Acordo de Tratamento de Dados

O presente Acordo de Processamento de Dados ("Acordo") faz parte do Contrato de Serviços ao abrigo dos Termos e Condições da Proton AG (o “Acordo Principal”) entre a Proton AG, Route de la Galaise 32, 1228 Plan-les-Ouates, Suíça, com o número de identificação de empresa CHE-354.686.492 (denominada o "Subcontratante") e a Empresa que utiliza os serviços da Proton (denominada a "Empresa”, entendendo-se como qualquer empresa ou organização que utilize os Serviços, independentemente da sua forma jurídica).

Este Acordo rege os requisitos específicos das Leis de Proteção de Dados na medida em que a utilização dos Serviços Proton pela Empresa implique o tratamento de Dados Pessoais sujeitos às Leis de Proteção de Dados.

Este Acordo é complementar à nossa Política de privacidade, que serve como referência principal para as nossas práticas e medidas de proteção de dados.

A vigência deste Acordo acompanhará a vigência do Acordo Principal. Os termos não definidos no presente documento terão o significado estabelecido no Acordo Principal.

CONSIDERANDO QUE

A) A Empresa atua como Responsável pelo Tratamento de Dados (o "Responsável pelo Tratamento").

B) A Empresa pretende subcontratar determinados Serviços (conforme definido abaixo), que implicam o tratamento de Dados Pessoais, à Proton AG, atuando como Subcontratante de Dados (o "Subcontratante").

C) As Partes pretendem implementar um acordo de tratamento de dados que cumpra os requisitos do quadro jurídico atual relativamente ao tratamento de dados e com o Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de Dados Pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) e outras leis de proteção de dados aplicáveis.

D) As Partes desejam estabelecer os seus direitos e obrigações.

ACORDA-SE O SEGUINTE:

1. Definições e interpretação

Salvo definição em contrário no presente documento, os termos e expressões em maiúsculas utilizados neste DPA terão o seguinte significado:

1.1) "Acordo" significa este Acordo de Processamento de Dados e todos os Anexos;

1.2) "Dados Pessoais da Empresa" significa quaisquer Dados Pessoais relacionados com a Empresa ou com os clientes ou colaboradores da Empresa Tratados em ligação com o Acordo Principal;

1.3) "Subcontratante Contratado" significa um Subcontratante;

1.4) "Leis de Proteção de Dados" significa as Leis de Proteção de Dados da UE e, na medida em que sejam aplicáveis, as leis de proteção de dados ou de privacidade de qualquer outro país;

1.5) "EEE" significa o Espaço Económico Europeu;

1.6) "Leis de Proteção de Dados da UE" significa a Diretiva 95/46/CE da UE, conforme transposta para a legislação interna de cada Estado-Membro e conforme alterada, substituída ou revogada periodicamente, incluindo pelo GDPR e leis que implementem ou complementem o GDPR;

1.7) "GDPR" significa o Regulamento Geral sobre a Proteção de Dados da UE 2016/679;

1.8) "Transferência de Dados" significa:

• 1.8.1) uma transferência de Dados Pessoais da Empresa do Responsável pelo Tratamento para o Subcontratante ou um Subcontratante Contratado; ou
• 1.8.2) uma transferência posterior de Dados Pessoais da Empresa do Subcontratante para um Subcontratante, ou entre dois estabelecimentos de um Subcontratante;

1.9) "Serviços" significa serviços online seguros fornecidos pelo Subcontratante, tais como e-mail, calendário, unidade e outros serviços conforme desenvolvidos pelo Subcontratante. Os detalhes e os preços dos Serviços podem ser consultados no sítio web do Subcontratante.

1.10) "Subcontratante" significa qualquer pessoa designada pelo Subcontratante ou em seu nome para tratar Dados Pessoais em nome do Responsável pelo Tratamento em ligação com o Acordo.

Os termos "Comissão", "Responsável pelo Tratamento", "Titular dos Dados", "Estado-Membro", "Dados Pessoais", "Violação de Dados Pessoais", "Tratamento" e "Autoridade de Controlo" terão o mesmo significado que no GDPR ou noutra Lei de Proteção de Dados aplicável, e os seus termos afins serão interpretados em conformidade.

2. Tratamento de Dados Pessoais da Empresa

O Subcontratante deve:

2.1) cumprir todas as Leis de Proteção de Dados aplicáveis no Tratamento de Dados Pessoais da Empresa;

2.2) e não tratar Dados Pessoais da Empresa a não ser mediante as instruções documentadas do Responsável pelo Tratamento na secção 2.

O Responsável pelo Tratamento dá instruções ao Subcontratante para tratar os Dados Pessoais da Empresa para:

2.3) fornecer os Serviços e o apoio ao cliente técnico relacionado;

2.4) cumprir obrigações legais ou resolver litígios;

2.5) exercer qualquer tarefa interna destinada a otimizar a segurança, privacidade, confidencialidade e funcionalidades dos Serviços;

2.6) exercer relatórios internos, relatórios financeiros e outras tarefas internas semelhantes.

3. Pessoal do Subcontratante

O Subcontratante tomará medidas razoáveis para garantir a fiabilidade de qualquer colaborador, agente ou contratado de qualquer Subcontratante Contratado que possa ter acesso aos Dados Pessoais da Empresa, assegurando em cada caso que o acesso seja estritamente limitado aos indivíduos que necessitem de conhecer/aceder aos Dados Pessoais da Empresa relevantes, conforme estritamente necessário para os efeitos do Acordo Principal e/ou para cumprir as Leis de Proteção de Dados e outra legislação relevante no âmbito das funções desse indivíduo perante o Subcontratante Contratado, garantindo que todos esses indivíduos estejam sujeitos a compromissos de confidencialidade ou a obrigações profissionais ou estatutárias de confidencialidade.

4. Segurança

Em conformidade com o Artigo 32 (1) do GDPR, o Subcontratante implementará medidas técnicas e organizativas adequadas para assegurar um nível de segurança adequado ao risco, tendo em conta o estado da técnica, os custos de aplicação e a natureza, o âmbito, o contexto e as finalidades do tratamento. Estas medidas serão concebidas para proteger os direitos e liberdades das pessoas singulares, tendo em conta os riscos de probabilidade e gravidade variáveis, incluindo o risco de uma Violação de Dados Pessoais.

O Subcontratante também avaliará os riscos associados às atividades de tratamento e aplicará medidas consistentes com os requisitos estabelecidos no Artigo 32 (1) do GDPR, garantindo a segurança dos Dados Pessoais da Empresa em todos os momentos.

5. Subprocessamento

Sujeito a este Acordo, a Empresa concede autorização geral ao Subcontratante para contratar Subcontratantes e divulgar ou transferir Dados Pessoais da Empresa para os mesmos. A Empresa reconhece e aprova a lista de Subcontratantes delineada na Política de privacidade do Subcontratante, compreendendo que esta lista pode ser atualizada pelo Subcontratante regularmente, caso em que a empresa será informada pelo Subcontratante de acordo com o processo de notificação da Política de privacidade. Além disso, a Empresa autoriza o Subcontratante a divulgar e transferir Dados Pessoais para qualquer empresa do seu grupo empresarial.

O Subcontratante assegura que os Subcontratantes estão sujeitos a um acordo com o Subcontratante não menos restritivo e protetor do que o presente Acordo no que diz respeito à proteção dos Dados Pessoais da Empresa, na medida em que seja aplicável à natureza dos serviços prestados pelo Subcontratante.

6. Direitos dos Titulares dos Dados

Tendo em conta a natureza do tratamento, o Subcontratante prestará assistência razoável à Empresa para o cumprimento das obrigações da Empresa de responder a pedidos de exercício dos direitos dos Titulares dos Dados ao abrigo das Leis de Proteção de Dados.

O Subcontratante deve:

6.1) notificar prontamente a Empresa se receber um pedido de um Titular dos Dados ao abrigo de qualquer Lei de Proteção de Dados relativamente aos Dados Pessoais da Empresa; e

6.2) garantir que não responde a esse pedido, exceto com base nas instruções documentadas do Responsável pelo Tratamento ou conforme exigido pelas Leis Aplicáveis a que o Subcontratante esteja sujeito, caso em que o Subcontratante, na medida em que seja permitido pelas Leis Aplicáveis, informará o Responsável pelo Tratamento desse requisito legal antes de o Subcontratante Contratado responder ao pedido.

7. Violação de Dados Pessoais

O Subcontratante deve gerir qualquer Violação de Dados Pessoais em conformidade com as Leis de Proteção de Dados aplicáveis e os seus procedimentos internos relativos a Violações de Dados Pessoais. Na eventualidade de uma Violação de Dados Pessoais que afete os Dados Pessoais da Empresa, o Subcontratante notificará a Empresa sem demora, fornecendo informações suficientes para permitir à Empresa cumprir as suas obrigações ao abrigo das Leis de Proteção de Dados, incluindo informar os Titulares dos Dados conforme necessário. Nesses casos, o Subcontratante fornecerá à Empresa informações suficientes para permitir que a Empresa cumpra quaisquer obrigações de comunicar ou informar os Titulares dos Dados sobre a Violação de Dados Pessoais ao abrigo das Leis de Proteção de Dados.

O Subcontratante cooperará com a Empresa e tomará as medidas comerciais razoáveis indicadas pela Empresa para prestar assistência na investigação, mitigação e reparação de cada uma dessas Violações de Dados Pessoais.

Cada parte suportará os custos da investigação, reparação, mitigação e outros custos relacionados na medida em que uma Violação de Dados seja causada por essa parte.

Cada parte suportará os custos de quaisquer multas, sanções, indemnizações ou outros montantes relacionados impostos por um organismo regulador autorizado, agência governamental ou tribunal de jurisdição competente, na medida em que decorram da violação por essa parte das suas obrigações ao abrigo deste Acordo.

8. Avaliação de Impacto sobre a Proteção de Dados e Consulta Prévia

O Subcontratante prestará assistência razoável à Empresa em quaisquer avaliações de impacto sobre a proteção de dados e consultas prévias junto de Autoridades de Controlo ou de outras autoridades competentes em matéria de privacidade de dados, que o Responsável pelo Tratamento considere razoavelmente serem exigidas pelo artigo 35 ou 36 do GDPR ou por disposições equivalentes de qualquer outra Lei de Proteção de Dados, em cada caso unicamente em relação ao Tratamento de Dados Pessoais da Empresa pelos Subcontratantes Contratados, e tendo em conta a natureza do Tratamento e as informações disponíveis para os mesmos.

9. Eliminação ou devolução de Dados Pessoais da Empresa

Em caso de cessação de qualquer Serviço que envolva o Tratamento de Dados Pessoais da Empresa, o Subcontratante eliminará todos os Dados Pessoais da Empresa na medida permitida pelas leis aplicáveis e de acordo com os Termos e Condições e a Política de privacidade do Subcontratante. Caso a Empresa necessite de uma cópia dos seus dados, deverá solicitá-la antes da eliminação da sua conta; os pedidos efetuados após a conta ter sido eliminada já não poderão ser considerados.

10. Direitos de auditoria

Sujeito a esta secção 10, o Subcontratante disponibilizará à Empresa, mediante pedido, todas as informações necessárias para demonstrar a conformidade com este Acordo e permitirá e contribuirá para auditorias, incluindo inspeções, realizadas pela Empresa ou por um auditor mandatado pela Empresa relativamente ao Tratamento dos Dados Pessoais da Empresa pelos Subcontratantes Contratados. A Empresa não exercerá os seus direitos de auditoria mais de uma vez por ano civil, exceto na sequência de uma Violação de Dados Pessoais ou de uma instrução de uma autoridade reguladora. A Empresa notificará o Subcontratante por escrito com pelo menos sessenta (60) dias de antecedência sobre a sua intenção de auditar o Subcontratante nos termos deste Acordo. A auditoria será realizada durante o horário de expediente do Subcontratante, não perturbará as operações do Subcontratante e garantirá a proteção dos Dados Pessoais da Empresa, do Subcontratante e de outros Titulares dos Dados. O Subcontratante e a Empresa acordarão mutuamente e com antecedência a data, o âmbito, a duração e os controlos de segurança e confidencialidade aplicáveis à auditoria. A Empresa reconhece que a assinatura de um acordo de confidencialidade pode ser exigida pelo Responsável pelo Tratamento antes da realização da auditoria.

Os direitos de informação e de auditoria da Empresa apenas decorrem da secção 10 na medida em que o Acordo não lhes confira de outra forma direitos de informação e de auditoria que cumpram os requisitos relevantes da Lei de Proteção de Dados.

11. Transferência de dados

Na medida do possível, o Subcontratante apenas transferirá ou autorizará a transferência de Dados para países dentro da Suíça, da UE e/ou países sujeitos a uma decisão de adequação, conforme previsto no art. 45 do GDPR e art. 16 da FADP suíça. Se os Dados Pessoais tratados ao abrigo deste Acordo forem transferidos da Suíça ou de qualquer país dentro da UE ou de qualquer país sujeito a uma decisão de adequação para um país fora deste âmbito, as Partes garantirão que os Dados Pessoais são adequadamente protegidos. Para o efeito, as Partes, salvo acordo em contrário, basear-se-ão nas cláusulas contratuais-tipo aprovadas e em vigor na Suíça e/ou na UE e/ou no Reino Unido para a transferência de Dados Pessoais ou noutros mecanismos de transferência previstos pelas Leis de Proteção de Dados. O Subcontratante estará autorizado a realizar tais transferências para Subcontratantes desde que sejam implementadas salvaguardas adequadas no que diz respeito à natureza da transferência.

12. Termos gerais

Conformidade com as Leis Aplicáveis. O Subcontratante tratará os Dados Pessoais da Empresa em conformidade com este Acordo e com as Leis de Proteção de Dados aplicáveis à sua função ao abrigo deste Acordo. O Subcontratante não é responsável nem poderá ser responsabilizado pelo cumprimento das Leis de Proteção de Dados exclusivamente aplicáveis à Empresa em virtude da sua atividade comercial ou setor de atividade.

Confidencialidade. Cada parte deve manter confidencial qualquer informação que receba sobre a outra parte e a sua atividade comercial em ligação com este Acordo (“Informações Confidenciais”) e não deve utilizar nem divulgar essas Informações Confidenciais sem o consentimento prévio por escrito da outra parte, exceto na medida em que:

(a) a divulgação seja exigida por lei;

(b) a informação relevante já seja do domínio público sem que haja culpa das Partes.

Comunicações. Todas as notificações e comunicações efetuadas ao abrigo deste Acordo devem ser feitas por escrito e serão enviadas por e-mail. O Responsável pelo Tratamento será notificado por e-mail enviado para o endereço associado à sua utilização dos Serviços ao abrigo do Acordo Principal. O Subcontratante será notificado por e-mail enviado para o endereço: legal@proton.me.

Lei Aplicável e Jurisdição. Este Acordo será regido pelo direito suíço, sem consideração pelas disposições relativas à escolha ou a conflitos de leis de qualquer jurisdição em contrário, e os litígios, ações judiciais, reclamações ou causas de pedir decorrentes de ou em ligação com este Acordo, um formulário de encomenda, qualquer documento incorporado por referência, a tecnologia da Proton ou os Serviços estarão sujeitos à jurisdição exclusiva de Genebra, Suíça.

Em caso de discrepância entre a versão em inglês destes Termos e qualquer versão traduzida, a versão em inglês prevalecerá.