ACORDO DE PROTEÇÃO DE DADOS NA UTILIZAÇÃO DA PLATAFORMA HABIC
OBJETO DO ACORDO
O presente Acordo define os termos em que a FINSOLUTIA S.A. (de ora em diante designada por a “Prestadora”) realiza, no âmbito do licenciamento da Plataforma Habic, o processamento de dados pessoais por conta do Cliente e as condições para a aplicação das medidas necessárias à proteção de dados pessoais, em conformidade com as disposições do Regulamento (EU) 2016/679, Regulamento Geral sobre a Proteção de Dados (doravante “Regulamento” ou “RGPD”), na Lei n.º 58/2019, de 8 de agosto, e em qualquer outra disposição legal em matéria de proteção de dados (“Regime de Proteção de Dados”).
Nos termos do Regime de Proteção de Dados, e no quadro da utilização da Plataforma Habic e dos T&Cs (conforme adiante definidos), o Cliente é o responsável pelo tratamento e a Prestadora é o subcontratante. Em concreto, a Prestadora compromete-se a tratar os dados pessoais de acordo com o estabelecido no presente Acordo, cumprindo, para o efeito, as instruções do Cliente que decorram do presente Acordo, bem como todas as outras que lhe sejam comunicadas, por escrito, no decurso da prestação de serviços acordada
Para efeitos do presente Acordo aplicam-se as definições previstas no Regime de Proteção de Dados, com o significado que aí lhes é atribuído, bem como as definições constantes dos Termos e Condições de Utilização da Plataforma Habic (“T&Cs”).
Em caso de contradição entre o presente Acordo e as disposições dos T&Cs ou demais acordos celebrados entre as Partes relacionados com a Plataforma Habic que se encontrem em vigor quando o presente Acordo seja celebrado, ou que venham a ser celebrados posteriormente, prevalece o disposto neste Acordo.
PRINCÍPIOS GERAIS APLICÁVEIS
A Prestadora compromete-se a tratar os dados pessoais em causa de forma lícita e, com respeito pelo princípio da boa-fé.
A Prestadora apenas irá aceder e tratar os dados pessoais na estrita medida do que for necessário para a execução da prestação de serviços acordada.
A Prestadora irá garantir que os seus colaboradores ou quaisquer outras pessoas que tratem os dados pessoais no âmbito da prestação de serviços acordada apenas tem acesso aos dados que forem tidos como necessários para a execução dos T&Cs e para o exercício das suas respetivas funções.
NATUREZA, FINALIDADE E TIPOS DE TRATAMENTO
A Prestadora apenas tratará os dados pessoais para as finalidades de tratamento, tal como definidas pelo Cliente enquanto responsável pelo tratamento, comprometendo-se a Prestadora a não tratar os dados pessoais a que acede no âmbito do licenciamento da Plataforma Habic para qualquer outro fim, nomeadamente para fins de marketing ou publicidade de serviços da Prestadora.
A natureza do tratamento realizado pela Prestadora no âmbito dos Serviços, inclui a prestação de suporte no manuseamento da Plataforma e da resolução dos incidentes surgidos ou realização de tarefas solicitadas, o que envolve acesso aos ambientes e sistemas informáticos do Cliente que contêm dados pessoais dos seus clientes, colaboradores, representantes, administradores, diretores e fornecedores realizando assim a Prestadora operações de tratamento de dados pessoais como a recolha, registo, organização, estruturação, conservação, adaptação ou alteração, recuperação, consulta, utilização, limitação, apagamento ou a destruição.
CATEGORIAS DE DADOS PESSOAIS E CATEGORIAS DE TITULARES
Para efeitos do presente Acordo, os dados pessoais tratados pela Prestadora pertencem às seguintes categorias:
Dados de Identificação Pessoal: nome completo, data de nascimento, naturalidade, número de identificação e número de contribuinte;
Dados de Contacto: número de contacto telefónico, morada e e-mail;
Dados Bancários: IBAN, número BIC, extratos de conta e declarações de dívida;
Dados Fiscais: declaração de IRS, e nota de liquidação de IRS;
Dados Financeiros: património financeiro e responsabilidades no setor financeiro;
Dados Profissionais: recibos de vencimento, vínculo laboral, habilitações académicas e título profissional;
Dados de perfil de crédito: grau de risco de crédito e propensão para a aquisição de bens imóveis;
Dados dos proprietários da habitação a ser adquirida: nome completo, data de nascimento, naturalidade, número de identificação, número de contribuinte, contacto telefónico, morada. e-mail, e situação profissional.
Os titulares dos dados cujas operações de tratamento serão feitas no âmbito do licenciamento da Plataforma Habic são os seguintes:
Clientes e trabalhadores das Entidades de Intermediação de Crédito
Clientes e trabalhadores da Cliente
DIREITOS E OBRIGAÇÕES DO RESPONSÁVEL PELO PROCESSAMENTO
Ao abrigo do presente Acordo o Cliente tem direito a:
Exigir à Prestadora a confidencialidade e segurança dos dados pessoais aqui previstos.
Definir e comunicar as finalidades do tratamento e as instruções específicas para o processamento de dados pessoais, que devem ser cumpridas pela Prestadora.
Interpelar a Prestadora quando considerar que esta violou ou está em vias de violar a proteção de dados pessoais, com o objetivo de retificar a situação.
O Cliente compromete-se a:
Assegurar que estão verificadas as condições de licitude do processamento de dados pessoais e de prestação de informação ao titular no momento da recolha dos dados pessoais;
Verificar a integridade dos dados que são disponibilizados à Prestadora.
DIREITOS E OBRIGAÇÕES DO SUBCONTRATANTE
São direitos da Prestadora recusar a aplicação de uma medida de segurança ou confidencialidade dos dados que esteja fora do seu alcance em termos técnicos e organizativos, nos termos do n.º 7.4., desde que assegure, por meios adequados alternativos, a proteção dos dados pessoais e dos direitos dos respetivos titulares.
São obrigações da Prestadora:
Realizar as operações de tratamento de dados exclusivamente conforme o Regime de Proteção de Dados Pessoais e de acordo com as instruções escritas do Cliente, incluindo no que respeita a transferências internacionais de dados, salvo quando, por força do direito da União Europeia ou de um Estado-Membro da União Europeia que lhe seja aplicável, se encontre obrigada a um tratamento diferente do instruído pelo Cliente. Neste caso, a Prestadora deve informar o Cliente dessa obrigação jurídica antes do tratamento, salvo se a lei o proibir por motivos importantes de interesse público.
Prestar auxílio ao Cliente no cumprimento das suas responsabilidades, nomeadamente através da aplicação de medidas técnicas e organizativas adequadas a dar resposta aos pedidos dos titulares dos dados;
Não transferir os dados pessoais para entidades terceiras, dentro ou fora do território da União Europeia, sem autorização prévia e por escrito do Cliente;
Informar imediatamente o Cliente quando considerar que uma instrução específica do Cliente viola o disposto no Regime de Proteção de Dados;
Ter um encarregado de Proteção de Dados, que poderá ser contactado pelo Cliente através do email dpo@finsolutia.com;
Transmitir ao Cliente todas as informações e documentos necessários a comprovar o cumprimento das disposições previstas no Regime de Proteção de Dados, consoante aplicável;
A Prestadora assegura que todos os seus colaboradores e representantes estão vinculados, por escrito, a deveres de confidencialidade e sigilo no tratamento de dados pessoais.
A Prestadora mantém uma lista das pessoas que realizam operações de tratamento de dados pessoais e que podem aceder aos sistemas do Cliente que contenham dados pessoais, devendo disponibilizá-la ao Cliente mediante solicitação.
INSTRUÇÕES ESPECÍFICAS E MEDIDAS DE SEGURANÇA PARA O TRATAMENTO DE DADOS
As instruções específicas definidas pelo Cliente devem ser razoáveis tendo em conta a natureza, âmbito, contexto e finalidades do tratamento efetuado pela Prestadora.
As Partes definem em conjunto as medidas de segurança adequadas para a confidencialidade e segurança dos dados pessoais que devem ser aplicadas, incluindo as que impliquem desenvolvimentos na Plataforma licenciada. Neste âmbito, a Prestadora compromete-se, desde já, a definir e operacionalizar, pelo menos, as seguintes medidas de gestão de acessos lógicos:
Controlos de acesso à informação: o acesso à informação deve ser atribuído consoante o nível de classificação da mesma (informação confidencial ou não confidencial) e as permissões de acesso que forem autorizadas a cada colaborador/utilizador. O colaborador/utilizador não pode utilizar os acessos atribuídos para outras atividades que não sejam necessárias ao exercício das suas funções;
Controlos de acesso a áreas de rede: o acesso à rede, nomeadamente a pastas partilhadas e outros ficheiros, deve ser bloqueado a todos os Utilizadores não autorizados;
Controlos de acessos aos sistemas: o acesso aos sistemas da Prestadora deve ser monitorizado por mecanismos de controlo de acesso que possibilitem verificar o acesso e as atuações dos colaboradores/Utilizadores nos sistemas. Devem ser implementados mecanismos de logging, de modo a registar quem fez o acesso, a respetiva data e hora (timestamp) e as operações efetuadas em relação aos Dados Pessoais, através da atribuição de um número sequencial (id) a cada ocorrência e um campo de hash aplicado sobre os elementos anteriores (id, utilizador, data, hora e operação).
A Prestadora deverá implementar e manter processos de gestão de violações de dados pessoais e outros incidentes de segurança da informação, incluindo processos que permitam detetar, analisar e solucionar os mesmos.
A Prestadora aplicará, nos termos da legislação aplicável, nomeadamente o RGPD, as medidas técnicas e organizativas adequadas para permitir que o Cliente cumpra a sua obrigação de dar resposta aos pedidos dos Titulares dos Dados, nomeadamente:
acesso, retificação, eliminação e oposição;
limitação do tratamento;
portabilidade de dados;
não ser objeto de decisões individualizadas automatizadas.
Para além das medidas referidas no número anterior, a Prestadora deverá: (i) informar o Cliente sempre que receba pedidos para o exercício dos referidos direitos por qualquer Titular dos Dados, dando seguimento a esses pedidos de acordo com as instruções do Cliente; e (ii) refletir o exercício dos direitos pelos Titulares dos Dados nos seus próprios sistemas, sempre que aplicável.
CONTROLO E FISCALIZAÇÃO DO TRATAMENTO
O Cliente poderá realizar auditorias e inspeções aos sistemas da Prestadora com o intuito de verificar se o tratamento de dados pessoais está a ser efetuado nos termos deste Anexo e do Regime de Proteção de Dados.
O representante do Cliente encarregue de aceder às instalações da Prestadora e auditar os equipamentos e sistemas de informação daquele para efeitos do número anterior será acompanhado, no desempenho das suas funções, por um representante da Prestadora.
Para além da possibilidade de o Cliente poder realizar as auditorias referidas nos pontos anteriores, caberá à Prestadora realizar, por sua conta e responsabilidade, auditorias regulares, com uma periodicidade não inferior a 12 (doze) meses, tendo em vista o cumprimento das políticas e regras de segurança previstos neste Acordo para a proteção dos dados pessoais.
A Prestadora deve entregar ao Cliente relatórios detalhados do resultado de cada a realizada de acordo com o disposto no ponto anterior, bem como propostas de ação para eventuais desconformidades detetadas.
A Prestadora procede ao registo das atividades de tratamento de dados pessoais que efetua por contado Cliente, em cumprimento do artigo 30.º, n.º 2 do RGPD, enviando mensalmente, ou mediante pedido avulso do Cliente, um relatório com o conteúdo desses registos e com todas as informações necessárias para demonstrar o cumprimento das normas do Regime de Proteção de Dados.
SUBCONTRATAÇÃO
Depende de autorização prévia, específica e por escrito do Cliente a subcontratação, pela Prestadora, de uma entidade terceira para o tratamento de dados pessoais objeto do presente Acordo.
Mediante a autorização prévia, específica e por escrita por parte do Cliente, caso a Prestadora contrate subcontratante ulterior para a execução das atividades de tratamento de dados pessoais, realizará um contrato que imponha a esse terceiro as mesmas obrigações em matéria de proteção de dados que se encontram estabelecidas no presente Acordo:
Uma vez decorridos 15 (quinze) dias desde o pedido de autorização pela Prestadora, realizado para o efeito do disposto no ponto 9.1. supra, sem que o Cliente apresente qualquer resposta escrita, deverá considerar-se a autorização como não concedida.
A contratação de subcontratantes ulteriores não desvincula a Prestadora de nenhuma das obrigações e responsabilidades decorrentes de prestação de serviços, incluindo aquelas referentes ao tratamento de dados pessoais.
TRANSFERÊNCIAS INTERNACIONAIS DE DADOS
A Prestadora apenas poderá processar dados pessoais seguindo instruções documentadas do Cliente e nos termos da legislação aplicável, incluindo no que diz respeito a transferências de dados pessoais para um país terceiro, exceto se for obrigada a fazê-lo ao abrigo da legislação da União Europeia ou dos respetivos Estados-Membros.
NOTIFICAÇÕES
A Prestadora comunica ao Cliente qualquer violação de dados pessoais (tal como definida no Regime de Proteção de Dados) de que tome conhecimento sem demora injustificada e no prazo máximo de 24 horas após a tomada de conhecimento.
A notificação referida no ponto anterior deve conter, sempre que possível, uma descrição da violação de dados pessoais, nomeadamente as categorias e número aproximado de titulares afetados, as consequências prováveis dessa violação e as medidas adotadas ou previstas pelo Subcontratante para diminuir o impacto da violação.
A Prestadora auxilia o Cliente na elaboração e envio das comunicações e notificações referidas nos artigos 33.º, n.º 1 e 34.º, n.º 1 do RGPD, devendo cooperar com o mesmo na identificação, prevenção e mitigação dos efeitos de violações de dados pessoais, caso tal lhe venha a ser solicitado.
DEVOLUÇÃO OU ELIMINAÇÃO DE DADOS PESSOAIS
Em conformidade com as instruções do Cliente, a Prestadora obriga-se a devolver ou eliminar os dados pessoais que lhe tenham sido transmitidos durante a vigência do presente Acordo, bem como os respetivos suportes onde estes se encontram, sem manter quaisquer cópias, sempre que:
os mesmos dados pessoais não se revelem necessários;
o Cliente assim o solicitar; ou
quando se verifique a cessação do licenciamento de utilização da Plataforma Habic (e dos T&Cs) e, consequentemente, do presente Acordo.
A Prestadora deve entregar ao Cliente, quer em caso de devolução, quer em caso de eliminação de dados pessoais, uma declaração onde ateste que não procedeu à retenção de nenhuma cópia, nota ou extrato daqueles dados pessoais.
O disposto no ponto 13.1 supra não se aplica quando:
A informação que não seja relativa a uma pessoa singular identificada ou identificável, tais como dados agregados cuja identificação não seja possível, de forma permanente, através da combinação ou cruzamento com informações adicionais na posse da Prestadora;
a Prestadora for obrigada a conservar ou reter os dados pessoais por força de obrigações legais previstas no âmbito do direito da União Europeia ou direito Nacional, devendo a mesma informar o Cliente desse facto.
VIGÊNCIA E CESSAÇÃO DO ACORDO
O tratamento de dados pessoais pela Prestadora, regulado nos termos do presente Acordo, é realizado na decorrência dos termos do acordo de licenciamento e utilização da Plataforma Habic, em particular de acordo com os T&Cs.
O presente Acordo terá o mesmo período de vigência de que o licenciamento da Plataforma Habic conferido ao Cliente.
Cessando o período de licenciamento e utilização da Plataforma Habic, a Prestadora deixa de poder aceder aos sistemas informáticos do Cliente, pelo que não terá possibilidade de realizar operações de processamento de dados pessoais por conta daquele, terminando assim a validade deste Acordo.
AVALIAÇÃO DO IMPACTO SOBRE A PROTEÇÃO DE DADOS
A Prestadora é obrigada a dar apoio ao Cliente na realização das avaliações de impacto relacionadas com a proteção de dados, quando for o caso
