Contrato de Subcontratação

ao abrigo do Art. 28.º do RGPD – entre o Responsável pelo Tratamento e a AX1S / AIGOY (Subcontratante)

§ 1 Objeto e duração

Tratamento de dados pessoais pelo Subcontratante por conta do Responsável pelo Tratamento no contexto da disponibilização da plataforma AIGOY (Governação de IA, Risco e Compliance). O prazo corresponde ao contrato principal e termina com a sua cessação.

§ 2 Natureza, âmbito e finalidade

Disponibilização da plataforma AIGOY e dos seus módulos (Inventário de IA, Gestão de Risco, Gestão de Políticas, Reporte de Compliance, Portal da Administração, Centro de Formação, Denúncia de Irregularidades) e elaboração assistida por IA de políticas e avaliações de risco pelo Compliance CoWorker “Felix” segundo o princípio dos quatro olhos. Tratamento exclusivamente para a prestação dos serviços e segundo as instruções documentadas do Responsável pelo Tratamento.

§ 3 Tipos de dados e categorias de titulares dos dados

Tipos de dados pessoais (típicos):

• Dados de base/de contacto (nome, e-mail profissional, departamento, função)
• Dados de autenticação (palavra-passe codificada por hash, data/hora de início de sessão, token de sessão)
• Dados de utilização e de registo da plataforma (incl. trilho de auditoria)
• Dados de formação/competências (progresso nos módulos, certificados)
• Dados de conteúdo introduzidos pelo Responsável pelo Tratamento (p. ex. políticas, riscos, relatórios)

Categorias de titulares dos dados: os colaboradores, quadros dirigentes e responsáveis do Responsável pelo Tratamento, utilizadores da plataforma e, se aplicável, terceiros cujos dados o Responsável pelo Tratamento introduz no âmbito dos seus processos de compliance.

As categorias especiais (Art. 9.º do RGPD) não fazem parte da utilização prevista; a sua introdução é da exclusiva responsabilidade do Responsável pelo Tratamento e deve ser evitada.

§ 4 Obrigações do Subcontratante

Nos termos do Art. 28.º, n.º 3, do RGPD, o Subcontratante compromete-se, em particular, a:

1. tratar os dados apenas segundo as instruções documentadas do Responsável pelo Tratamento (incl. transferências para países terceiros, salvo exigência legal).
2. assegurar que as pessoas autorizadas a tratar os dados estão sujeitas a um dever de confidencialidade.
3. aplicar as medidas técnicas e organizativas exigidas ao abrigo do Art. 32.º do RGPD (Anexo 1).
4. cumprir as condições para recorrer a outros subcontratantes (Art. 28.º, n.os 2 e 4) (§ 6, Anexo 2).
5. apoiar o Responsável pelo Tratamento no cumprimento dos direitos dos titulares dos dados (Art. 12.º a 23.º).
6. apoiar o Responsável pelo Tratamento nas obrigações ao abrigo dos Art. 32.º a 36.º (segurança, notificação de violações, AIPD).
7. apagar ou devolver os dados pessoais após o termo do tratamento, à escolha do Responsável pelo Tratamento (§ 10).
8. apresentar provas de conformidade e permitir auditorias (§ 9).

§ 5 Medidas técnicas e organizativas (MTO)

Aplicam-se as MTO constantes do Anexo 1 (Art. 32.º do RGPD). As medidas podem ser adaptadas ao progresso técnico, desde que o nível de proteção não seja reduzido.

§ 6 Subcontratantes

O Responsável pelo Tratamento concede autorização geral para os subcontratantes enumerados no Anexo 2. O Subcontratante celebra com eles contratos ao abrigo do Art. 28.º do RGPD que impõem obrigações equivalentes. As alterações são comunicadas com antecedência; o Responsável pelo Tratamento pode opor-se por motivos relevantes de proteção de dados. Para as transferências para países terceiros, aplicam-se garantias adequadas (Cláusulas Contratuais-Tipo ao abrigo do Art. 46.º, n.º 2, alínea c), do RGPD ou o Quadro de Proteção de Dados UE-EUA).

§ 7 Direitos dos titulares dos dados

O Subcontratante apoia o Responsável pelo Tratamento na resposta aos pedidos dos titulares dos dados e reencaminha sem demora indevida quaisquer pedidos que lhe sejam dirigidos diretamente.

§ 8 Notificação de violações de dados pessoais

O Subcontratante notifica o Responsável pelo Tratamento sem demora indevida após tomar conhecimento de uma violação de dados pessoais, com as informações exigidas ao abrigo do Art. 33.º do RGPD, para que o Responsável pelo Tratamento possa cumprir as suas obrigações ao abrigo dos Art. 33.º e 34.º do RGPD.

§ 9 Direitos de auditoria e de prova

As provas são fornecidas principalmente através de documentação adequada (p. ex. SOC 2 Type II da infraestrutura utilizada, relatórios de auditoria, documentação das MTO). Quando necessário, o Subcontratante possibilita auditorias com pré-aviso razoável e sem perturbação desproporcionada.

§ 10 Eliminação e devolução

Após o termo do tratamento, o Subcontratante apaga ou devolve todos os dados pessoais à escolha do Responsável pelo Tratamento e destrói as cópias, salvo se for aplicável uma obrigação legal de conservação. A eliminação é confirmada mediante pedido.

§ 11 Responsabilidade

A responsabilidade rege-se pelo Art. 82.º do RGPD e pelo contrato principal.

§ 12 Disposições finais

As alterações exigem forma escrita. Em caso de conflito, as disposições de proteção de dados deste contrato prevalecem sobre o contrato principal. Aplica-se o direito alemão.

Anexo 1 – Medidas técnicas e organizativas (Art. 32.º do RGPD)

A AIGOY é desenvolvida na Alemanha, alojada na Alemanha e apoiada a partir da Alemanha.

Anexo 2 – Subcontratantes aprovados

Última atualização: maio de 2026. Este modelo é um ponto de partida e não constitui aconselhamento jurídico. Adapte-o ao caso concreto e submeta-o a revisão jurídica antes de o utilizar. Uma lista atualizada de subcontratantes está publicada na página Confiança e Segurança.