Contrato de Subcontratação de Dados

Este contrato é celebrado nos termos do artigo 28.º do Regulamento (UE) 2016/679 (RGPD) e integra os Termos de Serviço do Tabellio. Aplica-se a todos os dados pessoais que o Prestador trata por conta do Cliente ao prestar o Serviço.

1. Partes

• Responsável pelo tratamento («Cliente»): o escritório de advogados ou de solicitadores que subscreve o Tabellio, identificado pelo nome e NIF indicados no registo.
• Subcontratante («Prestador»): Tabellio, Lda., NIF [NIF] , com sede em [morada da sede] .

Os termos «dados pessoais», «tratamento», «titular dos dados», «violação de dados pessoais» e «subcontratante ulterior» têm o significado que lhes dá o RGPD.

2. Objeto e duração

O Prestador trata dados pessoais por conta do Cliente apenas na medida necessária para prestar o Serviço descrito nos Termos de Serviço. Este contrato vigora enquanto durar a subscrição e, depois dela, até à eliminação ou devolução dos dados nos termos da cláusula 11.

3. Natureza e finalidade do tratamento

Alojamento, armazenamento, organização, consulta, disponibilização aos Utilizadores autorizados pelo Cliente, cópia de segurança e eliminação de dados, com a finalidade de permitir ao Cliente gerir os seus processos imobiliários, documentos e agendamentos e colaborar com os mediadores imobiliários seus parceiros. O detalhe consta do Anexo I.

4. Instruções do Cliente

1. O Prestador trata os dados apenas segundo instruções documentadas do Cliente. Constituem instruções: este contrato, os Termos de Serviço, as configurações que o Cliente faz no Serviço (por exemplo, utilizadores e perfis, política de retenção de documentos, integração com o Microsoft 365) e os pedidos escritos do Cliente ao suporte.
2. O Prestador não trata os dados para fins próprios. Se o direito da União ou de um Estado-Membro o obrigar a um tratamento diferente, informa o Cliente antes de o efetuar, salvo se a lei o proibir.
3. O Prestador informa o Cliente se considerar que uma instrução viola o RGPD ou outra norma de proteção de dados.

5. Obrigações do Cliente

1. Garantir que tem fundamento de licitude para os dados que coloca no Serviço e que informou os titulares, nos termos dos artigos 13.º e 14.º do RGPD.
2. Gerir os acessos dos seus Utilizadores e configurar a retenção dos documentos de acordo com as suas obrigações legais e deontológicas.
3. Não carregar categorias especiais de dados (artigo 9.º) nem dados relativos a condenações penais (artigo 10.º) para além do que seja estritamente necessário ao processo e lícito, assumindo a avaliação dessa necessidade.
4. Responder aos pedidos dos titulares dos dados, com a assistência do Prestador prevista na cláusula 9.

6. Obrigações do Prestador

1. Garantir que as pessoas autorizadas a tratar os dados assumiram um compromisso de confidencialidade ou estão sujeitas a uma obrigação legal de confidencialidade.
2. Aplicar as medidas técnicas e organizativas do Anexo II, adequadas ao risco, nos termos do artigo 32.º do RGPD.
3. Aceder ao espaço do Cliente apenas para lhe prestar suporte ou garantir o funcionamento do Serviço. Esse acesso faz-se através de uma sessão de suporte com motivo registado, válida por um máximo de 4 horas; cada ação nela praticada fica identificada como suporte no registo de auditoria do Cliente.
4. Manter um registo das atividades de tratamento efetuadas por conta do Cliente, nos termos do artigo 30.º, n.º 2, do RGPD.
5. Cooperar com a autoridade de controlo, a pedido desta.

7. Subcontratantes ulteriores

1. O Cliente autoriza, de forma geral, o recurso aos subcontratantes ulteriores do Anexo III.
2. O Prestador informa o Cliente por email, com pelo menos 30 dias de antecedência, da inclusão ou substituição de um subcontratante ulterior. O Cliente pode opor-se com fundamento razoável dentro desse prazo; se as partes não chegarem a acordo, o Cliente pode cancelar a subscrição sem penalização.
3. O Prestador impõe a cada subcontratante ulterior, por contrato, obrigações de proteção de dados equivalentes às deste contrato e continua responsável perante o Cliente pelo seu cumprimento.

8. Transferências internacionais

Quando um subcontratante ulterior trate dados fora do Espaço Económico Europeu, a transferência assenta numa decisão de adequação da Comissão Europeia (incluindo o Quadro de Privacidade de Dados UE-EUA, para prestadores certificados) ou em cláusulas contratuais-tipo aprovadas pela Comissão, com as medidas complementares que se mostrem necessárias.

9. Assistência ao Cliente

1. Pedidos dos titulares. O Serviço permite ao Cliente consultar e corrigir a maior parte dos dados diretamente. Para o que o Cliente não consiga fazer sozinho — por exemplo, exportar os seus dados ou apagar um documento antes do fim do prazo de retenção configurado — o Prestador presta assistência a pedido do Cliente, feito através do suporte, num prazo que permita ao Cliente responder ao titular dentro dos prazos do RGPD. Se um titular se dirigir diretamente ao Prestador, este encaminha o pedido ao Cliente sem lhe responder em substância.
2. Segurança, avaliações de impacto e consulta prévia. O Prestador presta ao Cliente a informação de que disponha e que seja necessária para cumprir os artigos 32.º a 36.º do RGPD.

10. Violações de dados pessoais

O Prestador notifica o Cliente de qualquer violação de dados pessoais que afete os dados do Cliente sem demora injustificada após dela ter conhecimento e, sempre que possível, no prazo de 48 horas, com a informação prevista no artigo 33.º, n.º 3, do RGPD de que disponha nesse momento, completada à medida que for apurada. O Prestador adota de imediato as medidas razoáveis para conter a violação e atenuar os seus efeitos.

11. Fim do tratamento: devolução e eliminação

1. Após a cessação da subscrição, os dados ficam disponíveis durante 90 dias, durante os quais o Cliente pode pedir, através do suporte, a sua exportação.
2. Findo esse prazo, o Prestador elimina a base de dados do Cliente e os documentos armazenados, salvo se o direito da União ou de um Estado-Membro exigir a sua conservação. As cópias de segurança que os contenham são eliminadas no fim do seu ciclo de conservação de 30 dias.
3. O Prestador confirma a eliminação por escrito, a pedido do Cliente.

12. Demonstração do cumprimento e auditorias

1. O Prestador disponibiliza ao Cliente a informação necessária para demonstrar o cumprimento deste contrato e do artigo 28.º do RGPD.
2. O Cliente, ou um auditor por si mandatado e vinculado a confidencialidade, pode realizar auditorias, incluindo inspeções, mediante pré-aviso escrito de 30 dias, no máximo uma vez por ano — salvo após uma violação de dados pessoais ou a pedido de uma autoridade de controlo — e a expensas do Cliente. As auditorias não podem comprometer a segurança nem a confidencialidade dos dados de outros clientes.

13. Responsabilidade

Cada parte responde nos termos do artigo 82.º do RGPD. Nas relações entre as partes aplicam-se os limites de responsabilidade dos Termos de Serviço, na medida em que a lei o permita.

14. Aceitação e prevalência

1. Este contrato é aceite eletronicamente, em nome do Cliente, por quem o regista ou por um Administrador do Cliente dentro da aplicação. A aceitação substitui a assinatura manuscrita: o Prestador regista a versão aceite, a data e hora da aceitação e o utilizador que aceitou, e esse registo fica também no registo de auditoria do Cliente.
2. Em caso de conflito entre este contrato e os Termos de Serviço quanto ao tratamento de dados pessoais, prevalece este contrato.
3. As alterações a este contrato seguem o regime de alterações dos Termos de Serviço.

Anexo I — Detalhes do tratamento

Anexo II — Medidas técnicas e organizativas

• Isolamento: cada escritório tem uma base de dados PostgreSQL fisicamente separada; os documentos ficam numa área de armazenamento separada por escritório.
• Controlo de acessos: perfis (Administrador, Atendimento, Advogado, Agente) verificados em cada pedido; cada agente vê apenas os processos da sua agência; os acessos podem ser desativados de imediato e uma agência desativada perde o acesso de todos os seus utilizadores.
• Autenticação: palavras-passe guardadas apenas sob forma de hash; autenticação de dois fatores disponível, com os segredos cifrados; limitação do número de tentativas de início de sessão; renovação do identificador de sessão a cada início de sessão.
• Separação de acessos: a equipa do escritório e os parceiros entram por endereços diferentes, e cada conta só é aceite no endereço que lhe corresponde.
• Comunicações: cifradas em trânsito (HTTPS/TLS) no ambiente de produção.
• Documentos: tipo de ficheiro verificado pelo conteúdo e não pelo nome; tamanho máximo de 20 MB; descarregamentos através de ligações assinadas válidas por 15 minutos, nunca por acesso direto ao ficheiro; eliminação automática segundo a política de retenção, quando o Cliente a ativa.
• Credenciais de integração: o segredo da integração com o Microsoft 365 é guardado cifrado e nunca é devolvido à aplicação.
• Rastreabilidade: registo de auditoria das ações relevantes, consultável pelo Administrador do Cliente; registo de eventos de segurança (tentativas de início de sessão falhadas, recusas de acesso por perfil, sessões de suporte).
• Cópias de segurança: diárias, por escritório, conservadas durante 30 dias.
• Monitorização de erros: configurada para não enviar dados pessoais por omissão.
• Desenvolvimento: revisão de segurança do código segundo o OWASP Top 10 e verificação de vulnerabilidades conhecidas nas dependências.

Anexo III — Subcontratantes ulteriores