Acordo de tratamento de dados (DPA)

Este texto é uma tradução disponibilizada por conveniência. Em caso de divergência prevalece o texto inglês, disponível em /dpa/.

Finalidade e utilização dos dados

A EuroVPS descreverá sempre a natureza e a finalidade de qualquer recolha, tratamento ou utilização de dados às partes afetadas pela recolha, pelo tratamento ou por qualquer outra utilização desses dados. No caso de uma relação com um cliente, a utilização dos dados será descrita em conformidade com o Acordo de Proteção de Dados celebrado entre a EuroVPS e o Cliente.

O tratamento tem lugar no centro de dados da EuroVPS selecionado pelo Cliente: Atenas ou Amesterdão (UE), ou Toronto (Canadá, ao abrigo da decisão de adequação da Comissão Europeia). Qualquer outra transferência dos dados exigirá o consentimento prévio das pessoas/organizações associadas a esses dados e só terá lugar se estiverem preenchidas as Condições Especiais definidas no artigo 44.º (e artigos semelhantes) do Regulamento Geral sobre a Proteção de Dados, RGPD (GDPR).

Garantia de qualidade

Para além de cumprirmos todas as disposições que aqui enunciamos, cumpriremos igualmente as obrigações legais previstas nos artigos 28.º a 33.º do RGPD. Asseguraremos especificamente o cumprimento dos seguintes requisitos:

Um Responsável pela Proteção de Dados é nomeado para a função de Encarregado da Proteção de Dados. Notificaremos de imediato as pessoas interessadas de qualquer alteração nesta função. Os dados do Encarregado da Proteção de Dados estarão facilmente acessíveis no nosso website.

Seguiremos protocolos de confidencialidade rigorosos e garantiremos que apenas determinados trabalhadores terão acesso ao processo de recolha de dados. Esses trabalhadores cumprirão previamente os requisitos de confidencialidade e estarão familiarizados com a segurança da proteção de dados. Quem tiver acesso a dados pessoais só poderá tratá-los de acordo com as instruções das pessoas afetadas pela utilização desses dados (incluindo as estabelecidas no presente documento), salvo se a lei exigir o contrário.

Quando necessário, as pessoas/organizações cujos dados recolhemos, tratamos ou utilizamos de qualquer outra forma podem ser chamadas a cooperar com uma Autoridade de Controlo. Também nós podemos ser chamados a cooperar com ela, mediante pedido.

Essas pessoas/organizações serão imediatamente informadas de quaisquer inspeções ou medidas tomadas pela Autoridade de Controlo quando estas digam respeito à recolha, ao tratamento ou a qualquer outra utilização dos seus dados. Isto aplica-se caso sejamos alvo de uma investigação por quaisquer infrações relativas ao tratamento de dados pessoais.

Se algum dos nossos Clientes for objeto de uma inspeção pela Autoridade de Controlo relacionada com uma infração ou um processo penal, ou com a reclamação de uma parte afetada, envidaremos todos os esforços para o apoiar na medida das nossas possibilidades.

Monitorizaremos regularmente todos os processos internos, bem como as medidas técnicas e organizativas, para garantir que tudo cumpre a legislação aplicável em matéria de proteção de dados e que os direitos de todas as partes afetadas são protegidos.

A documentação que comprova as medidas que tomámos a este respeito será disponibilizada a todas as partes interessadas, mediante pedido.

Medidas técnicas e organizativas nos termos do artigo 32.º do RGPD

Antes do início de qualquer serviço que exija a recolha/o tratamento de dados, apresentaremos às pessoas interessadas as medidas técnicas e organizativas implementadas para proteger esses dados. Qualquer utilização posterior desses dados ficará restrita às finalidades acordadas entre a EuroVPS e a parte interessada, e essas medidas e finalidades farão parte integrante dos termos de serviço que vinculam a EuroVPS e a parte interessada. Quaisquer alterações a essas medidas ou finalidades só serão discutidas e postas em prática após acordo mútuo entre a EuroVPS e a parte interessada.

Tomaremos as medidas de segurança necessárias em conformidade com todos os artigos relevantes do RGPD. Todas as medidas garantirão um nível de proteção de dados adequado ao nível de risco de cada situação, especialmente no que respeita à confidencialidade, à integridade, à disponibilidade e à resiliência dos sistemas em funcionamento. A ponderação destas medidas terá em conta o custo de implementação, o âmbito e a finalidade dos dados recolhidos, o estado da tecnologia e o risco potencial para os direitos e liberdades de uma pessoa/organização e para os seus dados.

Podemos desenvolver ainda mais as medidas técnicas e organizativas que tomámos para proteger os dados que recolhemos, incluindo a implementação de medidas alternativas, desde que estas não comprometam os níveis de segurança das medidas técnicas e organizativas em vigor. Todas as alterações substanciais serão documentadas.

Correção, limitação e eliminação de dados

Não estamos autorizados a eliminar ou limitar o tratamento de dados por conta de terceiros. Se formos contactados a respeito de uma questão de recolha de dados, encaminharemos de imediato o interessado para a parte em causa.

Executaremos sem demora qualquer pedido relativo ao «direito a ser esquecido», às políticas de eliminação, à correção, à portabilidade e à divulgação de dados.

Subcontratação

Em geral, não distribuímos os dados que recolhemos a terceiros, mas, caso recorramos a um serviço externo que possa ter acesso a esses dados, celebraremos acordos contratuais juridicamente vinculativos e implementaremos as medidas necessárias para garantir a proteção e a segurança dos dados que recolhemos.

Direitos de inspeção

As pessoas/organizações cujos dados recolhemos terão o direito de realizar inspeções após consulta connosco, ou de mandar realizar inspeções por inspetores em casos individuais específicos. Terão o direito de verificar o cumprimento do presente documento através de inspeções por amostragem, que deverão ser anunciadas com uma antecedência razoável.

Garantiremos que o cumprimento das obrigações previstas no artigo 28.º do RGPD pode ser verificado. Forneceremos às pessoas/organizações interessadas as informações relevantes, mediante pedido, juntamente com a documentação da implementação das medidas técnicas e organizativas em vigor para proteger os seus dados.

A documentação das medidas que dizem respeito (entre outras) à relação com a pessoa/organização cujos dados recolhemos pode ser fornecida em conformidade com os códigos de conduta aprovados e as certificações previstas nos artigos relevantes do RGPD. A documentação pode igualmente ser fornecida sob a forma de relatórios, incluindo os elaborados por entidades independentes (como um Encarregado da Proteção de Dados, um departamento de segurança informática, um auditor de qualidade, etc.), juntamente com uma certificação adequada por um departamento de segurança informática ou uma auditoria de proteção de dados.

Podemos exigir honorários adicionais para apoiar uma inspeção e para financiar o fornecimento de documentação e/ou certificações.

Comunicação em caso de infração

Cumpriremos as nossas obrigações relativas à segurança dos dados pessoais e quaisquer requisitos relativos a violações de dados, avaliações de impacto e consultas prévias previstos nos artigos 32.º a 36.º do RGPD.

Estas obrigações incluem:

1. Garantir níveis de proteção suficientes através de medidas técnicas e organizativas que tenham em conta as diversas circunstâncias e finalidades do tratamento de dados, bem como a probabilidade e a gravidade de eventuais violações da lei decorrentes de vulnerabilidades de segurança. Serão igualmente implementadas medidas para detetar o mais rapidamente possível quaisquer violações da lei.
2. Comunicaremos de imediato às partes interessadas quaisquer violações de dados pessoais que observemos.
3. Quando aplicável, prestaremos assistência às partes interessadas no cumprimento das suas próprias obrigações de informação às partes afetadas. Recordaremos igualmente às partes interessadas as suas obrigações neste cenário.
4. Prestaremos assistência às partes interessadas na sua avaliação de impacto sobre a proteção de dados.
5. Prestaremos assistência às partes interessadas antes da sua consulta à autoridade de controlo.
6. Podemos cobrar honorários pela prestação de apoio neste âmbito, quando este não esteja incluído nos serviços de suporte que normalmente oferecemos aos nossos clientes e não seja necessário em resultado de falhas nossas.

A emissão de instruções

Quaisquer instruções que nos sejam dadas pelas partes interessadas devem ser confirmadas de imediato por escrito pela parte em causa.

Informaremos de imediato a parte interessada se considerarmos que uma instrução dada viola a regulamentação em matéria de proteção de dados. Ficaremos então autorizados a suspender a execução dessa instrução até que a mesma tenha sido alterada de forma a poder ser considerada conforme com a regulamentação em matéria de proteção de dados.

Eliminação e devolução de dados pessoais

Não criaremos cópias ou duplicados de dados pessoais sem o conhecimento prévio das pessoas/organizações cujos dados recolhemos, exceto no que respeita às cópias de segurança (backup) necessárias para garantir o tratamento adequado dos dados e aos dados necessários para cumprir diversas obrigações legais.

Destruiremos todos os documentos e conjuntos de dados relativos a uma determinada pessoa/organização, em conformidade com a legislação de proteção de dados, após a conclusão da relação de serviço com essa pessoa/organização ou a pedido da mesma. Forneceremos igualmente à pessoa/organização toda a informação relevante sobre a natureza e o momento da eliminação desses dados.

Conservaremos toda a documentação que possa comprovar que o tratamento dos dados foi efetuado de forma correta após a conclusão da relação de serviço, em conformidade com os respetivos prazos de conservação. Podemos ser dispensados deste dever entregando essa documentação às partes interessadas no termo da relação de serviço.