Acordo sobre a Proteção
de Dados Pessoais
Nos termos do presente acordo, o Subcontratante, Nemorius, tem acesso a dados pessoais e trata-os em nome do Cliente, que é considerado o «Responsável pelo Tratamento». Como tal, o Subcontratante compromete-se a cumprir as leis e regulamentos aplicáveis em matéria de proteção de dados pessoais, em particular o Regulamento (UE) n.º 2016/679, de 27 de abril de 2016, conhecido como «RGPD», e à Lei n.º 78-17, de 6 de janeiro de 1978, conhecida como «Lei da Proteção de Dados», na sua versão alterada, de acordo com os termos a seguir estabelecidos.
Artigo 1.º. Definições específicas
«Dados Pessoais»: qualquer informação relativa a uma pessoa singular identificada ou identificável (doravante designada por «Titular dos Dados»); considera-se «pessoa singular identificável» uma pessoa singular que possa ser identificada, direta ou indiretamente, nomeadamente por referência a um identificador, como um nome, um número de identificação, dados de localização, um identificador em linha ou a um ou mais fatores específicos da identidade física, fisiológica, genética, mental, económica, cultural ou social da pessoa singular.
«Por «tratamento» entende-se qualquer operação ou conjunto de operações efetuadas sobre dados pessoais ou conjuntos de dados pessoais, por meios automatizados ou não, tais como a recolha, o registo, a organização, a estruturação, o armazenamento, a adaptação ou alteração, a recuperação, a consulta, a utilização, a divulgação por transmissão, difusão ou qualquer outra forma de disponibilização, o alinhamento ou a combinação, a restrição, o apagamento ou a destruição.
«Responsável pelo tratamento»: a pessoa singular ou coletiva, a autoridade pública, a agência ou outro organismo que, individualmente ou em conjunto com outros, determina as finalidades e os meios do tratamento; quando as finalidades e os meios desse tratamento forem determinados pelo direito da União ou pelo direito de um Estado-Membro, o responsável pelo tratamento pode ser designado ou os critérios específicos aplicáveis à sua designação podem ser estabelecidos pelo direito da União ou pelo direito de um Estado-Membro.
«Subcontratante»: uma pessoa singular ou coletiva, autoridade pública, agência ou outro organismo que trata dados pessoais por conta do responsável pelo tratamento.
«Violação de dados pessoais»: uma violação de segurança que conduza à destruição, perda, alteração, divulgação não autorizada ou acesso não autorizado, acidentais ou ilícitos, de dados pessoais transmitidos, armazenados ou tratados de qualquer outra forma.
«Leis e regulamentos aplicáveis»: refere-se a todas as leis e regulamentos relativos à proteção de dados pessoais e à privacidade, incluindo a Lei n.º 78-17 relativa às tecnologias da informação, Ficheiros de Dados e Liberdades Cívicas, de 6 de janeiro de 1978, na sua versão alterada, e o Regulamento Europeu n.º 2016/679, de 27 de abril de 2016, conhecido como «Regulamento Geral sobre a Proteção de Dados» (RGPD), com efeito a partir da sua entrada em vigor. No âmbito da sua relação contratual, as Partes comprometem-se a cumprir a regulamentação em vigor aplicável ao tratamento de dados pessoais e, em particular, o Regulamento (UE) n.º 2016/679, de 27 de abril de 2016 (doravante designado por «RGPD») e a Lei francesa relativa à Proteção de Dados, de 6 de janeiro de 1978, na sua versão alterada.
Artigo 2.º Princípios Gerais
No âmbito da sua relação contratual, as Partes comprometem-se a cumprir as leis e regulamentos aplicáveis em matéria de proteção de Dados Pessoais.
O Subcontratante atuará exclusivamente de acordo com as instruções do Responsável pelo Tratamento, com o objetivo de tratar Dados Pessoais em seu nome. Como tal, o Subcontratante compromete-se a tratar os Dados Pessoais sob a responsabilidade do Responsável pelo Tratamento exclusivamente com o objetivo de prestar os serviços decorrentes dos termos do contrato principal a que a presente cláusula se refere.
Artigo 3.º. Obrigações Gerais do Subcontratante
No desempenho das suas funções, o Subcontratado compromete-se a:
- Tratar os Dados Pessoais exclusivamente para os fins abrangidos pelo acordo de subcontratação, conforme descrito abaixo;
- Informar imediatamente o Responsável pelo Tratamento se considerar que uma instrução constitui uma violação das Leis e Regulamentos Aplicáveis ou de qualquer outra disposição do direito da União Europeia ou da legislação dos Estados-Membros relativa à proteção de Dados Pessoais;
- Garantir a confidencialidade, a integridade e a disponibilidade dos Dados Pessoais tratados;
- Assegurar que o pessoal autorizado a tratar Dados Pessoais esteja sujeito a uma obrigação de confidencialidade adequada e receba a formação necessária em matéria de proteção de Dados Pessoais;
- Ter em conta, no que diz respeito aos seus serviços, os princípios da proteção de dados desde a conceção e por predefinição;
- Não transferir Dados Pessoais para fora da União Europeia sem o consentimento prévio e expresso do Responsável pelo Tratamento e proporcionar garantias adequadas no âmbito dessa transferência, incluindo um aviso padrão a ser fornecido aos titulares dos dados afetados pelo tratamento. Caso o Subcontratante seja obrigado a transferir Dados Pessoais para um país terceiro ou para uma organização internacional nos termos da legislação da União Europeia ou da legislação do Estado-Membro a que está sujeito, deve informar o Responsável pelo Tratamento desta obrigação legal antes do início do tratamento, a menos que a legislação aplicável proíba tal notificação por razões imperiosas de interesse público;
- Apoiar o Responsável pelo Tratamento no cumprimento das suas obrigações em matéria de segurança dos dados, tendo em conta a natureza do tratamento e a informação de que dispõe;
- Tomar todas as medidas técnicas e organizacionais adequadas para garantir um nível de segurança adequado aos riscos envolvidos, a fim de prevenir qualquer destruição, perda, alteração, divulgação ou acesso não autorizado — seja acidental ou intencional —, bem como qualquer outra forma de tratamento ilícito de Dados Pessoais. O Subcontratante compromete-se, em particular, a implementar todas as medidas de segurança descritas abaixo;
- Gestão de Acesso
- Autenticação de utilizadores
- Registo de ligações
- Auditabilidade dos registos
- Medidas de segurança física e de hardware
- Segurança de acesso físico aos servidores
- Segurança do acesso lógico a servidores e aplicações
- Segurança da rede informática interna
- Encriptação/pseudonimização de dados
- Gestão de vulnerabilidades e cópias de segurança
- Implementação de medidas de segurança físicas, técnicas e organizacionais em conformidade com a norma ISO 27001 — a Nemorius está certificada.
- Manter um registo escrito de todas as atividades de tratamento realizadas em nome do Responsável pelo Tratamento, em conformidade com a legislação e regulamentação aplicáveis;
- Disponibilizar ao Responsável pelo Tratamento a documentação necessária para demonstrar o cumprimento de todas as suas obrigações e para permitir a realização de auditorias, incluindo inspeções, pelo Responsável pelo Tratamento ou por qualquer outro auditor por ele designado, e cooperar com essas auditorias. O Subcontratante compromete-se ainda a garantir total transparência no que diz respeito à política de segurança e/ou às medidas organizacionais e técnicas implementadas para proteger os Dados Pessoais tratados em nome do Responsável pelo Tratamento. Em particular, o Subcontratante compromete-se a fornecer, o mais rapidamente possível, qualquer informação relativa a esta política e a estas medidas, mediante pedido do Responsável pelo Tratamento.
Artigo 4.º. Obrigações do Subcontratante em caso de subcontratação
No caso de recorrer a subcontratantes subsequentes, o Subcontratante deverá impor-lhes as mesmas obrigações que as descritas na presente cláusula e assegurar que estes proporcionem todas as garantias exigidas pelas Leis e Regulamentos Aplicáveis.
O Subcontratante deverá notificar o Responsável pelo Tratamento com antecedência sobre qualquer recurso a um novo subcontratante. O Responsável pelo Tratamento disporá de 14 dias úteis para se opor.
O Subcontratante deve disponibilizar ao Responsável pelo Tratamento uma lista exaustiva e atualizada dos seus subcontratantes. Esta lista encontra-se no Anexo 2 do presente acordo.
Artigo 5.º. Obrigações de Assistência e Cooperação
- Violação de Dados Pessoais
O Subcontratante deverá notificar o Responsável pelo Tratamento de qualquer Violação de Dados Pessoais no prazo máximo de 24 horas após ter tomado conhecimento da mesma, utilizando o endereço de e-mail fornecido ao Responsável pelo Tratamento no contrato principal.
A notificação deve descrever a natureza da violação de dados pessoais, incluindo as categorias e o número de titulares de dados, o nome da pessoa responsável pelo tratamento em questão, as consequências da violação para os titulares de dados, as medidas tomadas para a corrigir e o prazo estimado para a implementação dessas medidas, a fim de limitar o impacto sobre os titulares de dados e prevenir a sua recorrência. Esta notificação deve ser acompanhada de toda a documentação relevante que permita ao Responsável pelo Tratamento comunicar esta violação de dados pessoais à autoridade de controlo competente e, se for caso disso, aos titulares dos dados.
O Subcontratado compromete-se ainda a investigar a causa da violação de dados pessoais e a implementar todas as medidas corretivas necessárias para a resolver, limitar as suas consequências e prevenir a sua recorrência.
O Subcontratante compromete-se igualmente a prestar assistência ao Responsável pelo Tratamento na realização de quaisquer notificações necessárias às autoridades competentes e/ou aos titulares dos dados.
- Informação e gestão dos pedidos dos titulares de dados
para o exercício dos seus direitos O Responsável pelo Tratamento deve fornecer aos titulares de dados informações relativas às finalidades e características do tratamento de Dados Pessoais abrangidos pelo presente acordo no momento da recolha.
Mediante instrução específica por escrito do Responsável pelo Tratamento, o Subcontratado pode, no entanto, ser encarregado de fornecer essas informações. Neste caso, o conteúdo da informação e a forma como esta é prestada serão determinados pelo Responsável pelo Tratamento. O Subcontratante compromete-se a fornecer ao Responsável pelo Tratamento prova da prestação da informação, por qualquer meio.
Os titulares dos dados devem exercer os seus direitos de acesso, retificação, apagamento, limitação e oposição ao tratamento, bem como o direito à portabilidade dos dados, diretamente junto dos serviços do Responsável pelo Tratamento.
Na medida do possível, o Subcontratante deve prestar assistência ao Responsável pelo Tratamento no cumprimento da sua obrigação de responder aos pedidos dos titulares de dados para o exercício dos seus direitos, nomeadamente através da implementação de todas as medidas técnicas e organizacionais relevantes para garantir a execução efetiva desses pedidos.
Quando os titulares dos dados apresentarem pedidos ao Subcontratante para exercerem os seus direitos, o Subcontratante deve reencaminhar esses pedidos, logo que os receba, por e-mail para o endereço especificado no contrato principal ou para gdpr@nemorius.com.
Avaliações de Impacto e Relações com a Autoridade de Controlo
O Subcontratante compromete-se a cooperar com o Responsável pelo Tratamento e a auxiliá-lo no cumprimento das suas obrigações. Mais especificamente, o Subcontratante deve auxiliar o Responsável pelo Tratamento na realização de avaliações de impacto em matéria de proteção de dados, quer antes, quer após a implementação de uma operação de tratamento, fornecendo todas as informações necessárias relativas ao tratamento. O Subcontratante prestará essa mesma assistência no âmbito da consulta prévia obrigatória à CNIL nos casos em que a avaliação de impacto revele riscos residuais elevados.Em caso de inspeção e/ou de pedido por parte de uma autoridade de controlo, o Subcontratante deve cooperar com o Responsável pelo Tratamento e prestar-lhe assistência, fornecendo toda a documentação necessária para demonstrar a conformidade com as leis e regulamentos aplicáveis.
Artigo 6. Portabilidade dos Dados Pessoais
Após a rescisão do contrato, o Subcontratante deve devolver ao Responsável pelo Tratamento, através de um meio seguro, todos os Dados Pessoais tratados, num formato utilizável. Após o aviso de receção, o Subcontratante deve destruir todas as cópias existentes dos Dados Pessoais do seu sistema de informação e, quando aplicável, dos sistemas dos seus subcontratantes subsequentes. O Subcontratante certifica por escrito que os Dados Pessoais foram destruídos, sem prejuízo de quaisquer obrigações legais e regulamentares de conservação a que esteja sujeito.
Artigo 7.º Obrigações do Responsável pelo Tratamento
O Responsável pelo Tratamento compromete-se a:
- Proporcionar ao Subcontratante acesso aos Dados Pessoais abrangidos pelo presente Acordo;
- Documentar por escrito quaisquer instruções relativas ao tratamento de Dados Pessoais em que o Subcontratante esteja envolvido;
- Assegurar, antecipadamente e ao longo de todo o período de duração do tratamento, que o Subcontratante cumpre as obrigações previstas no RGPD;
- Supervisionar o tratamento, incluindo a realização de auditorias e inspeções ao Subcontratante.
Artigo 8.º. Ordens judiciais ou administrativas
O Subcontratado compromete-se a notificar o Responsável pelo Tratamento de qualquer pedido de divulgação ou inspeção de Dados Pessoais emitido por uma autoridade judicial ou administrativa no prazo de 24 horas após o referido pedido, antes de prestar qualquer resposta.
Artigo 9.º. Relações com as autoridades de controlo
O Subcontratante compromete-se a informar imediatamente o Responsável pelo Tratamento de qualquer pedido ou auditoria emitida por uma Autoridade de Controlo.
Artigo 10.º. Rescisão Automática por Incumprimento
O Responsável pelo Tratamento declara que as disposições relativas aos Dados Pessoais constituem obrigações essenciais do presente contrato, sem as quais não teria celebrado o presente contrato com o Subcontratante
Consequentemente, o Responsável pelo Tratamento pode invocar qualquer violação comprovada destas disposições ou qualquer violação de Dados Pessoais, o que constituirá então motivo de rescisão por força da lei.
As obrigações relativas à proteção de Dados Pessoais decorrentes do presente Acordo subsistirão após a rescisão do contrato principal ao qual estas cláusulas estão anexadas.
Anexo 1. Tabela de Atividades de Tratamento
O presente contrato, incluindo as cláusulas acima referidas, constitui as instruções do Responsável pelo Tratamento relativamente às operações de tratamento que o Subcontratante deve realizar em nome do Responsável pelo Tratamento (a ser duplicado conforme necessário).
A. Tabela aplicável ao tratamento efetuado para o serviço «Encurtamento de links e código QR»
Descrição do Tratamento | Após receber um link longo do Cliente, a Nemorius encurtá-lo-á antes da sua distribuição. Após a distribuição, os dados são recolhidos e, posteriormente, resumidos num relatório. |
|---|---|
Finalidades do tratamento |
|
Natureza das operações |
|
Categoria de titulares de dados | Utilizadores do link ou do código QR. |
Legalidade | O Responsável pelo Tratamento determina a base jurídica para o tratamento. A Nemorius trata os dados com base no contrato celebrado entre o Cliente e a Nemorius. |
Dados pessoais |
|
Períodos de retenção | Os registos são conservados durante 12 meses a contar da data de recolha e, em qualquer caso, os dados são destruídos e devolvidos no final do contrato ou simplesmente destruídos, consoante as instruções do responsável pelo tratamento. |
B. Tabela aplicável ao tratamento realizado para o serviço «Formulários»
Visão geral do tratamento | A Nemorius disponibiliza ao cliente uma plataforma para a criação de um formulário online que pode ser partilhado. Após a publicação, a Nemorius fornece um relatório relativo ao formulário e aos seus resultados, bem como uma tabela de resumo que apresenta as respostas recebidas para cada pergunta do formulário. |
|---|---|
Finalidades do tratamento |
|
Natureza das operações |
|
Categoria de titulares de dados | Pessoas que responderam ao formulário |
Legalidade | O Responsável pelo tratamento determina a base jurídica para o tratamento. A Nemorius efetua o tratamento com base no contrato celebrado entre o Cliente e a Nemorius. |
Categorias de dados pessoais | Os dados pessoais tratados dependem do conteúdo do formulário publicado pelo Responsável pelo Tratamento. Cabe ao Responsável pelo Tratamento definir os dados que estão a ser tratados e o seu nível de sensibilidade. Em todos os casos, é utilizado um contador de cliques para fins estatísticos do formulário. |
Períodos de conservação | As respostas recebidas e os relatórios são conservados durante a vigência do contrato ou de acordo com as instruções do cliente. |
Anexo 2. Lista de subcontratantes
Para o encurtador de URLs e os códigos QR:
- Matomo, publicado pela InnoCraft Limited (InnoCraft), com sede no seguinte endereço: HLB Mann Judd, Level 8, 57 Symonds Street, Grafton, Auckland 1010, Nova Zelândia. A Nova Zelândia é um país adequado. As transferências de dados pessoais para estes países não requerem um quadro de transferência.
- AMAZON WEB SERVICES EMEA SARL, cuja sede global se situa em 440 Terry Avenue North, WA 98109, Seattle, Estados Unidos. Os Estados Unidos beneficiam de uma decisão de adequação parcial. A Amazon Web Services está certificada ao abrigo do Quadro de Privacidade de Dados. Para além desta garantia, as Cláusulas Contratuais-Tipo regem a relação entre o Responsável pelo Tratamento e o Subcontratante no que diz respeito aos serviços da Amazon Web Services.
- Scaleway SAS, cuja sede social se situa em 8 rue de la Ville-l'Évêque, 75008 Paris, França. Os dados são alojados em centros de dados localizados na União Europeia. O tratamento de dados está, por conseguinte, sujeito ao Regulamento (UE) 2016/679 (RGPD).
Não existem subencarregados adicionais
Para formulários:
- AMAZON WEB SERVICES EMEA SARL, cuja sede global se situa em 440 Terry Avenue North, WA 98109, Seattle, Estados Unidos. Os Estados Unidos beneficiam de uma decisão de adequação parcial. A Amazon Web Services está certificada ao abrigo do Data Privacy Framework. Para além desta garantia, as Cláusulas Contratuais-Tipo regem a relação entre o Responsável pelo Tratamento e o Subcontratante no contexto dos serviços da Amazon Web Services.
- Scaleway SAS, cuja sede social se situa em 8 rue de la Ville-l’Évêque, 75008 Paris, França. Os dados são alojados em centros de dados localizados na União Europeia. O tratamento de dados está, por conseguinte, sujeito ao Regulamento (UE) 2016/679 (RGPD).
Não existem outros subencarregados do tratamento.
Última atualização: 27 de julho de 2026