a) «Categorias especiais de dados», os dados referidos no artigo 8.o da Directiva 95/46/CE;

b) «Autoridade de controlo», a autoridade a que se refere o artigo 28.o da Directiva 95/46/CE;

c) «Exportador de dados», o responsável pelo tratamento que transfere dados pessoais;

d) «Importador de dados», o subcontratante estabelecido num país terceiro que concorda em receber, do exportador de dados, dados pessoais para serem tratados por conta deste depois da transferência, em conformidade com as suas instruções e nos termos da presente decisão, e que não está sujeito a um sistema de um país terceiro que assegure uma protecção adequada, na acepção do artigo 25.o, n.o 1, da Directiva 95/46/CE;

e) «Subcontratante ulterior», qualquer subcontratante do importador de dados ou de qualquer outro subcontratante do importador de dados que aceite receber do importador de dados ou de outro seu subcontratante dados pessoais destinados exclusivamente a actividades de tratamento a efectuar em nome do exportador de dados após a transferência, em conformidade com as instruções do exportador de dados, as cláusulas contratuais-tipo previstas no anexo e as condições do contrato escrito de subcontratação;

f) «Legislação sobre protecção de dados aplicável», a legislação que protege os direitos e as liberdades fundamentais das pessoas e, em especial, o seu direito à protecção da vida privada no que diz respeito ao tratamento dos seus dados pessoais, aplicável a um responsável pelo tratamento dos dados no Estado-Membro em que o exportador de dados está estabelecido;

g) «Medidas de segurança técnicas e organizativas», as medidas destinadas a proteger os dados pessoais contra a destruição acidental ou ilícita, a perda acidental, a alteração, a difusão ou o acesso não autorizados, nomeadamente quando o tratamento implicar a sua transmissão por rede, e contra qualquer outra forma de tratamento ilícito.

a) «Dados pessoais», «categorias especiais de dados», «tratamento», «responsável pelo tratamento», «subcontratante», «titular dos dados» e «autoridade de controlo» têm o mesmo significado que na Directiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de Outubro de 1995, relativa à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados ( 1 );

b) «Exportador de dados» é o responsável pelo tratamento que transfere os dados pessoais;

c) «Importador de dados» é o subcontratante que concorda em receber, do exportador de dados, dados pessoais para serem tratados por conta deste depois da transferência, em conformidade com as suas instruções e nos termos das cláusulas e que não está sujeito a um sistema de um país terceiro que assegure uma protecção adequada na acepção do artigo 25.o, n.o 1, da Directiva 95/46/CE;

d) «Subcontratante ulterior» é qualquer subcontratante do importador de dados ou de qualquer outro subcontratante do importador de dados que aceite receber do importador de dados ou de qualquer outro seu subcontratante dados pessoais destinados exclusivamente a actividades de tratamento a realizar por conta do exportador de dados após a transferência, em conformidade com as suas instruções, as condições previstas nas cláusulas e as condições do subcontrato escrito;

e) «Legislação sobre protecção de dados aplicável» é a legislação que protege os direitos e as liberdades fundamentais das pessoas e, em especial, o seu direito à protecção da vida privada no que diz respeito ao tratamento dos seus dados pessoais, aplicável a um responsável pelo tratamento dos dados no Estado-Membro em que o exportador de dados está estabelecido;

f) «Medidas de segurança técnicas e organizativas» são as medidas destinadas a proteger os dados pessoais contra a destruição acidental ou ilícita, a perda acidental, a alteração, a difusão ou o acesso não autorizados, nomeadamente quando o tratamento implicar a sua transmissão por rede, e contra qualquer outra forma de tratamento ilícito.

1. O titular dos dados pode fazer aplicar contra o exportador de dados a presente cláusula, a cláusula 4, alíneas b) a i), a cláusula 5, alíneas a) a e) e g) a j), a cláusula 6, n.os 1 e 2, a cláusula 7, a cláusula 8, n.o 2, e as cláusulas 9 a 12, na qualidade de terceiro beneficiário.

2. O titular dos dados pode fazer aplicar, contra o importador de dados a presente cláusula, a cláusula 5, alíneas a) a e) e g), as cláusulas 6 e 7, a cláusula 8, n.o 2, e as cláusulas 9 a 12, em caso de desaparecimento de facto ou de extinção legal do exportador de dados, a menos que qualquer entidade sucessora tenha assumido a totalidade das obrigações legais do exportador de dados mediante contrato ou por força da lei, e consequentemente assuma os direitos e obrigações do exportador de dados, podendo nesse caso o titular dos dados invocá-los contra tal entidade.

3. O titular dos dados pode fazer aplicar, contra o subcontratante ulterior a presente cláusula, a cláusula 5, alíneas a) a e) e g), as cláusulas 6 e 7, a cláusula 8, n.o 2, e as cláusulas 9 a 12, em caso de desaparecimento de facto ou de extinção legal do exportador e do importador de dados, ou se estes se tornaram insolventes, a menos que qualquer entidade sucessora tenha assumido a totalidade das obrigações legais do exportador de dados mediante contrato ou por força da lei, e consequentemente assuma os direitos e obrigações do exportador de dados, podendo nesse caso o titular dos dados invocá-los contra tal entidade. Esta responsabilidade civil do subcontratante ulterior é limitada às suas próprias actividades de tratamento de dados ao abrigo das presentes cláusulas.

4. As partes não se opõem a que o titular dos dados seja representado por uma associação ou outro organismo se, expressamente, assim o desejar e a legislação nacional o permitir.

a) Que o tratamento dos dados pessoais, incluindo a própria transferência, foi e continuará a ser feito de acordo com as disposições pertinentes da legislação sobre protecção de dados aplicável (e que, se aplicável, foi notificada às entidades competentes do Estado-Membro em que o exportador de dados está estabelecido) e que não viola as disposições pertinentes desse Estado;

b) Que deu e continuará a dar instruções ao importador de dados durante os serviços de tratamento de dados pessoais para tratar os dados pessoais transferidos apenas por conta do exportador de dados e em conformidade com a legislação sobre protecção de dados aplicável e com as cláusulas;

c) Que o importador de dados oferecerá garantias suficientes em relação às medidas de segurança técnicas e organizativas especificadas no Apêndice 2 do presente contrato;

d) Que, depois de avaliar os requisitos da legislação sobre protecção de dados aplicável, as medidas de segurança são adequadas para proteger os dados pessoais contra a destruição acidental ou ilícita, a perda acidental, a alteração, a divulgação ou o acesso não autorizados, nomeadamente quando o tratamento implicar a sua transmissão por rede, e contra qualquer outra forma de tratamento ilícito e que estas medidas asseguram um nível de segurança adequado em relação aos riscos que o tratamento representa e à natureza dos dados a proteger, atendendo aos conhecimentos técnicos disponíveis e aos custos resultantes da sua aplicação;

e) Que zelará pelo cumprimento das medidas de segurança;

f) Que, se a transferência envolver categorias especiais de dados, o titular dos dados foi informado ou será informado antes ou o mais depressa possível após a transferência, de que os seus dados poderão ser transmitidos para um país terceiro que não garante um nível de protecção adequado na acepção da Directiva 95/46/CE;

g) Que enviará qualquer notificação recebida do importador de dados ou de qualquer subcontratante ulterior à autoridade de controlo responsável pela protecção dos dados, nos termos da cláusula 5, alínea b), e da cláusula 8, n.o 3, se decidir continuar a transferência ou levantar a suspensão;

h) Que disponibilizará aos titulares dos dados, mediante pedido, um exemplar das cláusulas, com excepção do Apêndice 2, e uma descrição sumária das medidas de segurança, bem como um exemplar de qualquer contrato de serviços de subcontratação ulterior que tenha de ser celebrado em conformidade com as cláusulas, a menos que estas ou o contrato contenham informações comerciais, caso em que poderá suprimir essas informações;

i) Que, em caso de subcontratação ulterior, a actividade de tratamento é realizada em conformidade com a cláusula 11 por um subcontratante que assegure pelo menos o mesmo nível de protecção dos dados pessoais e dos direitos dos titulares dos dados que o importador de dados em conformidade com as cláusulas; e

j) Que zelará pelo cumprimento da cláusula 4, alíneas a) a i).

a) Que tratará os dados pessoais apenas por conta do exportador de dados e em conformidade com as suas instruções e as cláusulas; no caso de não poder cumprir estas obrigações por qualquer razão, concorda em informar imediatamente o exportador de dados desse facto, tendo neste caso o exportador de dados o direito de suspender a transferência de dados e/ou de rescindir o contrato;

b) Que não tem qualquer razão para crer que a legislação que lhe é aplicável o impede de respeitar as instruções recebidas do exportador de dados e as obrigações que lhe incumbem por força do contrato e que, no caso de haver uma alteração nesta legislação que possa ter um efeito adverso substancial nas garantias e obrigações conferidas pelas cláusulas, notificará imediatamente essa alteração ao exportador de dados, logo que dela tiver conhecimento, tendo neste caso o exportador de dados o direito de suspender a transferência de dados e/ou de rescindir o contrato;

c) Que aplicou as medidas de segurança técnicas e organizativas previstas no Apêndice 2 antes de tratar os dados pessoais transferidos;

d) Que notificará imediatamente o exportador de dados no que respeita a:

i) qualquer pedido juridicamente vinculativo de divulgação dos dados pessoais por parte de uma autoridade competente para a aplicação da lei, a não ser que exista uma proibição em contrário, como uma proibição prevista no direito penal para preservar a confidencialidade de uma investigação policial;

ii) qualquer acesso acidental ou não autorizado; e

iii) qualquer pedido recebido directamente dos titulares de dados, sem responder a esse pedido, a não ser que tenha sido autorizado a fazê-lo;

e) Que responderá rápida e adequadamente a todos os pedidos de informação do exportador de dados relacionados com o tratamento por si efectuado dos dados pessoais objecto da transferência e que se submeterá aos conselhos da autoridade de controlo relativamente ao tratamento dos dados transferidos;

f) Que, a pedido do exportador de dados, apresentará os seus meios de tratamento de dados para auditoria das actividades de tratamento abrangidas pelas cláusulas, que será efectuada pelo exportador de dados ou por um organismo de inspecção, composto por membros independentes que possuam as qualificações profissionais exigidas e estejam vinculados por um dever de confidencialidade, escolhido pelo exportador de dados e, se necessário, de acordo com a autoridade de controlo;

g) Que porá à disposição do titular dos dados, mediante pedido, um exemplar das cláusulas ou de qualquer contrato existente de subcontratação ulterior, a menos que as cláusulas ou o contrato contenham informações comerciais, caso em que poderá suprimir as informações comerciais, com excepção do Apêndice 2, que é substituído por uma descrição sumária das medidas de segurança, no caso de o titular dos dados não poder obter um exemplar do exportador de dados;

h) Que, em caso de subcontratação ulterior, informou previamente o exportador de dados e obteve o seu consentimento escrito prévio;

i) Que os serviços de tratamento de dados efectuados pelo subcontratante ulterior serão prestados em conformidade com a cláusula 11;

j) Que envia rapidamente ao exportador de dados uma cópia de qualquer acordo de subcontratação ulterior que celebrar ao abrigo das cláusulas.

1. As partes acordam que qualquer titular dos dados que tenha sofrido danos resultantes de qualquer incumprimento das obrigações referidas nas cláusulas 3 ou 11 por qualquer parte ou subcontratante ulterior tem o direito de obter reparação do exportador de dados pelos danos sofridos.

2. Se o titular dos dados não puder intentar uma acção de reparação em conformidade com o n.o 1 contra o exportador de dados, por incumprimento pelo importador de dados ou o seu subcontratante de quaisquer das suas obrigações referidas nas cláusulas 3 e 11, devido ao desaparecimento de facto ou extinção legal ou à insolvência do exportador de dados, o importador de dados aceita que o titular dos dados lhe possa intentar uma acção como se fosse o exportador de dados, a menos que qualquer entidade sucessora tenha assumido a totalidade das obrigações legais do exportador de dados, mediante contrato ou por força da lei, caso em que o titular dos dados pode invocar os seus direitos contra essa entidade.

3. Se o titular dos dados não puder intentar a acção referida nos n.os 1 e 2 contra o exportador ou o importador de dados, por incumprimento pelo subcontratante ulterior de quaisquer das suas obrigações referidas nas cláusulas 3 ou 11, devido ao desaparecimento de facto ou extinção legal ou à insolvência do exportador e do importador de dados, o subcontratante ulterior aceita que o titular dos dados lhe possa intentar uma acção relativamente às suas próprias actividades de tratamento de dados ao abrigo das cláusulas, como se fosse o exportador ou o importador de dados, a menos que qualquer entidade sucessora tenha assumido a totalidade das obrigações legais do exportador ou do importador de dados, mediante contrato ou por força da lei, caso em que o titular dos dados pode invocar os seus direitos contra essa entidade. A responsabilidade do subcontratante ulterior é limitada às suas próprias actividades de tratamento de dados ao abrigo das cláusulas.

1. O importador de dados acorda que se o titular dos dados invocar contra ele os direitos de terceiro beneficiário e/ou exigir uma indemnização por perdas e danos ao abrigo das cláusulas, aceita a decisão do titular dos dados de:

a) Submeter o litígio a mediação de uma pessoa independente ou, quando aplicável, da autoridade de controlo;

b) Submeter o litígio aos tribunais do Estado-Membro em que o exportador de dados está estabelecido.

2. As partes acordam que a opção do titular dos dados não prejudicará os direitos materiais ou processuais do mesmo de obter reparação em conformidade com outras disposições do direito nacional ou internacional.

1. O exportador de dados acorda depositar um exemplar do presente contrato junto da autoridade de controlo se esta o solicitar ou se a legislação sobre protecção de dados aplicável assim o exigir.

2. As partes acordam que a autoridade de controlo tem o direito de realizar auditorias ao importador de dados ou a qualquer subcontratante ulterior com o mesmo âmbito e nas mesmas condições das auditorias efectuadas ao exportador de dados, em conformidade com a legislação sobre protecção de dados aplicável.

3. O importador de dados notifica imediatamente o exportador de dados da existência de legislação que lhe é aplicável ou a qualquer subcontratante ulterior e que impede a realização de uma auditoria ao importador de dados ou a qualquer subcontratante ulterior, nos termos do n.o 2. Nesse caso, o exportador de dados tem o direito de adoptar as medidas previstas na cláusula 5, alínea b).

1. O importador de dados não subcontrata nenhuma das suas actividades de tratamento executadas por conta do exportador de dados ao abrigo das cláusulas sem o consentimento escrito prévio deste. Sempre que o importador de dados subcontratar as suas obrigações ao abrigo das presentes cláusulas, com o consentimento do exportador de dados, fá-lo apenas mediante acordo escrito com o subcontratante ulterior que imponha a este último as mesmas obrigações do importador de dados ao abrigo das cláusulas ( 3 ). Em caso de incumprimento pelo subcontratante ulterior das obrigações em matéria de protecção de dados que lhe incumbem nos termos do referido acordo escrito, o importador de dados continua a ser plenamente responsável perante o exportador de dados pelo cumprimento destas obrigações ao abrigo do referido acordo.

2. O contrato escrito prévio entre o importador de dados e o subcontratante ulterior deve prever igualmente uma cláusula do terceiro beneficiário, tal como previsto na cláusula 3, para os casos em que o titular dos dados não puder intentar a acção de reparação referida na cláusula 6, n.o 1, contra o exportador ou o importador de dados por estes terem desaparecido de facto ou terem sido extintos legalmente ou por se terem tornado insolventes e nenhuma entidade sucessora ter assumido a totalidade das obrigações do exportador ou do importador de dados, mediante contrato ou por força da lei. Esta responsabilidade civil do subcontratante ulterior é limitada às suas próprias actividades de tratamento de dados ao abrigo das presentes cláusulas.

3. As disposições relativas aos aspectos ligados à protecção de dados no que se refere à subcontratação ulterior referida no n.o 1 são regidas pelo direito do Estado-Membro onde o exportador de dados está estabelecido, a saber, …

4. O exportador de dados mantém uma lista dos acordos de subcontratação ulterior celebrados ao abrigo das cláusulas e notificados pelo importador de dados em conformidade com a cláusula 5, alínea j), que será actualizada pelo menos uma vez por ano. Esta lista é colocada à disposição da autoridade de controlo da protecção de dados do exportador de dados.

1. As partes acordam que, após terminada a prestação de serviços de tratamento de dados, o importador de dados e o seu subcontratante, conforme preferência do exportador de dados, devolverão todos os dados pessoais transferidos e as suas cópias ao exportador de dados ou destruirão todos os dados pessoais e certificarão ao exportador de dados que o fizeram, excepto se a legislação imposta ao importador de dados o impedir de devolver ou destruir a totalidade ou parte dos dados pessoais transferidos. Nesse caso, o importador de dados garante a confidencialidade dos dados pessoais transferidos e não volta a tratar activamente os dados pessoais transferidos.

2. O importador de dados e o seu subcontratante garantem que, a pedido do exportador de dados e/ou da autoridade de controlo, submeterão os seus meios de tratamento de dados a uma auditoria das medidas referidas no n.o 1.

EXPORTADOR DE DADOS

Nome: …

Assinatura autorizada …

IMPORTADOR DE DADOS

Nome: …

Assinatura autorizada …

a) O exportador de dados notifica imediatamente o pedido ao importador de dados; e

b) É dada ao importador de dados a possibilidade de cooperar com o exportador de dados na defesa e regularização do pedido ( 4 ).