ACORDO DE SUBCONTRATAÇÃO DE TRATAMENTO DE DADOS PESSOAIS (DPA)

MINUTA PARA REVISÃO POR ADVOGADO — Não constitui aconselhamento jurídico. Deve ser revista e adaptada por advogado inscrito na Ordem dos Advogados antes de qualquer utilização. Campos entre [ ] a preencher.

Celebrado ao abrigo do artigo 28.º do Regulamento (UE) 2016/679 (RGPD)

Versão: 1.0 (minuta) · Data: [DATA]

---

Entre:

[DENOMINAÇÃO DO CLIENTE], NIPC [___], com sede em [___], adiante «Responsável pelo Tratamento» ou «Cliente»;

e

[DENOMINAÇÃO GIFO], NIPC [___], com sede em [___], Porto, adiante «Subcontratante» ou «GIFO»;

conjuntamente as «Partes».

Considerando que o Cliente subscreveu a Plataforma VigiForensic AI e que, no âmbito da mesma, o GIFO trata dados pessoais por conta do Cliente, as Partes acordam o presente Acordo de Subcontratação (adiante «Acordo»), que integra os Termos de Utilização e prevalece sobre estes em matéria de proteção de dados.

1. Objeto e Papéis

1.1. O presente Acordo regula o tratamento de dados pessoais efetuado pelo GIFO, em nome e por conta do Cliente, exclusivamente para prestação do serviço da Plataforma.

1.2. O Cliente é o Responsável pelo Tratamento: determina as finalidades e os meios essenciais, garante a licitude do tratamento e é responsável perante os titulares dos dados. O GIFO é o Subcontratante: trata os dados apenas segundo instruções documentadas do Cliente.

1.3. As instruções documentadas do Cliente correspondem: (a) ao presente Acordo e aos Termos de Utilização; (b) às operações de tratamento inerentes à utilização normal das funcionalidades da Plataforma; (c) a instruções escritas adicionais que o Cliente comunique. Se o GIFO considerar que uma instrução viola o RGPD ou outra legislação de proteção de dados, informa imediatamente o Cliente.

1.4. O objeto, a duração, a natureza e a finalidade do tratamento, os tipos de dados pessoais e as categorias de titulares constam do Anexo I.

2. Obrigações do Subcontratante

O GIFO obriga-se a, nos termos do Art. 28.º, n.º 3 do RGPD:

a) tratar os dados pessoais apenas mediante instruções documentadas do Cliente, inclusive quanto a transferências para países terceiros, salvo obrigação legal da UE ou de Estado-Membro, caso em que informa o Cliente antes do tratamento (salvo proibição legal por razões de interesse público);

b) assegurar que as pessoas autorizadas a tratar os dados assumiram compromisso de confidencialidade ou estão sujeitas a dever legal de sigilo;

c) adotar todas as medidas de segurança exigidas pelo Art. 32.º do RGPD, descritas no Anexo II;

d) respeitar as condições de recurso a subcontratantes ulteriores previstas na cláusula 4 e no Anexo III;

e) auxiliar o Cliente, na medida do possível e através de medidas técnicas e organizativas adequadas, no cumprimento da obrigação de responder a pedidos de exercício de direitos dos titulares (Arts. 12.º a 22.º do RGPD);

f) auxiliar o Cliente no cumprimento das obrigações previstas nos Arts. 32.º a 36.º do RGPD (segurança, notificação de violações, avaliação de impacto e consulta prévia), tendo em conta a natureza do tratamento e a informação de que dispõe;

g) sob opção do Cliente, eliminar ou devolver todos os dados pessoais após o termo da prestação, nos termos da cláusula 8, e eliminar as cópias existentes, salvo obrigação legal de conservação;

h) disponibilizar ao Cliente toda a informação necessária para demonstrar o cumprimento das obrigações do Art. 28.º e permitir e contribuir para auditorias, nos termos da cláusula 7.

3. Obrigações do Responsável pelo Tratamento

3.1. O Cliente garante que: (a) dispõe de fundamento de licitude (Art. 6.º e, sendo caso, Art. 9.º do RGPD) para o tratamento dos dados que introduz na Plataforma; (b) prestou aos titulares a informação exigida (Arts. 13.º e 14.º); (c) as suas instruções são conformes ao RGPD.

3.2. O Cliente obriga-se, em especial, a não introduzir nos Módulos IA dados abrangidos por segredo de justiça, dados de terceiros sem fundamento de licitude ou matérias sujeitas a dever de sigilo, utilizando para essas o Modo Privacidade (sem transmissão a fornecedores de IA).

4. Subcontratantes Ulteriores

4.1. O Cliente autoriza genericamente o recurso pelo GIFO aos subcontratantes ulteriores listados no Anexo III, necessários à prestação do serviço (infraestrutura *cloud*, modelos de IA, base de dados, transcrição, monitorização).

4.2. O GIFO informa o Cliente de qualquer alteração pretendida (adição ou substituição de subcontratante ulterior) com pelo menos 30 dias de antecedência, podendo o Cliente opor-se com fundamento relacionado com proteção de dados nesse prazo. Havendo oposição fundamentada não sanável, o Cliente pode resolver o contrato relativamente às funcionalidades afetadas, sem penalização.

4.3. O GIFO impõe a cada subcontratante ulterior, por contrato, obrigações de proteção de dados não menos exigentes que as do presente Acordo, respondendo perante o Cliente pelo respetivo cumprimento.

5. Transferências Internacionais

5.1. Os Módulos IA implicam a transferência de dados a subcontratantes sediados em país terceiro (Anthropic, Inc., EUA), conforme Anexo III.

5.2. Essa transferência efectua-se ao abrigo de um dos seguintes fundamentos, por ordem de preferência: (a) Cláusulas Contratuais-Tipo aprovadas pela Comissão Europeia (Decisão (UE) 2021/914) celebradas com o subcontratante ulterior (Art. 46.º, n.º 2, al. c) do RGPD); ou (b) na sua ausência, consentimento explícito do titular após informação dos riscos (Art. 49.º, n.º 1, al. a) do RGPD), recolhido pela Plataforma antes da utilização dos Módulos IA.

5.3. O Cliente pode eliminar por completo a transferência internacional utilizando o Modo Privacidade ou, quando disponível e configurado, o encaminhamento por infraestrutura sediada na União Europeia.

6. Violações de Dados Pessoais

6.1. O GIFO notifica o Cliente, sem demora injustificada e no prazo máximo de 48 horas após tomar conhecimento, de qualquer violação de dados pessoais que afecte dados tratados por conta do Cliente.

6.2. A notificação inclui, na medida do disponível: a natureza da violação, as categorias e o número aproximado de titulares e de registos afetados, as consequências prováveis e as medidas adoptadas ou propostas. O GIFO coopera com o Cliente na investigação e mitigação.

6.3. A obrigação de notificar a autoridade de controlo (CNPD) e os titulares, nos termos dos Arts. 33.º e 34.º do RGPD, incumbe ao Cliente enquanto Responsável.

7. Auditorias

7.1. O GIFO disponibiliza ao Cliente, mediante pedido, a documentação que demonstre o cumprimento do Art. 28.º (registos de auditoria, descrição de medidas de segurança, certificações de subcontratantes ulteriores).

7.2. O Cliente pode realizar auditorias, por si ou por auditor independente sujeito a confidencialidade, com pré-aviso mínimo de 30 dias, no máximo uma vez por ano (salvo na sequência de violação de dados ou por exigência de autoridade), em horário laboral e sem perturbação desproporcionada da atividade do GIFO. Os custos da auditoria são suportados pelo Cliente, salvo se revelar incumprimento material do GIFO.

8. Cessação e Destino dos Dados

8.1. Cessando a prestação, o GIFO, por opção do Cliente comunicada em 30 dias: (a) devolve os dados em formato estruturado de uso corrente (JSON/PDF, exportáveis na Plataforma); ou (b) elimina-os.

8.2. Decorrido o prazo de exportação sem instrução em contrário, o GIFO elimina os Conteúdos do Cliente dos sistemas ativos no prazo de 30 dias e das cópias de segurança no ciclo de retenção seguinte (máximo 90 dias), salvo obrigação legal de conservação, que é comunicada ao Cliente.

8.3. Regista-se que os Conteúdos transmitidos aos Módulos IA não são conservados pelo respetivo subcontratante ulterior para além do estritamente necessário à geração da resposta, nos termos contratuais aplicáveis a esse fornecedor.

9. Responsabilidade

9.1. Cada Parte responde pelos danos causados por tratamento que viole o RGPD, nos termos do Art. 82.º do RGPD. A repartição interna de responsabilidade entre as Partes segue a medida da respectiva culpa e do papel de cada uma.

9.2. Os limites de responsabilidade previstos nos Termos de Utilização aplicam-se ao presente Acordo, na medida permitida por lei, sem prejuízo do Art. 82.º do RGPD e das normas imperativas.

10. Vigência e Prevalência

10.1. O presente Acordo vigora enquanto o GIFO tratar dados pessoais por conta do Cliente e prevalece, em matéria de proteção de dados, sobre os Termos de Utilização e qualquer acordo anterior.

10.2. Rege-se pela lei portuguesa e pelo RGPD; competente o foro da comarca do Porto.

---

ANEXO I — DESCRIÇÃO DO TRATAMENTO

ANEXO II — MEDIDAS TÉCNICAS E ORGANIZATIVAS (Art. 32.º RGPD)

Confidencialidade e controlo de acesso:

• Autenticação por credenciais individuais; sessões por *cookie* httpOnly, Secure, SameSite=Strict.
• Autenticação de dois fatores (TOTP, RFC 6238) disponível, com códigos de recuperação.
• Segregação de acesso por perfil (seguradora / banco / advogado / perito / administrador).
• Palavras-passe armazenadas com *hash* (bcrypt); segredos de sessão nunca expostos ao cliente.

Integridade:

• Cadeia de custódia com âncora criptográfica *server-side* (SHA-256, FIPS 180-4) e selo temporal; registo não alterável a partir do cliente (ISO/IEC 27037:2012).
• Registo de auditoria *append-only* das operações autenticadas (utilizador, operação, data/hora UTC, IP).

Disponibilidade e resiliência:

• Infraestrutura *serverless* redundante; limitação de taxa persistente contra abuso.
• Cópias de segurança periódicas das bases de dados (retenção máxima 90 dias).
• Modo Básico determinístico assegura continuidade das análises em caso de indisponibilidade dos serviços de IA.

Minimização e transferências:

• Modo Privacidade que suprime toda a transmissão a fornecedores de IA.
• Cabeçalhos de segurança (CSP, HSTS, X-Frame-Options) e TLS em todas as comunicações.
• Monitorização de erros com desativação de recolha de dados pessoais desnecessários.

Governança:

• Política de eliminação de dados nos termos da cláusula 8.
• Notificação de violações em 48 horas.

ANEXO III — SUBCONTRATANTES ULTERIORES AUTORIZADOS

Nota de execução: confirmar, para cada subcontratante ulterior efectivamente utilizado, a existência de CCT/DPA assinado e actualizar este Anexo. Remover linhas de serviços não utilizados.

---

*GIFO — Gabinete de Investigação Forense de Ocorrências · Encarregado de Proteção de Dados (se designado): [NOME/CONTACTO]*