Contrato de Tratamento de Dados (CTD)

Cláusulas contratuais-tipo

Texto oficial segundo o EUR-Lex (CELEX 32021D0915), anexo da decisão. As opções selecionadas estão assinaladas com [Opção: …], as não selecionadas estão riscadas; quanto ao resto, o texto permanece inalterado.

Secção I

Cláusula 1: Objetivo e âmbito de aplicação

a) As presentes cláusulas contratuais-tipo (a seguir designadas «Cláusulas») têm por objetivo garantir o cumprimento do artigo 28.º, n.os 3 e 4, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais, à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados). [Escolha: Opção 1]

b) Os responsáveis pelo tratamento e os subcontratantes enumerados no anexo I aceitaram as presentes cláusulas, a fim de garantir o cumprimento do artigo 28.º, n.os 3 e 4, do Regulamento (UE) 2016/679 e/ou do artigo 29.º, n.os 3 e 4, do Regulamento (UE) 2018/1725.

c) As presentes cláusulas aplicam-se ao tratamento de dados pessoais nos termos do Anexo II.

d) Os anexos I a IV fazem parte integrante das cláusulas.

e) As presentes cláusulas aplicam-se sem prejuízo das obrigações a que o responsável pelo tratamento está sujeito nos termos do Regulamento (UE) 2016/679 e/ou do Regulamento (UE) 2018/1725.

f) Estas cláusulas, por si só, não garantem o cumprimento das obrigações relacionadas com as transferências internacionais de dados, nos termos do capítulo V do Regulamento (UE) n.º 2016/679 e/ou do Regulamento (UE) n.º 2018/1725.

Cláusula 2: Imutabilidade das cláusulas

a) As partes comprometem-se a não alterar as cláusulas, salvo para complementar ou atualizar as informações indicadas nos anexos.

b) Tal não impede as partes de integrar as cláusulas contratuais-tipo estabelecidas nas presentes cláusulas num contrato mais abrangente e de acrescentar outras cláusulas ou garantias adicionais, desde que estas não entrem em contradição, direta ou indiretamente, com as presentes cláusulas nem limitem os direitos fundamentais ou as liberdades fundamentais das pessoas em causa.

Cláusula 3: Interpretação

a) Sempre que, nas presentes cláusulas, sejam utilizados termos definidos no Regulamento (UE) n.º 2016/679 ou no Regulamento (UE) n.º 2018/1725, esses termos têm o mesmo significado que lhes é atribuído no regulamento em causa.

b) As presentes cláusulas devem ser interpretadas à luz das disposições do Regulamento (UE) n.º 2016/679 ou do Regulamento (UE) n.º 2018/1725.

c) As presentes cláusulas não podem ser interpretadas de forma a contrariar os direitos e obrigações previstos no Regulamento (UE) n.º 2016/679 ou no Regulamento (UE) n.º 2018/1725, nem que restrinjam os direitos e liberdades fundamentais das pessoas em causa.

Cláusula 4: Prevalência

Em caso de contradição entre as presentes cláusulas e as disposições de acordos conexos que existam entre as partes ou que venham a ser celebrados posteriormente, prevalecerão as presentes cláusulas.

Cláusula 5 - facultativa: cláusula de vinculação

[Opção: não acordada]

Secção II: Obrigações das partes

Cláusula 6: Descrição do tratamento

Os pormenores das operações de ### tratamento, nomeadamente as categorias de dados pessoais e as finalidades para as quais os dados pessoais são tratados por conta do responsável pelo tratamento, encontram-se enumerados no Anexo II.

Cláusula 7: Obrigações das partes

7.1. Instruções

a) O subcontratante apenas trata dados pessoais mediante instruções documentadas do responsável pelo tratamento, a menos que seja obrigado a fazê-lo nos termos do direito da União ou do direito de um Estado-Membro a que esteja sujeito. Nesse caso, o subcontratante comunica ao responsável pelo tratamento esses requisitos legais antes do tratamento, a menos que a legislação em causa o proíba por razões de interesse público importante. O responsável pelo tratamento pode dar instruções adicionais durante todo o período de tratamento dos dados pessoais. Estas instruções devem ser sempre documentadas.

b) O subcontratante informa imediatamente o responsável pelo tratamento se considerar que as instruções por ele dadas violam o Regulamento (UE) 2016/679, o Regulamento (UE) n.º 2018/1725 ou as disposições aplicáveis em matéria de proteção de dados da União ou dos Estados-Membros.

7.2. Limitação da finalidade

O subcontratante trata os dados pessoais apenas para a(s) finalidade(s) específica(s) indicada(s) no Anexo II, salvo se receber outras instruções do responsável pelo tratamento.

7.3. Duração do tratamento de dados pessoais

Os dados serão tratados pelo subcontratante apenas durante o período indicado no Anexo II.

7.4. Segurança do tratamento

a) O subcontratante tomará, no mínimo, as medidas técnicas e organizativas enumeradas no Anexo III, a fim de garantir a segurança dos dados pessoais. Isto inclui a proteção dos dados contra uma violação de segurança que, seja acidental ou ilícita, conduza à destruição, perda, alteração ou divulgação não autorizada dos dados, ou ao acesso não autorizado aos mesmos (doravante designada «violação da proteção de dados pessoais»). Ao avaliar o nível de proteção adequado, as partes têm devidamente em conta o estado da técnica, os custos de implementação, a natureza, o âmbito, as circunstâncias e as finalidades do tratamento, bem como os riscos associados para os titulares dos dados.

b) O subcontratante concede ao seu pessoal acesso aos dados pessoais objeto do tratamento apenas na medida em que tal seja estritamente necessário para a execução, gestão e supervisão do contrato. O subcontratante assegura que as pessoas autorizadas a tratar os dados pessoais recebidos se tenham comprometido a respeitar a confidencialidade ou estejam sujeitas a um dever legal de sigilo adequado.

7.5. Dados sensíveis

Caso o tratamento diga respeito a dados pessoais que revelem a origem racial ou étnica, opiniões políticas, convicções religiosas ou filosóficas ou filiação sindical, ou que contenham dados genéticos ou biométricos com o objetivo de identificar inequivocamente uma pessoa singular, dados relativos à saúde, à vida sexual ou à orientação sexual de uma pessoa, ou dados relativos a condenações penais e infrações (doravante designados «dados sensíveis»), o subcontratante aplicará restrições específicas e/ou garantias adicionais.

7.6. Documentação e cumprimento das cláusulas

a) As partes devem poder comprovar o cumprimento das presentes cláusulas.

b) O subcontratante deve tratar os pedidos do responsável pelo tratamento relativos ao tratamento de dados, nos termos das presentes cláusulas, de forma imediata e adequada.

c) O subcontratante disponibiliza ao responsável pelo tratamento todas as informações necessárias para comprovar o cumprimento das obrigações estabelecidas nas presentes cláusulas e decorrentes diretamente do Regulamento (UE) 2016/679 e/ou do Regulamento (UE) 2018/1725. A pedido do responsável pelo tratamento, o subcontratante permite igualmente a verificação das atividades de tratamento abrangidas pelas presentes cláusulas, a intervalos adequados ou em caso de indícios de incumprimento, e colabora nessa verificação. Ao decidir sobre uma verificação ou auditoria, o responsável pelo tratamento pode ter em conta as certificações pertinentes do subcontratante.

d) O responsável pelo tratamento pode realizar ele próprio a verificação ou contratar um auditor independente. As verificações podem incluir inspeções nas instalações ou nas estruturas físicas do subcontratante e são realizadas, se for caso disso, com aviso prévio adequado.

e) As partes disponibilizam à(s) autoridade(s) de controlo competente(s), mediante pedido, as informações referidas na presente cláusula, incluindo os resultados das auditorias.

7.7. Recurso a subcontratantes

a) OPÇÃO 2: AUTORIZAÇÃO GERAL POR ESCRITO: O subcontratante dispõe da autorização geral do responsável pelo tratamento para recorrer a subcontratantes que constem de uma lista acordada. O subcontratante informará o responsável, por escrito e de forma expressa, com pelo menos 30 dias de antecedência, sobre todas as alterações pretendidas a essa lista, quer se trate da adição ou substituição de subcontratantes, concedendo assim ao responsável tempo suficiente para para poder levantar objeções a essas alterações antes da contratação do(s) subcontratante(s) em questão. O subcontratante disponibiliza ao responsável pelo tratamento as informações necessárias para que este possa exercer o seu direito de oposição. [Escolha: Opção 2, prazo de 30 dias; a lista acordada consta do Anexo IV]

b) Caso o subcontratante recorra a um subcontratante para a realização de determinadas atividades de tratamento (em nome do responsável pelo tratamento), essa contratação deve ser efetuada por meio de um contrato que imponha ao subcontratante, essencialmente, as mesmas obrigações em matéria de proteção de dados que as aplicáveis ao subcontratante nos termos das presentes cláusulas. O subcontratante assegura que o subcontratante secundário cumpre as obrigações a que o subcontratante está sujeito nos termos das presentes cláusulas e em conformidade com o Regulamento (UE) 2016/679 e/ou o Regulamento (UE) 2018/1725.

c) O subcontratante disponibilizará ao responsável pelo tratamento, a pedido deste, uma cópia desse acordo de subcontratação e de quaisquer alterações posteriores. Na medida em que tal seja necessário para a proteção de segredos comerciais ou de outras informações confidenciais, incluindo dados pessoais, o subcontratante pode ocultar o texto do acordo antes de disponibilizar uma cópia.

d) O subcontratante é plenamente responsável perante o responsável pelo tratamento pelo cumprimento, por parte do subcontratante secundário, das suas obrigações nos termos do contrato celebrado com o subcontratante. O subcontratante notificará o responsável pelo tratamento caso o subcontratante secundário não cumpra as suas obrigações contratuais.

e) O subcontratante acorda com o subcontratante secundário uma cláusula de terceiro beneficiário, segundo a qual o responsável - no caso de o subcontratante deixar de existir de facto ou de direito, ou de se encontrar em situação de insolvência - tenha o direito de rescindir o contrato de subcontratação e de ordenar ao subcontratante que apague ou devolva os dados pessoais.

7.8. Transferências internacionais de dados

a) Qualquer transferência de dados pelo subcontratante para um país terceiro ou uma organização internacional é efetuada exclusivamente com base em instruções documentadas do responsável pelo tratamento ou para cumprir uma disposição específica prevista no direito da União ou no direito de um Estado-Membro a que o subcontratante esteja sujeito, e deve estar em conformidade com o capítulo V do Regulamento (UE) 2016/679 ou do Regulamento (UE) 2018/1725.

b) O responsável pelo tratamento concorda que, nos casos em que o subcontratante recorra a um subcontratante secundário, nos termos da cláusula 7.7, para a realização de determinadas atividades de tratamento (em nome do responsável pelo tratamento) e essas atividades de tratamento envolvam uma transferência de dados pessoais na aceção do capítulo V do Regulamento (UE) 2016/679, o subcontratante e o subcontratante secundário possam garantir o cumprimento do Capítulo V do Regulamento (UE) 2016/679, recorrendo às cláusulas contratuais-tipo adotadas pela Comissão nos termos do artigo 46.º, n.º 2, do Regulamento (UE) 2016/679, desde que estejam preenchidos os requisitos para a aplicação dessas cláusulas contratuais-tipo.

Cláusula 8: Apoio ao responsável pelo tratamento

a) O subcontratante informa imediatamente o responsável pelo tratamento sobre qualquer pedido que tenha recebido da pessoa em causa. Não responde ele próprio ao pedido, a menos que tenha sido autorizado pelo responsável pelo tratamento.

b) Tendo em conta a natureza do tratamento, o subcontratante presta apoio ao responsável pelo tratamento no cumprimento da sua obrigação de responder aos pedidos dos titulares de dados relativos ao exercício dos seus direitos. No cumprimento das suas obrigações nos termos das alíneas a) e b), o subcontratante segue as instruções do responsável pelo tratamento.

c) Para além da obrigação do subcontratante de apoiar o responsável pelo tratamento nos termos da cláusula 8, alínea b), o subcontratante, tendo em conta a natureza do tratamento de dados e as informações de que dispõe, apoia igualmente o responsável pelo tratamento no cumprimento das seguintes obrigações:

1) Obrigação de realizar uma avaliação do impacto das operações de tratamento previstas na proteção de dados pessoais (doravante designada «avaliação de impacto relativa à proteção de dados»), caso se preveja que uma forma de tratamento implique um risco elevado para os direitos e liberdades das pessoas singulares;
2) Obrigação de consultar a(s) autoridade(s) de controlo competente(s) antes do tratamento, caso uma avaliação de impacto sobre a proteção de dados revele que o tratamento implicaria um risco elevado, a menos que o responsável pelo tratamento tome medidas para mitigar esse risco;
3) Obrigação de garantir que os dados pessoais sejam exatos e atualizados, devendo o subcontratante informar imediatamente o responsável pelo tratamento caso verifique que os dados pessoais por si tratados estão incorretos ou desatualizados;
4) Obrigações nos termos do artigo 32.º do Regulamento (UE) n.º 2016/679. [Escolha: Opção 1]

d) As partes definem no Anexo III as medidas técnicas e organizativas adequadas para o apoio prestado pelo subcontratante ao responsável pelo tratamento na aplicação da presente cláusula, bem como o âmbito e a extensão do apoio necessário.

Cláusula 9: Notificação de violações da proteção de dados pessoais

Em caso de violação ### da proteçãode### dados pessoais, o subcontratante colaborará com o responsável pelo tratamento e prestar-lhe-á o apoio necessário para que este possa cumprir as suas obrigações nos termos dos artigos 33.º e 34.º do Regulamento (UE) 2016/679 ou, se for caso disso, dos artigos 34.º e 35.º do Regulamento (UE) 2018/1725, tendo o subcontratante em conta a natureza do tratamento e as informações de que dispõe.

9.1. Violação da proteção dos dados tratados pelo responsávelpelo tratamento

No caso de uma violação da proteção dos dados pessoais relacionada com os dados tratados pelo responsável pelo tratamento, o subcontratante presta apoio ao responsável pelo tratamento da seguinte forma:

a) na notificação imediata da violação da proteção dos dados pessoais à(s) autoridade(s) de controlo competente(s), assim que o responsável pelo tratamento tenha tomado conhecimento da violação, se for caso disso (a menos que se preveja que a violação da proteção dos dados pessoais não implique um risco para os direitos e liberdades pessoais das pessoas singulares);

b) na recolha das seguintes informações, que, nos termos do artigo 33.º, n.º 3, do Regulamento (UE) 2016/679, devem ser indicadas na notificação do responsável pelo tratamento, devendo essas informações incluir, no mínimo, o seguinte: [Escolha: Opção 1]

1) a natureza dos dados pessoais, na medida do possível, indicando as categorias e o número aproximado de pessoas afetadas, bem como as categorias e o número aproximado de registos de dados pessoais afetados;
2) as consequências prováveis da violação da proteção de dados pessoais;
3) as medidas tomadas ou propostas pelo responsável pelo tratamento para corrigir a violação da proteção de dados pessoais e, se for caso disso, as medidas destinadas a atenuar os seus possíveis efeitos prejudiciais.

Caso não seja possível disponibilizar todas estas informações simultaneamente, a notificação inicial deve incluir as informações disponíveis naquele momento, sendo que as informações adicionais serão posteriormente disponibilizadas, sem demora injustificada, assim que estiverem disponíveis;

c) no cumprimento da obrigação prevista no artigo 34.º do Regulamento (UE) 2016/679, de notificar sem demora a pessoa em causa da violação da proteção dos dados pessoais, caso se preveja que essa violação implique um risco elevado para os direitos e liberdades das pessoas singulares. [Escolha: Opção 1]

9.2. Violação da proteção dos dados tratados pelo subcontratante

No caso de uma violação da proteção dosdados pessoais relacionada com os dadostratados pelo subcontratante, este deve notificar o responsável pelo tratamento imediatamente após ter tomado conhecimento da violação. Esta notificação deve conter, no mínimo, as seguintes informações:

a) uma descrição da natureza da violação (indicando, na medida do possível, as categorias e o número aproximado de pessoas afetadas, bem como o número aproximado de registos de dados afetados);

b) os dados de contacto de um ponto de contacto onde possam ser obtidas mais informações sobre a violação da proteção dos dados pessoais;

c) as consequências previsíveis e as medidas tomadas ou propostas para corrigir a violação da proteção de dados pessoais, incluindo medidas destinadas a atenuar os seus possíveis efeitos negativos.

As partes definem no Anexo III todas as demais informações que o subcontratante deve disponibilizar, a fim de apoiar o responsável pelo tratamento no cumprimento das suas obrigações nos termos dos artigos 33.º e 34.º do Regulamento (UE) 2016/679. [Escolha: Opção 1]

Secção III: Disposições finais

Cláusula 10: Incumprimento das cláusulas e rescisão do contrato

a) Caso o subcontratante não cumpra as suas obrigações nos termos das presentes cláusulas, o responsável pelo tratamento pode - sem prejuízo do disposto no Regulamento (UE) n.º 2016/679 e/ou no Regulamento (UE) n.º 2018/1725 - instruir o subcontratante a suspender o tratamento de dados pessoais até que este cumpra as presentes cláusulas ou até que o contrato seja rescindido. O subcontratante deve informar imediatamente o responsável pelo tratamento caso, por qualquer motivo, não esteja em condições de cumprir as presentes cláusulas.

b) O responsável pelo tratamento tem o direito de rescindir o contrato, na medida em que este diga respeito ao tratamento de dados pessoais nos termos das presentes cláusulas, se

1) o responsável pelo tratamento tiver suspendido o tratamento de dados pessoais pelo subcontratante nos termos da alínea a) e o cumprimento das presentes cláusulas não tiver sido restabelecido num prazo razoável, mas, em qualquer caso, no prazo de um mês após a suspensão;
2) o subcontratante violar de forma significativa ou de modo continuado as presentes cláusulas ou não cumprir as suas obrigações nos termos do Regulamento (UE) 2016/679 e/ou do Regulamento (UE) 2018/1725;
3) o subcontratante não cumprir uma decisão vinculativa de um tribunal competente ou da(s) autoridade(s) de controlo competente(s) que tenha por objeto as suas obrigações nos termos das presentes cláusulas, do Regulamento (UE) n.º 2016/679 e/ou do Regulamento (UE) 2018/1725, não cumpra uma decisão vinculativa de um tribunal competente ou da(s) autoridade(s) de controlo competente(s).

c) O subcontratante tem o direito de rescindir o contrato, na medida em que este diga respeito ao tratamento de dados pessoais nos termos das presentes cláusulas, se o responsável pelo tratamento insistir no cumprimento das suas instruções, após ter sido informado pelo subcontratante de que as suas instruções violam os requisitos legais aplicáveis, nos termos da cláusula 7.1, alínea b).

d) Após a cessação do contrato, o subcontratante, à escolha do responsável pelo tratamento, apaga todos os dados pessoais tratados por conta deste e certifica ao responsável pelo tratamento que tal foi efetuado, ou devolve todos os dados pessoais ao responsável pelo tratamento e apaga as cópias existentes, a menos que exista uma obrigação de conservação dos dados pessoais nos termos do direito da União ou do direito dos Estados-Membros. Até ao apagamento ou à devolução dos dados, o subcontratante continua a garantir o cumprimento das presentes cláusulas.

Anexo I: Lista das partes

Subcontratante

Transpareo AG, Tech Cluster Zug, Oberallmendstrasse 18, 6300 Zug, Suíça, NIF CHE-220.381.580, representada por Günter Reichelt, presidente do Conselho de Administração. Contacto: privacy@mail.transpareo.com.

Encarregado da proteção de dados e representante na UE nos termos do artigo 27.º do RGPD: DGD Deutsche Gesellschaft für Datenschutz, Prof. Dr. h.c. Heiko Jonny Maniero, Franz-Joseph-Str. 11, 80801 Munique, Alemanha, info@mail.dg-datenschutz.de.

A Transpareo tem a sua sede na Suíça, país para o qual existe uma decisão de adequação da Comissão (2000/518/CE). Os dados encontram-se na Alemanha.

Responsáveis pelo tratamento

A Transpareo celebra estas cláusulas individualmente com cada responsável pelo tratamento. O responsável pelo tratamento é:

um cliente que utilize a plataforma da Transpareo de acordo com os Termos e Condições Gerais (TCG). O nome, a morada e a pessoa de contacto são os dados que este fornece aquando da celebração do contrato através da plataforma e que mantém atualizados na sua conta; a pessoa de contacto é o titular da conta. As cláusulas consideram-se acordadas com a celebração do presente contrato (ponto 14 das CGV).
um fornecedor que, através da página de fornecedores, encaminha um pedido aos seus próprios fornecedores. O responsável é a empresa à qual se destina a ligação através da qual o pedido é encaminhado, tal como indicado no próprio pedido. A pessoa de contacto é quem transmite a solicitação, com o nome e o endereço de e-mail que indicar nesse momento. O fornecedor celebra as cláusulas ao aceitá-las em nome da sua empresa no momento da transmissão; a Transpareo arquiva a versão aceite e a data e hora associadas ao link transmitido. Além disso, aplicam-se-lhe as condições de utilização para fornecedores.

A Transpareo nomeia o responsável pela proteção de dados de um responsável pelo tratamento, assim que este o indicar.

Os Termos e Condições Gerais ou as Condições de Utilização para Fornecedores constituem, em cada caso, o contrato principal. As cláusulas são celebradas por via eletrónica (art. 28.º, n.º 9, do RGPD); a data de adesão corresponde à data da celebração.

Anexo II: Descrição do tratamento

Parte A: Clientes

Categorias de titulares de dados: Colaboradores e mandatários do cliente; os seus fornecedores e respetivos colaboradores; pessoas mencionadas nos dados relativos a produtos e passaportes; visitantes, contactos e assinantes do sítio Web do cliente.

Categorias de dados pessoais:

Utilizadores do espaço de trabalho: nome, endereço de e-mail, idioma, funções e grupos, dados de início de sessão e de segurança, registo das suas ações com data, hora e endereço IP
Fornecedores: nome da empresa, nome da pessoa de contacto, endereço de e-mail, notas
Página do fornecedor: respostas, imagens, comentários e respetivas traduções automáticas; horários de abertura e resposta; registo com data e hora e endereço IP
Informações relativas a pessoas presentes nos dados de produtos e de passes, imagens e documentos
Contactos, assinantes de newsletters e dados introduzidos nos formulários do site do cliente, na medida em que este utilize essas funcionalidades
E-mails enviados pelo cliente através da plataforma
Dados de acesso dos visitantes do seu site e das suas páginas de passaporte

Dados sensíveis: não previstos. O cliente não introduz dados sensíveis, nos termos da cláusula 7.5, na plataforma.

Tipo de tratamento: armazenamento, organização, visualização, tradução automática, assinatura criptográfica, publicação, exportação e eliminação; envio de e-mails através da conta de e-mail que o cliente indicar.

Finalidade: criar, gerir e publicar dados de produtos e passaportes digitais de produtos; operar o sítio Web do cliente; solicitar informações aos fornecedores; colaborar na área de trabalho.

Duração: durante a vigência do contrato principal e, posteriormente, até à eliminação nos termos da cláusula 10, alínea d):

Um espaço de trabalho proveniente de uma fase de teste que não se transforme numa subscrição paga será marcado para eliminação cinco dias após o seu termo e eliminado após mais sete dias.
Após o término de um contrato principal pago, o espaço de trabalho permanece bloqueado até que o cliente solicite a sua eliminação.
Caso o cliente solicite a eliminação, a Transpareo elimina a base de dados do espaço de trabalho após um prazo de sete dias, durante o qual o cliente pode revogar o pedido, e destrói a sua chave.
As versões publicadas dos Passaportes Digitais de Produto, que se encontram registadas no Registo da UE, bem como os dados necessários à sua visualização e verificação, permanecem durante dez anos num arquivo imutável (ponto 10 dos Termos e Condições Gerais).
As cópias de segurança cecam de acordo com o Anexo III.

Parte B: Fornecedores que reencaminham um pedido

Categorias de pessoas em causa: Colaboradores do responsável pelo tratamento; os seus próprios fornecedores e os colaboradores destes; pessoas mencionadas nas respostas.

Categorias de dados pessoais:

Transmissão: nome do destinatário, tal como introduzido pelo responsável pelo tratamento; nome e endereço de e-mail que o responsável pelo tratamento indica para si próprio; comentário; perguntas formuladas; data de validade; PIN
Respostas dos seus próprios fornecedores: textos, valores e imagens sem metadados, bem como as respetivas traduções automáticas
Verificação: decisões e observações do responsável pelo tratamento
Registo: data e hora, ação e endereço IP aquando da abertura, desbloqueio e resposta aos links partilhados, bem como nas ações do responsável pelo tratamento relacionadas com os mesmos

Dados sensíveis: não estão previstos.

Tipo de tratamento: armazenamento, visualização, tradução automática, registo e eliminação.

Finalidade: o responsável solicita informações aos seus próprios fornecedores, analisa as suas respostas e incorpora-as na sua própria resposta.

Local: Os dados encontram-se na base de dados da área de trabalho de onde provém o pedido original e estão aí identificados como dados do responsável pelo tratamento. O cliente a quem pertence essa área de trabalho apenas vê o seu número e não pode dar instruções relativamente aos mesmos.

Duração: enquanto o link através do qual o responsável transmitiu os dados estiver ativo. Se este terminar, todos os links que o responsável transmitiu cessam e a página do fornecedor deixa de apresentar os seus dados. Estes permanecem armazenados até que a Transpareo elimine a área de trabalho nos termos da Parte A ou até que o responsável solicite a sua eliminação. As imagens que não correspondam a uma resposta aberta nem a um registo de dados são eliminadas pela Transpareo sete dias após o seu carregamento.

Subcontratantes: o objeto, a natureza e a duração do seu tratamento são indicados no Anexo IV.

Anexo III: Medidas técnicas e organizacionais

Encriptação e pseudonimização

Todas as ligações são encriptadas com TLS.
Os dados de acesso e outras informações confidenciais (PIN, chaves para códigos únicos, acessos SMTP, chaves API) são armazenados na base de dados encriptados com AES-256-GCM, utilizando uma chave específica para cada área de trabalho.
As cópias de segurança são encriptadas.
As estatísticas de visitantes armazenam os endereços IP apenas como valores hash com uma chave secreta. As visitas à página do fornecedor não são incluídas nessas estatísticas.

Segregação

Cada cliente dispõe de uma base de dados própria.

Segurança física

Os servidores e o armazenamento de objetos encontram-se nos centros de dados da Hetzner Online GmbH em Falkenstein, na Alemanha, que possuem certificação ISO 27001.

Identificação e autorização

As palavras-passe são armazenadas apenas como hash bcrypt.
Está disponível para todos os utilizadores um início de sessão de dois fatores com código único ou chave de segurança; o cliente pode exigi-lo para o seu espaço de trabalho.
Uma sessão termina após um período de inatividade definido pelo cliente (predefinição: oito horas).
No espaço de trabalho, aplicam-se as funções e autorizações atribuídas pelo cliente.
Os colaboradores da Transpareo apenas acedem a um espaço de trabalho através de um início de sessão em nome do cliente, o qual fica registado no registo da plataforma e no registo de segurança do espaço de trabalho.
Página do fornecedor: a ligação contém uma chave aleatória de 16 caracteres (80 bits); sem o PIN, a página não apresenta qualquer informação do conjunto de dados. Após cinco tentativas com PIN incorreto, o link fica bloqueado durante 15 minutos. Por cada endereço IP, a página aceita, no máximo, 120 acessos por minuto. Ao desbloquear, a sessão recebe um novo identificador. A página está bloqueada para motores de busca e não divulga o seu endereço a sites externos.

Registo

As alterações aos registos de dados e as operações na página do fornecedor são registadas com a data e hora, o autor e o endereço IP, e conservadas durante cinco anos; os registos de início de sessão e outros eventos de segurança são conservados durante um ano.
Os registos do servidor são eliminados após 14 dias.

Integridade

As imagens dos fornecedores são mantidas sem metadados numa área protegida fora do armazenamento público, até que uma verificação as aceite. Uma resposta só altera o registo de dados após a verificação.
As versões de palavras-passe publicadas são assinadas criptograficamente.

Disponibilidade e recuperação

De quatro em quatro horas, a base de dados e os ficheiros de cada área de trabalho ativa são copiados para segurança, encriptados e armazenados separadamente dos servidores no armazenamento de objetos na Alemanha. As cópias locais são eliminadas após quatro dias. As cópias de segurança no armazenamento de objetos são conservadas durante 90 dias e eliminadas definitivamente no prazo de 30 dias adicionais.
Os serviços e servidores são monitorizados continuamente; as atualizações de segurança são instaladas regularmente.
A Transpareo revê regularmente estas medidas e adapta-as ao estado da técnica.

Apoio ao responsável pelo tratamento (cláusulas 8 e 9)

Um cliente pode consultar, retificar e eliminar os dados da sua área de trabalho na plataforma. Um fornecedor visualiza as respostas às suas solicitações de partilha na página do fornecedor e pode revogar qualquer ligação partilhada.
Os pedidos das pessoas em causa que cheguem à Transpareo são imediatamente encaminhados pela Transpareo para o responsável pelo tratamento.
As comunicações previstas nas cláusulas 7.7 e 9.2 são enviadas por e-mail ao titular da conta de um cliente e para o endereço de e-mail que um fornecedor indicar no momento da partilha. O ponto de contacto previsto na cláusula 9.2, alínea b), é privacy@mail.transpareo.com.
Uma notificação nos termos da cláusula 9.2 deve indicar, adicionalmente, a data da violação e da sua deteção, bem como as áreas de trabalho ou ligações afetadas.

Anexo IV: Lista dos subcontratantes responsáveis pelo tratamento de dados

O responsável autoriza, de forma geral, os seguintes subcontratantes; trata-se da lista acordada nos termos da cláusula 7.7, alínea a), opção 2.

Hetzner Online GmbH

Morada: Industriestr. 25, 91710 Gunzenhausen, Alemanha

Contacto para questões de proteção de dados: data-protection@mail.hetzner.com

Tratamento: Alojamento de servidores, bases de dados, ficheiros e cópias de segurança

Local: Falkenstein, Alemanha

Aplicável a: Partes A e B

KeyCDN (proinity LLC)

Morada: Reichenauweg 1, 8272 Ermatingen, Suíça

Contacto para questões de proteção de dados: formulário de contacto em keycdn.com

Tratamento: entrega de páginas e ficheiros através de uma rede de distribuição de conteúdos (CDN); neste contexto, são recolhidos os dados de ligação dos visitantes, nomeadamente o endereço IP

Local: servidores de borda em todo o mundo, incluindo fora da UE e do EEE; as transferências para esses locais estão protegidas nos termos do Capítulo V do RGPD, ao abrigo do contrato de subcontratação celebrado entre a Transpareo e a proinity LLC (cláusula 7.8)

Aplicável a: Partes A e B

DeepL SE

Morada: Maarweg 165, 50825 Colónia, Alemanha

Contacto para questões de proteção de dados: Responsável pela Proteção de Dados, Dr. Christian Lenz, dhpg IT-Services GmbH, datenschutz@mail.dhpg.de

Tratamento: Tradução automática de textos

Local: UE

Aplica-se a: Partes A e B

Kreativ Media GmbH

Morada: Höschgasse 45, 8008 Zurique, Suíça

Contacto para questões de proteção de dados: privacy@mail.kreativmedia.ch

Tratamento: reencaminhamento dos e-mails do sistema e de notificação da plataforma através do seu relé SMTP; sem alojamento

Local: Suíça

Aplica-se a: Parte A

Cada subcontratante trata os dados apenas para a prestação do serviço em seu nome e enquanto a Transpareo o prestar em nome do responsável pelo tratamento.

Não são considerados subcontratantes da Transpareo: o fornecedor da conta de e-mail através da qual um cliente envia e-mails a terceiros e os fornecedores de IA que um cliente configura na plataforma; ambos são selecionados e contratados pelo próprio cliente, e o seu navegador comunica diretamente com os fornecedores de IA.

A Transpareo informará sobre qualquer intenção de inclusão ou substituição com, pelo menos, 30 dias de antecedência, nos termos do Anexo III, e publicará a lista alterada em transpareo.com. Caso a Transpareo não consiga dar resposta a uma objeção, o cliente pode rescindir o contrato principal com efeitos a partir da data de entrada em vigor da alteração; um fornecedor pode revogar as ligações que tenha partilhado.

Adenda suíça

Este aditamento constitui uma cláusula adicional à cláusula 2, alínea b). Na medida em que o tratamento esteja sujeito à Lei Federal Suíça sobre a Proteção de Dados (DSG):

as referências ao Regulamento (UE) n.º 2016/679 são simultaneamente consideradas referências às disposições correspondentes da DSG, nomeadamente o artigo 28.º do RGPD ao artigo 9.º da DSG, o artigo 32.º ao artigo 8.º, os artigos 33.º e 34.º ao artigo 24.º, os artigos 35.º e 36.º aos artigos 22.º e 23.º, o Capítulo V aos artigos 16.º a 18.º, os direitos das pessoas em causa aos artigos 25.º a 32.º da DSG e os dados sensíveis, nos termos da cláusula 7.5, aos dados pessoais que requerem proteção especial, nos termos da alínea c) do artigo 5.º da DSG;
A autoridade de controlo competente é o Provedor Federal da Proteção de Dados e da Transparência (EDÖB); a competência das autoridades de controlo nos termos do RGPD permanece inalterada;
Considera-se também como direito de um Estado-Membro o direito suíço.

Data: 8 de outubro de 2026