Acordo de subcontratação (DPA)

Estes modelos seguem o RGPD em geral. Não pretendem cumprir o direito nacional de cada país. Em Portugal, a autoridade é a Comissão Nacional de Proteção de Dados (CNPD). A competência continua a ser a do estabelecimento principal do responsável (artigo 56.º do RGPD).

Entre o cliente do serviço, na qualidade de responsável (o Responsável),

e Atelier Exemple, 10 rue de l'Exemple, 75002 Paris, France, contact@exemple-saas.example (o Subcontratante).

Este acordo aplica-se quando o Subcontratante trata dados pessoais por conta do Responsável para o serviço em https://exemple-saas.example. Não cobre tratamentos em que o prestador é ele próprio o responsável.

1. Objeto, natureza, duração

O Subcontratante aloja, conserva e mostra os dados necessários para prestar o serviço, e gera os ficheiros que o produto gera. Duração: o contrato, depois o apagamento ou a devolução como no artigo 8, salvo se uma norma aplicável ao Subcontratante exigir um arquivo mais longo.

2. Instruções documentadas

O Subcontratante age apenas segundo instruções documentadas do Responsável, incluindo este acordo, salvo se o direito da União ou de um Estado-Membro exigir o contrário. Nesse caso o Subcontratante informa o Responsável antes do tratamento, salvo se a lei proibir a informação.

3. Confidencialidade

As pessoas autorizadas a tratar os dados estão sujeitas a um dever de confidencialidade.

4. Segurança

O prestador aplica medidas técnicas e organizativas adequadas ao abrigo do artigo 32.º do RGPD (controlo de acessos, HTTPS, minimização, prestadores profissionais), sem prometer que não resta risco residual. ISO 27001 e SOC 2 não foram assinalados: nenhuma dessas certificações é alegada.

5. Subcontratantes ulteriores

O Responsável autoriza os subcontratantes ulteriores do anexo 3. O Subcontratante informa o Responsável antes de acrescentar ou substituir um. O Responsável pode opor-se no prazo de 30 dias. Se a oposição não for resolvida, o Responsável pode cessar o tratamento em causa.

6. Assistência

O Subcontratante assiste o Responsável, na medida do possível, nos pedidos dos titulares, na segurança, nas notificações de violação e nas avaliações de impacto, tendo em conta a natureza do tratamento.

7. Violação

O Subcontratante notifica o Responsável de uma violação de dados pessoais sem demora injustificada depois de ter conhecimento dela. O modelo não inventa um número fixo de horas.

8. Apagamento e devolução

No fim do serviço o Subcontratante apaga ou devolve os dados, à escolha do Responsável, e apaga as cópias restantes salvo se a lei exigir a conservação.

9. Auditorias

O Responsável pode auditar, inclusive por um revisor mandatado sujeito a confidencialidade, com um pré-aviso razoável, não mais de uma vez por ano salvo violação ou pedido de uma autoridade. O Subcontratante pode recusar um revisor que seja concorrente.

10. Transferências

As transferências para fora da UE/EEE usam um mecanismo do capítulo V do RGPD. O anexo 3 repete o que o editor publica. Não acrescenta um mecanismo que a ficha marque como não comunicado.

11. Responsabilidade

O artigo 82.º do RGPD aplica-se perante os titulares. O contrato não transfere a coima própria de uma parte para a outra. Não se acrescenta uma indemnização forfetária nacional.

Anexo 1 — Descrição

• Objeto: o serviço em https://exemple-saas.example.
• Operações: alojamento, autenticação quando usada, conservação, geração de ficheiros, suporte, registos.
• Pessoas: os utilizadores do Responsável e o pessoal do Responsável. Categorias para além disso não são comunicadas por este modelo.

Anexo 2 — Segurança

O prestador aplica medidas técnicas e organizativas adequadas ao abrigo do artigo 32.º do RGPD (controlo de acessos, HTTPS, minimização, prestadores profissionais), sem prometer que não resta risco residual. ISO 27001 e SOC 2 não foram assinalados: nenhuma dessas certificações é alegada.

Anexo 3 — Subcontratantes ulteriores autorizados

1. Scaleway, S.A.S. (Scaleway) — European Union — Cloud (compute, storage, databases). The DPA covers data uploaded to a service ordered through the account. A more detailed list is not published. The DPA (1 June 2024) says services are located in the European Union by default. Scaleway is not registered under the Data Privacy Framework.

1. Stripe Payments Europe, Limited (Stripe) — Irlanda (grupo Stripe, Inc., Estados Unidos) — Pagamento e faturação. Dados de pagamento, identificadores de transação, e-mail de faturação. O editor não guarda os números de cartão completos. A Stripe Payments Europe atua como responsável ou subcontratante consoante o fluxo; transferências intragrupo cobertas por CCT.

1. Resend, Inc. (Resend) — Estados Unidos — Envio de e-mails transacionais. Endereços dos destinatários, assunto e conteúdo, registos de envio. Transferência para fora da UE coberta por CCT.

1. Plausible Insights OÜ (Plausible) — Estónia — Medição de audiência sem cookies. Páginas vistas agregadas, país aproximado, user-agent, referente. Sem cookie publicitário. Tratamento na UE (Estónia). Verifique o alojamento da sua conta.

Aviso. Este ficheiro é um modelo gerado pelo StackLégal a partir do que indicou. Não é aconselhamento jurídico nem um certificado de conformidade. Releia-o. Se o risco for elevado (saúde, finanças, menores, dados sensíveis, clientes enterprise), peça a um jurista que o leia.

Modelo de 6 October 2026. Apenas a estrutura: Regulamento (UE) 2016/679, em especial os artigos 12.º a 14.º, 28.º, 32.º e 82.º; Diretiva 2011/83/UE sobre livre resolução quando há um consumidor; Regulamento (UE) 2022/2065 (DSA) se os utilizadores publicarem conteúdo. Nenhuma lei nacional é citada como se valesse em toda a parte.

Modelo preenchido para: Atelier Exemple — https://exemple-saas.example