Acordo de subcontratação de dados (DPA)

1. Objeto e enquadramento legal

Este Acordo de subcontratação de dados (doravante, «DPA») regula o tratamento de dados pessoais que a Alastia SLU («o Subcontratante» ou «Tributs») efetua por conta do Cliente («o Responsável pelo tratamento») no âmbito da prestação do serviço Tributs.

É celebrado em cumprimento do artigo 31 da Llei 29/2021, de 28 de outubro, qualificada de proteção de dados pessoais (LQPD), que exige que todo o tratamento por conta de outrem seja regulado por contrato. Faz parte integrante das Condições do serviço e prevalece sobre estas no que respeita ao tratamento de dados pessoais de terceiros.

2. Papéis das partes

O Cliente é o responsável pelo tratamento dos dados pessoais de terceiros (os seus clientes, fornecedores, funcionários e contactos) que introduz ou carrega no serviço. Determina as finalidades e os meios do tratamento.

A Alastia SLU é o subcontratante: trata esses dados unicamente para prestar o serviço e seguindo as instruções documentadas do Responsável pelo tratamento. (Para os dados da conta e da faturação da subscrição, pelo contrário, a Alastia é responsável pelo tratamento: ver a Política de privacidade.)

3. Objeto, duração, natureza e finalidade

Objeto: o tratamento de dados pessoais necessário para prestar o serviço Tributs (gestão contabilística, fiscal, de faturação, bancária e de salários).

Duração: enquanto a subscrição estiver em vigor, acrescida do período de conservação e das operações de devolução ou eliminação previstas na secção 11.

Natureza e finalidade: armazenamento, organização, consulta, cálculo, geração de documentos e declarações, extração de dados de faturas e comunicação aos subcontratantes subsequentes indicados, sempre para a prestação do serviço e nunca para finalidades próprias do Subcontratante.

4. Tipos de dados e categorias de titulares dos dados

Categorias de titulares dos dados: clientes, fornecedores, funcionários, administradores e contactos do Responsável pelo tratamento.

Tipos de dados: identificativos (nome, NRT/NIF), de contacto (morada, correio eletrónico, telefone), económicos e bancários (IBAN, meios de pagamento, movimentos), fiscais (faturas, bases, retenções) e, no caso dos salários, dados laborais e de contribuição (salário, número de afiliação à CASS, retenções IRPF/IRNR). O serviço não está concebido para tratar categorias especiais de dados; o Responsável pelo tratamento abstém-se de as introduzir.

5. Obrigações do Subcontratante (art. 31.4 LQPD)

a) Instruções: tratará os dados unicamente seguindo as instruções documentadas do Responsável pelo tratamento (incluindo as relativas a transferências internacionais), salvo se uma obrigação legal exigir o contrário; nesse caso informará o Responsável pelo tratamento. Se considerar que uma instrução infringe a regulamentação, comunicá-lo-á sem demora.

b) Confidencialidade: garantirá que as pessoas autorizadas a tratar os dados se comprometeram a respeitar a sua confidencialidade.

c) Segurança: aplicará as medidas técnicas e organizativas adequadas exigidas pelo art. 35 da LQPD (ver a secção 7).

d) Subcontratantes subsequentes: respeitará as condições da secção 8 para recorrer a outros subcontratantes.

e) Assistência — direitos: assistirá o Responsável pelo tratamento, na medida do possível e com medidas técnicas e organizativas adequadas, para que possa atender aos pedidos de exercício de direitos dos titulares dos dados (Capítulo 3 da LQPD).

f) Assistência — conformidade: ajudará o Responsável pelo tratamento a cumprir as obrigações de avaliação de impacto, segurança e notificação de violações (arts. 32, 35, 36 e 37 da LQPD).

g) Eliminação ou devolução: à escolha do Responsável pelo tratamento, eliminará ou devolver-lhe-á os dados no final do serviço (secção 11).

h) Auditoria: disponibilizará ao Responsável pelo tratamento a informação necessária para demonstrar o cumprimento e permitirá auditorias (secção 12).

6. Confidencialidade

O Subcontratante e o seu pessoal manterão a confidencialidade dos dados mesmo após o fim da relação. O acesso do pessoal limita-se ao estritamente necessário para prestar o serviço.

7. Medidas de segurança

O Subcontratante aplica, entre outras: cifragem em trânsito (TLS 1.3); isolamento físico dos dados de cada empresa cliente numa base de dados própria (modelo multi-site); controlo de acesso com autenticação de duplo fator para o pessoal interno; cópias de segurança periódicas com retenção rotativa; e registo de acessos. As medidas adequam-se ao risco e podem ser atualizadas para manter um nível de proteção equivalente ou superior.

8. Subcontratantes subsequentes

O Responsável pelo tratamento autoriza de forma geral que o Subcontratante recorra a subcontratantes subsequentes para prestar o serviço. A lista em vigor e atualizada dos subcontratantes subsequentes —com a identidade, a finalidade, a localização e a garantia de cada um, e a data de versão— é publicada e mantida nessa página. Cada um tem assinado um contrato que lhe impõe as mesmas obrigações de proteção de dados (art. 31.5 LQPD), e o Subcontratante responde perante o Responsável pelo tratamento pelo seu cumprimento.

Informaremos o Responsável pelo tratamento de qualquer adição ou substituição de subcontratantes subsequentes com pelo menos 30 dias de antecedência, publicando a versão atualizada na lista e notificando-o por email. Durante esse prazo o Responsável pelo tratamento pode opor-se por motivos razoáveis relacionados com a proteção de dados (art. 31.3 LQPD); se a oposição for fundamentada e não existir uma alternativa razoável, poderá resolver o serviço sem penalização pela parte não consumida.

9. Transferências internacionais

Andorra é um país com nível de proteção adequado reconhecido pela União Europeia (Decisão 2010/625/UE da Comissão, de 19 de outubro de 2010, confirmada na revisão de 2024). Por conseguinte, um Responsável pelo tratamento estabelecido na UE/EEE pode confiar o tratamento à Alastia SLU sem necessidade de garantias adicionais, como se fosse uma transmissão intracomunitária.

Quando um subcontratante subsequente estiver fora do EEE (por exemplo, nos Estados Unidos), a transferência é efetuada ao abrigo das cláusulas contratuais-tipo (SCCs) aprovadas pela Comissão Europeia e outras garantias adequadas (arts. 42 a 45 da LQPD), tal como se indica na lista de subcontratantes subsequentes (secção 8).

10. Violações da segurança

Se o Subcontratante tiver conhecimento de uma violação da segurança que afete dados tratados por conta do Responsável pelo tratamento, notificá-lo-á sem demora (art. 36.2 LQPD), com o objetivo prático de o fazer num máximo de 48 horas, prestando a informação de que disponha para que o Responsável pelo tratamento possa cumprir, se for o caso, a sua obrigação de notificar a APDA no prazo máximo de 72 horas (art. 36.1) e, quando aplicável, os titulares dos dados (art. 37).

11. Devolução ou eliminação no final

No final da prestação do serviço, e à escolha do Responsável pelo tratamento, o Subcontratante devolver-lhe-á os dados em formato padrão (CSV para dados estruturados, PDF/imagem para anexos) ou eliminá-los-á, juntamente com as cópias existentes, salvo se uma obrigação legal exigir a sua conservação. O Responsável pelo tratamento dispõe de ferramentas de exportação autónoma antes do encerramento da conta.

12. Auditoria e informação

O Subcontratante disponibilizará ao Responsável pelo tratamento a informação necessária para comprovar o cumprimento do art. 31 da LQPD e permitirá e contribuirá para auditorias, incluindo inspeções, realizadas pelo Responsável pelo tratamento ou por um auditor por este designado, mediante um pré-aviso razoável e respeitando a confidencialidade e a segurança dos restantes clientes.

13. Responsabilidade

Cada parte responde pelo incumprimento das obrigações que lhe correspondem nos termos da LQPD e do presente DPA. A limitação de responsabilidade das Condições do serviço aplica-se também a este acordo, na medida permitida por lei e sem afetar os direitos dos titulares dos dados perante a autoridade de controlo.

14. Contacto e autoridade de controlo

Questões sobre este acordo: hola@tributs.ad. A autoridade de controlo competente é a Agència Andorrana de Protecció de Dades (APDA): www.apda.ad.