Política de Seguridad y Protección de Datos

Bloco I

Pessoal

Política de segurança do pessoal para o tratamento de dados pessoais

1.- Âmbito de aplicação

O Responsável pelo tratamento está empenhado em implementar uma cultura de privacidade na organização, pelo que necessita que as pessoas autorizadas a tratar dados pessoais estejam informadas do tratamento de dados e se responsabilizem pelo mesmo.

A toda a pessoa autorizada a tratar dados pessoais exige-se que leia, compreenda, cumpra e faça cumprir esta Política de segurança para proteger os dados que fazem parte do tratamento que lhe foi confiado.

Esta Política de segurança estabelece as obrigações e os procedimentos a seguir pelo pessoal da organização, tanto próprio como externo, que trata dados pessoais no desenvolvimento da sua atividade e baseia-se no disposto nas normativas vigentes em proteção de dados pessoais, o Reglamento (UE) 2016/679 de 27 de abril de 2016 (GDPR) e a Ley Orgánica 3/2018, de 5 de diciembre (LOPDGDD).

Neste sentido, para velar e fazer cumprir esta Política, a organização designou um Responsável de segurança que estará à disposição de todo o pessoal e que se encarregará de coordenar, controlar, desenvolver e verificar o cumprimento das referidas normativas.

2.- Conceitos básicos

Para proporcionar uma melhor compreensão da proteção de dados, definimos os principais conceitos básicos:

Estrutura do tratamento:

• Dados pessoais: Informação relativa a uma pessoa singular pela qual se possa determinar a sua identidade.
• Tratamento: Qualquer operação realizada sobre dados pessoais: obtenção, acesso, intervenção, transmissão, conservação e supressão.
• Pessoa interessada: Pessoa singular sujeita ao tratamento dos seus dados pessoais.
• Ficheiro: Conjunto estruturado de dados pessoais suscetíveis de tratamento para um fim determinado.
• Responsável pelo tratamento: Organização que determina as finalidades e os meios do tratamento.
• Pessoal autorizado: Pessoa autorizada pelo Responsável pelo tratamento a realizar um tratamento de dados mediante um compromisso de confidencialidade.

Categorias de dados:

• Identificativos: Dados que não correspondam a categorias Penais ou Especiais, por exemplo: nome, endereço, email, telefone, idade, sexo, assinatura, imagem, passatempos, património, dados bancários, informação académica, profissional, social, comercial, financeira, etc.
• Penais: Dados relativos à prática de infrações administrativas ou penais, ou os que possam oferecer uma definição de características de personalidade, etc.
• Especiais: Dados relativos à origem étnica ou racial, opiniões políticas, convicções religiosas ou filosóficas, filiação sindical, dados genéticos ou biométricos que permitam a identificação inequívoca de uma pessoa, dados relativos à saúde ou à vida e orientação sexuais.

3.- Princípios da proteção de dados

Os princípios fundamentais para realizar um tratamento de dados são:

• Licitude: lealdade e transparência com a pessoa interessada.
• Limitação das finalidades: tratados para finalidades determinadas.
• Minimização dos dados: apenas devem ser obtidos os dados necessários para alcançar as finalidades.
• Exatidão: atualizados.
• Limitação do prazo de conservação: guardados durante não mais tempo do que o necessário para alcançar as finalidades.
• Integridade e confidencialidade: aplicação de medidas de segurança para a proteção dos dados em todas as fases do tratamento.
• Responsabilidade proativa: deve poder demonstrar-se o cumprimento de todos os princípios de proteção de dados.

Consentimento para realizar um tratamento de dados

• Quando o tratamento de dados pessoais se baseie no consentimento da pessoa interessada, deveremos obter o consentimento explícito para os tratar e guardar o documento probatório que o comprove.
• Quando obtenhamos os dados de terceiros, deveremos assegurar-nos de que a comunicação é lícita e guardar o documento probatório que o comprove.
• Não é necessário obter o consentimento da pessoa interessada quando o tratamento se baseie numa obrigação legal (por exemplo, para emitir uma fatura), numa relação contratual, ou num interesse legítimo, público ou vital.

Informação do tratamento à pessoa interessada

Deveremos facultar a seguinte informação à pessoa interessada:

• A identidade e os dados de contacto do Responsável pelo tratamento.
• As finalidades do tratamento.
• A base jurídica do tratamento.
• O prazo de conservação dos dados ou os critérios que o determinem.
• Os direitos que assistem à pessoa interessada.
• E, se existirem:
  • Os destinatários ou categorias de destinatários dos dados.
  • A transmissão de dados a países ou organizações estabelecidas fora da UE.
• E, se os dados não tiverem sido obtidos junto do interessado:
  • Categoria de dados.
  • Fontes de proveniência.

Responsabilidade do tratamento

O tratamento de dados poderá ser realizado por organizações externas desde que exista uma autorização expressa do Responsável pelo tratamento e tenha sido celebrado um contrato para realizar o referido tratamento em conformidade com a legislação vigente. Para saber que empresas ou terceiros estão autorizados à cessão de dados, devem dirigir-se ao Responsável de segurança.

As organizações externas podem ser:

• Subcontratantes do tratamento: Organização que trata dados pessoais por conta do Responsável pelo tratamento.
• Destinatários de dados: Organização distinta do Subcontratante, que recebe uma comunicação de dados pessoais do Responsável pelo tratamento.

Medidas de segurança

A organização implementou medidas técnicas e organizativas para garantir um nível de segurança adequado aos riscos que o tratamento possa apresentar em consequência da destruição acidental ou ilícita de dados, da perda, alteração ou comunicação não autorizada e do acesso aos dados quando são transmitidos, conservados ou objeto de algum tipo de tratamento.

O pessoal deverá velar pela segurança dos dados tratados pela organização e comunicará ao Responsável qualquer operação de tratamento que possa representar um risco que afete a proteção de dados ou os interesses e liberdades das pessoas interessadas.

Qualquer conceção de uma nova operação de tratamento ou atualização de uma operação existente deverá garantir, antes da sua implementação, a proteção de dados pessoais e o exercício dos direitos das pessoas interessadas em todas as fases do tratamento: obtenção, acesso, intervenção, transmissão, conservação e supressão.

4 - Funções e obrigações do pessoal

O pessoal deverá atuar em todos os momentos em conformidade com as instruções detalhadas no acordo de confidencialidade celebrado com a organização e as estabelecidas nesta Política de segurança. Para tal, estabelecem-se as seguintes medidas de proteção de dados que o pessoal se obriga a cumprir expressamente:

Organização da informação

Deverão classificar-se os dados de forma a poder exercer-se os direitos das pessoas interessadas: acesso, retificação, supressão e portabilidade dos dados e limitação ou oposição ao tratamento.

Conservação dos dados

Deverão conservar-se os dados no mobiliário e departamento destinados a tal fim. Para tratamentos automatizados, guardar-se-ão os ficheiros nos suportes, pastas ou diretório de rede indicado pelo Responsável de segurança.

Não é permitido conservar dados no ambiente de trabalho físico ou digital. Apenas se permite o seu tratamento temporário no referido ambiente de trabalho para realizar as operações que o exijam, devendo ser conservados no local apropriado no termo da jornada laboral.

Acesso à informação

Deverão aplicar-se os mecanismos de acesso restrito à informação que a organização tenha implementado, salvaguardando as senhas de acesso de toda a divulgação ou comunicação a outras pessoas.

Cada pessoa só está autorizada a aceder aos recursos que sejam necessários para o desenvolvimento e cumprimento das suas funções. Restringir-se-á o acesso aos equipamentos informáticos mediante procedimentos que possam identificar e autenticar a pessoa que acede aos mesmos. Os nomes da pessoa utilizadora e a palavra-passe terão a consideração de dados pessoais intransmissíveis.

Processamento de dados

Os suportes documentais e informáticos deverão estar dispostos de tal forma que não sejam acessíveis a pessoas não autorizadas.

Se uma pessoa abandonar o seu posto de trabalho temporariamente, deverá ocultar os documentos e bloquear o computador, de modo a impedir a visualização da informação com a qual estava a trabalhar.

Quando se utilizem impressoras, fotocopiadoras ou digitalizadores, depois de processar qualquer informação de caráter pessoal, deve recolher-se de imediato, assegurando-se de não deixar documentos impressos no tabuleiro de saída ou documentos digitalizados na pasta partilhada.

Transporte de suportes

O transporte de suportes que contenham dados pessoais deverá ser realizado unicamente por pessoal autorizado ou empresas externas contratadas para tal fim pelo Responsável pelo tratamento.

Eliminação de documentos

Qualquer documento físico ou suporte digital que se pretenda eliminar e que inclua dados pessoais deve ser destruído com a destruidora ou retirado por uma empresa homologada de destruição de documentos.

Cópia de segurança e recuperação de dados

O pessoal deverá armazenar toda a informação tratada no diretório de rede correspondente indicado pelo Responsável de segurança, o que permitirá que a esta informação se apliquem as medidas de segurança existentes e que sejam submetidos os procedimentos de cópias de segurança aplicados pela organização.

Proteção de dados

Deverão aplicar-se as medidas de proteção de dados estabelecidas pela organização relativas à segurança do tratamento, como podem ser a pseudonimização ou cifragem de dados ou advertências de intrusão como antivírus, antispam, etc.

Gestão de incidentes

Considera-se um incidente qualquer violação da segurança que ocasione a destruição acidental ou ilícita, perda, alteração, ou o acesso ou comunicação não autorizados de dados pessoais.

O pessoal tem a obrigação de notificar sem demora injustificada qualquer incidente de que tenha conhecimento ao Responsável de segurança para o seu conhecimento e aplicação de medidas corretivas para remediar e mitigar os efeitos que possa ter ocasionado. Os incidentes deverão ser documentados pela pessoa que os notifica com uma descrição detalhada dos mesmos e a data e hora em que se produziram ou se teve conhecimento deles.

O conhecimento e a não notificação de um incidente por parte do pessoal será considerado uma falta contra a segurança dos dados e poderá implicar o início de ações legais, bem como a reclamação das indemnizações, sanções e danos ou prejuízos que o Responsável se veja obrigado a suportar em consequência do referido incumprimento.

Outras funções e obrigações de cumprimento obrigatório

Utilização dos sistemas informáticos (SI)

O Sistema Informático, e os terminais atribuídos ou utilizados por cada PESSOA UTILIZADORA são, com caráter geral, propriedade do RESPONSÁVEL.

Estão expressamente proibidas as seguintes atividades: expressamente proibidas :

1. A utilização de programas informáticos sem a correspondente licença, bem como a utilização, reprodução, cessão, transformação ou comunicação pública de qualquer tipo de obra ou invenção protegida pela propriedade intelectual ou industrial. O seu incumprimento poderá ser causa de responsabilidade disciplinar, administrativa, civil e penal.
2. Destruir, alterar, inutilizar ou de qualquer outra forma danificar os dados, programas ou documentos eletrónicos do RESPONSÁVEL ou de terceiros. Estes atos podem constituir um crime de danos, previsto no artículo 264.2 del Código Penal.
3. Introduzir voluntariamente programas, vírus, macros, applets, controlos ActiveX ou qualquer outro dispositivo lógico ou sequência de caracteres que causem ou sejam suscetíveis de causar qualquer tipo de alteração nos Sistemas Informáticos do RESPONSÁVEL ou de terceiros. A este respeito, recorda-se que o próprio sistema executa automaticamente os programas antivírus e as suas atualizações para prevenir a entrada no sistema de qualquer elemento destinado a destruir ou corromper os dados informáticos.
4. Introduzir, descarregar da Internet, reproduzir, utilizar ou distribuir programas informáticos não autorizados expressamente pelo RESPONSÁVEL. Esta proibição inclui qualquer outro tipo de obra ou material cujos direitos de propriedade intelectual ou industrial pertençam a terceiros, quando não se disponha de autorização para tal.
5. Instalar cópias ilegais de qualquer programa, incluindo os que estão padronizados.
6. Apagar qualquer dos programas instalados legalmente.
7. Introduzir conteúdos obscenos, imorais ou ofensivos e, em geral, desprovidos de utilidade para os objetivos do RESPONSÁVEL.
8. Cifrar informação sem estar expressamente autorizado para tal.

Fica proibido utilizar os recursos do sistema de informação a que se tenha acesso para uso privado ou para qualquer outra finalidade diferente das estritamente laborais.

Salvaguarda e proteção das palavras-passe pessoais

Em relação às palavras-passe dos equipamentos informáticos, quando o próprio sistema não incorpore mecanismos que exijam determinados requisitos, a PESSOA UTILIZADORA responsabilizar-se-á por cumprir as seguintes normas:

• A palavra-passe deverá compor-se de pelo menos 8 caracteres, recomendando-se que inclua letras maiúsculas e minúsculas, caracteres especiais (do tipo @, #, +, etc.) e dígitos numéricos.
• A palavra-passe de acesso caducará, no máximo, ao fim de 365 dias, devendo ser modificada no momento de realizar o primeiro acesso ao sistema.
• Evitar-se-ão nomes comuns, números de matrículas de veículos, telefones, nomes de familiares, amigos, etc. e derivados do nome da pessoa utilizadora como permutações ou mudança da ordem das letras, transposições, repetições de um único caráter, etc.
• As pessoas utilizadoras serão responsáveis pela sua salvaguarda e custódia.
• Não se acederá ao sistema utilizando o identificador e a palavra-passe de outra pessoa utilizadora. As responsabilidades de qualquer acesso realizado utilizando um determinado identificador recairão sobre a pessoa utilizadora a quem tenha sido atribuído.

Informação sobre o acesso ao correio eletrónico corporativo

O compromisso que a DUKAT ORB SL assumiu para assegurar a privacidade da informação pessoal tratada ou cedida concretiza-se no facto de que a utilização do correio eletrónico por cada trabalhador deve realizar-se, de forma exclusiva, no âmbito da atividade laboral, pois trata-se de uma ferramenta disponibilizada pela empresa para tal fim. de forma exclusiva, dentro del ámbito de la actividad laboral, pues se trata de una herramienta puesta por la empresa para tal fin.

Em consequência, a PESSOA UTILIZADORA estará obrigada a realizar o trabalho convencionado sob a direção do empregador ou pessoa em quem este delegue, sendo possível o acesso ao correio eletrónico profissional tanto por parte do empregador como por aquelas pessoas por ele designadas ou encarregadas.

Do mesmo modo, a organização poderá adotar as medidas de vigilância e controlo que considere mais oportunas para verificar o cumprimento por parte do trabalhador das suas obrigações e deveres laborais, observando na sua adoção e aplicação a consideração devida à sua dignidade humana.

A PESSOA UTILIZADORA deve saber que, entre outros mecanismos, se poderão aplicar técnicas com o fim de controlar o seu computador, com e sem aviso prévio, e sem prejuízo da possível aplicação de outras medidas de caráter preventivo, como a exclusão de determinadas ligações, as revisões, a análise ou a monitorização remota, a indexação da navegação pela Internet, a revisão e monitorização do correio eletrónico e/ou da utilização do seu computador ou a consulta das mensagens de voz que se incluam no correio de voz do dispositivo móvel facultado pela empresa.

Qualquer ficheiro introduzido nos Sistemas Informáticos através de mensagens de correio eletrónico, provenientes de redes externas, deverá cumprir os requisitos estabelecidos nestas normas, para além dos do cliente, em especial, os referentes à propriedade intelectual e industrial e ao controlo de vírus.

Os endereços de correio eletrónico dirigidos a pessoas são considerados dados pessoais, pelo que, quando se enviem correios a mais de um destinatário, se não for estritamente necessário que os outros vejam os endereços de correio de todos os restantes, deverão enviar-se como cópia oculta «Bcc».

Do mesmo modo, estão expressamente proibidas as seguintes atividades: expressamente proibidas :

1. Tentar ler, apagar, copiar ou modificar as mensagens de correio eletrónico ou ficheiros de outras PESSOAS UTILIZADORAS. Esta atividade pode constituir um crime de interceção das telecomunicações (revelação de segredos), previsto no artículo 197 del Código Penal.
2. Enviar mensagens de correio eletrónico de forma massiva ou com fins comerciais ou publicitários sem o consentimento do destinatário.
3. Enviar ou reencaminhar mensagens em cadeia ou de tipo piramidal.

Com a assinatura do presente documento, a PESSOA UTILIZADORA declara ter sido informada da política de segurança aplicável na organização.

Acordo de confidencialidade (Empregados/as)

ACORDO DE CONFIDENCIALIDADE E SIGILO PROFISSIONAL

PESSOA AUTORIZADA PARA O TRATAMENTO DE DADOS

Reunidos, por um lado, o/a Sr./Sra., em nome e representação da DUKAT ORB SL, com NIF B75963934 e sede social situada em Passeig del Bellesguard, 12 - 08320 El Masnou (Barcelona) ESPANHA, doravante RESPONSÁVEL. RESPONSÁVEL.

E, por outro lado, o/a Sr./Sra., maior de idade e, em seu próprio nome e representação, doravante a PESSOA UTILIZADORA. PESSOA UTILIZADORA.

Ambas as partes reconhecem reciprocamente a capacidade legal necessária para celebrar o presente contrato de prestação de serviços com acesso a dados pessoais e

DECLARAM

1. Que a DUKAT ORB SL é Responsável pelo tratamento de dados pessoais objeto deste acordo em conformidade com o disposto nas normativas vigentes em proteção de dados pessoais, o Reglamento (UE) 2016/679 de 27 de abril de 2016 (GDPR) e a Ley Orgánica 3/2018, de 5 de diciembre (LOPDGDD).
2. Que, em virtude da prestação de serviços laborais ou profissionais que a PESSOA UTILIZADORA vem realizando a favor do RESPONSÁVEL, terá acesso ao tratamento de dados pessoais e a informação confidencial.
3. Que a PESSOA UTILIZADORA conhece e aceita que manter a confidencialidade da referida informação é essencial no setor em que desenvolve as suas atividades e que, por isso, não respeitar a referida confidencialidade causa um prejuízo gravíssimo ao RESPONSÁVEL.
4. Que, em cumprimento do disposto no artículo 29 del GDPR, a PESSOA UTILIZADORA está consciente de que está obrigada ao sigilo profissional relativamente aos dados pessoais que trate e ao dever de os proteger, obrigações que subsistirão mesmo após o termo das suas relações com o RESPONSÁVEL, pelo que ambas as partes acordam celebrar o presente acordo sujeito às seguintes

INSTRUÇÕES PARA O TRATAMENTO DE DADOS

1.- Informação confidencial

Entender-se-á por «informação confidencial» aquela informação que é acessível unicamente pelo pessoal autorizado, isto é, a informação que só deve ser dada a conhecer às pessoas, entidades ou sistemas autorizados para o seu acesso. Esta informação confidencial pode incluir:

• Informação pessoal, que é toda a informação relativa a uma pessoa singular identificada ou identificável pela qual se possa determinar, direta ou indiretamente, a sua identidade, seja mediante identificador, nome, número, localização ou elementos próprios da identidade física, fisiológica, genética, psíquica, económica, cultural ou social da referida pessoa.
• Segredos comerciais, segredos empresariais, conhecimentos técnicos e qualquer outra informação empresarial, abrangendo os seguintes tipos de informação (conste por escrito ou não), sem que a presente enumeração exclua outras classes de informações também confidenciais: técnicas, programas de formação, testes, investigação e desenvolvimento, ideias, invenções, conceitos, anotações, esquemas, desenhos, desenhos técnicos, organogramas, memorandos, processos, procedimentos, know-how, fórmulas, dados, programas e aplicações informáticas, melhorias, descobertas, conhecimentos de qualquer classe postos à disposição da PESSOA UTILIZADORA, materiais de referência, materiais e técnicas de marketing, planos de investigação e desenvolvimento, marketing, novos produtos, nomes de clientes, canais de comercialização, segredos comerciais e qualquer outra informação relacionada com clientes e fornecedores, listas de preços, políticas de preços, política de vendas, informação financeira, orçamentos, modelos e métodos de gestão e contabilidade, bem como os direitos, títulos e interesses que pudesse alegar sobre as invenções, patenteáveis ou não, realizadas ou obtidas pela PESSOA UTILIZADORA durante a vigência do seu contrato.

Do mesmo modo, na hipótese em que ocorra um acidente de trabalho, e em cumprimento do estabelecido na Lei de Prevenção de Riscos Laborais (L.P.R.L.), se dentro das funções da PESSOA UTILIZADORA estiver o tratamento desta informação, a mesma compromete-se a cumprir com a confidencialidade e as medidas de segurança determinadas pelo RESPONSÁVEL.

2.- Compromisso de confidencialidade e sigilo profissional

A PESSOA UTILIZADORA compromete-se a cumprir com as instruções determinadas pelo RESPONSÁVEL que afetam o desenvolvimento das suas funções para garantir a confidencialidade e o sigilo profissional de toda a "informação confidencial", pelo que se obriga explicitamente a não a divulgar, publicar, ceder, vender, nem de outra forma, direta ou indireta, pô-la à disposição de terceiros, nem total nem parcialmente, e a cumprir esta obrigação inclusive com os seus próprios familiares ou outros membros da organização que não estejam autorizados a aceder à referida informação, qualquer que seja o suporte que a contenha.

A PESSOA UTILIZADORA acederá à "informação confidencial" apenas se for necessário para a prestação dos serviços para os quais foi contratada e exclusivamente para os fins autorizados pelo RESPONSÁVEL.

Os meios de trabalho proporcionados pelo RESPONSÁVEL (computadores, internet, correio eletrónico, etc.) serão utilizados única e exclusivamente para o desenvolvimento eficiente do próprio trabalho, pelo que fica informada de que o RESPONSÁVEL poderá realizar tarefas de verificação, vigilância e controlo sobre os referidos meios com base no artículo 20.3 del Estatuto de los Trabajadores.

3.- Propriedade da "informação confidencial"

A PESSOA UTILIZADORA reconhece a propriedade do RESPONSÁVEL relativamente a todos os dados considerados "informação confidencial" no ponto 1 deste acordo e compromete-se a devolver todas as cópias da referida informação e qualquer suporte físico que estejam sob o seu controlo ao RESPONSÁVEL se este o solicitar.

4.- Tratamento de dados

A PESSOA UTILIZADORA declara conhecer as políticas de informação e de segurança estabelecidas pelo RESPONSÁVEL para garantir a proteção de dados e compromete-se a seguir as instruções nelas refletidas e, caso se aperceba de que são violadas, a notificá-lo sem demora injustificada ao RESPONSÁVEL para o seu conhecimento e aplicação de medidas corretivas para remediar e mitigar os efeitos ocasionados.

5.- Responsabilidade da PESSOA UTILIZADORA

A PESSOA UTILIZADORA será responsável perante o RESPONSÁVEL e terceiros por qualquer prejuízo que possa advir para uns e outros do incumprimento dos compromissos deste acordo, podendo implicar o início de ações legais, bem como a reclamação das indemnizações, sanções e danos ou prejuízos que o RESPONSÁVEL se veja obrigado a suportar em consequência do referido incumprimento.

6.- Proteção de dados

Em conformidade com a normativa vigente em proteção de dados, o RESPONSÁVEL informa a PESSOA UTILIZADORA de que os seus dados pessoais obtidos no momento da contratação, os comunicados ao longo da duração do contrato e aqueles que lhe comunique no futuro para o cumprimento das suas obrigações legais, serão tratados com o fim de gerir a relação laboral ou profissional que os une. Do mesmo modo, e em caso de acidente de trabalho, o RESPONSÁVEL não tratará diretamente dados de saúde da PESSOA UTILIZADORA. Os referidos dados serão tratados, se for o caso, exclusivamente pelo pessoal sanitário ou serviços de prevenção competentes, com a finalidade de gerir a assistência e a investigação do acidente de trabalho, em conformidade com a normativa aplicável.

Os dados obtidos serão tratados enquanto existir a relação laboral ou profissional com a PESSOA UTILIZADORA. Posteriormente, conservar-se-ão bloqueados para cumprir com os prazos legalmente estabelecidos, adotando as medidas técnicas e organizativas para impedir o seu tratamento, incluindo a sua visualização, e estando unicamente à disposição de juízes, tribunais, ministério público ou administrações públicas, com o fim de fazer face a responsabilidades legais. Decorrido o período legal exigido, proceder-se-á à destruição definitiva destes dados. A base de legitimação do tratamento dos dados será a execução de um contrato laboral ou profissional, bem como o cumprimento das obrigações legais por parte do RESPONSÁVEL.

Os dados serão comunicados aos organismos e Administrações Públicas, Segurança Social, Autoridade Tributária, Inspeção do Trabalho, à mútua de vigilância da saúde e ao serviço de prevenção de riscos laborais. Em caso de subcontratação do pessoal, poder-se-ão ceder os dados da PESSOA TRABALHADORA para cumprir com a obrigação legal em matéria de coordenação de atividades empresariais.

Do mesmo modo, poder-se-ão comunicar para a gestão de subvenções, participação em concursos públicos, à comissão de trabalhadores, sindicatos, entidades bancárias, bem como aos prestadores vinculados ao RESPONSÁVEL que intervêm como subcontratantes do tratamento nos serviços relacionados com o pessoal (consultorias, companhias de seguros, fornecedores informáticos, entre outros).

Se for o caso, poder-se-ão comunicar a empresas externas de formação com a finalidade de identificar e avaliar os participantes, bem como emitir o correspondente certificado de assistência, sendo a base de legitimação o interesse legítimo do RESPONSÁVEL em melhorar as competências dos trabalhadores.

Por último, poderão ser facultados àquelas entidades ou clientes que requeiram dados identificativos e laborais do pessoal para levar a cabo o serviço contratado ou subcontratado, e que comprovem a relação com a empresa.

O RESPONSÁVEL informa que a PESSOA UTILIZADORA pode exercer a qualquer momento os direitos de acesso, retificação, portabilidade e supressão dos seus dados e os de limitação e oposição ao seu tratamento dirigindo-se a Passeig del Bellesguard, 12 - 08320 El Masnou (Barcelona). E-mail: compliance@dukat.es. Se considerar que o tratamento não está em conformidade com a normativa vigente, poderá apresentar uma reclamação junto da autoridade de controlo em www.aepd.es

7.- Fim da prestação de serviço

O cumprimento das obrigações contidas neste acordo é de caráter indefinido e manter-se-á em vigor posteriormente ao termo da relação entre a PESSOA UTILIZADORA e o RESPONSÁVEL. Por isso, a PESSOA UTILIZADORA garante que, após o termo da relação, guardará o mesmo sigilo profissional relativamente à "informação confidencial" a que tenha tido acesso durante o desempenho das suas funções.

Bloco II

Tratamento

Cláusula de prestação de serviços

A DUKAT ORB SL é o Responsável pelo tratamento dos dados pessoais da pessoa interessada e informa-a de que estes serão tratados em conformidade com o disposto nas normativas vigentes em proteção de dados pessoais, o Reglamento (UE) 2016/679 de 27 de abril de 2016 (GDPR) e a Ley Orgánica 3/2018, de 5 de diciembre (LOPDGDD), pelo que se lhe faculta a seguinte informação do tratamento:

Fim do tratamento: Prestação de serviços profissionais.

Legitimação do tratamento: A base de legitimação do tratamento dos dados pessoais será a execução do serviço solicitado.

Critérios de conservação dos dados: Os dados serão tratados enquanto existir a relação contratual ou profissional. Posteriormente, conservar-se-ão bloqueados para cumprir com os prazos legalmente estabelecidos, adotando as medidas técnicas e organizativas para impedir o seu tratamento, incluindo a sua visualização, e estando unicamente à disposição de juízes, tribunais, ministério público ou administrações públicas, com o fim de fazer face a responsabilidades legais. Decorrido o período legal exigido, proceder-se-á à destruição definitiva destes dados.

Comunicação dos dados: Não se comunicarão dados a terceiros, exceto por obrigação legal ou àqueles prestadores vinculados ao responsável que atuam como subcontratantes do tratamento.

Direitos que assistem à pessoa interessada:

• Direito de acesso, retificação, portabilidade e supressão dos seus dados e à limitação ou oposição ao seu tratamento.
• Direito a apresentar uma reclamação junto da Autoridade de controlo www.aepd.es se considerar que o tratamento não está em conformidade com a normativa vigente.

Dados de contacto para exercer os seus direitos: DUKAT ORB SL. Passeig del Bellesguard, 12 - 08320 El Masnou (Barcelona). E-mail: compliance@dukat.es

Bloco III

Imagens

Consentimento para a publicação de imagens

A DUKAT ORB SL é o Responsável pelo tratamento dos dados pessoais da pessoa interessada e informa-a de que estes serão tratados em conformidade com o disposto nas normativas vigentes em proteção de dados pessoais, o Reglamento (UE) 2016/679 de 27 de abril de 2016 (GDPR), a Ley Orgánica 3/2018, de 5 de diciembre (LOPDGDD), e a Ley (ES) 1/1982 de protección civil, derecho al honor, intimidad personal y familiar y a la propia imagen, pelo que se lhe faculta a seguinte informação do tratamento:

Fim do tratamento: Captação e gravação de imagens ou vídeos da pessoa interessada durante as atividades organizadas pelo Responsável pelo tratamento para dar publicidade às mesmas nos meios de comunicação. Em nenhum caso será publicado o nome da pessoa interessada.

Legitimação: O tratamento dos seus dados pessoais, incluindo as imagens, está baseado no consentimento que deve prestar a pessoa interessada mediante a assinatura do presente documento. A autorização aqui contemplada é concedida com caráter gratuito, sem que tenha direito a receber qualquer compensação económica pela sua utilização.

Critérios de conservação dos dados: Os dados serão tratados durante o tempo necessário para manter a finalidade do tratamento ou a não ser que a pessoa interessada tenha revogado o seu consentimento. Posteriormente, conservar-se-ão bloqueados para cumprir com os prazos legalmente estabelecidos.

Consentimento: O Interessado pode autorizar ou não o tratamento assinalando com um "x" na casa correspondente de SIM (dou o consentimento) ou NÃO (não dou o consentimento) para as seguintes categorias de destinatários:

Informa-se a pessoa interessada de que pode exercer o seu direito de acesso, retificação, portabilidade e supressão dos seus dados e à limitação ou oposição ao seu tratamento em Passeig del Bellesguard, 12 - 08320 El Masnou (Barcelona). E-mail: compliance@dukat.es Do mesmo modo, pode apresentar uma reclamação junto da Autoridade de controlo www.aepd.es se considerar que o tratamento não está em conformidade com a normativa vigente.

Bloco IV

Modelos de contratos

Contrato de proteção de dados pessoais — Subcontratante do tratamento

Em cumprimento do disposto no artículo 28 del GDPR, quando a DUKAT ORB SL (RESPONSÁVEL) contrata os serviços de um terceiro (SUBCONTRATANTE) que requer acesso a dados pessoais, ambas as partes celebram um contrato de subcontratação do tratamento sujeito às seguintes instruções para o tratamento de dados.

1. Objeto, natureza e finalidade da subcontratação

O RESPONSÁVEL garante que os dados facultados ao SUBCONTRATANTE foram obtidos licitamente e que são adequados, pertinentes e limitados às finalidades do tratamento. O RESPONSÁVEL porá à disposição do SUBCONTRATANTE toda a informação que seja necessária para executar as prestações objeto da subcontratação.

O RESPONSÁVEL adverte o SUBCONTRATANTE de que, se determinar por sua conta as finalidades e os meios do tratamento, será considerado responsável pelo tratamento e estará sujeito a cumprir as disposições da normativa vigente aplicáveis como tal.

4. Obrigações e direitos do SUBCONTRATANTE

O SUBCONTRATANTE obriga-se a respeitar todas as obrigações que lhe possam corresponder como subcontratante do tratamento em conformidade com o disposto na normativa vigente e qualquer outra disposição ou regulamentação que lhe seja igualmente aplicável.

O SUBCONTRATANTE não destinará, aplicará ou utilizará os dados a que tenha acesso para um fim distinto da subcontratação ou que implique o incumprimento deste contrato.

O SUBCONTRATANTE porá à disposição do RESPONSÁVEL a informação necessária para demonstrar o cumprimento do contrato, permitindo as inspeções e auditorias necessárias para avaliar o tratamento.

5. Pessoal autorizado para realizar o tratamento

O SUBCONTRATANTE garante que o pessoal autorizado para realizar o tratamento se comprometeu de forma expressa e por escrito a respeitar a confidencialidade dos dados ou que está sujeito a uma obrigação legal de confidencialidade de natureza legal.

O SUBCONTRATANTE tomará medidas para garantir que qualquer pessoa que atue sob a sua autoridade e tenha acesso a dados pessoais só os possa tratar seguindo as instruções do RESPONSÁVEL ou esteja obrigada a tal por força da legislação vigente.

O SUBCONTRATANTE garante que o pessoal autorizado para realizar o tratamento recebeu a formação necessária para assegurar que não se porá em risco a proteção de dados pessoais.

6. Medidas de segurança

O SUBCONTRATANTE, como resultado do processo de gestão de riscos que levou a cabo sobre os tratamentos confiados, adotou medidas de segurança técnicas e organizativas que, entre outros, incluem os requisitos exigidos pelo artículo 32 del RGPD, para garantir um nível de segurança adequado ao risco que o tratamento implica. As medidas implementadas são as seguintes:

Medidas de segurança organizativas

• Política de segurança e protocolos internos documentados e acessíveis ao pessoal.
• Formação e sensibilização periódica em matéria de proteção de dados e segurança da informação.
• Compromisso de confidencialidade assinado/informado por todo o pessoal com acesso a dados.
• Contratos de confidencialidade e de subcontratação do tratamento com fornecedores.
• Solicitação e avaliação de garantias de cumprimento a fornecedores.
• Contratos de confidencialidade e de subcontratação do tratamento com clientes.
• Controlo de subcontratantes e subsubcontratantes (due diligence de segurança).
• Gestão de riscos e revisões periódicas das medidas adotadas.
• Protocolo documentado de gestão de incidentes e violações de segurança.
• Consulta de notificações e alertas de fontes especializadas em segurança da informação e proteção de dados.

Medidas de segurança técnicas

• Registo de acessos e operações (logs auditáveis).
• Gestão segura de acessos (permissões, palavras-passe robustas, MFA, caducidade de credenciais, etc.).
• Utilização de cifragem e/ou pseudonimização de dados pessoais quando o tratamento o permita.
• Privilégios de acesso consoante os utilizadores.
• Sistemas e redes protegidas (firewalls, antivírus, IDS/IPS, etc.).
• Proibição de instalação de software sem licença.
• Proibição de arquivo de informação confidencial em papel ou suportes amovíveis.
• Canais de transmissão de dados seguros (HTTPS, VPN, SFTP).
• Cópias de segurança periódicas, encriptadas, externas e com simulações de restauro.
• Plano de continuidade de negócio e recuperação face a desastres.
• Destruição segura de documentação, suportes e dispositivos.
• Auditorias de segurança realizadas por pessoal independente.
• Análise de vulnerabilidades do sistema.

7. Violação da segurança

As violações de segurança de que o SUBCONTRATANTE tenha conhecimento deverão ser notificadas sem demora indevida ao RESPONSÁVEL para o seu conhecimento e aplicação de medidas para remediar e mitigar os efeitos ocasionados. Não será necessária a notificação quando seja improvável que comporte um risco para os direitos e as liberdades das pessoas singulares.

A notificação de uma violação de segurança deverá conter, no mínimo, a seguinte informação:

• Descrição da natureza da violação.
• Categorias e o número aproximado de interessados afetados.
• Categorias e o número aproximado de registos de dados afetados.
• Possíveis consequências.
• Medidas adotadas ou propostas para remediar ou mitigar os efeitos.
• Dados de contacto onde se possa obter mais informação (DPO, responsável de segurança, etc.).

12. Utilização de Sistemas de Inteligência Artificial

12.1 Obrigação de Informar sobre a Utilização de IA: O SUBCONTRATANTE do Tratamento compromete-se a informar de imediato o RESPONSÁVEL do Tratamento sobre a utilização prevista de qualquer sistema de IA que processe informação da empresa contratante, sejam dados pessoais ou de outra índole; e quer essa utilização seja levada a cabo diretamente pelo SUBCONTRATANTE ou indiretamente por qualquer dos seus SUBSUBCONTRATANTES.

12.3 Utilização de Informação no Desenvolvimento de IA: Proíbe-se a utilização de informação da empresa contratante RESPONSÁVEL do tratamento para desenvolver, treinar ou melhorar modelos de inteligência artificial de uso geral, sejam do fornecedor ou de um terceiro. No caso de se realizar, o SUBCONTRATANTE deverá solicitar autorização e notificar o RESPONSÁVEL.

12.4 Revisão e Aprovação: Antes de implementar qualquer nova utilização de IA ou alterar os métodos ou ferramentas de IA já empregues no tratamento dos dados pessoais, o SUBCONTRATANTE deverá obter a aprovação escrita do RESPONSÁVEL do Tratamento.

16. Legislação Aplicável e Jurisdição

O presente contrato reger-se-á pelas cláusulas nele contidas e, no que não estiver previsto, pelas normativas espanhola e europeia aplicáveis em matéria de tratamento de dados de caráter pessoal.

As partes, para qualquer questão relativa à interpretação ou aplicação do presente contrato, submetem-se, de forma expressa e com renúncia ao seu próprio foro, à jurisdição dos Juízos e Tribunais da cidade do RESPONSÁVEL.