessado de apresentar uma reclamação junto da autoridade de controlo do Estado membro da sua residência habitual ou local de trabalho, ou junto da autoridade de controlo competente ao abrigo da cláusula 13; submeter o litígio aos tribunais competentes no sentido da cláusula 18.
As Partes aceitam que o interessado possa ser representado por um organismo, organização ou associação sem fins lucrativos nas condições estabelecidas no artigo 80, n.º 1, do Regulamento (UE) 2016/679.

O importador de dados cumprirá uma decisão vinculativa ao abrigo do Direito da UE ou dos Estados membros aplicável.
O importador de dados concorda que a escolha realizada pelo interessado não prejudicará os seus direitos substantivos e processuais de interpor recursos, nos termos da legislação aplicável.

Cláusula 12. Responsabilidade

Cada uma das Partes será responsável perante a outra(s) pelas perdas e danos que cause à(s) outra(s) por incumprimento das presentes cláusulas.

O importador de dados será responsável perante o interessado, e este terá o direito a receber indemnização, por qualquer dano material ou imaterial que o importador de dados ou o seu subcontratante cause ao interessado por infringir os direitos de terceiros beneficiários ao abrigo das presentes cláusulas.

Não obstante o disposto na alínea b), o exportador de dados será responsável perante o interessado, e este terá o direito a ser indemnizado, pelos danos materiais ou imateriais que o exportador de dados ou o importador de dados (ou o seu subcontratante) cause ao interessado por violação dos direitos de terceiros beneficiários ao abrigo das presentes cláusulas. Isto entende-se sem prejuízo da responsabilidade do exportador de dados e, quando o exportador de dados for um processador a atuar em nome de um controlador, da responsabilidade do controlador ao abrigo do Regulamento (UE) 2016/679 ou do Regulamento (UE) 2018/1725, conforme aplicável.

As Partes acordam que, se o exportador de dados for considerado responsável ao abrigo da alínea c) pelos danos causados pelo importador de dados (ou seu subcontratante), terá o direito de reclamar ao importador de dados a parte da indemnização correspondente à responsabilidade do importador de dados pelos danos.

Quando mais de uma Parte for responsável por qualquer dano causado ao interessado em consequência de uma infracção das presentes cláusulas, todas as Partes responsáveis serão solidariamente responsáveis e o interessado terá o direito de interpor ação judicial contra qualquer uma dessas Partes.

As Partes acordam que, se uma delas for considerada responsável ao abrigo da alínea e), terá o direito de reclamar à(s) outra(s) Parte(s) a parte da indemnização correspondente à sua responsabilidade pelo dano.
O importador de dados não poderá invocar a conduta de um subcontratante para evitar a sua própria responsabilidade.

Cláusula 13. Supervisão

Quando o exportador de dados esteja estabelecido num Estado membro da UE:
Agirá como autoridade de controlo competente a autoridade de controlo responsável por garantir o cumprimento, por parte do exportador de dados, do Regulamento (UE) 2016/679 no que respeita à transferência de dados, conforme indicado no anexo I.C.

Quando o exportador de dados não esteja estabelecido num Estado membro da UE, mas entre no âmbito territorial de aplicação do Regulamento (UE) 2016/679 nos termos do seu artigo 3.º, n.º 2, sem que, no entanto, tenha de designar um representante ao abrigo do artigo 27.º, n.º 2, do Regulamento (UE) 2016/679:
Agirá como autoridade de controlo competente a autoridade de controlo de um dos Estados membros em que se encontrem os interessados cujos dados pessoais sejam transferidos ao abrigo das presentes Cláusulas, em relação à oferta de bens ou serviços a esses interessados, ou cujo comportamento seja monitorizado, conforme indicado no Anexo I.C.
O importador de dados aceita submeter-se à jurisdição da autoridade de controlo competente e cooperar com ela em qualquer procedimento destinado a garantir o cumprimento das presentes cláusulas. Em particular, o importador de dados compromete-se a responder a investigações, a submeter-se a auditorias e a cumprir as medidas adotadas pela autoridade de controlo, incluindo as medidas corretivas e compensatórias. Facilitará à autoridade de controlo uma confirmação por escrito de que as medidas necessárias foram adotadas.

SEÇÃO III: DIREITO LOCAL E OBRIGAÇÕES EM CASO DE ACESSO POR PARTE DAS AUTORIDADES PÚBLICAS

Cláusula 14. Direito e práticas locais que afetam o cumprimento das cláusulas

As partes asseguram que não têm motivos para crer que o Direito e as práticas do terceiro país de destino aplicáveis ao tratamento de dados pessoais pelo importador de dados, especialmente os requisitos para a comunicação dos dados pessoais ou as medidas de autorização de acesso por parte das autoridades públicas, impeçam o importador de dados de cumprir as obrigações que lhe são atribuídas pelo presente caderno de cláusulas. Tal afirmação baseia-se na premissa de que não se opõem ao presente caderno de cláusulas o Direito e as práticas que respeitem essencialmente os direitos e liberdades fundamentais e não excedam o que é necessário e proporcional numa sociedade democrática para salvaguardar um dos objetivos enumerados no artigo 23.º, n.º 1, do Regulamento (UE) 2016/679.

As partes declaram que, ao fornecer a garantia a que se refere a alínea a), tomaram devidamente em consideração, em particular, os seguintes aspetos:

as circunstâncias específicas da transferência, como o comprimento da cadeia de tratamento, o número de agentes envolvidos e os canais de transmissão utilizados; as transferências subsequentes previstas; o tipo de destinatário; a finalidade do tratamento; as categorias e o formato dos dados pessoais transferidos; o setor económico em que ocorre a transferência; o local de armazenamento dos dados transferidos;
o Direito e as práticas do terceiro país de destino — especialmente as que exijam a comunicação de dados às autoridades públicas ou a autorização do acesso dessas autoridades — que sejam pertinentes dadas as circunstâncias específicas da transferência, bem como as limitações e garantias aplicáveis;
as garantias contratuais, técnicas ou organizativas pertinentes fornecidas para complementar as garantias previstas no presente caderno de cláusulas, especialmente as medidas aplicadas durante a transferência e o tratamento dos dados pessoais no país de destino.

O importador de dados assegura que, ao realizar a avaliação a que se refere a alínea b), fez todo o possível para fornecer ao exportador de dados a informação pertinente e compromete-se a continuar a colaborar com o exportador de dados para garantir o cumprimento do presente caderno de cláusulas.

As partes acordam em documentar a avaliação a que se refere a alínea b) e disponibilizá-la à autoridade de controlo competente, mediante solicitação.

O importador de dados compromete-se a notificar prontamente o exportador de dados se, após se vincular ao presente caderno de cláusulas e durante o período de vigência do contrato, tiver motivos para crer que está ou esteve sujeito a legislação ou práticas que não cumpram os requisitos da alínea a), incluindo a partir de uma alteração da legislação no terceiro país ou de uma medida (como uma solicitação de comunicação) que indique a aplicação dessa legislação na prática de forma incompatível com os requisitos da alínea a).

Se a notificação a que se refere a alínea e) for realizada ou se o exportador de dados tiver motivos para crer que o importador de dados já não pode cumprir as obrigações atribuídas pelo presente caderno de cláusulas, o exportador de dados determinará prontamente as medidas adequadas (por exemplo, medidas técnicas ou organizativas para garantir a segurança e confidencialidade) que deverão ser adotadas pelo exportador de dados e/ou pelo importador de dados para remediar a situação [módulo três:, se for o caso, após consulta ao responsável]. O exportador de dados suspenderá a transferência dos dados se considerar que não existem garantias adequadas ou se assim for determinado [módulo três: o responsável ou] pela autoridade de controlo competente. Neste caso, o exportador de dados terá o direito de resolver o contrato no que se refere ao tratamento de dados pessoais nos termos do presente caderno de cláusulas. Se o contrato envolver mais de duas partes contratantes, o exportador de dados só poderá exercer este direito de resolução relativamente à parte relevante, salvo se as partes tiverem acordado de outra forma. Em caso de resolução do contrato ao abrigo desta cláusula, aplicar-se-á a cláusula 16, alíneas d) e e).

Cláusula 15. Obrigações do importador de dados em caso de acesso por parte das autoridades públicas

15.1. Notificação

O importador de dados compromete-se a notificar prontamente o exportador de dados e, quando possível, o interessado (se necessário, com a ajuda do exportador de dados) se:

receber uma solicitação juridicamente vinculativa de comunicação de dados pessoais transferidos nos termos do presente caderno de cláusulas, apresentada por uma autoridade pública (nomeadamente, judicial) em conformidade com a legislação do país de destino; tal notificação deverá conter informações sobre os dados pessoais solicitados, a autoridade requerente, a base jurídica da solicitação e a resposta dada; ou
tiver conhecimento de que as autoridades públicas acederam diretamente aos dados pessoais transferidos nos termos do presente caderno de cláusulas, em conformidade com a legislação do país de destino; tal notificação deverá incluir toda a informação de que disponha o importador de dados.

Se for proibido ao importador de dados enviar a notificação ao exportador de dados e/ou ao interessado em conformidade com a legislação do país de destino, o importador de dados compromete-se a fazer todo o possível para obter uma dispensa da proibição, a fim de comunicar toda a informação disponível o mais rapidamente possível. O importador de dados compromete-se a documentar as ações realizadas com esse fim, de forma a poder justificar a sua diligência, caso o exportador de dados o solicite.

Na medida em que a legislação do país de destino permita, o importador de dados compromete-se a fornecer ao exportador de dados, a intervalos regulares durante o período de vigência do contrato, a maior quantidade possível de informação pertinente sobre as solicitações recebidas (nomeadamente, o número de solicitações, o tipo de dados solicitados, a autoridade ou autoridades requerentes, a contestação das solicitações, o resultado dessas contestações, etc.).

O importador de dados compromete-se a conservar a informação referida nas alíneas a) a c) durante o período de vigência do contrato e a disponibilizá-la à autoridade de controlo competente, mediante solicitação.

As alíneas a) a c) são entendidas sem prejuízo da obrigação do importador de dados, prevista na cláusula 14, alínea e), e na cláusula 16, de informar prontamente o exportador de dados quando não possa cumprir o presente caderno de cláusulas.

15.2. Controlo da legalidade e minimização de dados

O importador de dados compromete-se a controlar a legalidade da solicitação de comunicação e, em particular, se a autoridade pública requerente está devidamente autorizada para tal, bem como a impugnar a solicitação se, após uma avaliação minuciosa, chegar à conclusão de que existem motivos razoáveis para considerar que a solicitação é ilícita ao abrigo do Direito do país de destino, incluindo as obrigações aplicáveis ao abrigo do Direito internacional e os princípios de cortesia internacional. O importador de dados esgotará, nas mesmas condições, as vias de recurso. Ao impugnar uma solicitação, o importador de dados solicitará a aplicação de medidas cautelares para suspender os efeitos da solicitação até que a autoridade judicial competente se tenha pronunciado sobre o mérito. Não comunicará os dados pessoais solicitados até que seja exigido pela normativa processual aplicável. Estes requisitos são entendidos sem prejuízo das obrigações que a cláusula 14, alínea e), atribui ao importador de dados.

O importador de dados compromete-se a documentar as suas avaliações jurídicas e as impugnações de solicitações de comunicação e a colocar essa documentação à disposição do exportador de dados na medida em que o Direito do país de destino o permita. Também colocará essa documentação à disposição da autoridade de controlo competente, mediante solicitação. [Módulo três: O exportador de dados colocará a avaliação à disposição do responsável.] O importador de dados compromete-se a fornecer a mínima informação possível ao responder às solicitações de comunicação, com base numa interpretação razoável da solicitação.

SEÇÃO IV: DISPOSIÇÕES FINAIS

Cláusula 16. Incumprimento das cláusulas e resolução do contrato

O importador de dados informará prontamente o exportador de dados caso não possa cumprir o presente caderno de cláusulas por qualquer motivo.

Caso o importador de dados não cumpra as obrigações que lhe são atribuídas pelo presente caderno de cláusulas, o exportador de dados suspenderá a transferência de dados pessoais para o importador de dados até que se volte a garantir o cumprimento ou se resolva o contrato. O exposto é entendido sem prejuízo da cláusula 14, alínea f).

O exportador de dados estará facultado a resolver o contrato no que diz respeito ao tratamento de dados pessoais, nos termos do presente caderno de cláusulas, quando:

o exportador de dados tenha suspendido a transferência de dados pessoais para o importador de dados ao abrigo da alínea b) e o cumprimento do presente caderno de cláusulas não seja restabelecido num prazo razoável e, em qualquer caso, num prazo de um mês a contar da suspensão;
o importador de dados viole de forma substancial ou persistente o presente caderno de cláusulas; ou
o importador de dados incumpla uma decisão vinculativa de um órgão jurisdicional ou autoridade de controlo competente relativamente às obrigações que lhe são atribuídas pelo presente caderno de cláusulas.

Neste caso, informará a autoridade de supervisão competente [módulo três: e ao responsável] do seu incumprimento. Se o contrato envolver mais de duas partes contratantes, o exportador de dados só poderá exercer este direito de resolução relativamente à parte relevante, salvo se as partes tiverem acordado de outra forma.

Os dados pessoais que tenham sido transferidos antes da resolução do contrato ao abrigo da alínea c) deverão, a escolha do exportador de dados, ser devolvidos imediatamente ao exportador de dados ou destruídos na sua totalidade. O mesmo será aplicável às cópias dos dados. [Módulo quatro: Os dados pessoais recolhidos pelo exportador de dados na UE que tenham sido transferidos antes da resolução do contrato ao abrigo da alínea c) deverão ser destruídos na sua totalidade imediatamente, assim como qualquer cópia desses dados.] O importador de dados deverá comprovar a destruição dos dados ao exportador de dados. Até que os dados sejam destruídos ou devolvidos, o importador de dados continuará a garantir o cumprimento do presente caderno de cláusulas. Se o Direito do país aplicável ao importador de dados proibir a devolução ou destruição dos dados pessoais transferidos, o importador de dados compromete-se a continuar a garantir o cumprimento do presente caderno de cláusulas e tratará os dados apenas na medida e pelo período de tempo exigidos pelo Direito do país.

Nenhuma das partes poderá revogar o seu consentimento para se vincular ao presente caderno de cláusulas se: i) a Comissão Europeia adotar uma decisão nos termos do artigo 45.º, n.º 3, do Regulamento (UE) 2016/679 que regule a transferência de dados pessoais a que se aplique o presente caderno de cláusulas; ou ii) o Regulamento (UE) 2016/679 passe a fazer parte da ordem jurídica do país para o qual os dados pessoais são transferidos. Isto é entendido sem prejuízo de outras responsabilidades que sejam aplicáveis ao tratamento em questão nos termos do Regulamento (UE) 2016/679.

Cláusula 17. Direito aplicável

As presentes cláusulas serão regidas pela legislação de um dos Estados-membros da UE, sempre que essa legislação permita os direitos dos terceiros beneficiários. As partes acordam que esta será a lei de Espanha.

Cláusula 18. Eleição do foro e jurisdição

Qualquer controvérsia derivada do presente caderno de cláusulas será resolvida judicialmente em um Estado-membro da União Europeia. As partes acordam que serão os tribunais de Espanha a resolvê-la. Os interessados também poderão exercer ações judiciais contra o exportador de dados e/ou o importador de dados no Estado-membro onde o interessado tenha a sua residência habitual. As partes acordam submeter-se à jurisdição desse Estado-membro.

Cláusula 19. Salvaguardas adicionais

O importador de dados compromete-se a aplicar as garantias adicionais especificadas no Epígrafe 3: Medidas de segurança.

APÊNDICE

ANEXO I

LISTA DE PARTES

Exportador(es) de dados:

Nome: E-COORDINA GESTIÓN DOCUMENTAL S.L. – B20572996
Endereço: Zuatzu, 1, Donostia 20018, Espanha
Nome, cargo e dados da pessoa de contacto: Lorenzo de Zavala, Representante Legal, administracion@e-coordina.com
Atividades relacionadas com os dados transferidos ao abrigo destas cláusulas:
O importador de dados presta os Serviços ao exportador de dados nos termos de um acordo celebrado entre as partes.
Os serviços consistem na prestação de serviços de revisão, validação e envio de documentação para plataformas de coordenação empresarial.

Lorenzo de Zavala
4/12/2023
Função: Responsável pelo Tratamento.

Importador(es) de dados:

Nome: E-COORDINA LATAM S.A.S. – 901099934-8
Endereço: Calle 40a 13-09, Bogotá D.C., Colômbia
Nome, cargo e dados da pessoa de contacto: Luis de los Santos, Representante Legal, administracion@e-coordina.com
Atividades relacionadas com os dados transferidos ao abrigo destas cláusulas:
O importador de dados presta os serviços de revisão, validação e envio de documentação para plataformas de coordenação empresarial aplicáveis ao exportador de dados, conforme o Acordo entre as partes.

Luis de los Santos
4/12/2023
Função: Responsável pelo Tratamento.

DESCRIÇÃO DA TRANSFERÊNCIA

Categorias de interessados cujos dados pessoais são transferidos

Trabalhadores de clientes/contratantes.

Categorias de dados pessoais transferidos

Dados identificativos (nome e apelido), cargo, correio eletrónico e telefone dos utilizadores da aplicação do cliente.
Dados identificativos (nome e apelido), cargo, correio eletrónico e telefone dos contratantes do cliente.
Dados identificativos (nome e apelido), cargo, correio eletrónico e telefone dos clientes dos nossos clientes.
Dados identificativos (nome e apelido), dados laborais e de prevenção de riscos laborais (coordenação empresarial) dos trabalhadores do contratante.

Atividades de tratamento.

Frequência da transferência: Contínua.
Natureza do tratamento:
A natureza do tratamento consiste na prestação dos Serviços ao Responsável pelo Tratamento, em conformidade com o Contrato, e de acordo com as instruções adicionais que o Responsável pelo Tratamento fornecer.

Finalidade da transferência de dados e do tratamento subsequente
Prestação de serviços de revisão, validação e envio de documentação para plataformas de coordenação empresarial. Não há tratamento subsequente após a finalização do acordo.

Período durante o qual os dados pessoais serão retidos ou, se não for possível, os critérios utilizados para determinar esse período
O importador de dados conservará os Dados Pessoais Transferidos até à sua eliminação, conforme as orientações do exportador de dados, que consistem na destruição ou devolução dos dados.

Não há subcontratação.

AUTORIDADE DE SUPERVISÃO COMPETENTE
Agência Espanhola de Proteção de Dados. C/ Jorge Juan, 6. 28001 – Madrid. Tel. 900 293 183. www.aepd.es

ANEXO II – MEDIDAS TÉCNICAS E ORGANIZATIVAS, INCLUINDO MEDIDAS TÉCNICAS E ORGANIZATIVAS PARA GARANTIR A SEGURANÇA DOS DADOS

Políticas de segurança da informação: implementar políticas de segurança da informação que estabeleçam os padrões e procedimentos para proteger os dados pessoais transferidos. A empresa estabelece políticas e procedimentos para a proteção da transferência de informação com o objetivo de evitar a sua intercepção, cópia, modificação ou destruição não autorizada.
Trabalhar a revisão e validação documental exclusivamente em remoto com os sistemas informáticos do responsável, ficando expressamente proibido descarregar documentação que contenha dados pessoais nos sistemas informáticos próprios do responsável no país de localização.
Cifra de dados: cifrar toda a informação sensível durante a transferência e armazenamento para evitar acessos não autorizados.
Controlo de acesso: implementar sistemas de controlo de acesso que limitem o acesso aos dados exclusivamente a pessoal autorizado, mediante a atribuição de funções e permissões. As instalações serão protegidas através de um controlo físico de entrada que garanta o acesso apenas ao pessoal autorizado. Qualquer visita será supervisionada e controlada.
Monitorização e registo de acessos: estabelecer um sistema de monitorização e registo de acessos para registar e supervisionar todas as atividades relacionadas com os dados transferidos. A empresa realiza a supervisão dos seus sistemas de informação e processamento alojados na nuvem, através do serviço Microsoft Azure Monitor, para detetar atividades não autorizadas e registar como incidentes de segurança, revendo os registos de operações e falhas dos seus sistemas para identificar problemas.
A empresa gere e controla a sua rede para a proteger contra possíveis acessos não autorizados, mantendo a segurança dos seus sistemas e aplicações que a utilizam, incluindo também a informação em trânsito.
Atualizações e patches de segurança: manter todos os sistemas e aplicações atualizados com os últimos patches de segurança para mitigar vulnerabilidades. As vulnerabilidades identificadas em ambientes críticos serão registadas e será designada uma pessoa responsável pela gestão e coordenação das correções da vulnerabilidade.
Proteção contra malware: implementar medidas de proteção contra malware, como firewalls, antivírus e antimalware, para prevenir infeções e ataques cibernéticos. A empresa implementa controlos para deteção, prevenção e recuperação que protegem os sistemas de informação, juntamente com a devida consciencialização do pessoal. A empresa estabelece estas políticas para manter a confidencialidade, disponibilidade e integridade da informação nos seus sistemas.
Backup e recuperação de dados: estabelecer procedimentos de backup regular dos dados transferidos e sistemas de recuperação em caso de falhas ou incidentes de segurança.
Formação e consciencialização do pessoal: fornecer formação e consciencialização regular sobre segurança da informação ao pessoal para garantir o cumprimento das políticas e procedimentos estabelecidos.
Auditorias de segurança: realizar auditorias de segurança periódicas para avaliar a eficácia das medidas implementadas e detetar possíveis vulnerabilidades.
Gestão de incidentes de segurança: estabelecer um plano de gestão de incidentes de segurança que inclua a notificação oportuna de qualquer violação de segurança ao responsável pela proteção de dados e às autoridades competentes.
Avaliação de riscos: realizar avaliações periódicas de riscos de segurança da informação para identificar e mitigar possíveis ameaças e vulnerabilidades.

Estas medidas técnicas e organizativas ajudarão a garantir a segurança dos dados transferidos fora da União Europeia, cumprindo assim os requisitos de proteção de dados estabelecidos no Contrato de Cláusulas Contratuais Padrão.

ANEXO III – LISTA DE SUBENCARREGADOS DO TRATAMENTO

E-COORDINA LATAM S.A.S.	E-COORDINA GESTIÓN DOCUMENTAL S.L.
Nombre: Luis de los Santos Cargo: Representante Legal	Nombre: Lorenzo de Zavala Cargo: Representante Legal