Acordo de Tratamento de Dados Pessoais do ilendro

CPfortes — Tecnologia e Serviços, Lda., sociedade comercial de direito angolano, com sede na Rua Comandante Kwenha, n.º 224, Luanda, NIF 5000253138 ("CPfortes" ou "Subcontratante");

e

o Cliente identificado no comprovativo de aceitação, representado pela pessoa aí identificada, que declara ter poderes para o acto ("Cliente" ou "Responsável").

A. O Cliente subscreveu a plataforma ilendro, explorada pela CPfortes, nos termos dos Termos de Utilização em vigor ("Termos").

B. Na utilização da plataforma, o Cliente regista e trata dados pessoais dos seus trabalhadores e de outras pessoas, para a gestão dos seus recursos humanos, do processamento salarial e das suas finanças.

C. O Cliente decide as finalidades e o essencial dos meios desse tratamento e é, por isso, o responsável pelo tratamento. A CPfortes aloja e processa esses dados por conta do Cliente e é, quanto a eles, subcontratante.

D. As partes pretendem regular por escrito este tratamento, nos termos da Lei n.º 22/11, de 17 de Junho ("Lei").

É celebrado o presente Acordo de Tratamento de Dados Pessoais ("Acordo"), que integra os Termos e se rege pelas cláusulas seguintes.

Os termos "dados pessoais", "tratamento", "responsável pelo tratamento", "subcontratante", "titular" e "consentimento" têm o sentido que lhes dá a Lei. Neste Acordo, entende-se ainda por:

1. Plataforma: o serviço ilendro, acessível pela Internet, descrito nos Termos.
2. Dados do Cliente: os dados pessoais que o Cliente, ou quem ele autorize, introduz ou gera na Plataforma, descritos no Anexo I.
3. Utilizador: a pessoa a quem o Cliente atribui acesso à Plataforma.
4. Sub-subcontratante: a entidade a quem a CPfortes recorre para prestar o serviço e que trata Dados do Cliente, identificada no Anexo III.
5. Violação de dados: a quebra de segurança que provoque, de modo acidental ou ilícito, a destruição, perda, alteração, divulgação ou acesso não autorizados a Dados do Cliente.
6. Agência: a Agência de Protecção de Dados.

1. Este Acordo regula o tratamento dos Dados do Cliente pela CPfortes, por conta do Cliente, na prestação do serviço previsto nos Termos.
2. O Cliente é o responsável pelo tratamento dos Dados do Cliente, incluindo os dados das contas de acesso dos Utilizadores que ele próprio cria.
3. A CPfortes é subcontratante quanto aos Dados do Cliente e trata-os apenas nos termos deste Acordo.
4. A CPfortes é responsável pelo tratamento apenas quanto aos dados da relação comercial com o Cliente (representantes, subscrições, pagamentos e facturação), aos registos de segurança da Plataforma e ao comprovativo de aceitação deste Acordo. Esses tratamentos regem-se pela Política de Privacidade e não por este Acordo.

1. Finalidades: gestão de recursos humanos, processamento de remunerações e gestão financeira do Cliente, através das funcionalidades da Plataforma.
2. Titulares e categorias de dados: os indicados no Anexo I.
3. Operações: alojamento, registo, organização, cálculo, consulta, exportação, envio de comunicações de serviço, cópia de segurança, anonimização e eliminação.
4. Duração: a do contrato entre as partes, acrescida dos prazos da cláusula 14.ª.
5. A Plataforma não comunica dados a nenhuma entidade pública. As comunicações à Administração Geral Tributária, à Segurança Social ou a outras entidades são feitas pelo Cliente, sob a sua responsabilidade.

1. A CPfortes trata os Dados do Cliente apenas segundo as instruções documentadas do Cliente. São instruções: os Termos, este Acordo, as configurações e operações que o Cliente realiza na Plataforma, e os pedidos escritos dos seus representantes.
2. A CPfortes não trata os Dados do Cliente para fins próprios, não os vende nem cede, e não os usa para publicidade, criação de perfis ou decisões automatizadas.
3. A CPfortes não comunica os Dados do Cliente a terceiros, salvo aos sub-subcontratantes da cláusula 9.ª ou quando a lei a obrigue. Neste último caso, informa previamente o Cliente, salvo se a lei o proibir.
4. Se uma instrução lhe parecer contrária à Lei, a CPfortes informa o Cliente e pode suspender a sua execução até que seja confirmada ou alterada.

O Cliente, enquanto responsável pelo tratamento, obriga-se a:

1. Ter fundamento legal para cada tratamento que realiza na Plataforma, nos termos dos artigos 12.º a 14.º da Lei.
2. Notificar à Agência os seus tratamentos e obter as autorizações exigidas, incluindo, quando aplicável, a relativa à transferência internacional descrita na cláusula 10.ª.
3. Informar os titulares nos termos do artigo 25.º da Lei, designadamente os seus trabalhadores.
4. Introduzir dados exactos e actualizados, e conferir os resultados antes de os usar.
5. Activar as funcionalidades que tratam dados sensíveis — o registo do motivo das ausências e o anexo de documentos justificativos — e a funcionalidade de registo do estado civil apenas quando tiver fundamento e as autorizações necessárias. Estas funcionalidades estão desligadas por omissão.
6. Não registar informação clínica nem dados de terceiros nos campos de texto livre.
7. Gerir os Utilizadores: atribuir acesso apenas a quem dele precise, retirar o acesso a quem deixe de dever tê-lo, e fazer cumprir as suas regras internas.
8. Cumprir os prazos legais de conservação dos seus registos laborais, fiscais e contabilísticos, que são obrigação sua e não da CPfortes.

1. A CPfortes garante que as pessoas autorizadas a tratar Dados do Cliente estão vinculadas a dever de sigilo, contratual ou legal, que se mantém após o fim das suas funções.
2. O acesso dessas pessoas é limitado ao estritamente necessário para prestar o serviço.

1. A CPfortes aplica as medidas técnicas e organizativas descritas no Anexo II, adequadas a proteger os Dados do Cliente contra a destruição, perda, alteração, difusão ou acesso não autorizados, nos termos dos artigos 30.º e 31.º da Lei.
2. A CPfortes pode actualizar essas medidas, desde que o nível de protecção não diminua.

1. O pessoal da CPfortes só acede ao conteúdo dos Dados do Cliente quando seja necessário para prestar suporte, corrigir avarias ou cumprir obrigação legal.
2. A administração da Plataforma não consulta os valores registados no registo de auditoria do Cliente sem pedido escrito deste, salvo em caso de incidente de segurança.
3. Cada acesso nos termos desta cláusula fica registado, com a identificação de quem acedeu, a que dados, quando, com que finalidade e, quando exista, a referência do pedido do Cliente. O acesso directo à base de dados, fora da aplicação, só ocorre em incidente ou a pedido do Cliente e é registado no próprio dia. O Cliente pode pedir a lista desses acessos a qualquer momento.

1. O Cliente autoriza a CPfortes a recorrer aos sub-subcontratantes identificados no Anexo III.
2. A CPfortes vincula cada sub-subcontratante, por contrato escrito, a obrigações de protecção de dados não menos exigentes do que as deste Acordo, e responde perante o Cliente pelo cumprimento dessas obrigações.
3. A CPfortes comunica ao Cliente, com pelo menos 30 dias de antecedência, qualquer acréscimo ou substituição de sub-subcontratante, ou mudança do país onde os dados são tratados.
4. O Cliente pode opor-se, por escrito e com fundamento, dentro desse prazo. Não sendo encontrada alternativa, o Cliente pode resolver o contrato antes de a alteração produzir efeitos, com reembolso proporcional do período pago e não utilizado.

1. Os Dados do Cliente são tratados fora de Angola, nos países indicados no Anexo III. Isto constitui uma transferência internacional de dados nos termos dos artigos 33.º e 34.º da Lei.
2. A transferência para a União Europeia assenta no nível de protecção aí assegurado e nos contratos de tratamento de dados celebrados entre a CPfortes e os sub-subcontratantes. A transferência para os Estados Unidos da América assenta nesses contratos de tratamento de dados.
3. Cabe ao Cliente notificar a transferência à Agência, ou obter a respectiva autorização, no âmbito dos seus próprios tratamentos, nos termos que a Agência determinar.
4. A CPfortes fornece ao Cliente a informação necessária para esse efeito: a lista de sub-subcontratantes e países, a descrição das medidas de segurança e, quando disponível, a referência de qualquer autorização obtida pela própria CPfortes.

1. Os titulares exercem os seus direitos junto do Cliente.
2. Se um pedido chegar à CPfortes, esta encaminha-o ao Cliente no prazo de 5 dias úteis e não lhe responde directamente, salvo instrução do Cliente.
3. A CPfortes apoia o Cliente a responder, através das funcionalidades da Plataforma — exportação dos dados de um titular, rectificação e anonimização — ou, quando estas não bastem, executando o pedido a solicitação escrita do Cliente.
4. A CPfortes executa esses pedidos em prazo que permita ao Cliente cumprir os prazos legais de resposta.

1. A CPfortes comunica ao Cliente qualquer violação de dados que afecte Dados do Cliente sem demora injustificada e, no máximo, 72 horas depois de dela tomar conhecimento.
2. A comunicação indica, na medida do conhecido: a natureza da violação, as categorias e o número aproximado de titulares e de registos afectados, as consequências prováveis, e as medidas tomadas ou propostas. A informação em falta é prestada logo que disponível.
3. A CPfortes toma de imediato as medidas razoáveis para conter a violação e atenuar os seus efeitos, e colabora com o Cliente nas comunicações que este deva fazer.
4. A CPfortes não comunica a violação aos titulares nem à Agência em nome do Cliente sem o acordo deste, salvo obrigação legal própria.

1. A CPfortes presta ao Cliente a informação necessária para demonstrar o cumprimento deste Acordo e para instruir as suas notificações à Agência.
2. O Cliente pode verificar esse cumprimento uma vez por ano, ou a qualquer momento após uma violação de dados, com pré-aviso escrito de 30 dias. A verificação faz-se, em primeiro lugar, por documentação e, se necessário, nas instalações da CPfortes, em horário de expediente e a expensas do Cliente.
3. Quanto às instalações dos sub-subcontratantes, a verificação faz-se pelas certificações e relatórios de segurança que estes disponibilizam.
4. Quem verificar fica sujeito a dever de sigilo e não tem acesso a dados de outros clientes da CPfortes.

1. Durante o contrato, a CPfortes conserva os Dados do Cliente enquanto o Cliente os mantiver na Plataforma.
2. Se o Cliente não pagar, o acesso aos módulos é suspenso mas os dados mantêm-se. Ao fim de 12 meses de suspensão, o contrato cessa, com aviso prévio escrito de 30 dias.
3. Cessando o contrato, por qualquer motivo, o Cliente pode exportar todos os Dados do Cliente durante 90 dias.
4. Findo esse prazo, a CPfortes elimina a totalidade dos Dados do Cliente no prazo de 30 dias, incluindo os registos que, durante o contrato, ainda estivessem dentro de prazos de conservação, salvo se o Cliente, antes disso, contratar por escrito a conservação em modo de arquivo, só de leitura. Nas cópias de segurança, a eliminação ocorre com a sua rotação normal, que não excede 90 dias.
5. Antes da eliminação, a CPfortes avisa o Cliente por escrito na data da cessação, 30 dias antes do fim do prazo de exportação e 7 dias antes desse fim. A falta de exportação ou de contratação do arquivo não impede a eliminação.
6. A obrigação de conservar os registos laborais, fiscais e contabilísticos durante os prazos legais é do Cliente. A CPfortes conserva apenas os seus próprios registos: os de facturação e o comprovativo de aceitação deste Acordo. O comprovativo conserva-se durante 10 anos após a cessação do contrato, limitado à identificação do Cliente, ao nome e cargo de quem aceitou, à versão aceite e ao respectivo código de verificação, à data e hora, ao endereço IP e ao navegador, e serve apenas como prova do contrato.
7. A pedido do Cliente, a CPfortes declara por escrito que a eliminação foi feita.

1. Cada parte responde pelos danos que cause pelo incumprimento das suas obrigações neste Acordo e na Lei.
2. A CPfortes que trate Dados do Cliente fora das instruções do Cliente, ou para fins próprios, responde por esse tratamento como se fosse responsável por ele.
3. Aplicam-se os limites de responsabilidade dos Termos. Para os danos resultantes de violação de dados imputável à CPfortes, o limite é o dobro do valor pago pelo Cliente nos 12 meses anteriores ao facto. Estes limites não se aplicam em caso de dolo ou culpa grave.

Este Acordo vigora enquanto vigorar o contrato entre as partes e, depois dele, enquanto a CPfortes conservar Dados do Cliente. As cláusulas 6.ª, 12.ª, 14.ª e 15.ª mantêm-se até à eliminação definitiva dos dados.

1. Em matéria de protecção de dados, este Acordo prevalece sobre os Termos.
2. As alterações a este Acordo seguem o regime de alteração dos Termos: comunicação com 30 dias de antecedência e nova aceitação pelo Cliente. A actualização do Anexo III segue a cláusula 9.ª.
3. A invalidade de uma cláusula não afecta as restantes.

1. Este Acordo rege-se pela lei angolana.
2. Para os litígios entre as partes é competente o Tribunal da Comarca de Luanda, com renúncia a qualquer outro.
3. Os titulares exercem os seus direitos junto do Cliente, nos contactos que este indicar. Podem ainda apresentar queixa à Agência de Protecção de Dados e recorrer aos tribunais angolanos em caso de violação dos seus dados pessoais.

Estado civil. É tratado apenas se o Cliente activar a respectiva opção.

Dados sensíveis. A Plataforma não trata dados sensíveis por omissão. Se o Cliente activar o registo do motivo das ausências ou o anexo de documentos justificativos, passam a ser tratados dados de saúde e da vida privada (motivo da ausência e documento justificativo), sob a responsabilidade do Cliente e nos termos da cláusula 5.ª, n.º 5.

Segurança física

• Base de dados e ficheiros alojados em centros de dados da região de Paris (União Europeia), com controlo de acesso físico e vigilância permanente, operados pelos sub-subcontratantes do Anexo III.
• A CPfortes não guarda Dados do Cliente em servidores próprios.
• Posto de administração técnica com disco integralmente cifrado e bloqueio automático.
• Cópias de segurança cifradas, com a chave de decifração guardada separadamente das cópias e fora do serviço onde estas ficam.

Segurança lógica

• Acesso por conta pessoal; palavras-passe guardadas cifradas e de forma irreversível.
• Verificação em dois passos disponível para todos os Utilizadores e obrigatória para a administração da Plataforma.
• Limitação de tentativas de acesso, com bloqueio temporário.
• Isolamento entre clientes imposto pela própria base de dados, em todas as tabelas.
• Acesso por perfis, cada um limitado à sua área.
• Ficheiros em repositório privado, acessíveis apenas por ligações temporárias de poucos minutos; documentos sensíveis acessíveis só ao administrador e ao gestor de recursos humanos.
• Cifragem em trânsito (HTTPS/TLS) e em repouso.
• Registo de auditoria imutável das operações.
• Registo dos acessos da CPfortes aos Dados do Cliente (cláusula 8.ª).
• Cabeçalhos de segurança e validação dos ficheiros carregados.
• Testes automáticos de isolamento entre clientes e de permissões.
• Apenas cookies estritamente necessários; nenhum serviço de publicidade, estatística ou monitorização de terceiros.