Acordo de subcontratação

1. Partes

• Responsável pelo tratamento: a organização cliente registada na Sourevo (importador, operador, comerciante ou transitário / mandatário). Decide que dados carrega e para quê.
• Subcontratante: Juan Cantón Rodríguez (NIF espanhol 45492167F), Carrer de Pau Casals 19, 4º 2ª, 08213 Polinyà (Barcelona), España, que opera sob a marca «Francodesystems».

Este acordo abrange os dados que a sua organização introduz, importa ou recebe na ferramenta para a sua diligência devida, incluindo os dados do operador para o TRACES NT e o conteúdo das declarações. Os dados das contas de utilizador e os que os fornecedores gerem no seu próprio portal são tratados por nós como responsáveis pelo tratamento, nos termos da política de privacidade. Quando um fornecedor partilha uma parcela consigo, a utilização que dela faz na sua diligência devida fica abrangida por este acordo.

Se a sua organização tratar, por sua vez, esses dados por conta de outra empresa (por exemplo, um transitário ou mandatário que trabalha para um operador), este acordo funciona como subcontratação ulterior: garante que esse responsável lhe permite recorrer a nós e transmitir-lhe-á a informação deste documento de que necessite.

2. Objeto, dados e duração

• Categorias de titulares dos dados: fornecedores e produtores que sejam pessoas singulares (incluindo pequenos produtores), pessoas de contacto de fornecedores e de operadores, e pessoas que figurem nas provas documentais que carrega.
• Categorias de dados: nome, endereço de correio eletrónico, telefone, país, identificação fiscal, geolocalização e superfície das parcelas (ponto ou polígono), documentos de prova, dados do operador e da respetiva pessoa de contacto, e o conteúdo das declarações (DDS). As credenciais de serviço web do TRACES NT não são utilizadas para nada além das operações que ordenar e são guardadas cifradas.
• Natureza do tratamento: alojamento, registo, organização, consulta, validação, transmissão para o TRACES NT por sua instrução, consulta de identificações fiscais em registos públicos, conservação e apagamento.
• Finalidade: prestar-lhe o serviço descrito nas condições, para que possa preparar, apresentar e documentar a sua diligência devida nos termos do Regulamento (UE) 2023/1115.
• Duração: enquanto durar a sua conta, acrescida do período de conservação previsto no ponto 8.

Não são tratadas categorias especiais de dados do artigo 9.º do RGPD. Se carregar dados que não sejam necessários para a diligência devida, a decisão e a responsabilidade são suas.

3. Instruções

Tratamos os dados apenas de acordo com as suas instruções documentadas, que são estas condições e as ações que realiza na aplicação ou através da integração: por exemplo, ordenar a apresentação de uma DDS no TRACES NT é uma instrução para transmitir esses dados à Comissão Europeia. Se uma instrução nos parecer contrária ao RGPD ou a outra norma, informá-lo-emos de imediato.

Só trataríamos os dados de outra forma se o direito da União ou de Espanha a isso nos obrigasse. Nesse caso, informá-lo-emos previamente, salvo se essa mesma norma o proibir.

Não utilizamos os dados para fins próprios: nem para definição de perfis, nem para treinar modelos, nem para os vender, nem para os oferecer a outros clientes.

4. A que nos obrigamos

• Guardar sigilo e exigi-lo a qualquer pessoa que aceda aos dados, também após o termo do acordo.
• Aplicar as medidas de segurança do artigo 32.º do RGPD (ver o ponto 6).
• Ajudá-lo a dar resposta aos pedidos dos titulares dos dados. Se recebermos um pedido de um titular dos dados seu, reencaminhamo-lo para si sem responder por nossa conta.
• Avisá-lo de uma violação de dados pessoais sem demora injustificada e, em todo o caso, nas 24 horas seguintes a termos conhecimento dela, com o que soubermos nesse momento (o que aconteceu, que dados e titulares podem estar afetados, consequências prováveis e medidas tomadas), e completar a informação posteriormente, para que possa notificar a autoridade dentro das suas 72 horas (artigo 33.º do RGPD).
• Ajudá-lo, no que de nós dependa, em avaliações de impacto e consultas prévias.
• Manter o registo das atividades de tratamento enquanto subcontratantes (artigo 30.º, n.º 2, do RGPD).
• Disponibilizar-lhe a informação necessária para demonstrar o cumprimento e permitir auditorias razoáveis, com aviso prévio e sem comprometer a segurança nem os dados de outros clientes.
• Não transferir dados para fora do Espaço Económico Europeu, exceto para os subcontratantes ulteriores do ponto 5 e com as garantias aí indicadas.

5. Subcontratantes ulteriores

Autoriza-nos, de forma geral, a recorrer aos seguintes subcontratantes ulteriores, com os quais temos contratos que impõem obrigações equivalentes às deste acordo:

Não são subcontratantes ulteriores, mas sim destinatários por sua instrução: a Comissão Europeia (TRACES NT), que recebe as declarações que apresenta e as trata como responsável pelo tratamento, e os registos fiscais públicos (VIES da Comissão Europeia, registo do CNPJ do Brasil) que consultamos para validar identificações fiscais.

Se acrescentarmos ou substituirmos um subcontratante ulterior, avisá-lo-emos com, pelo menos, 30 dias de antecedência. Pode opor-se por motivos razoáveis; se não encontrarmos uma alternativa, pode resolver o contrato sem penalização.

Respondemos perante si pelo cumprimento, por parte dos nossos subcontratantes ulteriores, das respetivas obrigações de proteção de dados (artigo 28.º, n.º 4, do RGPD).

6. Medidas de segurança

• Cifragem em trânsito (HTTPS) e credenciais do TRACES NT cifradas em repouso com AES-256-GCM.
• Palavras-passe com hash argon2id e sessões assinadas em cookies HttpOnly e Secure.
• Isolamento por organização em cada consulta e visibilidade de cada parcela controlada pelo fornecedor.
• Registo de auditoria e histórico de declarações apenas de adição.
• Limitação de tentativas de acesso e acesso do pessoal limitado ao mínimo necessário.
• Cópias de segurança da base de dados, guardadas dentro da União Europeia.

Revemos estas medidas quando o serviço ou o risco mudam. Se alguma delas mudar, manteremos pelo menos o mesmo nível de proteção.

7. O que compete à sua organização

• Dispor de fundamento jurídico para os dados que carrega e informar os titulares dos dados (artigo 14.º do RGPD), em particular os produtores cuja geolocalização vai incluir numa DDS apresentada à Comissão Europeia.
• Zelar pela exatidão dos dados e rever cada declaração antes de a apresentar.
• Gerir quem, na sua organização, tem acesso e com que função.
• Incluir-nos como subcontratante no seu registo das atividades de tratamento.

8. No termo do acordo

No termo da relação, dispõe de, pelo menos, 30 dias para nos pedir a devolução dos dados num formato estruturado (GeoJSON, CSV ou JSON, e os ficheiros de prova). Depois disso, apagamo-los, com duas exceções:

• O arquivo de declarações apresentadas e a respetiva documentação. Salvo indicação em contrário, ao aceitar este acordo dá-nos a instrução de o conservar bloqueado até perfazer 5 anos a contar de cada apresentação, para que o possa entregar se uma autoridade lho pedir durante o prazo de conservação que o EUDR lhe impõe (artigos 4.º, n.º 3, e 12.º, n.º 5). Pode indicar-nos por escrito que o apaguemos antes, depois de ter a sua cópia.
• O que o direito da União ou de Espanha nos obrigue a conservar, também bloqueado.

Durante o bloqueio, os dados não são utilizados para nada, exceto para atender o seu pedido ou um pedido de uma autoridade ou de um tribunal.

9. Responsabilidade e contacto

Cada parte responde pelas suas obrigações nos termos do artigo 82.º do RGPD, com as limitações das condições de utilização e contratação, na medida em que a lei o permita.

Para qualquer questão sobre este acordo, uma auditoria ou a assinatura de um contrato específico, se o seu departamento jurídico o preferir: juan.canton@sourevo.com.