Contrato de subcontratação

O presente contrato é parte integrante dos Termos do serviço e concretiza as obrigações das partes no tratamento de dados pessoais.

Responsável pelo tratamento (comitente): o Cliente.

Subcontratante (comissário):

Zakomo FZCO
IFZA, Dubai Silicon Oasis
Dubai, Emirados Árabes Unidos

1. Objeto e duração

1.1 O objeto é o tratamento de dados pessoais que o responsável pelo tratamento introduz no âmbito da utilização da Plataforma Growmindr ou que faz recolher através dela.

1.2 A duração corresponde à vigência do contrato principal. O contrato termina automaticamente com a cessação deste; as obrigações decorrentes da secção 10 subsistem para além disso.

2. Natureza, finalidade e âmbito do tratamento

2.1 Finalidades: gestão e enriquecimento de dados de contacto, criação e aprovação de conteúdos, planeamento e envio de mensagens de outreach, incluindo o tratamento de respostas e cancelamentos de subscrição, pesquisa e monitorização de ligações, gestão de equipa e de conta, bem como análise das operações mencionadas para o responsável pelo tratamento.

2.2 Natureza do tratamento: recolha, registo, organização, armazenamento, adaptação, leitura, consulta, utilização, transmissão, limitação, apagamento e destruição.

2.3 Categorias de titulares dos dados: destinatários de mensagens de outreach, pessoas de contacto em empresas-alvo, bem como trabalhadores e mandatários do responsável pelo tratamento que utilizam a Plataforma.

2.4 Categorias de dados pessoais: dados de contacto (nome, endereço de e-mail profissional, número de telefone, função, empregador, perfis acessíveis ao público), conteúdos de comunicação, dados de entrega e de interação (entrega, aberturas, cliques, respostas, cancelamentos de subscrição), informações de avaliação e de estado, bem como dados de conta e de papel dos utilizadores.

2.5 As categorias especiais de dados pessoais nos termos do artigo 9.º do RGPD não são objeto do contrato. O responsável pelo tratamento não introduzirá esses dados na Plataforma.

3. Direito de instrução

3.1 O comissário trata os dados pessoais exclusivamente de acordo com instruções documentadas do responsável pelo tratamento. A utilização das funcionalidades da Plataforma pelo responsável pelo tratamento vale como instrução; as instruções individuais que a excedam são dadas em forma de texto para [email protected].

3.2 Se o comissário considerar que uma instrução é ilícita, comunica-o sem demora e pode suspender a sua execução até ao esclarecimento.

3.3 Um tratamento fora das instruções apenas tem lugar na medida em que o comissário a tal esteja obrigado nos termos do direito da União ou do direito de um Estado-Membro; nesse caso, informa previamente o responsável pelo tratamento, salvo se o direito o proibir.

4. Confidencialidade

O comissário obriga por escrito à confidencialidade as pessoas envolvidas no tratamento, na medida em que não estejam já sujeitas a um dever legal de sigilo. A obrigação subsiste mesmo após a cessação da atividade.

5. Medidas técnicas e organizativas

O comissário adota as medidas descritas no Anexo 1 nos termos do artigo 32.º do RGPD. Pode desenvolvê-las, desde que o nível de proteção não seja reduzido.

6. Subcontratantes ulteriores

6.1 O responsável pelo tratamento concede uma autorização geral para a contratação dos seguintes subcontratantes ulteriores:

• Cloudflare — disponibilização e proteção do sítio Web. Sede nos EUA;

transferência com base em cláusulas contratuais tipo.

6.2 A Paddle atua no processamento dos pagamentos como Merchant of Record e é, nessa medida, responsável pelo tratamento autónomo, não subcontratante ulterior.

6.3 A base de dados, o armazenamento de objetos, a medição de audiência e as funcionalidades de IA para criação de texto são operados pelo comissário em infraestrutura própria no Dubai, Emirados Árabes Unidos. Nessa medida não tem lugar qualquer contratação de terceiros; à transferência para os Emirados Árabes Unidos aplica-se a secção 12.

6.4 Os serviços que o próprio responsável pelo tratamento liga, depositando uma chave de acesso própria — em especial Hunter.io e Apollo.io para enriquecimento de contactos, bem como um servidor de correio próprio para o envio —, atuam por conta e sob responsabilidade do responsável pelo tratamento. O responsável pelo tratamento celebra ele próprio com esses prestadores os acordos necessários.

6.5 Se o comissário tiver a intenção de recorrer a um subcontratante ulterior adicional ou de substituir um já existente, informa o responsável pelo tratamento em forma de texto com, pelo menos, 30 dias de antecedência. O responsável pelo tratamento pode opor-se no prazo de 14 dias por um motivo importante relativo à proteção de dados. Se a objeção não puder ser afastada, qualquer das partes pode rescindir o contrato principal com efeitos a partir do momento previsto para a alteração.

7. Obrigações de apoio

7.1 O comissário apoia o responsável pelo tratamento, com medidas adequadas, na resposta a pedidos dos titulares dos dados. A Plataforma disponibiliza para o efeito funções de exportação e apagamento, bem como uma lista de bloqueio permanente para os endereços cuja subscrição foi cancelada.

7.2 Se um titular dos dados se dirigir diretamente ao comissário, este encaminha o pedido sem demora ao responsável pelo tratamento e não lhe responde de forma autónoma.

7.3 O comissário apoia o responsável pelo tratamento no cumprimento dos artigos 32.º a 36.º do RGPD, em especial numa avaliação de impacto sobre a proteção de dados, na medida em que as indicações necessárias apenas a ele estejam disponíveis.

8. Comunicação de violações da proteção de dados pessoais

O comissário comunica ao responsável pelo tratamento uma violação da proteção de dados pessoais sem demora, o mais tardar no prazo de 48 horas a contar do conhecimento, em forma de texto. A comunicação contém, na medida do conhecido, a natureza do incidente, as categorias de dados afetadas, o número aproximado de titulares afetados, as prováveis consequências e as contramedidas adotadas. O comissário não efetua a comunicação à autoridade de controlo; essa obrigação incumbe ao responsável pelo tratamento.

9. Comprovativos e controlos

9.1 O comissário comprova o cumprimento do presente contrato, a pedido, de forma adequada, em especial mediante informação e apresentação da documentação relativa às medidas constantes do Anexo 1.

9.2 O responsável pelo tratamento tem o direito de, mediante aviso prévio com prazo adequado, se certificar do cumprimento durante o horário comercial habitual. Os controlos têm lugar sem perturbação evitável do fluxo operacional e, no máximo, uma vez por ano civil, salvo se uma ocasião especial justificar um controlo adicional. O comissário pode cobrar de forma adequada os encargos que excedam uma simples informação.

10. Apagamento e devolução

10.1 Após a cessação do contrato principal, o comissário disponibiliza ao responsável pelo tratamento os dados para exportação durante 30 dias e, em seguida, apaga-os.

10.2 As cópias de segurança são sobrescritas de forma rotativa e removidas definitivamente do sistema produtivo no prazo máximo de 14 dias após o apagamento.

10.3 Estão excluídos do apagamento os dados relativamente aos quais exista uma obrigação legal de conservação, bem como a lista de bloqueio dos endereços cuja subscrição foi cancelada, cuja conservação é necessária para o cumprimento da obrigação decorrente do artigo 21.º, n.º 3, do RGPD; esses dados são correspondentemente limitados no tratamento.

11. Responsabilidade e disposições finais

11.1 À responsabilidade aplica-se correspondentemente a secção 10 dos Termos do serviço; o artigo 82.º do RGPD mantém-se inalterado.

11.2 Em caso de contradições entre o presente contrato e o contrato principal, o presente contrato prevalece nas questões relativas à proteção de dados.

11.3 Aplica-se o direito da República Federal da Alemanha.

12. Transferência para um país terceiro

12.1 O comissário tem a sua sede e opera os seus sistemas nos Emirados Árabes Unidos. Relativamente a este país não existe qualquer decisão de adequação da Comissão Europeia nos termos do artigo 45.º do RGPD.

12.2 Para as transferências de dados pessoais a partir do Espaço Económico Europeu para o comissário aplicam-se, por conseguinte, as cláusulas contratuais tipo da Comissão Europeia nos termos da Decisão de Execução (UE) 2021/914, de 4 de junho de 2021, concretamente o Módulo 2 (Responsável pelo tratamento para Subcontratante). São, pela presente, integradas na íntegra no presente contrato e prevalecem sobre ele em caso de contradições.

12.3 Para o preenchimento dos anexos das cláusulas contratuais tipo aplica-se:

• Anexo I.A (Partes): o exportador de dados é o responsável pelo tratamento,

o importador de dados é o comissário; os elementos resultam do preâmbulo do presente contrato e dos dados-mestre da conta do responsável pelo tratamento.

• Anexo I.B (Descrição da transferência): secção 2 do presente contrato.
• Anexo I.C (Autoridade de controlo competente): a autoridade de controlo do

Estado-Membro em que o responsável pelo tratamento se encontra estabelecido; se não estiver estabelecido na União, a autoridade do Estado-Membro em que se encontram os titulares dos dados.

• Anexo II (Medidas técnicas e organizativas): Anexo 1 do presente contrato.
• Anexo III (Lista dos subcontratantes ulteriores): secção 6 do presente

contrato.

12.4 Quanto às opções das cláusulas aplica-se: a cláusula 7 (cláusula de adesão) é aplicável. Para a cláusula 9 aplica-se a opção 2 (autorização escrita geral) com o prazo acordado na secção 6.5. A cláusula facultativa 11, alínea a) (organismo independente de resolução de litígios), não é aplicável. Para a cláusula 17 aplica-se o direito da Irlanda; para a cláusula 18, alínea b), são competentes os tribunais da Irlanda. A secção 11.3 do presente contrato e a escolha de direito dos Termos do serviço mantêm-se inalteradas e aplicam-se a todas as restantes questões.

12.5 O comissário confirma não ter conhecimento de quaisquer disposições legais que o impeçam de cumprir as cláusulas contratuais tipo. Caso receba uma ordem administrativa para a entrega de dados transferidos, informa o responsável pelo tratamento sobre tal, na medida em que tal seja juridicamente admissível, e impugna a ordem, na medida em que existam perspetivas de êxito suficientes. A título complementar aplicam-se as medidas do Anexo 1.

12.6 A pedido, o comissário coloca à disposição do responsável pelo tratamento um exemplar assinado das cláusulas contratuais tipo.

13. Direito aplicável dos Emirados Árabes Unidos

Independentemente do RGPD, o comissário está sujeito à Lei Federal n.º 45 de 2021 dos Emirados Árabes Unidos relativa à proteção de dados pessoais (PDPL). Na medida em que daí decorram obrigações que se sobreponham às do presente contrato, o comissário cumpre em cada caso a obrigação mais ampla.

Anexo 1 — Medidas técnicas e organizativas nos termos do art. 32.º RGPD

Confidencialidade — Controlo de acesso físico. Os sistemas são operados num centro de dados no Dubai, Emirados Árabes Unidos. O acesso físico está limitado a pessoas autorizadas e é registado.

Confidencialidade — Controlo de acesso lógico. Início de sessão através de contas individuais com palavras-passe submetidas a hash segundo o estado da técnica. As sessões expiram após 15 minutos de inatividade. Os cookies de sessão são httpOnly, SameSite=Strict e são transmitidos exclusivamente através de HTTPS. O acesso administrativo aos sistemas produtivos é efetuado exclusivamente através de SSH com autenticação por chave.

Confidencialidade — Controlo de acesso a dados. Permissões baseadas em papéis (Proprietário, Administrador, Editor, Revisor, Visualizador). A separação dos clientes é adicionalmente aplicada ao nível da base de dados através de Row-Level Security, que, em caso de erro, recusa o acesso em vez de o permitir. Os acessos automáticos entre serviços são efetuados apenas através de tokens de serviço de curta duração e assinados.

Confidencialidade — Controlo de separação. Cada cliente trabalha num cliente (tenant) próprio; cada serviço utiliza uma base de dados própria sem acesso externo. Os registos sem referência de cliente válida não são acessíveis.

Integridade — Controlo de transmissão. Encriptação de transporte com TLS para todas as ligações de e para a Plataforma. Os serviços internos são acessíveis exclusivamente através da interface local e não estão expostos publicamente.

Integridade — Controlo de introdução. As operações relevantes em termos de segurança são registadas, com o momento e a conta atuante, num registo de atividade.

Disponibilidade e resiliência. Salvaguarda automática diária da base de dados com um período de conservação de 14 dias. Monitorização dos serviços com reinício automático em caso de falha. Proteção contra sobrecarga através de limitação de taxa.

Procedimento de verificação e avaliação. As dependências são regularmente verificadas quanto a vulnerabilidades conhecidas e atualizadas. Os dados de acesso situam-se fora do controlo de versões. As alterações ao ambiente produtivo são efetuadas através de um processo de disponibilização rastreável.

Controlo de contratação. Os subcontratantes ulteriores apenas são utilizados nos termos da secção 6 do presente contrato e são contratualmente obrigados a um nível de proteção correspondente.