Acordo de Tratamento de Dados (DPA)
Atualizado
Atualizado
Um Acordo de Tratamento de Dados (Data Processing Agreement, DPA) é um contrato legalmente vinculativo que estabelece os direitos e obrigações do processador de dados em relação ao tratamento dos dados pessoais do controlador de dados. É um requisito legal em muitos países e regiões que possuem leis e regulamentos de proteção de dados, como o Regulamento Geral de Proteção de Dados (RGPD) na União Europeia.
O propósito e os meios do processamento de dados: Descreve o porquê e o modo como os dados serão processados.
A duração do processamento: Estabelece quanto tempo os dados serão conservados e processados.
As medidas de segurança: Descreve as medidas que o processador de dados deve implementar para proteger os dados pessoais.
Os direitos do controlador de dados e das pessoas a quem os dados pertencem: Inclui direitos como o acesso aos dados, a retificação ou eliminação dos dados, e a oposição ao seu processamento.
As obrigações do processador de dados: Inclui a obrigação de processar os dados apenas de acordo com as instruções do controlador de dados, e de notificar o controlador de dados em caso de uma violação da segurança dos dados.
Em resumo, um DPA é uma forma de garantir que o processador de dados trate os dados pessoais de maneira que respeite a privacidade e os direitos das pessoas a quem pertencem esses dados.
HABILMIND, S.L., com NIF B-85645703 e domicílio na rua Ferraz 28, 2º esquerda, 28008 Madrid (Espanha), doravante o ENCARGADO DO TRATAMENTO ou ENCARGADO, no caso de ter celebrado um contrato ou estar a realizar medidas pré-contratuais, como por exemplo um teste piloto com um centro educativo situado em qualquer parte do mundo, sendo este o RESPONSÁVEL PELO TRATAMENTO ou RESPONSÁVEL. O centro educativo pode ser uma escola, instituição ou organismo público ou privado, universidades, investigadores, profissionais da psicologia, ou qualquer organização com alunos que esteja interessada nas ferramentas de HABILMIND, S.L.
Para estes efeitos, declara-se:
Que o ENCARGADO vai realizar um tratamento de dados por conta do RESPONSÁVEL.
Que o tratamento dos dados pessoais é necessário para a prestação do serviço.
Que o RESPONSÁVEL decidiu escolher este ENCARGADO porque este último oferece garantias suficientes para aplicar medidas técnicas e organizativas apropriadas aos dados fornecidos, garantindo que o tratamento realizado se ajusta ao Regulamento (UE) 2016/679, de Proteção de Dados (RGPD) e à normativa que o desenvolve, e garante a proteção dos direitos dos titulares dos dados, segundo o seguinte:
É objeto e natureza deste contrato o encargo de um serviço que implica o necessário tratamento dos dados fornecidos pelo RESPONSÁVEL ao ENCARGADO para poder cumprir o contrato ou teste solicitado.
O ENCARGADO DO TRATAMENTO apenas tratará os dados conforme às instruções documentadas do RESPONSÁVEL PELO TRATAMENTO, e para a finalidade de obtenção de dados pessoais que podem consistir em dados que a escola entrega ao Habilmind para a realização de provas ou testes através da plataforma de análise dos fatores que influenciam a aprendizagem através da ferramenta Habilmind, não comunicando os dados a nenhum outro terceiro.
A duração do encargo de tratamento dos dados pessoais está sujeita à duração do encargo para a prestação de serviços que o RESPONSÁVEL confiou ao ENCARGADO DO TRATAMENTO
O tipo de dados pessoais e categorias de titulares de dados objeto deste encargo são os seguintes: dados pessoais, nomes e e-mails de famílias e alunos do responsável pelo tratamento.
Operações de tratamento: recolha, gravação, consulta, envio, modificação, conservação, eliminação, anonimização e destruição.
O ENCARGADO e todo o seu pessoal destinado à prestação de serviços ao RESPONSÁVEL compromete-se a:
2.1. Prestar os serviços de acordo com o disposto na legislação vigente de proteção de dados pessoais, conforme o disposto neste contrato e segundo as instruções documentadas do RESPONSÁVEL, não podendo o ENCARGADO utilizar esses dados para fins diferentes dos mencionados neste contrato, nem utilizar os dados para fins próprios.
Se o ENCARGADO considerar que alguma das instruções do RESPONSÁVEL infringe ou pode infringir a normativa vigente em matéria de proteção de dados pessoais e, em especial, o Regulamento (UE) 2016/679 (RGPD), informará imediatamente o RESPONSÁVEL por escrito.
2.2. Não transmitir ou comunicar a terceiros, sob nenhuma circunstância, os dados pessoais dos tratamentos cujo responsável é o RESPONSÁVEL, salvo instruções expressas e escritas.
2.3. Garantir que as pessoas que fazem parte da estrutura e dos meios humanos do ENCARGADO, autorizadas por este para tratar dados pessoais do RESPONSÁVEL, tenham se comprometido de forma expressa e por escrito a respeitar normas de confidencialidade e a cumprir as medidas de segurança correspondentes às suas funções, das quais o ENCARGADO deverá informar por escrito.
Manter o dever de sigilo em relação aos dados pessoais aos quais terá acesso em virtude do presente contrato, mesmo após o término da prestação dos serviços solicitados.
2.4. Adotar e manter as medidas de segurança necessárias e garantir os direitos das pessoas afetadas, conforme o estabelecido no Art. 32 do RGPD, devendo estabelecer, se for o caso, entre outras, as seguintes medidas:
a) A pseudonimização e cifragem de dados pessoais;
b) A capacidade de garantir a confidencialidade, integridade, disponibilidade e resiliência permanentes dos sistemas e serviços de tratamento;
c) A capacidade de restaurar a disponibilidade e o acesso aos dados pessoais de forma rápida em caso de incidente físico ou técnico;
d) Ter estabelecido um processo de verificação, avaliação e valoração regulares da eficiência das medidas técnicas e organizativas para garantir a segurança do tratamento;
e) Outras medidas de segurança que o ENCARGADO adote por meio da sua responsabilidade proativa, tendo em conta os dados recebidos pelo RESPONSÁVEL e o tratamento que seja necessário realizar com os dados, devendo o ENCARGADO adotar as medidas do Art. 25 do RGPD.
Em particular e, se for o caso, o ENCARGADO garante que os dados pessoais que integrar nos seus sistemas de tratamento, os que armazenar ou os que tratar em suportes automatizados, acessíveis através de Wi-Fi ou de outro modo, por conta do RESPONSÁVEL, sejam alojados nos seus próprios servidores ou, se for o caso, nos dos seus subcontratados, e acessíveis através de acesso à Internet próprio e seguro. Os servidores ou equipamentos de alojamento de dados deverão ser:
a) Seguros, conforme às exigências do RGPD.
b) Localizados na União Europeia, salvo que o RESPONSÁVEL tenha previamente dado o seu acordo e consentimento por escrito e sob a condição de que a localização fora da União Europeia respeite e cumpra estritamente as condições previstas no presente contrato e no RGPD.
O ENCARGADO colocará à disposição do RESPONSÁVEL toda a informação necessária para demonstrar o cumprimento das obrigações estabelecidas no presente contrato, permitindo e contribuindo para a realização de auditorias ou inspeções por parte do RESPONSÁVEL ou de outro auditor autorizado pelo RESPONSÁVEL.
2.5. Manter atualizado e por escrito um registo de todas as categorias de atividades de tratamento efetuadas por conta do RESPONSÁVEL que contenha:
a) O nome e os dados de contacto do ENCARGADO e do RESPONSÁVEL e, se for o caso, do representante do RESPONSÁVEL ou do ENCARGADO e do DELEGADO DE PROTEÇÃO DE DADOS.
b) As categorias de tratamentos efetuados por conta do RESPONSÁVEL.
c) As transferências internacionais de dados, incluindo a identificação do terceiro país destinatário dos dados, tendo em conta o possível alojamento de dados em serviços de computação em nuvem (cloud), adjuntando a documentação com as garantias adequadas a que se refere o Art. 30.2.c do RGPD.
d) Uma descrição geral das medidas técnicas e organizativas de segurança que o ENCARGADO aplica no tratamento dos dados.
2.6. Se o ENCARGADO deve, por obrigação estabelecida nas leis, transferir dados pessoais para um terceiro país ou para uma organização internacional, em virtude do Direito da União ou dos Estados membros que lhe seja aplicável, informará por escrito, de forma prévia e pormenorizada, ao RESPONSÁVEL dessa exigência legal, salvo que tal Direito o proíba por razões de interesse público.
2.7. No caso de o ENCARGADO DO TRATAMENTO decidir subcontratar todo ou parte deste serviço, deve dispor de autorização prévia por escrito do RESPONSÁVEL DO TRATAMENTO. Uma vez autorizada a subcontratação, o SUBENCARGADO do tratamento deverá estar sujeito às mesmas condições e à mesma forma escrita que o ENCARGADO mantém com o RESPONSÁVEL, sendo o ENCARGADO responsável perante o RESPONSÁVEL em caso de incumprimento do SUBENCARGADO, devendo celebrar contrato por escrito entre o ENCARGADO e o SUBENCARGADO
2.8. Comunicar ao RESPONSÁVEL qualquer solicitação escrita que se refira aos direitos dos interessados, que por qualquer meio.
2.9. Ajudar o RESPONSÁVEL a garantir o cumprimento das obrigações estabelecidas nos Art. 32 a 36 do RGPD, tendo em conta a natureza do tratamento e a informação à disposição do ENCARGADO.
O ENCARGADO notificará ao RESPONSÁVEL, sem demora indevida, e em qualquer caso antes do prazo máximo de 24 horas, as violações de segurança dos dados pessoais a seu cargo de que tenha conhecimento, com toda a informação relevante para a documentação e comunicação da quebra.
Não será obrigatória a notificação quando seja improvável que essa violação de segurança constitua um risco para os direitos e liberdades das pessoas físicas.
Se disponível, será fornecida, no mínimo, a seguinte informação:
a) Descrição da natureza da violação de segurança dos dados pessoais, inclusive, quando possível, as categorias e o número aproximado de interessados afetados, e as categorias e o número aproximado de registos de dados pessoais afetados.
b) O nome e os dados de contacto do delegado de proteção de dados do ENCARGADO ou de outra pessoa de contacto do ENCARGADO em caso de necessidade de mais informação.
c) Descrição das possíveis consequências para os interessados da violação de segurança dos dados pessoais. d) Descrição das medidas adotadas ou propostas para mitigar ou resolver a violação de segurança dos dados pessoais, incluindo, se aplicável, as medidas adotadas para mitigar os possíveis efeitos negativos.
Será o RESPONSÁVEL quem procederá, se necessário, à comunicação das violações de segurança dos dados à Agência de Proteção de Dados e às pessoas afetadas.
2.10. Designar um delegado de proteção de dados, caso seja obrigatório pela normativa vigente, e comunicar a sua identidade e dados de contacto ao RESPONSÁVEL
2.11. Uma vez terminada a prestação dos serviços de tratamento, o ENCARGADO devolverá ao RESPONSÁVEL ou eliminará todos os dados pessoais do tratamento, e eliminará as cópias existentes, a menos que exista alguma previsão legal que exija a sua conservação. Nesse caso, os dados deverão ser devolvidos na mesma forma em que foram obtidos e dentro do prazo de dois meses a partir do término efetivo do serviço, não devendo o RESPONSÁVEL dificultar a sua receção. Sempre que possam surgir responsabilidades entre o RESPONSÁVEL e o ENCARGADO, este poderá conservar devidamente bloqueados os dados.
2.12. O ENCARGADO responderá apenas pelos danos e prejuízos causados ao interessado quando não tiver cumprido as obrigações do RGPD dirigidas especificamente aos encarregados ou tenha atuado à margem ou contra as instruções do RESPONSÁVEL, em virtude do estabelecido no Art. 82.2 RGPD. Estará isento de responsabilidade se demonstrar que não é de modo algum responsável pelo facto que tenha causado os danos e prejuízos.
O RESPONSÁVEL compromete-se a fornecer dados pessoais obtidos de forma lícita, transparente e informada. Garante aos titulares dos dados os direitos de proteção de dados que lhes assistem. Dispõe de uma base jurídica para o tratamento, cumprindo com as condições do consentimento, se necessário, e informará o ENCARGADO caso transmita categorias especiais de dados do Art. 9 do RGPD. Informou as pessoas afetadas do estabelecido no Art. 13 do RGPD.
O RESPONSÁVEL responderá pelos danos e prejuízos causados ao titular dos dados caso a operação de tratamento em que tenha participado não tenha cumprido com o RGPD, em virtude do estabelecido no Art. 82.2 RGPD. Estará isento de responsabilidade se demonstrar que não é de modo algum responsável pelo facto que tenha causado os danos e prejuízos.
Quando mais de um responsável ou encarregado do tratamento, ou apenas um responsável e um encarregado, tenham participado na mesma operação de tratamento e sejam responsáveis por qualquer dano ou prejuízo causado por esse tratamento, todos eles serão considerados responsáveis por todos os danos e prejuízos, em virtude do Art. 82.4 RGPD.
As partes deste contrato informam-se de que os dados pessoais e informações associadas a estes são tratados em virtude da prestação dos serviços acordados e para as finalidades de cumprimento, desenvolvimento e controlo do contrato, sendo o contrato a base jurídica do tratamento.
Cada uma das empresas signatárias deste contrato informará os seus empregados ou colaboradores dedicados à execução da relação contratual estabelecida no contrato, sobre o tratamento dos dados pessoais das pessoas de contacto, da função ou cargo desempenhado, no caso das pessoas físicas que prestem serviços em cada uma das empresas intervenientes no contrato, para os fins da execução do referido contrato. A base jurídica deste tratamento é o interesse legítimo.
Os dados serão conservados durante o prazo minimamente necessário, com base no prazo de reclamações ou interposição de ações. Não se prevêem destinatários dos dados das empresas intervenientes neste acordo, salvo obrigações legais.
Dados de contacto do Delegado de Proteção de Dados do Habilmind acessíveis na Política de Privacidade de http://www.habilmind.com/
O exercício dos direitos de acesso, incluindo o direito a obter cópia dos dados pessoais objeto de tratamento, retificação, oposição, supressão ou eliminação, se for o caso, portabilidade e limitação do tratamento, poderá ser exercido pela pessoa interessada mediante solicitação escrita, acompanhada de um documento oficial de identificação, dirigida à direção da signatária deste contrato, podendo apresentar reclamações à Agência Espanhola de Proteção de Dados.
ACREDITAÇÃO DE CUMPRIMENTO DO RGPD POR PARTE DO FORNECEDOR
O FORNECEDOR OU ENCARGADO DO TRATAMENTO trata dados pessoais do RESPONSÁVEL PELO TRATAMENTO, e em cumprimento do Art. 28 do RGPD garante que cumpre com a normativa de proteção de dados que lhe seja aplicável e que aplica medidas técnicas e organizativas ao tratamento dos dados:
NORMA
CONFIRMAÇÃO
O FORNECEDOR tem implementado um Registo de Atividades do Tratamento no qual foi incorporado o tratamento de dados que efetua por conta deste RESPONSÁVEL, contendo os seguintes dados: a) O nome e os dados de contacto de cada responsável por conta de quem atua o encarregado; b) As categorias de tratamentos efetuados por conta de cada responsável; c) Se for o caso, as transferências de dados pessoais para um terceiro país ou organização internacional, incluindo a identificação desse terceiro país; d) Descrição geral das medidas técnicas e organizativas de segurança.
SIM
O FORNECEDOR, no caso de contar com encarregados do tratamento que tratem os dados pessoais objeto deste contrato, celebrou com eles o acordo de tratamento de dados a que se refere o Art. 28 do RGPD, efetuou uma análise de riscos e implementou medidas técnicas e organizativas com base nos riscos detectados, para garantir o cumprimento do RGPD com respeito aos dados pessoais.
SIM
O FORNECEDOR efetuou uma análise de riscos e implementou medidas técnicas e organizativas com base nos riscos detectados, para garantir o cumprimento do RGPD com respeito aos dados pessoais.
SIM
O FORNECEDOR implementou medidas de informação ou formação destinadas a garantir que as pessoas autorizadas para tratar dados pessoais se tenham comprometido a respeitar a confidencialidade em todas as fases do tratamento dos dados pessoais.
SIM
