Acordo de Processamento de Dados de MSP

Este Acordo de Processamento de Dados ("Acordo") faz parte do Acordo de Prestador de Serviços Geridos (o "Acordo Principal") entre a Proton AG, Route de la Galaise 32, 1228 Plan-les-Ouates, Suíça, número de identificação de empresa CHE-354.686.492 (referida como o "Subcontratante"), e o MSP identificado no Acordo Principal (referido como a "Empresa", e que deve ser entendido como o prestador de serviços geridos que utiliza os Serviços para fornecer, faturar e prestar apoio aos seus próprios Clientes Geridos, independentemente da sua forma jurídica).

Este Acordo rege os requisitos específicos da Legislação de Proteção de Dados na medida em que a utilização dos Serviços pela Empresa, incluindo o fornecimento dos Serviços a Clientes Geridos pela Empresa, implique o Processamento de Dados Pessoais sujeitos à Legislação de Proteção de Dados.

A vigência deste Acordo acompanhará a vigência do Acordo Principal. Os termos não definidos no presente documento terão o significado estabelecido no Acordo Principal.

CONSIDERANDO QUE

A) A Empresa atua como Responsável pelo Tratamento ou, caso o próprio Cliente Gerido dê instruções para o Processamento dos seus próprios Dados Pessoais, como Subcontratante em nome desse Cliente Gerido (em qualquer dos casos, o "Responsável pelo Tratamento").

B) A Empresa pretende subcontratar determinados Serviços, que implicam o Processamento de Dados Pessoais, à Proton AG, que atua como Subcontratante (o "Subcontratante").

C) As Partes procuram implementar um acordo de processamento de dados em conformidade com os requisitos do quadro jurídico atual relativo ao processamento de dados, incluindo o Regulamento (UE) 2016/679 (o "GDPR") e a Lei Federal Suíça sobre a Proteção de Dados ("FADP"), bem como outra Legislação de Proteção de Dados aplicável.

D) As Partes pretendem estabelecer os seus respetivos direitos e obrigações.

ACORDA-SE O SEGUINTE:

1. Definições, funções e âmbito

1.1 Definições. Salvo definição em contrário no presente documento, os termos com letra maiúscula têm o significado que lhes é atribuído no Acordo Principal ou, caso não estejam aí definidos, o seguinte significado:

• "Dados Pessoais da Empresa" significa quaisquer Dados Pessoais relacionados com a Empresa, os Clientes Geridos da Empresa ou os seus respetivos clientes ou funcionários, Processados em ligação com o Acordo Principal.
• "Subcontratante Contratado" significa um Subcontratante Ulterior.
• "Legislação de Proteção de Dados" significa o GDPR, a FADP e, na medida em que seja aplicável, a legislação de proteção de dados ou de privacidade de qualquer outro país.
• "Transferência de Dados" significa (i) uma transferência de Dados Pessoais da Empresa da Empresa para o Subcontratante ou um Subcontratante Contratado, ou (ii) uma transferência subsequente de Dados Pessoais da Empresa do Subcontratante para um Subcontratante Ulterior, ou entre dois estabelecimentos de um Subcontratante Ulterior.
• "Cliente Gerido" tem o significado atribuído no Acordo Principal: uma entidade utilizadora final à qual a Empresa fornece e disponibiliza os Serviços como parte da própria oferta de serviços geridos da Empresa.
• “Subcontratante Ulterior” significa qualquer pessoa designada pelo Subcontratante ou em seu nome para Processar Dados Pessoais em ligação com o Acordo.
• Os termos "Comissão", "Responsável pelo Tratamento", "Titular dos Dados", "Estado-Membro", "Dados Pessoais", "Violação de Dados Pessoais", "Processamento" e "Autoridade de Controlo" têm o mesmo significado que no GDPR ou noutra Legislação de Proteção de Dados aplicável.

1.2 Funções das Partes. Na relação entre a Proton e a Empresa, a Empresa é o Responsável pelo Tratamento (ou, conforme aplicável, o Subcontratante que atua segundo as instruções de um Cliente Gerido) e a Proton é o Subcontratante, no que diz respeito a todos os Dados Pessoais da Empresa Processados ao abrigo do Acordo Principal, incluindo Dados Pessoais de ou relacionados com Clientes Geridos e os seus respetivos utilizadores finais. Este Acordo constitui o acordo integral e exclusivo de processamento de dados entre a Proton e qualquer parte na cadeia de Clientes Geridos. A Proton não tem qualquer relação contratual direta, relação Responsável pelo Tratamento-Subcontratante ou relação Subcontratante-Subcontratante Ulterior com qualquer Cliente Gerido, e nenhum Cliente Gerido é parte de, ou terceiro beneficiário deste Acordo. A Empresa é a única responsável pelos seus acordos com os seus Clientes Geridos e pelas suas obrigações perante os mesmos, incluindo quaisquer termos de proteção de dados que a Empresa lhes deva ao abrigo da lei aplicável ou de contrato.

1.3 Responsabilidade a jusante da Empresa. A Empresa deve celebrar um acordo por escrito com cada Cliente Gerido que imponha à Empresa obrigações de proteção de dados não menos protetoras dos Dados Pessoais desse Cliente Gerido do que as obrigações que a Proton tem perante a Empresa ao abrigo deste Acordo, na medida em que seja aplicável à natureza dos Serviços que a Empresa presta a esse Cliente Gerido. As obrigações da Proton ao abrigo deste Acordo aplicam-se exclusivamente à Empresa; a Empresa permanece exclusivamente responsável perante os seus Clientes Geridos pelo Processamento dos seus Dados Pessoais, incluindo por quaisquer atos ou omissões da Proton, na relação entre a Empresa e os seus Clientes Geridos.

2. Tratamento de Dados Pessoais da Empresa

O Subcontratante deve:

• cumprir toda a Legislação de Proteção de Dados aplicável no Processamento de Dados Pessoais da Empresa; e
• não Processar Dados Pessoais da Empresa a não ser mediante instruções documentadas da Empresa, conforme estabelecido abaixo.

A Empresa dá instruções ao Subcontratante para Processar os Dados Pessoais da Empresa para:

• prestar os Serviços e o apoio técnico conexo à Empresa e, através da Empresa, aos Clientes Geridos;
• cumprir obrigações legais ou resolver litígios;
• realizar qualquer tarefa interna com o objetivo de otimizar a segurança, a privacidade, a confidencialidade e a funcionalidade dos Serviços; e
• realizar relatórios internos, relatórios financeiros e outras tarefas internas semelhantes.

3. Pessoal do Subcontratante

O Subcontratante deve tomar medidas razoáveis para assegurar a fiabilidade de qualquer funcionário, agente ou contratado de qualquer Subcontratante Contratado que possa ter acesso a Dados Pessoais da Empresa, garantindo em cada caso que o acesso é estritamente limitado às pessoas que necessitam de conhecer ou aceder aos Dados Pessoais da Empresa relevantes, conforme estritamente necessário para os fins do Acordo Principal e/ou para cumprir a Legislação de Proteção de Dados, e garantindo que todas essas pessoas estão sujeitas a compromissos de confidencialidade ou a obrigações de confidencialidade profissionais ou estatutárias.

4. Segurança

Em conformidade com o Artigo 32(1) do GDPR, o Subcontratante deve aplicar as medidas técnicas e organizativas adequadas para assegurar um nível de segurança adequado ao risco, tendo em conta o estado da técnica, os custos de aplicação e a natureza, o âmbito, o contexto e as finalidades do Processamento. Estas medidas foram concebidas para proteger os direitos e liberdades das pessoas singulares, tendo em consideração os riscos de probabilidade e gravidade variáveis, incluindo o risco de uma Violação de Dados Pessoais. A Empresa deve implementar medidas técnicas e organizativas adequadas para o seu próprio Processamento de Dados Pessoais da Empresa, incluindo a administração de contas de Clientes Geridos através de Licenças de Administrador MSP, e deve garantir que o acesso a essas contas seja limitado ao pessoal da Empresa que delas necessite, protegido por controlos de autenticação adequados e prontamente revogado quando já não for necessário.

5. Subprocessamento

Sujeito a este Acordo, a Empresa concede autorização geral ao Subcontratante para recorrer a Subcontratantes Ulteriores e divulgar ou transferir Dados Pessoais da Empresa para os mesmos. A Empresa reconhece e aprova a lista de Subcontratantes Ulteriores descrita na Política de privacidade do Subcontratante, compreendendo que esta lista pode ser atualizada pelo Subcontratante periodicamente, caso em que a Empresa será informada de acordo com o processo de notificação da Política de privacidade. A Empresa autoriza ainda o Subcontratante a divulgar e transferir Dados Pessoais para qualquer empresa do seu grupo empresarial. O Subcontratante deve garantir que os Subcontratantes Ulteriores estão sujeitos a um acordo com o Subcontratante não menos restritivo e protetor do que este Acordo no que diz respeito à proteção dos Dados Pessoais da Empresa, na medida do aplicável à natureza dos serviços prestados por esse Subcontratante Ulterior. Para que não restem dúvidas, a Empresa não é um Subcontratante Ulterior da Proton e esta Secção não se aplica ao relacionamento da própria Empresa com qualquer Cliente Gerido ou terceiros.

6. Direitos dos Titulares dos Dados

Tendo em conta a natureza do Processamento, o Subcontratante deve prestar assistência razoável à Empresa no cumprimento das obrigações da Empresa de responder a pedidos de exercício dos direitos do Titular dos Dados ao abrigo da Legislação de Proteção de Dados, incluindo pedidos que a Empresa receba de, ou em nome de, um Cliente Gerido ou dos utilizadores finais desse Cliente Gerido.

O Subcontratante deve:

• notificar prontamente a Empresa se receber um pedido de um Titular dos Dados ao abrigo de qualquer Legislação de Proteção de Dados relativamente aos Dados Pessoais da Empresa; e

• garantir que não responde a esse pedido, exceto mediante instruções documentadas da Empresa ou conforme exigido pela legislação aplicável, caso em que o Subcontratante deve, na medida do legalmente permitido, informar a Empresa desse requisito legal antes de responder.

A Empresa é a única responsável por responder a, e coordenar com qualquer Cliente Gerido relativamente a, qualquer pedido do Titular dos Dados relacionado com os Dados Pessoais desse Cliente Gerido; o Subcontratante não tem qualquer obrigação de identificar ou comunicar diretamente com qualquer Cliente Gerido.

7. Violação de Dados Pessoais

O Subcontratante deve gerir qualquer Violação de Dados Pessoais em conformidade com a Legislação de Proteção de Dados aplicável e com os seus procedimentos internos relativos a Violações de Dados Pessoais. Na eventualidade de uma Violação de Dados Pessoais que afete os Dados Pessoais da Empresa, o Subcontratante deve notificar a Empresa sem demora injustificada, fornecendo informações suficientes para permitir à Empresa cumprir as suas próprias obrigações ao abrigo da Legislação de Proteção de Dados, incluindo, quando aplicável, informar os Clientes Geridos e os Titulares dos Dados afetados. O Subcontratante deve cooperar com a Empresa e tomar as medidas comerciais razoáveis indicadas pela Empresa para ajudar na investigação, mitigação e remediação de cada uma dessas Violações de Dados Pessoais. Cada Parte deve suportar os custos de investigação, remediação, mitigação e outros custos conexos na medida em que a Violação de Dados Pessoais seja causada por essa Parte. Cada Parte deve suportar os custos de quaisquer multas, sanções, indemnizações por perdas e danos ou outros montantes conexos impostos por uma autoridade reguladora competente na medida em que decorram da violação, por essa Parte, das suas obrigações ao abrigo deste Acordo. A Empresa é a única responsável pelas notificações de violações aos seus Clientes Geridos e aos respetivos Titulares dos Dados, bem como pelo calendário e conteúdo dessas notificações.

8. Avaliação de Impacto sobre a Proteção de Dados e Consulta Prévia

O Subcontratante deve prestar assistência razoável à Empresa nas avaliações de impacto sobre a proteção de dados e nas consultas prévias às autoridades de controlo que a Empresa razoavelmente considere exigidas pelo Artigo 35 ou 36 do GDPR ou por disposições equivalentes de qualquer outra Legislação de Proteção de Dados, em cada caso exclusivamente em relação ao Processamento de Dados Pessoais da Empresa pelos Subcontratantes Contratados, e tendo em conta a natureza do Processamento e as informações disponíveis para os mesmos.

9. Eliminação ou devolução de Dados Pessoais da Empresa

Após a cessação de qualquer Serviço que envolva o Processamento de Dados Pessoais da Empresa, o Subcontratante deve eliminar todos os Dados Pessoais da Empresa na medida do permitido pela lei aplicável e em conformidade com os Termos e Condições e com a Política de privacidade do Subcontratante. Caso a Empresa necessite de uma cópia dos Dados Pessoais da Empresa, deve solicitá-la antes da eliminação; os pedidos efetuados após a eliminação já não poderão ser considerados. Após a rescisão do Acordo Principal, a Empresa permanece como única responsável por gerir a eliminação, devolução ou transição dos Dados Pessoais de qualquer Cliente Gerido na relação entre a Empresa e esse Cliente Gerido, em conformidade com a Secção 5.4 do Acordo Principal (Assistência de transição).

10. Direitos de auditoria

Sujeito a esta Secção 10, o Subcontratante deve disponibilizar à Empresa, mediante pedido, todas as informações necessárias para demonstrar o cumprimento deste Acordo, e deve permitir e contribuir para auditorias, incluindo inspeções, realizadas pela Empresa ou por um auditor mandatado pela Empresa, relativamente ao Processamento de Dados Pessoais da Empresa pelos Subcontratantes Contratados. A Empresa não deve exercer os seus direitos de auditoria ao abrigo desta Secção mais do que uma vez por ano civil, exceto na sequência de uma Violação de Dados Pessoais ou de uma instrução de uma autoridade reguladora. A Empresa deve avisar o Subcontratante por escrito com uma antecedência mínima de sessenta (60) dias sobre a sua intenção de realizar uma auditoria. A auditoria deve ser realizada durante o horário de expediente do Subcontratante, não deve perturbar as operações do Subcontratante e deve assegurar a proteção dos Dados Pessoais da Empresa, do Subcontratante e de outros Titulares dos Dados. As Partes devem acordar mutuamente e com antecedência a data, o âmbito, a duração e os controlos de segurança e confidencialidade aplicáveis à auditoria; o Subcontratante pode exigir um acordo de não divulgação antes da realização da auditoria. Os direitos de informação e auditoria ao abrigo desta Secção só surgem na medida em que este Acordo não confira, de outro modo, à Empresa direitos de informação e auditoria que satisfaçam os requisitos relevantes da Legislação de Proteção de Dados. Sempre que um Cliente Gerido solicitar informações sobre o Processamento da Proton como parte das próprias obrigações de diligência devida da Empresa perante esse Cliente Gerido, a Empresa poderá basear-se nesta Secção para obter as informações necessárias do Subcontratante e transmiti-las, mas o próprio Cliente Gerido não tem qualquer direito independente de auditoria perante o Subcontratante.

11. Transferência de dados

Na medida do possível, o Subcontratante apenas transferirá ou autorizará a transferência de Dados Pessoais da Empresa para países na Suíça, na UE e/ou países sujeitos a uma decisão de adequação, conforme previsto no Artigo 45 do GDPR e no Artigo 16 da FADP suíça. Se os Dados Pessoais da Empresa Processados ao abrigo deste Acordo forem transferidos da Suíça, da UE ou de um país sujeito a uma decisão de adequação para um país fora desse âmbito, as Partes devem assegurar que os Dados Pessoais estão adequadamente protegidos, recorrendo, salvo acordo em contrário, a cláusulas contratuais-tipo aprovadas pela Suíça, UE e/ou Reino Unido e vigentes à data, ou a outros mecanismos de transferência previstos pela Legislação de Proteção de Dados. O Subcontratante está autorizado a realizar essas transferências para Subcontratantes Ulteriores, desde que sejam implementadas salvaguardas adequadas tendo em conta a natureza da transferência.

12. Termos gerais

12.1 Cumprimento da legislação aplicável. O Subcontratante Processará os Dados Pessoais da Empresa em conformidade com este Acordo e com a Legislação de Proteção de Dados aplicável à sua função ao abrigo deste Acordo. O Subcontratante não é responsável pelo cumprimento da Legislação de Proteção de Dados aplicável exclusivamente à Empresa, ou a qualquer Cliente Gerido, em virtude da respetiva atividade ou setor.

12.2 Confidencialidade. Cada Parte deve manter a confidencialidade de qualquer informação que receba sobre a outra Parte em ligação com este Acordo, e não deve utilizá-la nem divulgá-la sem o consentimento prévio por escrito da outra Parte, exceto na medida em que (a) a divulgação seja exigida por lei, ou (b) a informação já seja do domínio público sem qualquer culpa das Partes.

12.3 Notificações. As notificações ao abrigo deste Acordo devem ser efetuadas em conformidade com as disposições sobre notificações do Acordo Principal. As notificações ao Subcontratante relativas a questões de proteção de dados devem adicionalmente ser enviadas com conhecimento para legal@proton.ch

12.4 Responsabilidade. A responsabilidade de cada Parte decorrente de ou em ligação com este Acordo está sujeita a, e limitada em conformidade com, as disposições sobre limitação de responsabilidade do Acordo Principal, incluindo qualquer limite específico aí estabelecido para violações de confidencialidade e de obrigações de proteção de dados. Nada no presente Acordo limita a responsabilidade de qualquer uma das Partes por multas ou sanções que lhe sejam diretamente impostas por uma autoridade de controlo competente decorrentes da violação, por essa Parte, da Legislação de Proteção de Dados aplicável. A Empresa reconhece que, na qualidade de única parte responsável perante os seus Clientes Geridos, a Empresa assume a responsabilidade exclusiva por qualquer obrigação de indemnização em que incorra perante um Cliente Gerido que exceda o que a Empresa possa recuperar do Subcontratante ao abrigo do limite de responsabilidade do Acordo Principal.

12.5 Lei aplicável e jurisdição. Este Acordo é regido pela lei suíça, sem prejuízo de quaisquer disposições relativas a conflitos de leis de qualquer outra jurisdição, e os litígios decorrentes de ou em ligação com este Acordo estão sujeitos à jurisdição exclusiva dos tribunais de Genebra, Suíça.

12.6 Ordem de prevalência. Em caso de discrepância entre este Acordo e o Acordo Principal relativamente ao Processamento de Dados Pessoais, este Acordo prevalece, em conformidade com a Secção 10.1 do Acordo Principal. Em caso de discrepância entre a versão inglesa deste Acordo e qualquer versão traduzida, a versão inglesa prevalecerá.