Acordo de subcontratação (DPA)

1. Objeto, natureza e finalidade

Fornecimento de uma plataforma de cibersegurança: proteção, inventário, atualização e supervisão dos dispositivos do Responsável pelo tratamento, deteção e resposta a incidentes, relatórios de conformidade e, consoante as opções, segurança do e-mail.

2. Categorias de dados e de pessoas

• Titulares dos dados: trabalhadores, dirigentes e utilizadores dos dispositivos do Responsável pelo tratamento; interlocutores de correio eletrónico para o K-Mail.
• Dados: identificadores e nomes de utilizador, nomes e características dos dispositivos, inventário de software, registos DNS, eventos de segurança, impressões digitais e, com acordo explícito, amostras de ficheiros, metadados e conteúdos de e-mails analisados (K-Mail).
• Nenhuma categoria especial de dados é procurada; a sua presença fortuita num conteúdo analisado é tratada com as mesmas garantias.

3. Duração

O acordo aplica-se durante toda a vigência da subscrição e até à eliminação dos dados no seu termo.

4. Obrigações do Subcontratante

• tratar os dados apenas mediante instrução documentada do Responsável pelo tratamento, incluindo no que respeita às transferências, salvo obrigação imposta pelo direito da União ou de um Estado-Membro, da qual informa previamente o Responsável pelo tratamento;
• garantir a confidencialidade das pessoas autorizadas a tratar os dados;
• aplicar as medidas de segurança descritas no artigo 5.º;
• ajudar o Responsável pelo tratamento a responder aos pedidos de exercício de direitos e a cumprir as suas obrigações previstas nos artigos 32.º a 36.º do RGPD, incluindo as avaliações de impacto e a consulta prévia da autoridade de controlo;
• manter-se plenamente responsável, perante o Responsável pelo tratamento, pelo cumprimento das obrigações dos seus subcontratantes ulteriores;
• informar imediatamente o Responsável pelo tratamento se uma instrução lhe parecer contrária à regulamentação.

5. Medidas de segurança

• alojamento dos dados dos clientes na União Europeia [À VALIDER : nome do prestador de alojamento];
• cifragem em trânsito (TLS 1.3) e em repouso, com chaves próprias de cada cliente;
• isolamento dos clientes por filtragem sistemática e regras de segurança ao nível das linhas da base de dados;
• autenticação mútua dos agentes, comandos e atualizações assinados, proteção contra repetição;
• autenticação forte, menor privilégio e registo de auditoria dos acessos internos;
• prazos de conservação aplicados automaticamente; cópias de segurança cifradas.

6. Subcontratantes ulteriores

O Responsável pelo tratamento autoriza de forma geral o recurso aos subcontratantes ulteriores listados na página Subcontratantes. O Subcontratante informa o Responsável pelo tratamento de qualquer adição ou substituição com pelo menos 30 dias de antecedência; este pode opor-se por motivo legítimo e, na falta de acordo, rescindir sem penalização. Cada subcontratante ulterior está sujeito a obrigações equivalentes.

7. Violações de dados

O Subcontratante notifica o Responsável pelo tratamento de qualquer violação de dados pessoais o mais rapidamente possível e o mais tardar 48 horas após ter tomado conhecimento, com as informações úteis para a sua própria notificação à autoridade de controlo. [À VALIDER : prazo]

8. Auditorias

O Subcontratante disponibiliza as informações necessárias para demonstrar o cumprimento do presente acordo e permite auditorias, no máximo uma vez por ano, salvo incidente, com um pré-aviso razoável e no respeito pela confidencialidade dos outros clientes.

9. Fim do contrato

No termo da subscrição, o Subcontratante permite a exportação dos dados durante 30 dias e depois, à escolha do Responsável pelo tratamento, restitui-os ou elimina-os, bem como as respetivas cópias, salvo obrigação legal de conservação.

10. Transferências

Os dados dos clientes destinam-se a alojamento na União Europeia. Apenas os subcontratantes ulteriores identificados como estabelecidos fora da UE na página Subcontratantes (envio de e-mails transacionais e, se ativados, serviços opcionais como o Kayzen Copilot) podem receber dados, ao abrigo das garantias dos artigos 45.º ou 46.º do RGPD (decisão de adequação ou cláusulas contratuais-tipo).