Acordo de Tratamento de Dados — DPA
O presente DPA complementa o contrato quando a UESE ITALIA S.p.A. trata dados pessoais por conta de um Cliente empresarial na qualidade de subcontratante nos termos do artigo 28 RGPD. Não se aplica aos tratamentos em que a UESE atua como responsável autónomo.
1. Partes, âmbito e qualificação
O Cliente é responsável pelo tratamento, ou subcontratante principal quando atua por conta de terceiro; a UESE é subcontratante ou subcontratante ulterior para os tratamentos abrangidos. As operações incluem alojamento, transmissão, workflow de assinatura, armazenamento, suporte, evidência, backup e funções técnicas solicitadas.
2. Objeto, duração, natureza e finalidades
O tratamento tem por objeto prestar a Firmato durante o contrato e períodos limitados de devolução, backup ou conservação autorizada. A natureza inclui recolha, consulta, organização, armazenamento, transmissão, transformação técnica, verificação e eliminação. As finalidades são apenas as necessárias ao serviço e às instruções documentadas do Cliente.
3. Titulares e dados
Podem incluir trabalhadores, colaboradores, clientes, fornecedores, representantes, signatários, prospects e outras pessoas constantes dos documentos. Os dados podem incluir identidade, contactos, papel, assinatura, metadados, informação contratual e quaisquer dados inseridos pelo Cliente. O Cliente determina se categorias especiais ou dados penais podem ser legitimamente incluídos.
4. Instruções
A UESE trata os dados apenas segundo instruções documentadas do Cliente, incluindo transferências internacionais, salvo obrigação legal. Se uma instrução parecer violar o RGPD ou outra norma, a UESE informa o Cliente na medida permitida.
5. Confidencialidade
As pessoas autorizadas estão sujeitas a dever adequado de confidencialidade e acedem apenas conforme responsabilidades e necessidade de conhecimento.
6. Medidas técnicas e organizativas
A UESE mantém medidas proporcionais ao risco, conforme o serviço: gestão de identidade/acesso, 2FA em funções sensíveis, separação lógica, TLS, cifragem/proteção de segredos quando apropriado, backups, logging, hardening, vulnerabilidades, minimização, continuidade, resposta a incidentes e testes periódicos.
7. Subcontratantes ulteriores
O Cliente concede autorização geral para os subcontratantes necessários publicados na lista Subprocessors. A UESE comunica alterações relevantes com antecedência razoável e permite objeção fundamentada em proteção de dados. O subcontratante ulterior assume obrigações substancialmente equivalentes para o tratamento confiado.
8. Assistência aos direitos
Tendo em conta a natureza do tratamento, a UESE assiste o Cliente com medidas adequadas no atendimento de pedidos de direitos. Se receber pedido claramente referente ao Cliente, encaminha-o salvo proibição legal.
9. Violações de dados
A UESE notifica o Cliente de uma violação abrangida sem demora indevida após dela tomar conhecimento, fornecendo informação disponível sobre natureza, categorias, consequências prováveis e medidas. Informação adicional pode ser prestada faseadamente. A notificação não constitui reconhecimento de responsabilidade.
10. DPIA e consultas
A UESE fornece assistência razoável, considerando a natureza do serviço e informação disponível, para avaliações de impacto e consultas prévias relativas aos tratamentos do Cliente.
11. Transferências fora do EEE
Transferências internacionais baseiam-se num mecanismo do capítulo V RGPD, como decisão de adequação ou Cláusulas Contratuais-Tipo. Quando a UESE seja exportador para subcontratante ulterior, utiliza o módulo adequado e medidas suplementares quando necessário.
12. Devolução e eliminação
No termo dos serviços, e à escolha do Cliente quando permitido, a UESE devolve ou elimina dados tratados por sua conta, sem prejuízo de backups de ciclo limitado, provas legais, legal hold ou obrigações legais. Cópias retidas permanecem protegidas e com acesso restrito.
13. Auditoria e informação
A UESE disponibiliza informação razoavelmente necessária para demonstrar conformidade com o artigo 28. Auditorias são proporcionais e não comprometem segurança ou dados de outros clientes, privilegiando documentação, evidências e controlos remotos. Inspeções locais exigem pré-aviso razoável salvo incidente grave ou ordem de autoridade.
14. Responsabilidade e prevalência
A responsabilidade entre as partes permanece regida pelo contrato principal nos limites do RGPD. Em conflito sobre dados tratados por conta do Cliente, prevalece este DPA. Não são afetados os direitos dos titulares nem os poderes das autoridades.
15. Versionamento, prevalência e conservação da prova
A Firmato conserva a versão do documento disponibilizada e, quando previsto pelo fluxo da aplicação, a prova da respetiva consulta ou aceitação, com data, conta e informações técnicas de auditoria. Alterações substanciais podem exigir nova informação ou aceitação. O idioma e o país são parâmetros distintos: o idioma determina a versão linguística e o país determina o suplemento nacional aplicável.