Contrato de Tratamento de Dados

Responsável pelo tratamento: o Cliente do serviço Kontevia, uma empresa ou trabalhador independente que trata dados pessoais contidos nos seus documentos contabilísticos e noutros dados submetidos ao Serviço.

Subcontratante: Eucalypt 4 s.r.o., Jicinska 226/17, Zizkov, 130 00 Praha 3, República Checa, NIPC 22103741, registada no Registo Comercial mantido pelo Tribunal Municipal de Praga, processo n.º C 410771. Contacto para proteção de dados: hello@kontevia.com.

1.1. Este Contrato regula os direitos e obrigações das partes no âmbito do tratamento de dados pessoais efetuado pelo Subcontratante por conta do Responsável pelo tratamento no âmbito da prestação do serviço Kontevia (o "Serviço").

1.2. Este Contrato faz parte integrante dos Termos e Condições e produz efeitos a partir do registo do Responsável pelo tratamento no Serviço. Aplica-se enquanto o Subcontratante tratar dados pessoais por conta do Responsável pelo tratamento.

2.1. O Subcontratante trata dados pessoais unicamente para efeitos da prestação do Serviço, nomeadamente:

• receção e digitalização de documentos contabilísticos submetidos por chat, e-mail ou carregamento;
• extração de dados de documentos através de reconhecimento ótico de carateres e modelos automatizados de extração;
• categorização, deteção de duplicados e propostas de tratamento de IVA;
• emissão de faturas e outros documentos por instrução do Responsável pelo tratamento;
• importação de transações bancárias ligadas pelo Responsável pelo tratamento e a sua conciliação com documentos;
• elaboração de resumos, relatórios e exportações para o sistema contabilístico ou o contabilista do Responsável pelo tratamento;
• armazenamento de documentos e dados no Serviço durante a vigência do contrato e o período de exportação.

2.2. O Subcontratante trata dados pessoais apenas mediante instruções documentadas do Responsável pelo tratamento, incluindo instruções relativas a transferências para países terceiros, salvo se tal for exigido pelo direito da União ou de um Estado-Membro; nesse caso, o Subcontratante informa o Responsável pelo tratamento antes do tratamento, salvo se a lei o proibir.

3.1. Titulares dos dados: os parceiros comerciais do Responsável pelo tratamento (fornecedores, clientes, pessoas de contacto), os funcionários e colaboradores do Responsável pelo tratamento quando sejam processados documentos de vencimentos ou despesas, e os próprios utilizadores do Serviço do Responsável pelo tratamento.

3.2. Categorias de dados pessoais: dados de identificação (nome, empresa, números de identificação de empresa e de IVA); dados de contacto (morada, e-mail, telefone); dados financeiros (valores faturados, números de conta bancária, referências de pagamento); dados laborais quando sejam submetidos documentos de vencimentos (cargo, salário, identificadores de segurança social); dados de utilização dos utilizadores do Responsável pelo tratamento.

3.3. O Subcontratante não exige categorias especiais de dados na aceção do Artigo 9 do RGPD. O Responsável pelo tratamento compromete-se a não submeter esses dados através do Serviço, salvo se estiverem contidos num documento que seja legalmente obrigado a conservar, caso em que o Responsável pelo tratamento é responsável pela base jurídica.

O Subcontratante compromete-se a:

• tratar dados pessoais apenas mediante instruções documentadas do Responsável pelo tratamento e apenas na medida necessária para o Serviço;
• assegurar que as pessoas autorizadas a tratar dados pessoais assumiram um compromisso de confidencialidade ou estão sujeitas a uma obrigação legal adequada de confidencialidade;
• implementar as medidas técnicas e organizativas exigidas pelo Artigo 32 do RGPD, em particular as indicadas no Anexo a este Contrato;
• não subcontratar outro subcontratante sem autorização prévia geral e escrita do Responsável pelo tratamento, a qual é concedida nos termos do Artigo 6 deste Contrato;
• tendo em conta a natureza do tratamento, prestar assistência ao Responsável pelo tratamento através de medidas técnicas e organizativas adequadas para responder a pedidos dos titulares dos dados no exercício dos seus direitos;
• prestar assistência ao Responsável pelo tratamento no cumprimento dos Artigos 32 a 36 do RGPD (segurança, notificação de violações, avaliação de impacto sobre a proteção de dados, consulta prévia), tendo em conta a natureza do tratamento e a informação disponível ao Subcontratante;
• à escolha do Responsável pelo tratamento, eliminar ou devolver todos os dados pessoais após o termo da prestação do Serviço e eliminar as cópias existentes, salvo se o direito da União ou de um Estado-Membro exigir a sua conservação;
• disponibilizar ao Responsável pelo tratamento todas as informações necessárias para demonstrar o cumprimento do Artigo 28 do RGPD e permitir e contribuir para auditorias, incluindo inspeções, realizadas pelo Responsável pelo tratamento ou por um auditor por este mandatado;
• informar imediatamente o Responsável pelo tratamento se, na sua opinião, uma instrução violar o RGPD ou outras disposições de proteção de dados da União ou de um Estado-Membro.

5.1. O Subcontratante notifica o Responsável pelo tratamento de qualquer violação de dados pessoais sem demora injustificada e no prazo máximo de 48 horas após ter tomado conhecimento da mesma.

5.2. A notificação contém, pelo menos: uma descrição da natureza da violação, incluindo, sempre que possível, as categorias e o número aproximado de titulares e registos afetados; o nome e os dados de contacto da pessoa responsável; uma descrição das consequências prováveis; e uma descrição das medidas tomadas ou propostas para resolver a violação e mitigar os seus efeitos.

5.3. O Subcontratante coopera com o Responsável pelo tratamento no cumprimento das obrigações de notificação deste último perante a autoridade de controlo competente e os titulares dos dados.

6.1. O Responsável pelo tratamento concede uma autorização geral para que o Subcontratante recorra a subcontratantes para o tratamento de dados pessoais.

6.2. A lista atual de subcontratantes, com a finalidade e localização de cada um, é publicada na página de Subcontratantes do sítio web do Subcontratante e constitui um anexo a este Contrato.

6.3. O Subcontratante informa o Responsável pelo tratamento de qualquer adição ou substituição prevista de subcontratantes com, pelo menos, 14 dias de antecedência, por e-mail para o endereço de contacto do Responsável pelo tratamento ou por aviso no Serviço, dando ao Responsável pelo tratamento a oportunidade de deduzir oposição.

6.4. Se o Responsável pelo tratamento apresentar uma objeção justificada no prazo de 14 dias a contar do aviso, o Subcontratante desiste da alteração prevista ou oferece ao Responsável pelo tratamento a possibilidade de rescindir o contrato sem penalização e com reembolso das taxas pré-pagas relativas ao período não utilizado.

6.5. O Subcontratante impõe a cada subcontratante, por via contratual, as mesmas obrigações de proteção de dados previstas neste Contrato, em particular garantias suficientes para a implementação de medidas técnicas e organizativas adequadas. Caso um subcontratante não cumpra as suas obrigações, o Subcontratante permanece integralmente responsável perante o Responsável pelo tratamento pelo cumprimento das obrigações desse subcontratante.

7.1. Os dados pessoais são armazenados em servidores localizados na União Europeia. O Subcontratante não transfere dados pessoais para fora do Espaço Económico Europeu, exceto para subcontratantes indicados na página de Subcontratantes e apenas com garantias adequadas nos termos do Capítulo V do RGPD.

7.2. Essas transferências baseiam-se numa decisão de adequação da Comissão Europeia (incluindo o Quadro de Proteção de Dados UE-EUA para destinatários certificados), nas cláusulas contratuais-tipo adotadas pela Comissão nos termos do Artigo 46.º, n.º 2, alínea c), do RGPD, ou noutras garantias adequadas, complementadas por medidas adicionais sempre que uma avaliação de impacto da transferência as exija.

8.1. O Subcontratante presta ao Responsável pelo tratamento assistência razoável no tratamento de pedidos dos titulares dos dados relativos ao exercício dos seus direitos ao abrigo dos Artigos 15 a 22 do RGPD (acesso, retificação, apagamento, limitação, portabilidade, oposição). O Serviço inclui funções de pesquisa, exportação e eliminação que permitem ao Responsável pelo tratamento resolver diretamente a maioria dos pedidos.

8.2. Se um titular dos dados contactar diretamente o Subcontratante, o Subcontratante encaminha o titular dos dados para o Responsável pelo tratamento sem demora injustificada e informa o Responsável pelo tratamento, salvo se o pedido disser respeito a dados relativamente aos quais o próprio Subcontratante seja o responsável pelo tratamento.

9.1. O Subcontratante permite que o Responsável pelo tratamento ou um auditor por este mandatado realize auditorias e inspeções para verificar o cumprimento deste Contrato e do RGPD.

9.2. As auditorias são realizadas a expensas do Responsável pelo tratamento, com um pré-aviso razoável de, pelo menos, 14 dias úteis, durante o horário de expediente e de forma que não perturbe a atividade do Subcontratante nem comprometa a segurança dos dados de outros clientes. O auditor deve estar vinculado a um dever de confidencialidade.

9.3. Em vez de uma auditoria no local, o Subcontratante pode fornecer certificações atuais, relatórios de auditores independentes ou outra documentação que demonstre o cumprimento das medidas de segurança, desde que sejam suficientes para responder às questões do Responsável pelo tratamento.

10.1. Este Contrato produz efeitos durante a vigência da relação contratual entre o Responsável pelo tratamento e o Subcontratante, ou seja, enquanto o Responsável pelo tratamento utilizar o Serviço.

10.2. Após o termo da relação contratual, o Subcontratante: permite ao Responsável pelo tratamento exportar os seus dados durante 90 dias; após esse período de 90 dias, elimina de forma irreversível todos os dados pessoais do Responsável pelo tratamento; elimina as cópias de segurança no prazo máximo de 45 dias após a eliminação dos dados primários; e confirma a eliminação a pedido do Responsável pelo tratamento. Excluem-se os dados que o Subcontratante deva conservar por força do direito da União ou de um Estado-Membro (nomeadamente registos de faturação).

10.3. As obrigações previstas neste Contrato, em particular as de confidencialidade e segurança, mantêm-se em vigor após o termo da relação contratual, enquanto o Subcontratante detiver quaisquer dados pessoais do Responsável pelo tratamento.

11.1. O Subcontratante é responsável pelos danos causados por um tratamento em violação deste Contrato ou do RGPD, nos termos do Artigo 82 do RGPD, em particular quando não tenha cumprido as obrigações do RGPD especificamente dirigidas aos subcontratantes ou tenha atuado fora do âmbito ou em contrariedade com instruções lícitas do Responsável pelo tratamento.

11.2. As limitações de responsabilidade previstas nos Termos e Condições aplicam-se a este Contrato na medida permitida por lei; não limitam os direitos dos titulares dos dados.

12.1. Este Acordo rege-se pela lei da República Checa e pela legislação da União Europeia diretamente aplicável, em particular o RGPD.

12.2. Em caso de conflito entre este Acordo e os Termos e Condições, prevalece este Acordo nas questões de proteção de dados pessoais.

12.3. As alterações a este Acordo requerem forma escrita, o que inclui uma versão atualizada publicada no website e comunicada ao Responsável pelo Tratamento nos termos dos Termos e Condições.

12.4. Os litígios decorrentes deste Acordo são decididos pelos tribunais da República Checa competentes de acordo com a sede do Subcontratante, sem prejuízo dos direitos dos titulares dos dados e das autoridades de controlo.

Encriptação

• Encriptação AES-256 dos dados em repouso, incluindo cópias de segurança.
• TLS 1.2 ou superior para todos os dados em trânsito, incluindo ligações a subcontratantes.

Controlo de acessos

• Acesso segundo o princípio do menor privilégio; cada colaborador e sistema tem apenas as permissões necessárias para a sua função.
• Autenticação multifator para acessos administrativos e de infraestrutura.
• Separação dos espaços de trabalho dos clientes ao nível da aplicação e da base de dados.
• Revisão regular e revogação imediata dos direitos de acesso.

Disponibilidade e resiliência

• Cópias de segurança automáticas e regulares, com procedimentos de restauro testados.
• Infraestrutura de alojamento redundante na União Europeia.
• Monitorização da disponibilidade e do desempenho, com alertas.

Integridade e registos

• Registo de acessos a dados pessoais e de ações administrativas.
• Registo de auditoria dos documentos: quem os submeteu, alterou, aprovou ou exportou e quando.
• Deteção de anomalias e de incidentes de segurança.

Medidas organizativas

• Obrigações de confidencialidade de todos os colaboradores e prestadores com acesso a dados pessoais.
• Formação dos colaboradores em proteção de dados e segurança.
• Procedimentos internos documentados para o tratamento de dados pessoais e para responder a pedidos dos titulares dos dados.
• Plano de resposta a incidentes com funções e prazos de notificação definidos.
• Análise de proteção de dados de novos subcontratantes antes da contratação.