Contrato de subcontratação de dados pessoais (DPA)

1. Objeto e duração

O objeto é o tratamento de dados pessoais na prestação da LogCon como software como serviço. A duração corresponde à vigência do contrato principal.

2. Natureza e finalidade do tratamento

Gestão do transporte, tramitação de pedidos assistida por IA, planeamento, comunicação com clientes, transportadores e condutores, criação de documentos, preparação aduaneira e faturação.

3. Categorias de dados e titulares

• Colaboradores do responsável pelo tratamento: nome, e-mail, telefone, função, idioma, dados de acesso
• Condutores (próprios e de subcontratados): nome, telefone, idioma, qualificações, dados de posição durante as viagens
• Contactos de clientes e transportadores: nome, dados de contacto, conteúdo da comunicação
• Dados de pedidos, documentos, aduaneiros e de faturas com referência pessoal

4. Obrigações do subcontratante

• Tratar os dados apenas mediante instruções documentadas do responsável pelo tratamento
• Dever de confidencialidade para todas as pessoas autorizadas
• Aplicação das medidas técnicas e organizativas (anexo 1)
• Apoio no exercício dos direitos dos titulares, nas avaliações de impacto sobre a proteção de dados e nos deveres de notificação
• Informar o responsável pelo tratamento caso uma instrução, na opinião do subcontratante, viole a legislação de proteção de dados

5. Subcontratantes ulteriores

O responsável pelo tratamento autoriza os subcontratantes ulteriores enumerados no anexo 2. O subcontratante informa o responsável sobre alterações previstas com pelo menos 30 dias de antecedência; o responsável pode opor-se por motivo justificado em matéria de proteção de dados.

6. Medidas técnicas e organizativas (anexo 1)

• Controlo de acesso físico: centro de dados na UE com certificação ISO 27001, sem acesso físico por parte do pessoal do subcontratante
• Controlo de acesso aos sistemas: palavras-passe com hash bcrypt, autenticação de dois fatores, bloqueio após tentativas falhadas, JWT com expiração, chaves de API armazenadas apenas como hash
• Controlo de acesso aos dados: permissões baseadas em funções, princípio do menor privilégio, administração ao nível da plataforma apenas com permissões verificadas na base de dados
• Controlo de separação: identificador de cliente (tenant) em cada tabela, caminhos de armazenamento separados por cliente
• Cifragem: TLS em trânsito, AES-256-GCM para as credenciais de integração, cifragem de disco no fornecedor de alojamento
• Controlo de entrada: registo de auditoria com o estado anterior e posterior das alterações e das ações da IA
• Controlo de transmissão: webhooks assinados com HMAC, e-mails de saída apenas através de servidores configurados
• Disponibilidade: cópias de segurança cifradas diárias da base de dados e dos documentos, com conservação de 7 cópias diárias, 4 semanais e 12 mensais, cópia cifrada externa (off-site) num segundo fornecedor, procedimento de restauro documentado, monitorização
• Gestão da proteção de dados: registo das atividades de tratamento, conceito de eliminação, processo de resposta a incidentes

7. Notificação de violações de dados

O subcontratante notifica as violações de segurança de dados pessoais sem atraso injustificado, o mais tardar dentro de 24 horas após ter conhecimento delas, com as informações previstas no art. 33.º, n.º 3, do RGPD.

8. Direitos de auditoria

O responsável pelo tratamento pode verificar o cumprimento deste contrato através da análise de evidências e relatórios e, mediante aviso prévio adequado, através de auditorias presenciais.

9. Eliminação e devolução

Após o termo do contrato, o subcontratante disponibiliza uma exportação completa dos dados durante 30 dias, eliminando de seguida todos os dados do responsável pelo tratamento, incluindo cópias, e confirma a eliminação. As obrigações legais de conservação mantêm-se inalteradas; as cópias de segurança cifradas são substituídas no ciclo de rotação regular, o mais tardar após 12 meses.

10. Transferências para países terceiros

As transferências para países terceiros só ocorrem nas condições previstas no art. 44.º e seguintes do RGPD, nomeadamente com base numa decisão de adequação ou em cláusulas contratuais-tipo.

11. Transparência da IA (anexo 4)

Os agentes de IA criam propostas ou, consoante o nível de autonomia definido pelo responsável pelo tratamento, executam ações. Todas as ações da IA são registadas com o modelo, a hora, o nível de confiança e o estado anterior e posterior; as ações automáticas são reversíveis. Os dados do cliente não são utilizados para treinar modelos de IA.

12. Disposições finais

Em caso de conflito, este contrato prevalece sobre o contrato principal em matéria de proteção de dados. Aplica-se o direito austríaco; o foro competente é Wien.

Anexo 2: subcontratantes ulteriores

Ver a tabela seguinte.