a)

As presentes cláusulas contratuais-tipo (cláusulas) visam assegurar a conformidade com [escolher a opção relevante: OPÇÃO 1: o artigo 28.o, n.os 3 e 4, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados)]/[OPÇÃO 2: o artigo 29.o, n.os 3 e 4, do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados e que revoga o Regulamento (CE) n.o 45/2001 e a Decisão n.o 1247/2002/CE].

b)

Os responsáveis pelo tratamento e os subcontratantes enumerados no anexo I acordaram nas presentes cláusulas a fim de assegurar o cumprimento do disposto no artigo 28.o, n.os 3 e 4, do Regulamento (UE) 2016/679 e/ou no artigo 29.o, n.os 3 e 4, do Regulamento (UE) 2018/1725.

c)

As presentes cláusulas são aplicáveis ao tratamento de dados pessoais, conforme especificado no anexo II.

d)

Os anexos I a IV são parte integrante das cláusulas.

e)

As presentes cláusulas não prejudicam as obrigações a que o responsável pelo tratamento está sujeito por força do Regulamento (UE) 2016/679 e/ou do Regulamento (UE) 2018/1725.

f)

As presentes cláusulas não garantem, por si só, o cumprimento das obrigações relacionadas com as transferências internacionais em conformidade com o capítulo V do Regulamento (UE) 2016/679 e/ou do Regulamento (UE) 2018/1725.

a)

As Partes comprometem-se a não alterar as cláusulas, exceto para acrescentar informações nos anexos ou atualizar as informações neles contidas.

b)

Tal não impede as Partes de incluírem as cláusulas contratuais-tipo estabelecidas nas presentes cláusulas num contrato mais abrangente ou de acrescentarem outras cláusulas ou garantias adicionais, desde que não colidam, direta ou indiretamente, com as cláusulas, e sem prejuízo dos direitos ou das liberdades fundamentais dos titulares dos dados.

a)

Caso as presentes cláusulas utilizem os termos definidos no Regulamento (UE) 2016/679 ou no Regulamento (UE) 2018/1725, respetivamente, esses termos terão o mesmo significado que lhes é atribuído no regulamento em causa.

b)

As presentes cláusulas devem ser lidas e interpretadas à luz das disposições do Regulamento (UE) 2016/679 ou do Regulamento (UE) 2018/1725, respetivamente.

c)

As presentes cláusulas não devem ser interpretadas de forma contrária aos direitos e obrigações previstos no Regulamento (UE) 2016/679/Regulamento (UE) 2018/1725, sem prejuízo dos direitos e das liberdades fundamentais dos titulares dos dados.

a)

Qualquer entidade que não seja Parte nas presentes cláusulas pode, com o acordo de todas as Partes, aderir, em qualquer momento, às presentes cláusulas, como responsável pelo tratamento ou como subcontratante, preenchendo os anexos e assinando o anexo I.

b)

Uma vez preenchidos e assinados os anexos referidos na alínea a), a entidade aderente é tratada como Parte nas presentes cláusulas e tem os direitos e as obrigações de um responsável pelo tratamento ou subcontratante, em conformidade com a sua designação no anexo I.

c)

A entidade aderente não tem quaisquer direitos ou obrigações decorrentes das presentes cláusulas em relação ao período antes de se ter tornado Parte.

a)

O subcontratante deve proceder ao tratamento de dados pessoais apenas mediante instruções documentadas do responsável pelo tratamento, salvo se for obrigado a fazê-lo pelo direito da União ou pelo direito do Estado-Membro a que esteja sujeito. Neste caso, o subcontratante deve informar o responsável pelo tratamento desse requisito jurídico antes do tratamento, salvo se a lei o proibir por motivos importantes de interesse público. O responsável pelo tratamento pode dar instruções subsequentes ao longo de toda a duração do tratamento de dados pessoais. Estas instruções devem ser sempre documentadas.

b)

O subcontratante deve informar imediatamente o responsável pelo tratamento se, no seu entender, as instruções dadas pelo responsável pelo tratamento violarem o Regulamento (UE) 2016/679/Regulamento (UE) 2018/1725 ou as disposições aplicáveis do direito da União ou do direito dos Estados-Membros em matéria de proteção de dados.

a)

O subcontratante deve, pelo menos, aplicar as medidas técnicas e organizativas especificadas no anexo III para garantir a segurança dos dados pessoais. Tal inclui a proteção dos dados contra uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso não autorizados aos dados (violação de dados pessoais). Ao avaliar o nível de segurança adequado, as Partes devem ter em devida conta as técnicas mais avançadas, os custos de aplicação, a natureza, o âmbito, o contexto e as finalidades do tratamento e os riscos para os titulares dos dados.

b)

O subcontratante só deve conceder acesso aos dados pessoais objeto de tratamento aos membros do seu pessoal na medida estritamente necessária para a execução, a gestão e o acompanhamento do contrato. O subcontratante deve assegurar que as pessoas autorizadas a tratar os dados pessoais assumiram um compromisso de confidencialidade ou estão sujeitas às obrigações legais de confidencialidade adequadas.

a)

As Partes devem poder demonstrar o cumprimento das presentes cláusulas.

b)

O subcontratante deve responder, rápida e adequadamente, aos pedidos de informação do responsável pelo tratamento sobre o tratamento de dados, em conformidade com as presentes cláusulas.

c)

O subcontratante deve disponibilizar ao responsável pelo tratamento todas as informações necessárias para demonstrar o cumprimento das obrigações previstas nas presentes cláusulas decorrentes diretamente do Regulamento (UE) 2016/679 e/ou do Regulamento (UE) 2018/1725. A pedido do responsável pelo tratamento, o subcontratante deve igualmente facilitar e contribuir para as auditorias das operações de tratamento abrangidas pelas presentes cláusulas, a intervalos razoáveis ou se houver indícios de incumprimento. Ao decidir sobre uma revisão ou uma auditoria, o responsável pelo tratamento pode ter em conta as certificações pertinentes detidas pelo subcontratante.

d)

O responsável pelo tratamento pode optar por realizar, ele próprio, a auditoria ou mandatar um auditor independente. As auditorias podem igualmente incluir inspeções nos edifícios ou nas instalações físicas do subcontratante, devendo, se for caso disso, ser realizadas com uma antecedência razoável.

e)

As Partes devem disponibilizar as informações referidas na presente cláusula, incluindo os resultados de quaisquer auditorias, à(s) autoridade de controlo competente(s), mediante pedido.

a)

OPÇÃO 1: AUTORIZAÇÃO PRÉVIA ESPECÍFICA: O subcontratante não pode subcontratar nenhuma das suas operações de tratamento efetuadas por conta do responsável pelo tratamento em conformidade com as presentes cláusulas a um subcontratante ulterior sem a autorização escrita prévia específica do responsável pelo tratamento. O subcontratante deve apresentar o pedido de autorização específica pelo menos [ESPECIFICAR PERÍODO] antes da contratação do subcontratante ulterior em causa, juntamente com as informações necessárias para permitir ao responsável pelo tratamento tomar uma decisão sobre a autorização. A lista de subcontratantes ulteriores autorizados pelo responsável pelo tratamento pode ser consultada no anexo IV. As Partes devem manter o anexo IV atualizado.

OPÇÃO 2: AUTORIZAÇÃO ESCRITA GERAL: O subcontratante tem a autorização geral do responsável pelo tratamento para a contratação de subcontratantes ulteriores a partir de uma lista acordada. O subcontratante deve informar especificamente o responsável pelo tratamento, por escrito, das alterações pretendidas a efetuar a essa lista quanto ao aumento do número ou à substituição de subcontratantes ulteriores com uma antecedência mínima de [ESPECIFICAR PERÍODO], dando assim ao responsável pelo tratamento tempo suficiente para se opor a essas alterações antes da contratação do(s) subcontratante(s) ulterior(es) em causa. O subcontratante deve fornecer ao responsável pelo tratamento as informações necessárias para que este último possa exercer o direito de oposição.

b)

Caso o subcontratante contrate um subcontratante ulterior para realizar operações específicas de tratamento (por conta do responsável pelo tratamento), deve fazê-o através de um contrato que imponha ao subcontratante ulterior, do ponto de vista material, as mesmas obrigações em matéria de proteção de dados que as impostas ao subcontratante em conformidade com as presentes cláusulas. O subcontratante deve assegurar o cumprimento, pelo subcontratante ulterior, das obrigações a que o subcontratante está sujeito nos termos das presentes cláusulas e do Regulamento (UE) 2016/679 e/ou do Regulamento (UE) 2018/1725.

c)

O subcontratante deve facultar ao responsável pelo tratamento, a pedido do mesmo, uma cópia do referido acordo de subcontratação e de quaisquer alterações subsequentes. Na medida do necessário para proteger segredos comerciais ou outras informações confidenciais, incluindo dados pessoais, o subcontratante pode editar o texto do acordo antes de partilhar a cópia.

d)

O subcontratante continua a ser inteiramente responsável, perante o responsável pelo tratamento, pelo cumprimento das obrigações que incumbem ao subcontratante ulterior em conformidade com o seu contrato com o subcontratante. O subcontratante deve notificar o responsável pelo tratamento de qualquer incumprimento, pelo subcontratante ulterior, das obrigações contratuais que lhe incumbem.

e)

O subcontratante deve acordar com o subcontratante ulterior uma cláusula do terceiro beneficiário nos termos da qual - em caso de desaparecimento de facto, de extinção legal ou de insolvência do subcontratante - o responsável pelo tratamento tem o direito de rescindir o contrato do subcontratante ulterior e de dar instruções ao subcontratante ulterior para apagar ou devolver os dados pessoais.

a)

Qualquer transferência de dados para um país terceiro ou para uma organização internacional pelo subcontratante só pode ser efetuada com base em instruções documentadas do responsável pelo tratamento ou a fim de cumprir um requisito específico ao abrigo do direito da União ou do direito do Estado-Membro a que o subcontratante esteja sujeito e deve ter lugar em conformidade com o capítulo V do Regulamento (UE) 2016/679 ou do Regulamento (UE) 2018/1725.

b)

O responsável pelo tratamento concorda que, caso o subcontratante contrate um subcontratante ulterior, em conformidade com a cláusula 7.7, para realizar operações específicas de tratamento (por conta do responsável pelo tratamento) e essas operações de tratamento envolvam uma transferência de dados pessoais na aceção do capítulo V do Regulamento (UE) 2016/679, o subcontratante e o subcontratante ulterior podem assegurar o cumprimento do capítulo V do Regulamento (UE) 2016/679 recorrendo às cláusulas contratuais-tipo adotadas pela Comissão em conformidade com o artigo 46.o, n.o 2, do Regulamento (UE) 2016/679, desde que as condições para o recurso a essas cláusulas contratuais-tipo sejam cumpridas.

a)

O subcontratante deve notificar imediatamente o responsável pelo tratamento de qualquer pedido que tenha recebido do titular dos dados. Não pode responder ele próprio a esse pedido, salvo se autorizado a fazê-lo pelo responsável pelo tratamento.

b)

O subcontratante deve prestar assistência ao responsável pelo tratamento no cumprimento das suas obrigações de resposta aos pedidos de exercício de direitos apresentados pelos titulares dos dados, tendo em conta a natureza do tratamento. No cumprimento das obrigações que lhe incumbem por força das alíneas a) e b), o subcontratante deve cumprir as instruções do responsável pelo tratamento.

c)

Para além da obrigação que incumbe ao subcontratante de prestar assistência ao responsável pelo tratamento nos termos da cláusula 8, alínea b), o subcontratante deve ainda prestar assistência ao responsável pelo tratamento para assegurar o cumprimento das obrigações a seguir indicadas, tendo em conta a natureza do tratamento de dados e as informações ao seu dispor:

d)

As Partes devem estabelecer, no anexo III, as medidas técnicas e organizativas adequadas através das quais o subcontratante é obrigado a prestar assistência ao responsável pelo tratamento na aplicação da presente cláusula, bem como o âmbito e a amplitude da assistência necessária.

a)

Na notificação da violação de dados pessoais à(s) autoridade de controlo competente(s), sem demora injustificada, após o responsável pelo tratamento ter tomado conhecimento da violação, quando pertinente/(salvo se essa violação não for suscetível de constituir um risco para os direitos e para as liberdades das pessoas singulares);

b)

Na obtenção das informações a seguir enumeradas que, nos termos do [OPÇÃO 1] artigo 33.o, n.o 3, do Regulamento (UE) 2016/679/[OPÇÃO 2] artigo 34.o, n.o 3, do Regulamento (UE) 2018/1725, devem ser indicadas na notificação do responsável pelo tratamento e têm de incluir, pelo menos:

c)

No cumprimento, nos termos do [OPÇÃO 1] artigo 34.o do Regulamento (UE) 2016/679/[OPÇÃO 2] artigo 35.o do Regulamento (UE) 2018/1725, da obrigação de comunicar, sem demora injustificada, a violação de dados pessoais ao titular dos dados, caso a violação de dados pessoais seja suscetível de constituir um elevado risco para os direitos e as liberdades das pessoas singulares.

a)

Uma descrição da natureza da violação (incluindo, se possível, as categorias e o número aproximado de titulares de dados afetados e de registos de dados em causa);

b)

Os dados de um ponto de contacto onde possam ser obtidas mais informações relativas à violação de dados pessoais;

c)

As consequências prováveis da violação e as medidas adotadas ou propostas para a reparar, incluindo para atenuar os seus eventuais efeitos negativos.

a)

Sem prejuízo de quaisquer disposições do Regulamento (UE) 2016/679 e/ou do Regulamento (UE) 2018/1725, caso o subcontratante viole as obrigações que lhe incumbem por força das presentes cláusulas, o responsável pelo tratamento pode dar instruções ao subcontratante para suspender o tratamento de dados pessoais até que este último cumpra as presentes cláusulas ou até que o contrato seja rescindido. O subcontratante deve informar imediatamente o responsável pelo tratamento caso, por qualquer motivo, não possa cumprir as presentes cláusulas.

b)

O responsável pelo tratamento tem o direito de rescindir o contrato, na medida em que este diga respeito ao tratamento de dados pessoais em conformidade com as presentes cláusulas, se:

c)

O subcontratante tem o direito de rescindir o contrato, na medida em que este diga respeito ao tratamento de dados pessoais ao abrigo das presentes cláusulas, caso, após ter informado o responsável pelo tratamento de que as suas instruções violam os requisitos legais aplicáveis nos termos da cláusula 7.1, alínea b), o responsável pelo tratamento insista no cumprimento das instruções.

d)

Na sequência da rescisão do contrato, o subcontratante deve, consoante a escolha do responsável pelo tratamento, apagar todos os dados pessoais tratados por conta deste último e certificar ao responsável pelo tratamento que o fez ou devolver todos os dados pessoais ao responsável pelo tratamento e apagar as cópias existentes, salvo se a conservação dos dados pessoais for exigida ao abrigo do direito da União ou do direito dos Estados-Membros. Até que os dados sejam apagados ou devolvidos, o subcontratante deve continuar a assegurar o cumprimento das presentes cláusulas.

1.

Nome: …

Endereço: …

Nome, cargo e contactos da pessoa de contacto: …

Assinatura e data de adesão: …

2.

1.

Nome: …

Endereço: …

Nome, cargo e contactos da pessoa de contacto: …

Assinatura e data de adesão: …

2.

medidas de pseudonimização e de cifragem dos dados pessoais

medidas destinadas a assegurar a confidencialidade, a integridade, a disponibilidade e a resiliência permanentes dos sistemas e dos serviços de tratamento

medidas destinadas a restabelecer atempadamente a disponibilidade e o acesso aos dados pessoais em caso de incidente físico ou técnico

processos para testar, apreciar e avaliar periodicamente a eficácia das medidas técnicas e organizativas a fim de garantir a segurança do tratamento

medidas de identificação e de autorização do utilizador

medidas de proteção de dados durante a transmissão

medidas de proteção de dados durante a conservação

medidas destinadas a garantir a segurança física dos locais onde os dados pessoais são tratados

medidas destinadas a garantir o registo cronológico de acontecimentos

medidas destinadas a garantir a configuração do sistema, incluindo a configuração por defeito

medidas de governação e de gestão interna do serviço informático e do serviço de segurança informática

medidas de certificação/garantia dos processos e dos produtos

medidas destinadas a garantir a minimização dos dados

medidas destinadas a garantir a qualidade dos dados

medidas destinadas a garantir uma limitação da conservação dos dados

medidas destinadas a garantir a responsabilidade

medidas destinadas a permitir a portabilidade dos dados e a garantir o seu apagamento]

1.

Nome: …

Endereço: …

Nome, cargo e contactos da pessoa de contacto: …

Descrição do tratamento (incluindo uma delimitação clara de responsabilidades caso sejam autorizados vários subcontratantes): …

2.

…