Política de privacidade

POLÍTICA DE SEGURANÇA DOS DADOS PESSOAIS

ECOMPORATE Maksymilian Polkowski
Szlak 77/222, 31-153 Kraków
e-mail: alkogames.contact@gmail.com
www: alkogames.pl/cz/sk/de/at/hu/ro/es/pt/gr/eu

NIP: 6821812937 | REGON: 543921159

Data de elaboração:	17.02.2026
Data de implementação:	17.02.2026
Documento aprovado e implementado por:	Maksymilian Polkowski

I. Finalidade, âmbito de aplicação e definições utilizadas no documento

1. Finalidade da Política

1.1 A finalidade da elaboração e da introdução da presente Política de segurança é descrever as medidas técnicas e organizativas aplicadas no seio da ECOMPORATE Maksymilian Polkowski (a seguir designada Responsável pelo tratamento) que asseguram a proteção dos dados pessoais tratados, adequadas ao risco de violação de direitos e liberdades relacionado com o tratamento de dados pessoais.

1.2 A Política de segurança destina-se a permitir o cumprimento adequado das obrigações do Responsável pelo tratamento – ECOMPORATE Maksymilian Polkowski. A Política de segurança dos dados pessoais foi elaborada em conformidade com as disposições do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE.

1.3 O presente documento será implementado através da sua publicação no interior da organização e do seu conhecimento pelas pessoas autorizadas a tratar dados pessoais, bem como por outras pessoas com acesso aos dados pessoais tratados pelo Responsável pelo tratamento.

2. Âmbito de aplicação e exclusões da aplicação

2.1 A Política abrange no seu âmbito de aplicação todos os dados pessoais tratados pelo Responsável pelo tratamento.

2.2 As disposições e os requisitos da presente Política só podem ser excluídos quando a legislação em vigor preveja essa exclusão.

3. Definições

1.	Responsável pelo tratamento	ECOMPORATE Maksymilian Polkowski, Szlak 77/222, 31-153 Kraków, e-mail: alkogames.contact@gmail.com, www: alkogames.pl/cz/sk/de/at/hu/ro/es/pt/gr/eu, relativamente aos dados em relação aos quais decide sobre as finalidades e os meios de tratamento
2.	Dados pessoais	significam informação relativa a uma pessoa singular identificada ou identificável («titular dos dados»); é considerada identificável uma pessoa singular que possa ser identificada, direta ou indiretamente, em especial por referência a um identificador, como por exemplo um nome, um número de identificação, dados de localização, identificadores por via eletrónica ou a um ou mais elementos específicos da identidade física, fisiológica, genética, mental, económica, cultural ou social dessa pessoa singular;
3.	Categorias especiais de dados pessoais	dados pessoais que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas ou a filiação sindical, o tratamento de dados genéticos, dados biométricos para identificar uma pessoa de forma inequívoca, dados relativos à saúde ou dados relativos à vida sexual ou orientação sexual de uma pessoa, bem como dados relativos a condenações penais e infrações ou medidas de segurança conexas;
4.	Presidente do Gabinete	O Presidente do Gabinete polaco de Proteção de Dados Pessoais;
5.	Integridade dos dados	propriedade que garante que os dados pessoais não foram alterados ou destruídos de forma não autorizada;
6.	Violação de dados pessoais	significa uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso, não autorizados, a dados pessoais transmitidos, conservados ou sujeitos a qualquer outro tipo de tratamento;
7.	Pessoa autorizada	pessoa que dispõe de autorização para tratar dados pessoais em nome do Responsável pelo tratamento
8.	Titular dos dados (ou proprietário dos dados)	qualquer pessoa singular cujos dados pessoais são tratados pelo Responsável pelo tratamento ou por conta do Responsável pelo tratamento em relação com a atividade que exerce;
9.	Confidencialidade dos dados	propriedade que garante que os dados não são disponibilizados a entidades não autorizadas,
10.	Trabalhador	pessoa com acesso a dados pessoais que presta trabalho a favor do Responsável pelo tratamento com base numa relação laboral;
11.	Terceiro	significa a pessoa singular ou coletiva, autoridade pública, serviço ou organismo que não seja o titular dos dados, o responsável pelo tratamento, o subcontratante e as pessoas que, sob a autoridade direta do responsável pelo tratamento ou do subcontratante, estão autorizadas a tratar os dados pessoais;
12.	Subcontratante (Processador)	pessoa coletiva, pessoa singular, unidade organizacional sem personalidade jurídica ou outra entidade que não decide sobre as finalidades e os meios de tratamento de dados pessoais, a quem o Responsável pelo tratamento confiou dados pessoais para tratamento e com quem celebrou um Contrato de subcontratação do tratamento de dados pessoais na aceção do art. 28 do RGPD;
13.	Tratamento de dados pessoais	significa uma operação ou um conjunto de operações efetuadas sobre dados pessoais ou sobre conjuntos de dados pessoais, por meios automatizados ou não automatizados, tais como a recolha, o registo, a organização, a estruturação, a conservação, a adaptação ou alteração, a recuperação, a consulta, a utilização, a divulgação por transmissão, difusão ou qualquer outra forma de disponibilização, a comparação ou interconexão, a limitação, o apagamento ou a destruição;
14.	Política	o presente documento, ou seja, a Política de segurança dos dados pessoais
15.	Responsabilidade	propriedade que permite demonstrar a conformidade do Responsável pelo tratamento com as disposições do RGPD;
16.	RGPD ou Regulamento	Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE;
17.	Pseudonimização	significa o tratamento de dados pessoais de forma que deixem de poder ser atribuídos a um titular de dados específico sem recorrer a informações suplementares, desde que essas informações suplementares sejam mantidas separadamente e sujeitas a medidas técnicas e organizativas para assegurar que os dados pessoais não possam ser atribuídos a uma pessoa singular identificada ou identificável;
18.	Registo das atividades de tratamento	registo mantido pelo Responsável pelo tratamento que contém, no mínimo, os seguintes dados: a) o nome e os contactos do responsável pelo tratamento e de quaisquer responsáveis conjuntos pelo tratamento e, sendo caso disso, do representante do responsável pelo tratamento e do encarregado da proteção de dados; b) as finalidades do tratamento; c) uma descrição das categorias de titulares de dados e das categorias de dados pessoais; d) as categorias de destinatários a quem os dados pessoais foram ou serão divulgados, incluindo os destinatários em países terceiros ou organizações internacionais; e) sendo caso disso, as transferências de dados pessoais para países terceiros ou organizações internacionais, incluindo a identificação desses países terceiros ou organizações internacionais e, no caso das transferências referidas no art. 49 n.º 1 segundo parágrafo, a documentação que comprove a existência das garantias adequadas; f) se possível, os prazos previstos para o apagamento das diferentes categorias de dados; g) se possível, uma descrição geral das medidas técnicas e organizativas no domínio da segurança referidas no art. 32 n.º 1.
19.	Reclamação	qualquer documento (em papel ou em formato eletrónico) transmitido pelo titular dos dados (proprietário dos dados) ou pelo Presidente do Gabinete, do qual resulte insatisfação ou um pedido de esclarecimentos / informações relativos ao tratamento de dados pessoais pelo Responsável pelo tratamento
20.	Sistema informático (ou sistema de TI)	conjunto de dispositivos, programas, procedimentos de tratamento de informação e ferramentas de software que cooperam entre si, utilizados para efeitos de tratamento de dados;
21.	Lei	A lei polaca de 10 de maio de 2018 relativa à proteção de dados pessoais;
22.	Autorização	uma das seguintes: - autorização escrita emitida com base no art. 29 do RGPD para o tratamento de dados pessoais, concedida ao Trabalhador, ao Colaborador ou ao trabalhador do Subcontratante por um sócio da sociedade, - Contrato de subcontratação do tratamento de dados pessoais celebrado por escrito na aceção do art. 28 do RGPD;
23.	Colaborador	pessoa com acesso a dados pessoais que executa pessoal e diretamente tarefas / serviços a favor do Responsável pelo tratamento com base noutro fundamento jurídico que não uma relação laboral, independentemente da denominação ou do tipo de contrato que vincula as partes;
24.	Segurança dos dados	implementação e exploração de medidas técnicas e organizativas adequadas que asseguram a proteção dos dados contra o seu tratamento não autorizado;
25.	Consentimento do titular dos dados	significa uma manifestação de vontade, livre, específica, informada e explícita, pela qual o titular dos dados aceita, mediante declaração ou ato positivo inequívoco, que os dados pessoais que lhe dizem respeito sejam objeto de tratamento;

II. Obrigações da ECOMPORATE Maksymilian Polkowski enquanto Responsável pelo tratamento

1. Obrigação de cumprir os fundamentos jurídicos para o tratamento de dados pessoais

1.1 Cada Trabalhador e Colaborador está obrigado, antes de decidir estabelecer uma finalidade de tratamento ou alargar o âmbito dos dados pessoais recolhidos para além da finalidade de tratamento atual definida no Registo das atividades de tratamento (RAT), a indicar e a aplicar o fundamento jurídico (do RGPD) que legitima o tratamento desses dados.

2. Obrigação de informação perante o titular dos dados nos termos dos arts. 13 e 14 do RGPD

2.1 Cada Trabalhador ou Colaborador que recolha (obtenha) dados pessoais está obrigado, no momento da sua recolha diretamente junto do proprietário dos dados, a informar o proprietário dos dados (p. ex., através da apresentação da cláusula adequada) em conformidade com as cláusulas informativas preparadas relativas ao art. 13 do RGPD.

2.2 No caso de recolha de dados junto de terceiros, ou seja, não diretamente junto do proprietário dos dados, deve informar-se sem demora, após o registo dos dados, sobre as circunstâncias do tratamento em conformidade com as cláusulas informativas relativas ao art. 14 do RGPD.

2.3 No caso de utilização de sistemas informáticos que recolham automaticamente dados pessoais, deve assegurar-se que esse sistema presta as informações referidas nos pontos anteriores.

2.4 No caso de recurso a terceiros (p. ex., agências de marketing ou de recrutamento), deve assegurar-se no contrato com essa entidade que, durante a recolha de dados pessoais, essa entidade cumpre a obrigação de informação em nome do Responsável pelo tratamento em conformidade com o ponto 2.2. 1) ou 2.2. 2).

3. Obrigação de respeitar os princípios de tratamento descritos no art. 5 do RGPD

3.1 Durante os processos de tratamento de dados pessoais deve ter-se um cuidado especial na proteção dos interesses dos titulares dos dados, em especial no respeito pelos princípios estabelecidos nos pontos 5–7 da Política. Esta obrigação diz respeito tanto aos Trabalhadores e Colaboradores como às entidades que tratam dados pessoais em nome do Responsável pelo tratamento com base em contratos de subcontratação do tratamento de dados pessoais, ou seja, os Subcontratantes.

4. Obrigação de celebrar um contrato de subcontratação do tratamento de dados pessoais (art. 28)

4.1 Se o Responsável pelo tratamento decidir recorrer aos serviços de uma entidade terceira e, no âmbito da prestação desses serviços, essa entidade tratar dados pessoais por conta ou em nome do Responsável pelo tratamento, deve assegurar-se que, antes da transmissão dos dados a essa entidade, foi celebrado o “Contrato de subcontratação do tratamento de dados pessoais” em conformidade com os princípios estabelecidos no ponto 6 da Política.

5. Obrigação de dar resposta aos pedidos do titular dos dados

5.1 Se o proprietário dos dados apresentar um pedido / solicitação verbal ou escrito de acesso / cópia dos dados / portabilidade dos dados / apagamento dos seus dados / retificação / limitação / atualização (independentemente da forma de apresentação, em papel ou eletrónica), esse pedido, se for fundado, deve ser satisfeito sem demora, no prazo máximo de 30 dias.

5.2 Em todo o caso, a satisfação desse pedido, referido no ponto anterior, deve ser realizada pelo Responsável pelo tratamento, que nesse caso pode designar o Trabalhador, o Colaborador ou outra entidade respetivamente para apoiar a satisfação desse pedido.

5.3 Em todo o caso, o Responsável pelo tratamento facilita ao proprietário dos dados o exercício dos direitos que lhe assistem nos termos dos arts. 15–22 do RGPD. Se o Responsável pelo tratamento não puder demonstrar que não está em condições de identificar o titular dos dados, informa-o disso, na medida do possível, e solicita o completamento dos dados com vista a permitir determinar a identidade do proprietário dos dados.

5.4 O Responsável pelo tratamento, ao satisfazer o pedido do proprietário dos dados, atua em conformidade com o Procedimento de tratamento de pedidos dos Titulares dos dados.

6. Obrigação de proteger os dados

6.1 Cada Trabalhador ou Colaborador está obrigado a aplicar medidas de segurança:

· organizativas (p. ex., políticas, regulamentos, procedimentos) em vigor na organização do Responsável pelo tratamento, independentemente do documento interno em que estejam descritas, e

· técnicas (p. ex., utilização de palavras-passe de acesso, PENDRIVE cifrada ou cifragem de computadores e dispositivos móveis). A violação das medidas de segurança estabelecidas em documentos internos ou implementadas pelo fornecedor de TI pode constituir uma violação de dados pessoais.

6.2 A obrigação de proteger os dados diz respeito também aos Subcontratantes. Os requisitos pormenorizados relativos à proteção dos dados pessoais pelo Subcontratante devem ser estabelecidos no Contrato de subcontratação do tratamento de dados pessoais.

7. Obrigação de comunicar uma nova finalidade de tratamento de dados pessoais

7.1 Se um Trabalhador ou Colaborador decidir iniciar a recolha de dados pessoais com uma nova finalidade, está obrigado a informar desse facto o Responsável pelo tratamento antes de iniciar a recolha, através da forma de comunicação habitualmente utilizada na organização.

7.2 Com base na informação do Trabalhador ou Colaborador, o Responsável pelo tratamento decide se a finalidade em causa está sujeita à obrigação de registo no Registo das atividades de tratamento.

7.3 Os Trabalhadores e Colaboradores estão obrigados a comunicar diretamente ao Responsável pelo tratamento quaisquer alterações relativas às atividades de tratamento descritas no Registo, antes da introdução dessas alterações.

8. Obrigações na transferência para países terceiros

8.1 Antes de uma eventual decisão de escolher um fornecedor fora do EEE ou de transferir dados para um país terceiro, o Responsável pelo tratamento deve efetuar uma análise adicional ou solicitar parecer de fontes externas sobre a segurança na transferência dessas informações.

9. Obrigações e responsabilidade

9.1 Cada Trabalhador e Colaborador, independentemente do cargo ou das tarefas, está obrigado ao seguinte e responde por isso:

· manter a confidencialidade dos dados pessoais e do modo da sua proteção,

· tomar conhecimento e cumprir o disposto na presente Política e nos documentos internos emitidos com base na presente Política,

· confirmar por escrito que tomou conhecimento das disposições relativas à proteção de dados pessoais e da presente Política,

· cumprir as disposições relativas à proteção de dados pessoais, em especial a Lei,

· não partilhar as suas palavras-passe dos sistemas de TI,

· não disponibilizar nem permitir o acesso a dados pessoais a pessoas não autorizadas,

· comunicar qualquer incidente / suspeita de violação de dados pessoais ou da presente Política que observe, em conformidade com os procedimentos.

9.2 Obrigações e responsabilidade dos dirigentes

· supervisionar se os trabalhadores subordinados aplicam os princípios descritos na presente Política,

· necessidades de informação / formação no domínio das disposições relativas à proteção de dados pessoais,

· aprovar todas as alterações relativas às finalidades do tratamento de dados pessoais antes da sua introdução,

· supervisionar as finalidades atribuídas do tratamento de dados pessoais e o âmbito do tratamento em conformidade com o Registo das atividades de tratamento,

· verificar as novas soluções informáticas que impliquem a transferência de dados pessoais para uma entidade terceira,

· assegurar a celebração pelo Responsável pelo tratamento do contrato de subcontratação do tratamento com cada entidade a quem o Responsável pelo tratamento pretenda confiar o tratamento de dados pessoais.

9.3 Obrigações e responsabilidade do fornecedor de TI (se existir)

Cada trabalhador do fornecedor de TI designado para colaborar com o Responsável pelo tratamento está obrigado ao seguinte e responde por isso:

· supervisionar se as medidas de segurança implementadas e mantidas (físicas, lógicas, de sistema) são eficazes,

· supervisionar se as restrições de acesso implementadas às áreas de tratamento de dados são eficazes,

· ter em conta as disposições do RGPD e da Política durante a conceção e a implementação de novas soluções relativas à segurança informática ou física,

· a pedido do Responsável pelo tratamento, elaborar pareceres e informações relativos às medidas de segurança aplicadas na organização.

10. Princípios de atuação em caso de reclamações sobre o tratamento de dados pessoais

10.1 Reclamações / pedidos apresentados pelo proprietário dos dados

1) Qualquer reclamação / pedido escrito (independentemente da forma de entrega ou do título) enviado pelo proprietário dos dados ao Responsável pelo tratamento deve ser apreciado sem demora, num prazo não superior a 30 dias a contar da data de receção.

2) A resposta à reclamação / pedido deve ser dada por escrito (por carta registada) se o requerente tiver indicado uma morada para notificações e, na falta dessa morada, pela mesma via pela qual a reclamação / pedido foi apresentado, exceto se o requerente tiver solicitado outra forma. No caso de resposta por correio eletrónico, deve arquivar-se em todo o caso uma cópia da resposta, para cumprir a responsabilidade do Responsável pelo tratamento de dados pessoais.

3) Se o proprietário dos dados apresentar um pedido, uma solicitação de alteração ou atualização de dados pessoais, tal deve ser feito sem demora após a receção desse pedido.

4) Se o proprietário dos dados apresentar um pedido, uma solicitação de apagamento ou de cessação do tratamento dos seus dados e esses dados tiverem sido recolhidos apenas com base no consentimento dessa pessoa, devem apagar-se sem demora os seus dados pessoais ou cessar o tratamento para as finalidades para as quais tinha anteriormente dado consentimento.

5) Os dados pessoais tratados com base num contrato celebrado, após a revogação de todos os consentimentos do proprietário dos dados, podem continuar a ser tratados para outras finalidades (p. ex., execução do contrato, fins fiscais), se estas decorrerem do Registo das atividades de tratamento.

6) Se o proprietário dos dados apresentar um pedido de acesso aos seus dados pessoais ou de obtenção de uma cópia dos dados, esse pedido deve ser respondido sem demora, sem exceder 30 dias.

7) O proprietário dos dados pode exercer o direito a uma cópia dos dados tratados com base num contrato ou no consentimento, que tenham sido fornecidos pelo proprietário ao responsável a título gratuito. Por cada cópia adicional dos dados, o Responsável pelo tratamento pode cobrar uma taxa administrativa razoável relacionada com a preparação dessa cópia dos dados.

10.2 Reclamações transmitidas pelo Presidente do Gabinete

1) No caso de reclamação apresentada pelo proprietário dos dados ao Presidente do Gabinete que a autoridade tenha transmitido ao Responsável pelo tratamento, esta deve ser encaminhada sem demora ao sócio da sociedade.

2) O prazo para responder a essa reclamação entregue pelo Presidente do Gabinete é de 7 dias (salvo se o Presidente do Gabinete fixar outro).

3) A resposta é preparada pelo Trabalhador ou Colaborador designado pelo Responsável pelo tratamento ou por um dos sócios da sociedade, e a versão final da resposta é dirigida ao Presidente do Gabinete pelo sócio da sociedade.

III. Princípios do tratamento de dados pessoais pelo Responsável pelo tratamento

1. Princípio da licitude, lealdade e transparência

Os dados pessoais devem ser tratados de forma lícita, leal e transparente para o titular dos dados. Não é permitido tratar dados pessoais sem fundamento jurídico. Antes de iniciar o tratamento de uma nova categoria de dados pessoais ou de dados com uma nova finalidade, deve indicar-se o fundamento jurídico para o seu tratamento.

2. Princípio da limitação das finalidades

Os dados pessoais devem ser tratados exclusivamente com uma finalidade concreta e claramente definida, e o proprietário dos dados deve ser informado dessa finalidade. Os dados pessoais devem ser recolhidos para finalidades determinadas, explícitas e legítimas, e não podem ser tratados posteriormente de uma forma incompatível com essas finalidades.

3. Princípio da minimização dos dados

Só podem ser recolhidos os dados adequados à realização da finalidade. Não se pode recolher «por precaução» com o argumento de que no futuro «serão úteis». Os dados pessoais devem ser adequados, pertinentes e limitados ao que é necessário relativamente às finalidades para as quais são tratados.

4. Princípio da exatidão

Todas as pessoas autorizadas para o tratamento e os Subcontratantes respondem pela exatidão material dos dados. Os dados pessoais devem ser exatos e, se necessário, atualizados; devem ser adotadas todas as medidas razoáveis para que os dados pessoais inexatos, tendo em conta as finalidades para que são tratados, sejam apagados ou retificados sem demora.

5. Princípio da limitação da conservação

Os dados pessoais só podem ser tratados enquanto existir a finalidade do tratamento ou conforme estabeleçam as disposições legais. Os dados pessoais devem ser conservados de forma a permitir a identificação dos titulares dos dados apenas durante o período necessário para as finalidades para as quais são tratados.

6. Princípio da integridade e confidencialidade

Os dados pessoais devem ser tratados de uma forma que garanta a sua segurança adequada, incluindo a proteção contra o seu tratamento não autorizado ou ilícito e contra a sua perda, destruição ou danificação acidentais, adotando as medidas técnicas ou organizativas adequadas.

7. Princípio da informação das pessoas autorizadas sobre as normas internas e externas em matéria de proteção de dados pessoais

Cada pessoa autorizada a tratar dados pessoais está obrigada a manter-se informada de forma contínua sobre as normas internas e externas em matéria de proteção de dados pessoais. Em caso de falta de conhecimento, pode consultar-se diretamente o sócio da sociedade. Cada pessoa autorizada, após tomar conhecimento das disposições e dos princípios em matéria de proteção de dados pessoais, confirma esse facto mediante a assinatura escrita de uma declaração adequada.

8. Princípio do acesso limitado

O acesso aos dados pessoais deve estar sempre limitado apenas às pessoas autorizadas. A limitação do acesso pode ser organizativa (p. ex., supervisão pessoal, introdução de procedimentos), física (p. ex., fecho à chave, cartões de proximidade para as instalações) ou informática (p. ex., utilização de nomes de utilizador e palavras-passe).

9. Princípio do duplo acesso

O acesso aos dados pessoais deve estar sempre limitado através da aplicação de, no mínimo, duas restrições de acesso de qualquer tipo.

10. Princípio da secretária limpa

Após o fim do trabalho, na secretária do Trabalhador / Colaborador não podem permanecer documentos nem suportes informáticos de acesso geral que contenham dados pessoais. Todos esses documentos / suportes devem ser guardados à chave em armários / arrecadações.

11. Princípio da destruição segura de documentos e suportes de dados

O apagamento de dados através da destruição de documentos em papel ou em formato eletrónico é efetuado em conformidade com o “Procedimento de apagamento seguro de dados”.

12. Princípio da responsabilidade

As ações da pessoa autorizada ou do Subcontratante sobre dados pessoais, em especial nos sistemas informáticos, devem ser sempre atribuídas de forma inequívoca a uma única pessoa autorizada a tratar dados pessoais. Isto significa que um determinado nome de utilizador de um sistema de TI só pode ser atribuído A UMA ÚNICA PESSOA. É proibida a partilha de nomes de utilizador por duas ou mais pessoas. As ações atribuídas no sistema de TI a um determinado nome de utilizador serão sempre imputadas à pessoa que utilizou esse nome de utilizador. Além disso, ao cumprir as obrigações e tarefas decorrentes das disposições do RGPD e da presente Política, cada pessoa autorizada está obrigada a demonstrar que cumpre as disposições do RGPD e da Política.

13. Princípio do segredo e da qualidade das palavras-passe de acesso

Sob nenhum pretexto se pode revelar a própria palavra-passe de acesso (nem ao superior hierárquico, nem ao empregador, nem a qualquer outra pessoa, nem mesmo a funcionários de organismos estatais). A palavra-passe recebida do administrador do sistema deve ser alterada no mesmo dia. A palavra-passe deve ter no mínimo 8 carateres, incluindo uma letra maiúscula, uma letra minúscula, um algarismo e um caráter especial.

IV. Princípios da subcontratação pelo Responsável pelo tratamento do tratamento de dados pessoais a entidades terceiras

1. Utilização de contratos de subcontratação

No caso de celebração de um contrato de prestação de serviços associado à subcontratação do tratamento de dados pessoais ao prestador de serviços, deve celebrar-se um contrato escrito de subcontratação do tratamento em conformidade com o art. 28 do RGPD.

2. Obrigações e responsabilidades dos Subcontratantes

Na elaboração do contrato de subcontratação do tratamento de dados pessoais devem necessariamente constar as seguintes questões:

a) o objeto e a duração do tratamento, a natureza e a finalidade do tratamento, o tipo de dados pessoais e as categorias de titulares dos dados, as obrigações e os direitos do Responsável pelo tratamento e do Subcontratante,

b) o Subcontratante trata os dados pessoais apenas mediante instruções documentadas do Responsável pelo tratamento – incluindo no que respeita às transferências de dados pessoais para países terceiros ou organizações internacionais – a menos que seja obrigado a fazê-lo pelo direito da União ou do Estado-Membro a que está sujeito o subcontratante; nesse caso, o subcontratante informa o responsável pelo tratamento desse requisito jurídico antes do tratamento, salvo se a lei proibir tal informação por motivos importantes de interesse público,

c) o Subcontratante assegura que as pessoas autorizadas a tratar os dados pessoais assumiram um compromisso de confidencialidade ou estão sujeitas a adequadas obrigações legais de confidencialidade,

d) o Subcontratante adota todas as medidas exigidas nos termos do art. 32 do RGPD,

e) o Subcontratante não contrata outro subcontratante sem que o responsável pelo tratamento tenha dado, previamente e por escrito, autorização específica ou geral. No último caso, o subcontratante informa o responsável pelo tratamento de quaisquer alterações pretendidas quanto ao aumento do número ou à substituição de outros subcontratantes, dando assim ao responsável pelo tratamento a oportunidade de se opor a tais alterações,

f) se o Subcontratante contratar outro subcontratante para a realização de operações específicas de tratamento de dados por conta do Responsável pelo tratamento, são impostas a esse outro subcontratante, por contrato ou outro ato normativo ao abrigo do direito da União ou dos Estados-Membros, as mesmas obrigações em matéria de proteção de dados que as estabelecidas no contrato ou outro ato normativo entre o responsável pelo tratamento e o subcontratante, como referido acima, em particular a obrigação de apresentar garantias suficientes de execução de medidas técnicas e organizativas adequadas, de uma forma que o tratamento satisfaça os requisitos do presente regulamento. Se esse outro subcontratante não cumprir as suas obrigações em matéria de proteção de dados, o subcontratante inicial continua a ser plenamente responsável perante o responsável pelo tratamento pelo cumprimento das obrigações desse outro subcontratante,

g) o Subcontratante, tendo em conta a natureza do tratamento, presta assistência ao Responsável pelo tratamento, através de medidas técnicas e organizativas adequadas, para permitir que este cumpra a sua obrigação de dar resposta aos pedidos dos titulares dos dados tendo em vista o exercício dos seus direitos previstos no capítulo III do RGPD,

h) o Subcontratante, tendo em conta a natureza do tratamento e a informação ao seu dispor, presta assistência ao responsável pelo tratamento no sentido de assegurar o cumprimento das obrigações previstas nos arts. 32–36 do RGPD,

i) o Subcontratante, consoante a escolha do responsável pelo tratamento, apaga ou devolve-lhe todos os dados pessoais depois de concluída a prestação de serviços relacionados com o tratamento, apagando as cópias existentes, a menos que o direito da União ou dos Estados-Membros exija a conservação dos dados pessoais,

j) o Subcontratante disponibiliza ao responsável pelo tratamento todas as informações necessárias para demonstrar o cumprimento das obrigações previstas no art. 28 do RGPD e facilita e contribui para as auditorias, incluindo as inspeções, conduzidas pelo Responsável pelo tratamento ou por outro auditor por este mandatado.

3. Obrigações e responsabilidades das pessoas que supervisionam os Subcontratantes

O Responsável pelo tratamento está obrigado a supervisionar, pessoalmente ou através de um trabalhador designado, se o Subcontratante cumpre os requisitos do contrato de subcontratação do tratamento de dados celebrado.

4. Controlo dos Subcontratantes

Em todos os contratos de subcontratação do tratamento de dados pessoais é obrigatoriamente incluída uma disposição sobre a possibilidade de realização de um controlo (auditoria) da conformidade do tratamento dos dados confiados com o Contrato e com as disposições legais. Esse controlo pode ser realizado por uma pessoa autorizada por escrito pelo Responsável pelo tratamento.

5. Verificação do Subcontratante

Cada Subcontratante deve ser verificado antes da assinatura do contrato de subcontratação em conformidade com o Procedimento de verificação do Fornecedor.

V. Determinação das medidas técnicas e organizativas necessárias para garantir a confidencialidade, a integridade e a responsabilidade dos dados tratados.

1. Medidas organizativas de proteção dos dados pessoais

Com o objetivo de reforçar a supervisão dos processos de tratamento de dados pessoais, foram introduzidas as medidas organizativas de proteção de dados descritas no presente ponto.

2. Formações internas

Cada pessoa autorizada a tratar dados pessoais está obrigada a realizar, no mínimo, uma formação presencial ou de e-learning por ano no domínio das disposições relativas à proteção de dados pessoais.

3. Introdução de princípios e procedimentos

A Política de segurança dos dados pessoais constitui a base para a elaboração e a implementação de outros procedimentos de proteção de dados pessoais, cuja lista proposta foi introduzida no ponto 9.

4. Planeamento da realização de cópias de segurança dos conjuntos de dados pessoais

Os dados pessoais tratados em sistemas informáticos estão protegidos por sistemas de cópias de segurança supervisionados pela Direção ou pelo fornecedor de TI. Estes sistemas criam cópias de segurança de acordo com o calendário definido pela Direção ou pelo fornecedor de TI.

5. Medidas técnicas mínimas de proteção dos dados pessoais

As medidas técnicas de proteção de dados descritas no presente ponto são aplicadas aos conjuntos de dados pessoais, mas nem todas a todos os conjuntos. Consoante a categoria, o tipo, a natureza e a finalidade do tratamento de dados pessoais, são aplicadas medidas de segurança adequadas que garantem a conformidade do tratamento com as disposições do RGPD.

a. Medidas de proteção física

1) O acesso às instalações em que são tratados conjuntos de dados pessoais está abrangido por um sistema de acesso com portas fechadas à chave.

2) As instalações em que são tratados conjuntos de dados pessoais estão protegidas contra os efeitos de um incêndio por um sistema de proteção contra incêndios e/ou por um extintor independente.

b. Medidas de proteção da infraestrutura informática e de telecomunicações

1) O acesso ao sistema operativo do computador em que são tratados dados pessoais está protegido por um processo de autenticação com identificador de utilizador e palavra-passe.

2) Foram aplicados mecanismos de sistema que impõem a alteração periódica das palavras-passe.

3) Foram aplicadas medidas criptográficas de proteção dos dados pessoais transmitidos por teletransmissão.

4) Foram aplicadas medidas de proteção contra software malicioso, como, por exemplo, worms, vírus, cavalos de Troia, rootkits.

5) Foi utilizado um sistema Firewall para proteger o acesso à rede informática.

6. Medidas de proteção no software de TI utilizado pelo Responsável pelo tratamento.

1) Foram aplicadas medidas que permitem determinar os direitos de acesso a um âmbito de dados determinado;

2) O acesso aos dados pessoais exige autenticação com identificador de utilizador e palavra-passe.

3) Foram aplicadas medidas criptográficas de proteção dos dados pessoais.

4) Foram instalados protetores de ecrã nos postos em que são tratados dados pessoais.

5) Foi aplicado um mecanismo de bloqueio automático do acesso ao sistema informático destinado ao tratamento de dados pessoais em caso de inatividade prolongada do utilizador.

País/região

Política de privacidade