Acordo de Tratamento de Dados

1. Introdução

O presente Acordo de Tratamento de Dados ("DPA") faz parte do acordo de subscrição principal celebrado entre a Labb Holding Ltd, uma sociedade privada cipriota de responsabilidade limitada por ações, com sede social em Anthipolochagou Georgiou M.Savva 26, Shop 1-2, 8201 Paphos, Cyprus, registada sob o número HE 424230 (que opera a plataforma PersoHR, o "Subcontratante"), e o cliente (o "Responsável pelo Tratamento"). O DPA rege o tratamento de dados pessoais que o Subcontratante efetua por conta do Responsável pelo Tratamento no âmbito da plataforma PersoHR e foi concebido para cumprir o Regulamento (UE) 2016/679 (o "RGPD"). Em caso de conflito entre qualquer disposição do presente DPA e o acordo principal, prevalece o presente DPA em matéria de tratamento de dados pessoais. Os termos iniciados por maiúscula utilizados mas não definidos no presente documento têm o significado que lhes é atribuído no acordo principal ou, quando aplicável, no RGPD.

2. Objeto, duração, natureza e finalidade

O Subcontratante trata dados pessoais com a finalidade exclusiva de prestar o serviço de gestão de RH PersoHR. O tratamento abrange a gestão de registos de colaboradores, férias e ausências, onboarding, offboarding, registo de tempo, preparação do processamento salarial, avaliações de desempenho, recrutamento, armazenamento de documentos, comunicação interna e outros fluxos de trabalho de RH configurados pelo Responsável pelo Tratamento. O tratamento inclui a recolha, o registo, a organização, a conservação, a consulta, a utilização, a divulgação autorizada, a exportação e o apagamento para estes serviços. O presente DPA continua a proteger os dados pessoais do cliente enquanto forem conservados, incluindo durante um procedimento acordado de devolução ou apagamento nos termos da secção 13. O tratamento para as finalidades próprias do PersoHR, descrito na Política de Privacidade, é distinto desta relação de subcontratação. O Responsável pelo Tratamento reconhece que o âmbito e a profundidade exatos do tratamento dependem dos módulos e da configuração que o Responsável pelo Tratamento decida ativar.

3. Categorias de dados pessoais

As categorias de dados pessoais tratados dependem da configuração da plataforma pelo Responsável pelo Tratamento e podem incluir: dados mestre do pessoal (nome, contactos, morada postal, data de nascimento, fotografia, contactos de emergência); dados mestre da relação laboral (cargo, departamento, tipo de vínculo, datas de início e de fim, horário de trabalho, chefia, situação de deficiência); conteúdo de documentos (contratos de trabalho, certificações, documentos de identificação, outros ficheiros carregados pelo Responsável pelo Tratamento); dados de desempenho e desenvolvimento (objetivos, avaliações, feedback, registos de formação); dados de férias e ausências (pedidos, saldos, feriados); dados de registo de tempo (registos de entrada / saída, folhas de horas, horas extraordinárias); dados de preparação do processamento salarial (registos salariais, IBAN quando fornecido, identificadores fiscais e de segurança social quando fornecidos, nacionalidade, género, estado civil, número de filhos, local de nascimento, entidade e tipo de seguro de saúde, confissão religiosa para efeitos de imposto eclesiástico); dados de recrutamento (candidaturas, CV, notas de entrevista, referências); dados de comunicação e de chat; dados de autenticação e segurança (datas e horas de início de sessão, endereços IP, informações de user-agent do navegador/dispositivo e registos de sessões de dispositivos, estado da autenticação de dois fatores); e quaisquer outros dados pessoais que o Responsável pelo Tratamento decida carregar ou gerar na plataforma. O tratamento pode também incluir conteúdo de assinaturas eletrónicas e provas de assinatura. A confissão religiosa para efeitos de imposto eclesiástico pode revelar a religião. A situação de deficiência, as ausências por doença e os registos de atestados médicos podem revelar dados de saúde, mesmo sem documentos médicos carregados. Quando sejam tratadas categorias especiais de dados, o Responsável pelo Tratamento tem de estabelecer um fundamento do artigo 6.º e uma condição aplicável do artigo 9.º e dar instruções ao Subcontratante sobre as salvaguardas necessárias. Os dados relativos a condenações penais exigem as condições do artigo 10.º e não podem ser fornecidos sem um regime de tratamento acordado, lícito e suportado. O Subcontratante continua responsável pelas suas próprias obrigações aplicáveis em matéria de proteção de dados e de segurança.

4. Categorias de titulares dos dados

As categorias de titulares dos dados, relativamente ao Responsável pelo Tratamento e a quaisquer entidades afiliadas que o Responsável pelo Tratamento decida administrar através da plataforma, incluem normalmente: colaboradores atuais, prestadores de serviços, trabalhadores independentes e outro pessoal, incluindo trabalhadores menores de 18 anos quando legalmente empregados; antigos colaboradores, prestadores de serviços e pessoal; requerentes e candidatos em processos de recrutamento ativos ou anteriores; e dependentes ou contactos de emergência indicados por qualquer das pessoas anteriores. O Responsável pelo Tratamento é responsável pela licitude da inclusão de qualquer titular dos dados específico no âmbito do tratamento.

5. Instruções e direito de recusa

O Subcontratante tratará os dados pessoais apenas mediante instruções documentadas do Responsável pelo Tratamento, incluindo no que respeita a transferências internacionais, salvo se for obrigado a proceder de outro modo pelo direito da União ou de um Estado-Membro (caso em que o Subcontratante informará o Responsável pelo Tratamento antes do tratamento, exceto se esse direito proibir tal informação por motivos importantes de interesse público). O Responsável pelo Tratamento designa as pessoas exclusivamente autorizadas a emitir instruções de tratamento através da plataforma; na falta dessa designação, apenas as pessoas singulares autorizadas a representar legalmente o Responsável pelo Tratamento podem emitir instruções. Se o Subcontratante considerar razoavelmente que uma instrução viola o RGPD ou outra legislação aplicável em matéria de proteção de dados, informará imediatamente o Responsável pelo Tratamento e pode suspender a execução dessa instrução até que a questão seja resolvida entre as partes.

6. Confidencialidade

O Subcontratante assegura que qualquer pessoa singular autorizada a tratar dados pessoais em seu nome está sujeita a uma obrigação de confidencialidade, seja por contrato, seja por dever legal. Cada parte compromete-se ainda a manter confidenciais quaisquer informações não públicas que receba da outra parte no âmbito do presente DPA, incluindo o conteúdo de auditorias, documentação de segurança e relatórios de incidentes, e a utilizar essas informações exclusivamente para a execução do contrato principal e do presente DPA. Excluem-se as informações que sejam do conhecimento público, que tenham sido desenvolvidas de forma independente sem utilização das informações confidenciais da parte divulgadora, que tenham sido licitamente recebidas de um terceiro sem obrigação de confidencialidade ou cuja divulgação seja exigida por um processo legal vinculativo. As obrigações gerais de confidencialidade subsistem durante cinco anos após a cessação. As obrigações de proteção dos dados pessoais mantêm-se enquanto esses dados forem conservados, incluindo quando se aplique um dever legal de duração superior.

7. Segurança do tratamento (artigo 32.º)

O Subcontratante aplica e mantém medidas técnicas e organizativas adequadas ao risco, tendo em conta os fatores referidos no artigo 32.º do RGPD. As salvaguardas da aplicação incluem controlos de acesso baseados em funções e circunscritos ao tenant, tokens de autenticação com validade limitada, autenticação de dois fatores obrigatória para as funções de Proprietário e Administrador de RH, encriptação de determinados campos sensíveis e registos de auditoria para as ações suportadas. O anexo de segurança em /legal/security descreve estas salvaguardas. As obrigações do Subcontratante de assegurar proteção, disponibilidade e recuperação adequadas não se limitam às funcionalidades aqui enumeradas. As atualizações das medidas não podem reduzir substancialmente o nível geral de segurança.

8. Subcontratantes ulteriores

O Responsável pelo Tratamento autoriza o Subcontratante a recorrer aos subcontratantes ulteriores enumerados em /legal/sub-processors. O Subcontratante informará o Responsável pelo Tratamento por escrito (incluindo por email) com uma antecedência mínima de 30 dias antes de acrescentar ou substituir um subcontratante ulterior. O Responsável pelo Tratamento pode opor-se com fundamentos razoáveis relativos à proteção de dados no prazo de 14 dias a contar dessa notificação; na falta de oposição atempada, a alteração considera-se aprovada. Se as partes não conseguirem resolver uma oposição justificada num prazo adicional de 30 dias, qualquer das partes pode resolver o acordo principal mediante notificação escrita, sem qualquer outra responsabilidade, caso em que o Responsável pelo Tratamento tem direito ao reembolso proporcional de quaisquer taxas pagas antecipadamente que cubram o período remanescente não utilizado da subscrição. O Subcontratante celebra com cada subcontratante ulterior acordos escritos que impõem obrigações de proteção de dados equivalentes às do presente DPA e continua a ser responsável pelos atos e omissões dos seus subcontratantes ulteriores.

9. Assistência no exercício dos direitos dos titulares dos dados

O Subcontratante assiste o Responsável pelo Tratamento, tendo em conta a natureza do tratamento e na medida do possível, na resposta a pedidos apresentados ao abrigo do capítulo III do RGPD. A aplicação disponibiliza ferramentas de exportação, retificação e apagamento de dados com restrições de função e de âmbito. Estas ferramentas assistem o Responsável pelo Tratamento, mas não determinam se um pedido individual deve ser deferido. A portabilidade prevista no artigo 20.º limita-se aos dados fornecidos pela pessoa e tratados por meios automatizados com fundamento no consentimento ou num contrato; outros registos podem estar abrangidos pelo direito de acesso do artigo 15.º. O Subcontratante presta assistência adicional razoável quando as ferramentas forem insuficientes. Os pedidos relativos ao tratamento de RH do Responsável pelo Tratamento recebidos diretamente de uma pessoa são reencaminhados para o Responsável pelo Tratamento sem demora injustificada.

Quando uma pessoa pede ao Subcontratante que elimine a sua conta pessoal PersoHR, o Subcontratante encerra a conta de imediato. Põe termo ao acesso da pessoa, elimina os dados da conta que detém na qualidade de responsável pelo tratamento (dados de início de sessão, definições de autenticação de dois fatores, sessões, preferências da conta e os pedidos de suporte que a pessoa fez na aplicação, com as respetivas capturas de ecrã) e elimina as conversas da pessoa com o assistente de IA, que a aplicação não mostra a mais ninguém. As cópias desses pedidos de suporte entregues na caixa de correio de suporte do Subcontratante, bem como outra correspondência com o Subcontratante, são conservadas conforme descrito na Política de Privacidade. Não apaga nem altera qualquer outro registo que o Responsável pelo Tratamento detenha sobre a pessoa. Regista o pedido na associação da pessoa a cada um dos espaços de trabalho do Responsável pelo Tratamento e notifica os proprietários e os administradores de RH do Responsável pelo Tratamento na aplicação e por email, sem demora injustificada. O Responsável pelo Tratamento decide se apaga os registos, utilizando a ferramenta de apagamento da aplicação, ou se os conserva, e responde à pessoa. O Subcontratante confirma o pedido à pessoa por email e informa-a por email quando o Responsável pelo Tratamento tiver registado a sua decisão na aplicação, ou quando os registos tiverem sido apagados porque o espaço de trabalho está a ser eliminado.

Os dados de identidade da conta da pessoa que os registos do Responsável pelo Tratamento utilizam (nome, endereço de email, data de nascimento e número de telefone) são conservados por conta do Responsável pelo Tratamento e de qualquer outro cliente cujos registos os utilizem, até que todas as associações da pessoa a espaços de trabalho tenham sido apagadas ou o respetivo espaço de trabalho eliminado, sendo então anonimizados. Uma associação apagada pode deixar registos que o Responsável pelo Tratamento é legalmente obrigado a conservar, como um registo de tempo de trabalho mantido em nome da pessoa, que seguem o seu próprio prazo de conservação. Os dados de identidade só são alterados mediante instrução de um Responsável pelo Tratamento: o Responsável pelo Tratamento pode acrescentar na aplicação uma data de nascimento em falta, e qualquer outra correção é efetuada pelo suporte do Subcontratante. O Subcontratante utiliza-os para escrever à pessoa apenas para a confirmação e a notificação da decisão acima descritas, para avisos que o Responsável pelo Tratamento é legalmente obrigado a dar e para o arquivo final descrito abaixo. Uma conta encerrada não pode ser reaberta, e o seu endereço de email não pode ser utilizado para uma nova conta nem convidado para um espaço de trabalho até que todas as associações da pessoa a espaços de trabalho tenham sido apagadas ou o respetivo espaço de trabalho eliminado.

Quando o Responsável pelo Tratamento tiver pedido a eliminação do seu espaço de trabalho, um pedido que esteja pendente quando o espaço de trabalho começa a ser encerrado, ou que chegue enquanto está a ser encerrado, é executado quando o arquivo final do espaço de trabalho estiver concluído (na execução noturna que se segue à conclusão, ou que se segue ao pedido quando o arquivo já estava concluído), ou quando o espaço de trabalho for eliminado, se isso ocorrer primeiro, para que os registos da pessoa façam parte de qualquer arquivo final que o Responsável pelo Tratamento receba. A cópia do arquivo final detida pelo Subcontratante é eliminada com o espaço de trabalho. Quando a pessoa for o contacto que o Responsável pelo Tratamento indicou para esse arquivo, o arquivo é enviado a outro proprietário do espaço de trabalho que ainda possa iniciar sessão, e só é enviado para o endereço da pessoa quando não exista nenhum. Quando a pessoa for o único proprietário de um espaço de trabalho que não está a ser eliminado, o pedido não pode ser concluído até que o espaço de trabalho tenha outro proprietário ativo ou um administrador de RH ativo, ou até que o espaço de trabalho esteja a ser eliminado; quando exista um administrador de RH ativo, o Subcontratante torna proprietário o que tiver maior antiguidade, para que o Responsável pelo Tratamento mantenha um proprietário.

10. Notificação de violações de dados pessoais

O Subcontratante notifica o Responsável pelo Tratamento sem demora injustificada e, em qualquer caso, no prazo de 72 horas após ter conhecimento de uma violação de dados pessoais que afete os dados do Responsável pelo Tratamento, nos termos do artigo 33.º, n.º 2, do RGPD. As informações disponíveis incluem a natureza da violação, as categorias e o número aproximado de pessoas e de registos afetados, as consequências prováveis, os contactos e as medidas adotadas ou propostas. As informações podem ser prestadas por fases, sem demora injustificada adicional. O Subcontratante assiste o Responsável pelo Tratamento no cumprimento das suas obrigações de avaliação e notificação previstas nos artigos 33.º e 34.º. O prazo qualificado de 72 horas de que o Responsável pelo Tratamento dispõe para notificar a autoridade de controlo não constitui um período de espera para o Subcontratante.

11. AIPD e consulta prévia

O Subcontratante presta assistência ao Responsável pelo Tratamento, mediante pedido razoável, nas avaliações de impacto sobre a proteção de dados nos termos do artigo 35.º e nas consultas prévias às autoridades de controlo nos termos do artigo 36.º, tendo em conta a natureza do tratamento e as informações ao dispor do Subcontratante.

12. Auditorias e inspeções

O Subcontratante disponibiliza todas as informações necessárias para demonstrar o cumprimento do artigo 28.º do RGPD e permite e contribui para auditorias, incluindo inspeções, conduzidas pelo Responsável pelo Tratamento ou por um auditor por este mandatado. As partes acordam disposições razoáveis em matéria de pré-aviso, calendário, confidencialidade e proteção das informações de outros clientes. Relatórios independentes e documentação de segurança podem ajudar a demonstrar o cumprimento, mas não substituem os direitos legais de auditoria do Responsável pelo Tratamento. Os requisitos de calendarização, frequência e auditor não podem impedir uma auditoria exigida por lei, por uma autoridade de controlo, por uma violação de dados pessoais ou por motivos razoáveis para suspeitar de incumprimento. Cada parte suporta normalmente os seus próprios custos, salvo acordo em contrário ou exigência legal.

13. Devolução ou apagamento dos dados pessoais

Após o termo da prestação dos serviços de tratamento, o Subcontratante devolve ou apaga os dados pessoais, consoante a escolha do Responsável pelo Tratamento, e apaga as cópias existentes, salvo se o direito da União ou de um Estado-Membro exigir a sua conservação, nos termos do artigo 28.º, n.º 3, alínea g), do RGPD. O Responsável pelo Tratamento deve descarregar as exportações necessárias antes do fim do acesso pago e contactar o suporte para combinar qualquer devolução ou apagamento adicional. Pôr termo à renovação da subscrição não constitui, por si só, a apresentação de um pedido de eliminação da conta. O procedimento de eliminação da conta na aplicação agenda a eliminação para depois de um período de cancelamento de 30 dias; um pedido anterior ou diferente legalmente exigido deve ser dirigido diretamente ao Subcontratante. As partes têm de acordar e executar o procedimento de devolução ou apagamento sem conservar os dados por mais tempo do que o necessário. As cópias de segurança continuam protegidas pelo presente DPA até serem removidas de acordo com o calendário de cópias de segurança aplicável; qualquer restauro tem de respeitar as instruções de apagamento anteriores. Os registos de faturação tratados para cumprimento das obrigações legais próprias do Subcontratante são tratados separadamente nos termos da Política de Privacidade.

14. Transferências internacionais

O Subcontratante trata os dados pessoais principalmente na União Europeia. Quando o Subcontratante ou qualquer subcontratante ulterior necessitar de transferir dados pessoais para um país fora do Espaço Económico Europeu, a transferência só é efetuada com base numa decisão de adequação nos termos do artigo 45.º do RGPD ou em garantias adequadas nos termos do artigo 46.º do RGPD, normalmente as Cláusulas Contratuais-Tipo da Comissão Europeia (Decisão 2021/914/UE) complementadas, quando necessário, por medidas técnicas e organizativas adicionais. A lista atual de destinatários e dos mecanismos de transferência aplicáveis está publicada em /legal/sub-processors.

15. Insolvência, apreensão e eventos relativos a terceiros

Se os dados pessoais do Responsável pelo Tratamento estiverem em risco devido a penhora, apreensão, processo de insolvência ou de acordo com credores, ou a qualquer outra ação de um terceiro que possa afetar a capacidade do Subcontratante de cumprir o presente DPA, o Subcontratante informará o Responsável pelo Tratamento sem demora injustificada e informará o terceiro, por escrito, de que os dados são da responsabilidade do Responsável pelo Tratamento enquanto responsável pelo tratamento na aceção do RGPD. O Subcontratante tomará medidas razoáveis para proteger a integridade e a disponibilidade dos dados do Responsável pelo Tratamento enquanto a ação do terceiro não estiver resolvida.

16. Responsabilidade

Cada parte é responsável pelos danos causados pelo seu próprio incumprimento do presente DPA, nos termos do artigo 82.º do RGPD e da legislação aplicável. Nenhuma disposição do presente DPA exclui ou limita qualquer responsabilidade que não possa ser excluída ou limitada por lei, incluindo por morte ou danos pessoais, fraude, declarações fraudulentas ou dolo. Nenhuma disposição do presente DPA restringe os direitos dos titulares dos dados ou das autoridades de controlo. Em todos os outros aspetos, as limitações e exclusões de responsabilidade previstas no contrato principal aplicam-se igualmente ao presente DPA.

17. Divisibilidade e disposições finais

As alterações e aditamentos ao presente DPA têm de ser registados por escrito, incluindo em formato eletrónico, e identificar expressamente as disposições alteradas. O artigo 28.º, n.º 9, do RGPD permite que o contrato seja feito em formato eletrónico; tal não determina, por si só, a aceitação de uma alteração. Se qualquer disposição do presente DPA for ou se tornar inválida, ilegal ou inexequível, a validade das restantes disposições não é afetada; as partes substituirão a disposição inválida por uma disposição válida cujo efeito económico seja o mais próximo possível do da disposição inválida. O presente DPA pode ser celebrado e atualizado por via eletrónica e substitui quaisquer acordos anteriores de tratamento de dados entre as partes relativos ao mesmo objeto.

18. Lei aplicável e foro competente

O presente DPA rege-se pela lei da República de Chipre, com exclusão das suas normas de conflitos de leis e da Convenção das Nações Unidas sobre os Contratos de Compra e Venda Internacional de Mercadorias. Os tribunais de Paphos, Chipre, têm competência exclusiva para qualquer litígio decorrente do presente DPA ou com ele relacionado, sem prejuízo de quaisquer direitos imperativos de foro em matéria de proteção dos consumidores ou dos titulares dos dados ao abrigo do RGPD.

19. Contacto

Para questões relacionadas com o presente DPA, contacte a Labb Holding Ltd através de privacy@persohr.eu ou escreva para Labb Holding Ltd, Anthipolochagou Georgiou M.Savva 26, Shop 1-2, 8201 Paphos, Cyprus. O ponto de contacto do Responsável pelo Tratamento em matéria de proteção de dados é a conta de utilizador designada como OWNER na plataforma PersoHR.