Termos de Uso AI Trust Audit

Acordo de Processamento de Dados entre a Trusted Shops SE e o utilizador

Caso o utilizador processe dados pessoais no website a ser auditado durante a realização da Auditoria de Confiança de IA utilizando a ferramenta disponibilizada pela Trusted Shops SE, a Trusted Shops SE atua como subcontratante. Aplicam-se as seguintes disposições sobre o processamento de dados por subcontratação. Cláusulas Contratuais-Tipo Secção 1 Cláusula 1 – Objeto e âmbito de aplicação a) Estas cláusulas contratuais-tipo (a seguir designadas "cláusulas") visam assegurar a conformidade com o artigo 28.º, n.ºs 3 e 4, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados). b) Os responsáveis pelo tratamento e os subcontratantes enumerados no anexo I aceitaram as presentes cláusulas a fim de assegurar a conformidade com o artigo 28.º, n.ºs 3 e 4, do Regulamento (UE) 2016/679 e/ou com o artigo 29.º, n.ºs 3 e 4, do Regulamento (UE) 2018/1725. c) As presentes cláusulas aplicam-se ao tratamento de dados pessoais conforme especificado no anexo II. d) Os anexos I a IV fazem parte integrante das cláusulas. e) As presentes cláusulas não prejudicam as obrigações a que o responsável pelo tratamento está sujeito ao abrigo do Regulamento (UE) 2016/679 e/ou do Regulamento (UE) 2018/1725. f) As presentes cláusulas, por si só, não garantem o cumprimento das obrigações relacionadas com as transferências internacionais de dados previstas no capítulo V do Regulamento (UE) 2016/679 e/ou do Regulamento (UE) 2018/1725. Cláusula 2 – Inalterabilidade das cláusulas a) As partes comprometem-se a não alterar as cláusulas, exceto para completar ou atualizar as informações constantes dos anexos. b) Tal não impede as partes de incluir as cláusulas contratuais-tipo estabelecidas nas presentes cláusulas num contrato mais vasto e de acrescentar outras cláusulas ou garantias suplementares, desde que estas não contradigam, direta ou indiretamente, as cláusulas, nem restrinjam os direitos ou liberdades fundamentais das pessoas em causa. Cláusula 3 – Interpretação a) Se nas presentes cláusulas forem utilizados termos definidos no Regulamento (UE) 2016/679 ou no Regulamento (UE) 2018/1725, esses termos terão o mesmo significado que no respetivo regulamento. b) As presentes cláusulas devem ser interpretadas à luz das disposições do Regulamento (UE) 2016/679 ou do Regulamento (UE) 2018/1725. c) As presentes cláusulas não podem ser interpretadas de forma que contradiga os direitos e obrigações previstos no Regulamento (UE) 2016/679 ou no Regulamento (UE) 2018/1725, ou que restrinja os direitos ou liberdades fundamentais das pessoas em causa. Cláusula 4 – Prevalência Em caso de contradição entre as presentes cláusulas e as disposições de acordos conexos existentes entre as partes ou celebrados ou concluídos posteriormente, prevalecem as presentes cláusulas. Cláusula 5 – Cláusula de adesão a) Uma entidade que não seja parte nas presentes cláusulas pode, com o consentimento de todas as partes, aderir a qualquer momento às presentes cláusulas na qualidade de responsável pelo tratamento ou de subcontratante, preenchendo os anexos e assinando o anexo I. b) Após o preenchimento e a assinatura dos anexos referidos na alínea a), a entidade aderente será tratada como parte nas presentes cláusulas e terá os direitos e obrigações de um responsável pelo tratamento ou de um subcontratante, conforme a sua designação no anexo I. c) Para a entidade aderente, não decorrem direitos ou obrigações das presentes cláusulas para o período anterior à sua adesão como parte. Secção 2 – Obrigações das partes Cláusula 6 – Descrição do tratamento Os pormenores das operações de tratamento, nomeadamente as categorias de dados pessoais e as finalidades para as quais os dados pessoais são tratados por conta do responsável pelo tratamento, estão especificados no anexo II. Cláusula 7 – Obrigações das partes 7.1 Instruções a) O subcontratante trata os dados pessoais apenas mediante instrução documentada do responsável pelo tratamento, a menos que seja obrigado a proceder ao tratamento por força do direito da União ou de um Estado-Membro a que esteja sujeito. Nesse caso, o subcontratante informa o responsável pelo tratamento dessa obrigação legal antes do tratamento, a menos que a lei em causa o proíba por motivos importantes de interesse público. O responsável pelo tratamento pode dar instruções adicionais durante todo o período de tratamento dos dados pessoais. Essas instruções devem ser sempre documentadas. b) O subcontratante informa imediatamente o responsável pelo tratamento se considerar que as instruções dadas por este violam o Regulamento (UE) 2016/679, o Regulamento (UE) 2018/1725 ou as disposições de proteção de dados aplicáveis da União ou dos Estados-Membros. 7.2 Limitação das finalidades O subcontratante trata os dados pessoais apenas para a(s) finalidade(s) específica(s) indicada(s) no anexo II, salvo se receber instruções adicionais do responsável pelo tratamento. 7.3 Duração do tratamento de dados pessoais Os dados são tratados pelo subcontratante apenas durante o período indicado no anexo II. 7.4 Segurança do tratamento a) O subcontratante aplica, no mínimo, as medidas técnicas e organizacionais especificadas no anexo III para garantir a segurança dos dados pessoais. Isso inclui a proteção dos dados contra uma violação de segurança que, de forma acidental ou ilícita, provoque a destruição, perda, alteração, divulgação não autorizada ou acesso não autorizado aos dados (a seguir designada "violação de dados pessoais"). Ao avaliar o nível de segurança adequado, as partes têm devidamente em conta o estado da arte, os custos de implementação, a natureza, o âmbito, o contexto e as finalidades do tratamento, bem como os riscos para as pessoas em causa. b) O subcontratante apenas concede ao seu pessoal acesso aos dados pessoais objeto do tratamento na medida do estritamente necessário para a execução, gestão e monitorização do contrato. O subcontratante garante que as pessoas autorizadas a tratar os dados pessoais recebidos se comprometeram com a confidencialidade ou estão sujeitas a uma obrigação legal de sigilo adequada. 7.5 Dados sensíveis Caso o tratamento diga respeito a dados pessoais que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas, ou a filiação sindical, ou dados genéticos ou biométricos para fins de identificação inequívoca de uma pessoa singular, dados relativos à saúde, à vida sexual ou à orientação sexual de uma pessoa, ou dados relativos a condenações penais e infrações (a seguir designados "dados sensíveis"), o subcontratante aplica restrições especiais e/ou garantias adicionais. 7.6 Documentação e cumprimento das cláusulas a) As partes devem poder demonstrar o cumprimento das presentes cláusulas. b) O subcontratante trata os pedidos do responsável pelo tratamento relativos ao tratamento de dados ao abrigo das presentes cláusulas de forma célere e adequada. c) O subcontratante disponibiliza ao responsável pelo tratamento todas as informações necessárias para demonstrar o cumprimento das obrigações estabelecidas nas presentes cláusulas e que decorrem diretamente do Regulamento (UE) 2016/679 e/ou do Regulamento (UE) 2018/1725. A pedido do responsável pelo tratamento, o subcontratante também permite e contribui para auditorias das atividades de tratamento abrangidas pelas presentes cláusulas, a intervalos razoáveis ou quando existam indícios de incumprimento. Ao decidir sobre uma revisão ou auditoria, o responsável pelo tratamento pode ter em conta as certificações relevantes do subcontratante. d) O responsável pelo tratamento pode realizar a auditoria pessoalmente ou nomear um auditor independente. As auditorias podem também incluir inspeções nas instalações ou estabelecimentos físicos do subcontratante e, se for caso disso, serão realizadas com um pré-aviso razoável. e) As partes disponibilizam à(s) autoridade(s) de controlo competente(s) as informações referidas na presente cláusula, incluindo os resultados de auditorias, mediante pedido. 7.7 Recurso a outros subcontratantes a) O subcontratante tem a autorização geral do responsável pelo tratamento para contratar outros subcontratantes que constem de uma lista acordada. O subcontratante informa o responsável pelo tratamento, por escrito e com uma antecedência mínima de 1 mês, sobre quaisquer alterações pretendidas nessa lista através da adição ou substituição de outros subcontratantes, concedendo assim ao responsável pelo tratamento tempo suficiente para se opor a essas alterações antes da contratação do(s) outro(s) subcontratante(s) em causa. O subcontratante disponibiliza ao responsável pelo tratamento as informações necessárias para que este possa exercer o seu direito de oposição. b) Se o subcontratante contratar outro subcontratante para realizar atividades de tratamento específicas (por conta do responsável pelo tratamento), essa contratação deve ser feita através de um contrato que imponha ao outro subcontratante, em substância, as mesmas obrigações de proteção de dados que as que se aplicam ao subcontratante nos termos das presentes cláusulas. O subcontratante garante que o outro subcontratante cumpre as obrigações a que o subcontratante está sujeito ao abrigo das presentes cláusulas e do Regulamento (UE) 2016/679 e/ou do Regulamento (UE) 2018/1725. c) O subcontratante disponibiliza ao responsável pelo tratamento, a seu pedido, uma cópia desse acordo de subcontratação e de quaisquer alterações posteriores. Na medida do necessário para proteger segredos comerciais ou outras informações confidenciais, incluindo dados pessoais, o subcontratante pode rasurar o texto do acordo antes de partilhar uma cópia. d) O subcontratante é plenamente responsável perante o responsável pelo tratamento pelo cumprimento, por parte do outro subcontratante, das suas obrigações ao abrigo do contrato celebrado com o subcontratante. O subcontratante notifica o responsável pelo tratamento se o outro subcontratante não cumprir as suas obrigações contratuais. e) O subcontratante acorda com o outro subcontratante uma cláusula em benefício de terceiro, segundo a qual o responsável pelo tratamento – no caso de o subcontratante deixar de existir de facto ou de direito, ou se tornar insolvente – tem o direito de rescindir o contrato de subcontratação e de instruir o outro subcontratante a apagar ou a devolver os dados pessoais. 7.8 Transferências internacionais de dados a) Qualquer transferência de dados pelo subcontratante para um país terceiro ou uma organização internacional ocorre exclusivamente com base em instruções documentadas do responsável pelo tratamento ou para cumprir uma disposição específica do direito da União ou de um Estado-Membro a que o subcontratante esteja sujeito, e deve estar em conformidade com o capítulo V do Regulamento (UE) 2016/679 ou do Regulamento (UE) 2018/1725. b) O responsável pelo tratamento concorda que, nos casos em que o subcontratante recorra a outro subcontratante, nos termos da cláusula 7.7, para realizar atividades de tratamento específicas (por conta do responsável pelo tratamento) e essas atividades de tratamento envolvam uma transferência de dados pessoais na aceção do capítulo V do Regulamento (UE) 2016/679, o subcontratante e o outro subcontratante podem garantir a conformidade com o capítulo V do Regulamento (UE) 2016/679 utilizando cláusulas contratuais-tipo adotadas pela Comissão nos termos do artigo 46.º, n.º 2, do Regulamento (UE) 2016/679, desde que as condições para a aplicação dessas cláusulas contratuais-tipo sejam cumpridas. Cláusula 8 – Apoio ao responsável pelo tratamento a) O subcontratante informa imediatamente o responsável pelo tratamento de qualquer pedido que receba da pessoa em causa. Não responde ele próprio ao pedido, a menos que tenha sido autorizado a fazê-lo pelo responsável pelo tratamento. b) Tendo em conta a natureza do tratamento, o subcontratante presta assistência ao responsável pelo tratamento no cumprimento da sua obrigação de responder aos pedidos das pessoas em causa para o exercício dos seus direitos. No cumprimento das suas obrigações ao abrigo das alíneas a) e b), o subcontratante segue as instruções do responsável pelo tratamento. c) Para além da obrigação do subcontratante de prestar assistência ao responsável pelo tratamento nos termos da cláusula 8, alínea b), o subcontratante, tendo em conta a natureza do tratamento de dados e as informações de que dispõe, presta também assistência ao responsável pelo tratamento no cumprimento das seguintes obrigações: 1) Obrigação de realizar uma avaliação do impacto sobre a proteção de dados das operações de tratamento previstas (a seguir designada "avaliação de impacto sobre a proteção de dados"), quando uma forma de tratamento seja suscetível de resultar num elevado risco para os direitos e liberdades das pessoas singulares; 2) Obrigação de consultar a(s) autoridade(s) de controlo competente(s) antes do tratamento, se de uma avaliação de impacto sobre a proteção de dados resultar que o tratamento implicaria um risco elevado, a menos que o responsável pelo tratamento tome medidas para mitigar o risco; 3) Obrigação de garantir que os dados pessoais são exatos e atualizados, informando imediatamente o responsável pelo tratamento se verificar que os dados pessoais que trata são inexatos ou estão desatualizados; 4) Obrigações nos termos do artigo 32.º do Regulamento (UE) 2016/679. d) As partes estabelecem no anexo III as medidas técnicas e organizacionais adequadas para o apoio do subcontratante ao responsável pelo tratamento na aplicação da presente cláusula, bem como o âmbito e a extensão do apoio necessário. Cláusula 9 – Notificação de violações de dados pessoais Em caso de violação de dados pessoais, o subcontratante coopera com o responsável pelo tratamento e presta-lhe a devida assistência para que este possa cumprir as suas obrigações nos termos dos artigos 33.º e 34.º do Regulamento (UE) 2016/679 ou, se for caso disso, dos artigos 34.º e 35.º do Regulamento (UE) 2018/1725, tendo em conta a natureza do tratamento e as informações de que dispõe. 9.1 Violação da proteção de dados tratados pelo responsável pelo tratamento Em caso de violação de dados pessoais relacionada com os dados tratados pelo responsável pelo tratamento, o subcontratante presta assistência ao responsável pelo tratamento da seguinte forma: a) na notificação imediata da violação de dados pessoais à(s) autoridade(s) de controlo competente(s), depois de o responsável pelo tratamento tomar conhecimento da violação, se relevante (a menos que a violação de dados pessoais não seja suscetível de resultar num risco para os direitos e liberdades pessoais das pessoas singulares); b) na obtenção das seguintes informações, que devem ser indicadas na notificação do responsável pelo tratamento nos termos do artigo 33.º, n.º 3, do Regulamento (UE) 2016/679, devendo essas informações incluir, no mínimo, o seguinte: 1) a natureza dos dados pessoais, se possível, com indicação das categorias e do número aproximado de pessoas afetadas, bem como das categorias e do número aproximado de registos de dados pessoais afetados; 2) as consequências prováveis da violação de dados pessoais; 3) as medidas tomadas ou propostas pelo responsável pelo tratamento para remediar a violação de dados pessoais e, se for caso disso, medidas para mitigar os seus possíveis efeitos adversos. Se e na medida em que não for possível fornecer todas estas informações ao mesmo tempo, a notificação inicial conterá as informações disponíveis nesse momento, e as informações adicionais serão fornecidas posteriormente, sem demora injustificada, assim que estiverem disponíveis; c) no cumprimento da obrigação prevista no artigo 34.º do Regulamento (UE) 2016/679 de notificar a pessoa em causa da violação de dados pessoais sem demora injustificada, quando essa violação for suscetível de implicar um elevado risco para os direitos e liberdades das pessoas singulares. 9.2 Violação da proteção de dados tratados pelo subcontratante Em caso de violação de dados pessoais relacionada com os dados tratados pelo subcontratante, este notifica-a ao responsável pelo tratamento sem demora injustificada após tomar conhecimento da violação. Essa notificação deve incluir, no mínimo, as seguintes informações: a) uma descrição da natureza da violação (se possível, com indicação das categorias e do número aproximado de pessoas afetadas e do número aproximado de registos de dados afetados); b) os dados de contacto de um ponto de contacto onde possam ser obtidas mais informações sobre a violação de dados pessoais; c) as consequências prováveis e as medidas tomadas ou propostas para remediar a violação de dados pessoais, incluindo medidas para mitigar os seus possíveis efeitos adversos. Se e na medida em que não for possível fornecer todas estas informações ao mesmo tempo, a notificação inicial conterá as informações disponíveis nesse momento, e as informações adicionais serão fornecidas posteriormente, sem demora injustificada, assim que estiverem disponíveis. As partes estabelecem no anexo III todas as outras informações que o subcontratante deve fornecer para ajudar o responsável pelo tratamento a cumprir as suas obrigações nos termos dos artigos 33.º e 34.º do Regulamento (UE) 2016/679. Cláusula 10 – Violação das cláusulas e rescisão do contrato a) Se o subcontratante não cumprir as suas obrigações ao abrigo das presentes cláusulas, o responsável pelo tratamento pode – sem prejuízo das disposições do Regulamento (UE) 2016/679 e/ou do Regulamento (UE) 2018/1725 – instruir o subcontratante a suspender o tratamento de dados pessoais até que este cumpra as presentes cláusulas ou o contrato seja rescindido. O subcontratante informa imediatamente o responsável pelo tratamento se, por qualquer motivo, não puder cumprir as presentes cláusulas. b) O responsável pelo tratamento tem o direito de rescindir o contrato, na medida em que este diga respeito ao tratamento de dados pessoais ao abrigo das presentes cláusulas, se 1) o responsável pelo tratamento tiver suspendido o tratamento de dados pessoais pelo subcontratante nos termos da alínea a) e o cumprimento das presentes cláusulas não tiver sido restabelecido dentro de um prazo razoável, mas em qualquer caso no prazo de um mês após a suspensão; 2) o subcontratante violar de forma substancial ou contínua as presentes cláusulas ou não cumprir as suas obrigações ao abrigo do Regulamento (UE) 2016/679 e/ou do Regulamento (UE) 2018/1725; 3) o subcontratante não cumprir uma decisão vinculativa de um tribunal competente ou da(s) autoridade(s) de controlo competente(s) relativa às suas obrigações ao abrigo das presentes cláusulas, do Regulamento (UE) 2016/679 e/ou do Regulamento (UE) 2018/1725. c) O subcontratante tem o direito de rescindir o contrato, na medida em que este diga respeito ao tratamento de dados pessoais ao abrigo das presentes cláusulas, se o responsável pelo tratamento insistir no cumprimento das suas instruções depois de ter sido informado pelo subcontratante de que as suas instruções violam os requisitos legais aplicáveis nos termos da cláusula 7.1, alínea b). d) Após a rescisão do contrato, o subcontratante, por escolha do responsável pelo tratamento, apaga todos os dados pessoais tratados por conta do responsável pelo tratamento e certifica ao responsável pelo tratamento que tal foi feito, ou devolve todos os dados pessoais ao responsável pelo tratamento e apaga as cópias existentes, a menos que o direito da União ou dos Estados-Membros exija a conservação dos dados pessoais. Até que os dados sejam apagados ou devolvidos, o subcontratante continua a garantir o cumprimento das presentes cláusulas. Anexo I – Lista das partes A. Responsável pelo tratamento O responsável pelo tratamento é o utilizador do serviço, de acordo com os termos de utilização. B. Subcontratante Nome: Trusted Shops SE Endereço: Subbelrather Str. 15C, 50823 Köln E-mail: privacy@trustedshops.com Anexo II – Descrição do tratamento A. Categorias de pessoas em causa Pessoas publicadas no website (diretores executivos, DPO, responsáveis editoriais); funcionários do responsável pelo tratamento. B. Categorias de dados pessoais tratados Nome; endereço; endereço de e-mail; número de telefone. C. Natureza do tratamento Quando um URL de um website é fornecido para a Auditoria de Confiança de IA, o subcontratante acede automaticamente às páginas publicamente acessíveis do domínio auditado e analisa o seu conteúdo. No processo, também podem ser tratados dados pessoais que o próprio operador do website aí publicou. D. Finalidades do tratamento Criação e exibição do resultado da auditoria, realização da auditoria do website encomendada. E. Duração do tratamento Corresponde à duração da utilização do serviço. Anexo III – Medidas técnicas e organizacionais Aplicam-se as medidas técnicas e organizacionais da Trusted Shops SE. A Trusted Shops publica sempre as MTO atuais em https://help.etrusted.com/hc/de/articles/360021040178. Anexo IV – Outros subcontratantes Lovable Labs Incorporate — Fornecedor de SaaS como plataforma técnica para a realização da análise — Duração do tratamento: Corresponde à duração da utilização do serviço.