Esta página apresenta o acordo de subcontratação do tratamento de dados da Wartungshelden. Aplica-se quando tratamos dados pessoais por conta dos clientes nos serviços de manutenção.
Nota:
Este acordo aplica-se quando a Wartungshelden trata dados pessoais por conta do cliente nos serviços contratados.
Acordo de subcontratação do tratamento de dados
entre
o cliente / contratante
– doravante «responsável pelo tratamento» –
e
Wartungshelden
Reiner Schmeinck
Waltraudstraße 19
45888 Gelsenkirchen
Alemanha
E-mail: info@wartungshelden.de
Telefone: 0209 98898746
– doravante «subcontratante» –
conjuntamente também «partes».
1. Objeto e duração do tratamento
Este acordo regula os direitos e obrigações das partes relativos ao tratamento de dados pessoais pelo subcontratante por conta do responsável.
O tratamento tem por objeto serviços de manutenção, conservação, segurança, cópias de segurança, monitorização, apoio e outros serviços técnicos para os sites WordPress do responsável.
A duração acompanha a do contrato principal de manutenção entre as partes. O acordo termina com o contrato principal, sem prejuízo das obrigações legais de conservação.
2. Natureza e finalidade do tratamento
O subcontratante trata dados pessoais exclusivamente para executar os serviços de manutenção contratados.
O tratamento pode incluir, nomeadamente:
- Acesso ao sistema WordPress do responsável
- Conservação e manutenção técnicas
- Gestão de atualizações
- Verificações de segurança
- Análises de malware
- Criação de cópias de segurança
- Restauro de dados
- Análise e correção de erros
- Monitorização e registo técnico
- Serviços de apoio e administração
O tratamento concreto ocorre apenas na medida necessária às prestações contratualmente acordadas.
3. Tipos de dados pessoais e categorias de titulares
Podem ser tratadas, nomeadamente, as seguintes categorias de dados pessoais:
- Dados de base
- Dados de contacto
- Dados de comunicação
- Dados de utilização
- Endereços IP
- Dados de conteúdo
- Dados de clientes
- Dados contratuais
- Dados de registos técnicos
- Dados de bases de dados, formulários ou funções do site
Os titulares podem incluir, nomeadamente:
- Clientes do responsável
- Potenciais clientes do responsável
- Visitantes do site
- Trabalhadores do responsável
- Pessoas de contacto
- Outros utilizadores do site operado pelo responsável
4. Sujeição a instruções
O subcontratante trata dados pessoais apenas mediante instruções documentadas do responsável, salvo obrigação legal de tratamento.
As instruções orais devem ser confirmadas sem demora em forma textual.
Se considerar que uma instrução viola a legislação de proteção de dados, o subcontratante informa o responsável sem demora.
5. Confidencialidade
O subcontratante assegura que todas as pessoas envolvidas no tratamento estão vinculadas à confidencialidade ou a uma obrigação legal adequada de sigilo.
A obrigação de confidencialidade subsiste após o fim deste acordo.
6. Medidas técnicas e organizativas
O subcontratante adota medidas técnicas e organizativas adequadas para garantir um nível de proteção ajustado ao risco.
As medidas podem incluir:
- Proteção do acesso a sistemas e contas
- Gestão de permissões
- Autenticação de dois fatores, quando disponível
- Cifragem, quando tecnicamente adequada
- Proteção dos acessos administrativos
- Registo de acessos técnicos
- Cópias de segurança
- Proteção contra acesso não autorizado
- Medidas de capacidade de restauro e disponibilidade
- Verificação e atualização regulares das medidas de segurança
O subcontratante pode adaptar as medidas ao progresso técnico, desde que não reduza o nível de proteção.
7. Obrigações de apoio
O subcontratante apoia o responsável no cumprimento das obrigações legais, considerando a natureza do tratamento e a informação disponível.
Isto abrange, nomeadamente:
- Apoio a pedidos dos titulares
- Apoio à segurança do tratamento
- Apoio à notificação de violações de dados
- Apoio a avaliações de impacto sobre a proteção de dados, quando necessário
8. Notificação de violações de dados
O subcontratante informa o responsável sem demora quando toma conhecimento de uma violação de dados pessoais relacionada com o tratamento por sua conta.
A notificação deve incluir, na medida do possível, toda a informação necessária para o responsável cumprir as obrigações legais de notificação e comunicação.
9. Outros subcontratantes
O responsável concede autorização geral para recorrer a outros subcontratantes na medida necessária à execução do contrato.
O subcontratante informa o responsável sobre alterações previstas na contratação ou substituição de outros subcontratantes, permitindo-lhe opor-se.
O subcontratante assegura que estes ficam contratualmente sujeitos a obrigações de proteção de dados substancialmente equivalentes às deste acordo.
Os outros subcontratantes habitualmente utilizados podem incluir:
- Prestadores de alojamento
- Prestadores de cópias de segurança
- Prestadores de segurança e monitorização
- Prestadores de serviços na nuvem
- Serviços de e-mail e comunicação
- Ferramentas de apoio e manutenção remota
10. Transferências para países terceiros
O tratamento num país terceiro ou por um prestador aí situado ocorre apenas quando os requisitos legais estão cumpridos.
Quando são utilizados outros subcontratantes ou prestadores técnicos fora da UE ou do EEE, o subcontratante assegura garantias adequadas.
11. Direitos de controlo e comprovação
O responsável pode verificar o cumprimento deste acordo em medida razoável ou fazê-lo verificar por terceiros.
Mediante pedido, o subcontratante fornece as informações necessárias para comprovar o cumprimento das obrigações de proteção de dados.
Os controlos realizam-se, em princípio, com aviso prévio razoável, no horário habitual e sem perturbação indevida da atividade.
Quando a prova possa ser feita por documentação adequada, relatórios de auditoria, certificados ou outros documentos, estes têm prioridade.
12. Devolução e apagamento
Após o fim dos serviços de tratamento, o subcontratante apaga ou devolve todos os dados pessoais, à escolha do responsável, salvo obrigação legal de conservação.
As obrigações legais de conservação não são afetadas.
As cópias de processos habituais de backup e arquivo podem subsistir durante os ciclos de conservação tecnicamente necessários, devendo depois ser apagadas ou sobrescritas em conformidade com a proteção de dados.
13. Obrigações do responsável
O responsável mantém a responsabilidade pela licitude do tratamento e pela salvaguarda dos direitos dos titulares.
Deve informar o subcontratante sem demora e integralmente se detetar erros ou irregularidades relativos aos requisitos de proteção de dados.
É responsável pela licitude do tratamento no seu site e pela disponibilização completa e correta das informações de proteção de dados aos titulares.
14. Responsabilidade
A responsabilidade das partes rege-se pela lei e, complementarmente, pelas disposições validamente acordadas no contrato principal entre elas.
As regras imperativas de responsabilidade em proteção de dados não são afetadas.
15. Disposições finais
Alterações e aditamentos exigem, no mínimo, forma textual.
Se alguma disposição for ou se tornar total ou parcialmente inválida, a validade das restantes não é afetada.
Aplica-se o direito alemão nos limites permitidos pela lei.
Este acordo aplica-se quando a Wartungshelden trata dados pessoais por conta do cliente nos serviços contratados. Não se aplica se não houver acesso a dados pessoais ou tratamento por conta do cliente.
Anexo 1: medidas técnicas e organizativas
Controlo de acesso físico
- Proteção de postos de trabalho, dispositivos e suportes contra acesso físico não autorizado
Controlo de autenticação
- Proteção por palavra-passe
- Contas individuais
- Autenticação de dois fatores, quando disponível
Controlo de permissões
- Permissões baseadas em funções
- Direitos de administrador limitados às pessoas necessárias
Controlo de transmissão
- Transmissão cifrada, quando tecnicamente disponível
- Utilização de canais de comunicação seguros
Controlo de introdução de dados
- Registo de acessos técnicos ou administrativos, quando tecnicamente possível
Controlo de tarefas contratadas
- Processos internos claros para gerir ordens de manutenção
- Seleção de prestadores técnicos adequados
Controlo de disponibilidade
- Estratégias de cópias de segurança
- Proteção contra perda de dados
- Medidas de restauro
Separação
- Tratamento separado por projetos, sites ou clientes, quando técnica e organizativamente viável