ACORDO DE TRATAMENTO DE DADOS PESSOAIS (ARTIGO 28.º DO RGPD)

O presente Acordo de Tratamento de Dados Pessoais (doravante "Acordo") é celebrado entre:

• O Cliente Empresarial, identificado na proposta comercial aceite, na nota de encomenda ou na conta de cliente do Serviço, na qualidade de responsável pelo tratamento (doravante "Cliente"); e
• LEIGPT, UNIPESSOAL LDA, sociedade unipessoal por quotas, com sede na Praceta dos Ferroviários, Lote 5/6, 2.º Dt.º, 8000-180 Faro, matriculada na Conservatória do Registo Comercial de Faro sob o número único de matrícula e de pessoa coletiva 519341325, com o capital social de 1.000,00 €, na qualidade de subcontratante (doravante "LeiGPT").

1. OBJETO, ÂMBITO E CELEBRAÇÃO

1.1. Objeto

O presente Acordo regula o tratamento de dados pessoais efetuado pela LeiGPT por conta do Cliente no âmbito da prestação do serviço LeiGPT (doravante "Serviço"), nos termos do artigo 28.º do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016 (Regulamento Geral sobre a Proteção de Dados — "RGPD"), e da Lei n.º 58/2019, de 8 de agosto, que assegura a sua execução na ordem jurídica nacional.

1.2. Relação com os Termos e Condições

O presente Acordo integra o contrato celebrado entre o Cliente e a LeiGPT, constituído pelos Termos e Condições de Utilização publicados em leigpt.pt/oferta_pt (em especial a secção 7 — Clientes Empresariais e Entidades Públicas) e, quando exista, pela proposta comercial aceite (doravante, em conjunto, "Contrato"). Em matéria de proteção de dados pessoais, o presente Acordo prevalece sobre quaisquer outras disposições do Contrato.

1.3. Âmbito subjetivo

O presente Acordo aplica-se aos Clientes Empresariais, tal como definidos no ponto 2.11 dos Termos e Condições. Não se aplica ao tratamento de dados efetuado por pessoas singulares no exercício de atividades exclusivamente pessoais ou domésticas.

1.4. Celebração

O presente Acordo considera-se celebrado, em forma escrita eletrónica nos termos do artigo 28.º, n.º 9, do RGPD, com a aceitação da proposta comercial ou o envio da nota de encomenda pelo Cliente ou, no caso de Clientes Empresariais que contratem o Serviço online, com a aceitação dos Termos e Condições. A pedido do Cliente, a LeiGPT assina um exemplar do presente Acordo em suporte físico ou com assinatura eletrónica qualificada.

2. DEFINIÇÕES

Os termos "dados pessoais", "tratamento", "responsável pelo tratamento", "subcontratante", "titular dos dados", "violação de dados pessoais" e "categorias especiais de dados" têm o significado que lhes é atribuído pelo RGPD. Para efeitos do presente Acordo, entende-se ainda por:

• 2.1. "Dados do Cliente": os dados pessoais contidos em documentos, ficheiros, gravações áudio e vídeo, mensagens, instruções e demais conteúdos que o Cliente ou os seus Utilizadores Autorizados carregam, introduzem ou geram no Serviço, incluindo os resultados produzidos pelo Serviço a partir desses conteúdos e os registos de atividade disponibilizados ao administrador do Cliente.
• 2.2. "Utilizadores Autorizados": as pessoas singulares a quem o Cliente atribui Lugares no Serviço.
• 2.3. "Subcontratante Ulterior": qualquer entidade contratada pela LeiGPT que trate Dados do Cliente por conta desta para a prestação do Serviço.
• 2.4. "Instruções Documentadas": as instruções do Cliente relativas ao tratamento dos Dados do Cliente, constantes do Contrato, do presente Acordo, das configurações do Serviço selecionadas pelo Cliente e de comunicações escritas posteriores aceites pela LeiGPT.
• 2.5. "CNPD": a Comissão Nacional de Proteção de Dados, autoridade de controlo nacional nos termos da Lei n.º 58/2019, de 8 de agosto.

3. FUNÇÕES DAS PARTES

3.1. Dados do Cliente

Relativamente aos Dados do Cliente, o Cliente é o responsável pelo tratamento e a LeiGPT é subcontratante. A descrição do tratamento — objeto, natureza, finalidade, duração, categorias de dados e de titulares — consta do Anexo I.

3.2. Dados tratados pela LeiGPT como responsável

A LeiGPT trata como responsável pelo tratamento os dados necessários à gestão da relação contratual (identificação e contactos do Cliente e dos Utilizadores Autorizados, autenticação, faturação, pagamentos, apoio ao cliente, segurança e prevenção de abusos do Serviço e cumprimento de obrigações legais), nos termos da Política de Privacidade publicada em leigpt.pt/policy_pt. Esse tratamento não é regulado pelo presente Acordo.

3.3. Obrigações do Cliente

O Cliente, enquanto responsável pelo tratamento, garante que:

1. dispõe de fundamento de licitude para o tratamento dos Dados do Cliente e, quando aplicável, de uma das condições previstas nos artigos 9.º e 10.º do RGPD para as categorias especiais de dados e para os dados relativos a condenações penais e infrações;
2. prestou aos titulares dos dados as informações exigidas pelos artigos 13.º e 14.º do RGPD, sem prejuízo das exceções aplicáveis, incluindo as decorrentes do sigilo profissional;
3. as suas instruções são conformes ao direito da União Europeia e ao direito português;
4. carrega no Serviço apenas os Dados do Cliente necessários às finalidades que prossegue, em observância do princípio da minimização dos dados;
5. gere os Lugares e as permissões dos Utilizadores Autorizados e remove o acesso de quem deixe de estar autorizado.

4. INSTRUÇÕES DOCUMENTADAS

4.1. Tratamento apenas mediante instruções

A LeiGPT trata os Dados do Cliente apenas mediante Instruções Documentadas do Cliente e exclusivamente para a prestação do Serviço, incluindo no que respeita a transferências para países terceiros ou organizações internacionais, salvo se for obrigada a fazê-lo pelo direito da União Europeia ou pelo direito português. Neste caso, a LeiGPT informa o Cliente desse requisito jurídico antes do tratamento, salvo se a lei proibir tal informação por motivos importantes de interesse público (artigo 28.º, n.º 3, alínea a), do RGPD).

4.2. Instruções ilícitas

A LeiGPT informa imediatamente o Cliente se, no seu entender, alguma instrução violar o RGPD ou outras disposições do direito da União Europeia ou do direito português em matéria de proteção de dados, podendo suspender a execução dessa instrução até que o Cliente a confirme ou altere.

4.3. Proibição de outras finalidades

A LeiGPT não trata os Dados do Cliente para finalidades próprias, não os vende, não os cede a terceiros fora dos casos previstos no presente Acordo e não os utiliza para fins publicitários ou de definição de perfis.

5. CONFIDENCIALIDADE E SIGILO PROFISSIONAL

5.1. Pessoas autorizadas

A LeiGPT assegura que as pessoas autorizadas a tratar os Dados do Cliente — trabalhadores, prestadores de serviços e Subcontratantes Ulteriores — assumiram um compromisso de confidencialidade ou estão sujeitas a adequadas obrigações legais de confidencialidade, que se mantêm após a cessação das respetivas funções (artigo 28.º, n.º 3, alínea b), do RGPD).

5.2. Acesso estritamente necessário

O acesso do pessoal da LeiGPT aos Dados do Cliente é limitado ao estritamente necessário para prestar o Serviço, resolver incidentes técnicos ou responder a pedidos de apoio do Cliente, e é registado.

5.3. Sigilo profissional do Cliente

A LeiGPT reconhece que os Dados do Cliente podem estar abrangidos por sigilo profissional, nomeadamente o previsto no artigo 92.º do Estatuto da Ordem dos Advogados, aprovado pela Lei n.º 145/2015, de 9 de setembro, ou por outros deveres de segredo a que o Cliente esteja sujeito. A LeiGPT trata esses dados com o grau de reserva correspondente e, caso receba de uma autoridade pública um pedido de acesso aos Dados do Cliente, informa o Cliente de imediato, salvo proibição legal, para que este possa invocar o sigilo e defender os seus direitos, e só divulga os dados estritamente exigidos por decisão vinculativa.

6. SEGURANÇA DO TRATAMENTO

Tendo em conta as técnicas mais avançadas, os custos de aplicação, a natureza, o âmbito, o contexto e as finalidades do tratamento, bem como os riscos para os direitos e liberdades das pessoas singulares, a LeiGPT aplica as medidas técnicas e organizativas adequadas para assegurar um nível de segurança adequado ao risco, nos termos do artigo 32.º do RGPD, incluindo, no mínimo, as medidas descritas no Anexo II. A LeiGPT pode atualizar essas medidas desde que o nível global de segurança não seja diminuído.

7. INTELIGÊNCIA ARTIFICIAL

7.1. Proibição de treino

A LeiGPT não utiliza os Dados do Cliente para treinar, afinar ou melhorar modelos de inteligência artificial, próprios ou de terceiros, e assegura, através dos contratos celebrados com os Subcontratantes Ulteriores que disponibilizam modelos de inteligência artificial, que estes também não os utilizam para esse efeito. Em especial, a Gemini API é utilizada exclusivamente nos termos aplicáveis aos serviços pagos da Google, incluindo o aditamento de tratamento de dados da Google, que excluem a utilização dos pedidos e das respostas para treinar ou melhorar os produtos da Google.

7.2. Resultados

Os resultados gerados pelo Serviço a partir dos Dados do Cliente pertencem ao Cliente e são tratados como Dados do Cliente. O Cliente reconhece que esses resultados são produzidos automaticamente e devem ser verificados antes de qualquer utilização, nos termos dos pontos 3.3 e 3.4 dos Termos e Condições.

8. SUBCONTRATANTES ULTERIORES

8.1. Autorização geral

O Cliente concede à LeiGPT autorização geral, nos termos do artigo 28.º, n.º 2, do RGPD, para recorrer aos Subcontratantes Ulteriores identificados no Anexo III, com indicação da atividade de tratamento, do local do tratamento e da garantia aplicável a eventuais transferências internacionais. O Anexo III é mantido atualizado nesta página; a versão em vigor é igualmente enviada ao Cliente a pedido, através de info@leigpt.pt.

8.2. Alterações e direito de oposição

A LeiGPT informa o Cliente, por correio eletrónico, de qualquer alteração pretendida quanto ao aditamento ou substituição de Subcontratantes Ulteriores com, pelo menos, 30 dias de antecedência. O Cliente pode opor-se à alteração, de forma fundamentada, no prazo de 15 dias. Se as partes não chegarem a acordo, o Cliente pode resolver o Contrato, sem qualquer penalização, com efeitos à data em que a alteração produziria efeitos, sendo reembolsado do valor pago correspondente ao período não utilizado.

8.3. Obrigações dos Subcontratantes Ulteriores

A LeiGPT impõe a cada Subcontratante Ulterior, por contrato, obrigações de proteção de dados que ofereçam as mesmas garantias que as previstas no presente Acordo, em especial garantias suficientes de execução de medidas técnicas e organizativas adequadas (artigo 28.º, n.º 4, do RGPD). A LeiGPT continua a ser plenamente responsável perante o Cliente pelo cumprimento das obrigações dos Subcontratantes Ulteriores.

9. TRANSFERÊNCIAS INTERNACIONAIS

A LeiGPT só transfere Dados do Cliente para países terceiros ou organizações internacionais, ou permite que Subcontratantes Ulteriores o façam, quando estiver assegurada uma das condições do capítulo V do RGPD, nomeadamente:

• decisão de adequação da Comissão Europeia, nos termos do artigo 45.º do RGPD, incluindo, para os Estados Unidos, a certificação do destinatário ao abrigo do Quadro de Privacidade de Dados UE-EUA; ou
• cláusulas contratuais-tipo aprovadas pela Decisão de Execução (UE) 2021/914 da Comissão, de 4 de junho de 2021, nos termos do artigo 46.º, n.º 2, alínea c), do RGPD, acompanhadas da avaliação do impacto da transferência e das medidas suplementares que se revelem necessárias.

Os Subcontratantes Ulteriores identificados no Anexo III tratam os Dados do Cliente na União Europeia. O acesso a partir de países terceiros só pode ocorrer de forma pontual, por equipas de suporte técnico e de segurança desses Subcontratantes Ulteriores ou de entidades do respetivo grupo — nomeadamente a Google LLC, nos Estados Unidos — e apenas com as garantias indicadas no Anexo III para cada Subcontratante Ulterior.

10. DIREITOS DOS TITULARES

Tendo em conta a natureza do tratamento, a LeiGPT presta assistência ao Cliente, através de medidas técnicas e organizativas adequadas e na medida do possível, para permitir que este cumpra a sua obrigação de dar resposta aos pedidos dos titulares dos dados para exercer os direitos previstos nos artigos 15.º a 22.º do RGPD (artigo 28.º, n.º 3, alínea e), do RGPD). A assistência solicitada pelo Cliente é prestada num prazo razoável, não superior a 10 dias úteis a contar do pedido, para que o Cliente possa responder dentro do prazo previsto no artigo 12.º, n.º 3, do RGPD. Se receber diretamente um pedido de um titular relativo a Dados do Cliente, a LeiGPT reencaminha-o ao Cliente no prazo de 5 dias úteis e não lhe responde sem instruções do Cliente, salvo para indicar que o pedido foi reencaminhado.

11. VIOLAÇÕES DE DADOS PESSOAIS

11.1. Notificação ao Cliente

A LeiGPT notifica o Cliente, sem demora injustificada e, em qualquer caso, no prazo máximo de 48 horas após ter tido conhecimento de uma violação de dados pessoais que afete os Dados do Cliente (artigo 33.º, n.º 2, do RGPD), para o endereço de correio eletrónico do administrador do Cliente ou outro que este indique.

11.2. Conteúdo da notificação

A notificação descreve, na medida em que a informação esteja disponível: a natureza da violação, incluindo, se possível, as categorias e o número aproximado de titulares e de registos afetados; as consequências prováveis; as medidas adotadas ou propostas para reparar a violação e atenuar os seus efeitos; e o ponto de contacto da LeiGPT. A informação que não esteja disponível de imediato é fornecida por fases, sem demora injustificada.

11.3. Cooperação

A LeiGPT coopera com o Cliente para que este possa cumprir as obrigações de notificação à CNPD, no prazo de 72 horas previsto no artigo 33.º do RGPD, e de comunicação aos titulares dos dados prevista no artigo 34.º do RGPD. A LeiGPT não notifica a CNPD nem os titulares em nome do Cliente sem instruções deste, salvo obrigação legal. A notificação de uma violação não constitui reconhecimento de culpa ou de responsabilidade.

12. ASSISTÊNCIA AO CLIENTE

Tendo em conta a natureza do tratamento e a informação ao seu dispor, a LeiGPT presta assistência ao Cliente no cumprimento das obrigações previstas nos artigos 32.º a 36.º do RGPD, incluindo a realização de avaliações de impacto sobre a proteção de dados e a consulta prévia da CNPD, fornecendo a documentação relativa ao Serviço e às medidas de segurança aplicadas (artigo 28.º, n.º 3, alínea f), do RGPD).

13. AUDITORIAS E INFORMAÇÃO

13.1. Informação

A LeiGPT disponibiliza ao Cliente todas as informações necessárias para demonstrar o cumprimento das obrigações previstas no artigo 28.º do RGPD, nomeadamente respostas a questionários de segurança, a descrição atualizada das medidas do Anexo II e a lista de Subcontratantes Ulteriores (artigo 28.º, n.º 3, alínea h), do RGPD).

13.2. Auditorias e inspeções

Quando a informação referida no ponto anterior não seja suficiente, a LeiGPT permite e contribui para auditorias, incluindo inspeções, conduzidas pelo Cliente ou por um auditor independente por ele mandatado e vinculado a dever de confidencialidade. As auditorias são comunicadas com 30 dias de antecedência, realizam-se no máximo uma vez por ano — salvo após uma violação de dados pessoais ou por exigência da CNPD —, durante o horário de expediente e sem perturbar o funcionamento do Serviço nem comprometer a segurança e a confidencialidade dos dados de outros clientes. Os custos da auditoria são suportados pelo Cliente, salvo se esta revelar um incumprimento relevante do presente Acordo pela LeiGPT.

14. REGISTOS DE TRATAMENTO

A LeiGPT conserva um registo de todas as categorias de atividades de tratamento realizadas por conta do Cliente, com o conteúdo previsto no artigo 30.º, n.º 2, do RGPD, e disponibiliza-o à CNPD a pedido desta.

15. DURAÇÃO, DEVOLUÇÃO E ELIMINAÇÃO

15.1. Duração

O presente Acordo vigora enquanto a LeiGPT tratar Dados do Cliente, mantendo-se em vigor após a cessação do Contrato até à eliminação de todos os Dados do Cliente.

15.2. Devolução e eliminação

Até ao termo do Contrato, o Cliente pode exportar os Dados do Cliente através das funcionalidades do Serviço ou solicitar à LeiGPT a sua devolução em formato de uso corrente. No prazo de 30 dias a contar do termo do Contrato, a LeiGPT apaga os Dados do Cliente dos sistemas ativos do Serviço; as cópias de segurança são eliminadas no ciclo de rotação regular, no prazo máximo de 90 dias, permanecendo até lá protegidas e fora de qualquer tratamento ativo (artigo 28.º, n.º 3, alínea g), do RGPD). Excetuam-se os dados cuja conservação seja exigida pelo direito da União Europeia ou pelo direito português, que são conservados apenas pelo prazo legal e para a finalidade que o impõe. A pedido do Cliente, a LeiGPT confirma a eliminação por escrito.

16. RESPONSABILIDADE

A responsabilidade das partes perante os titulares dos dados rege-se pelo artigo 82.º do RGPD. Nas relações entre as partes, aplica-se a secção 8 dos Termos e Condições, incluindo o limite previsto no ponto 8.3, que não se aplica aos danos causados com dolo ou culpa grave, nem prejudica os direitos dos titulares dos dados. Cada parte responde perante a outra pela parte dos danos que lhe seja imputável, nos termos do artigo 82.º, n.º 5, do RGPD.

17. LEI APLICÁVEL E FORO

O presente Acordo rege-se pela lei portuguesa e pelo direito da União Europeia. Para a resolução de quaisquer litígios emergentes do presente Acordo é competente o Tribunal da Comarca de Faro, sem prejuízo da competência da CNPD enquanto autoridade de controlo e dos direitos dos titulares dos dados.

18. DISPOSIÇÕES FINAIS

18.1. Alterações

A LeiGPT pode alterar o presente Acordo para o adaptar a alterações legislativas, a orientações da CNPD ou do Comité Europeu para a Proteção de Dados ou à evolução do Serviço, comunicando a alteração ao Cliente com 30 dias de antecedência, nos termos da secção 9 dos Termos e Condições. As alterações não podem diminuir o nível de proteção dos Dados do Cliente.

18.2. Invalidade parcial

A invalidade de qualquer disposição do presente Acordo não afeta as restantes, devendo a disposição inválida ser substituída por outra que, sendo válida, mais se aproxime da intenção das partes e das exigências do RGPD.

18.3. Contactos

• Ponto de contacto da LeiGPT para proteção de dados: info@leigpt.pt
• Endereço postal: Praceta dos Ferroviários, Lote 5/6, 2.º Dt.º, 8000-180 Faro, Portugal
• Contacto do Cliente: o endereço de correio eletrónico do administrador da conta do Cliente ou outro indicado na proposta comercial.

ANEXO I — DESCRIÇÃO DO TRATAMENTO

ANEXO II — MEDIDAS TÉCNICAS E ORGANIZATIVAS

A LeiGPT mantém, no mínimo, as seguintes medidas:

1. Cifragem: comunicações cifradas em trânsito (TLS 1.2 ou superior) e cifragem dos dados armazenados.
2. Controlo de acessos: autenticação individual dos Utilizadores Autorizados; perfis e permissões geridos pelo administrador do Cliente; acesso do pessoal da LeiGPT segundo os princípios da necessidade de conhecer e do menor privilégio, com autenticação multifator nos sistemas de administração.
3. Separação lógica: os Dados do Cliente são logicamente separados dos dados de outros clientes.
4. Registo e monitorização: registo dos acessos administrativos e dos eventos de segurança relevantes, com conservação e revisão periódica.
5. Disponibilidade e resiliência: cópias de segurança periódicas, cifradas e testadas, e procedimentos de recuperação em caso de incidente.
6. Gestão de vulnerabilidades: atualização regular de sistemas e dependências e correção priorizada de vulnerabilidades.
7. Gestão de incidentes: procedimento documentado de deteção, resposta e notificação de violações de dados pessoais, compatível com a cláusula 11.
8. Pessoal: compromissos de confidencialidade, formação em proteção de dados e revogação imediata de acessos na cessação de funções.
9. Subcontratantes Ulteriores: avaliação prévia das garantias de segurança e de proteção de dados e celebração de contratos nos termos do artigo 28.º, n.º 4, do RGPD.
10. Minimização: os Dados do Cliente não são utilizados em ambientes de desenvolvimento ou de teste.
11. Categorias especiais e dados penais: por não ser possível distinguir automaticamente estes dados nos conteúdos carregados, todos os Dados do Cliente beneficiam do mesmo nível reforçado de proteção: o pessoal da LeiGPT só acede ao conteúdo dos documentos mediante pedido do Cliente ou para resolver um incidente, com registo individual de cada acesso e da respetiva justificação, e esse conteúdo não é copiado para sistemas de suporte, registo ou análise.

ANEXO III — SUBCONTRATANTES ULTERIORES

O Cliente autoriza o recurso aos seguintes Subcontratantes Ulteriores. Todos tratam os Dados do Cliente na União Europeia; o eventual acesso a partir de países terceiros rege-se pela cláusula 9 e pelas garantias indicadas na última coluna.

O envio de correio eletrónico pelo Serviço (documentos e notificações) é assegurado por um serviço próprio da LeiGPT, alojado na infraestrutura acima indicada, sem recurso a Subcontratantes Ulteriores adicionais.