Acordo de Tratamento de Dados Pessoais

Anexo I aos Termos e condições · Versão 1.0 · [data de entrada em vigor]

Partes

Primeira contraente: o captador identificado na conta Crednex no momento da aceitação (firma ou nome, NIF/NIPC e sede ou domicílio profissional), doravante «Responsável pelo Tratamento».

Segunda contraente: CredNex, Unipessoal Lda., NIPC [a confirmar], com sede em [morada a confirmar], geral@crednex.pt, +351 910 151 421, doravante «Subcontratante» ou «Crednex».

É celebrado o presente Acordo, ao abrigo do artigo 28.º do Regulamento (UE) 2016/679 («RGPD»). A aceitação eletrónica regista a identidade do utilizador que aceita, a versão do texto e a data e hora da aceitação.

Cláusula 1.ª · Objeto

1. O presente Acordo regula o tratamento de dados pessoais efetuado pela Crednex por conta do Responsável pelo Tratamento, no âmbito da utilização da plataforma Crednex.
2. O tratamento destina-se à disponibilização de funcionalidades de recolha documental, organização de propostas de financiamento, acompanhamento de processos, comunicação operacional, gestão de utilizadores e elaboração de relatórios.
3. A Crednex atua exclusivamente mediante instruções documentadas do Responsável pelo Tratamento, sem prejuízo das obrigações legais diretamente aplicáveis.
4. O presente Acordo não confere à Crednex poderes para apresentar, negociar ou celebrar contratos de crédito em nome do Responsável pelo Tratamento.

Cláusula 2.ª · Natureza e duração do tratamento

1. O tratamento abrange operações de recolha, registo, estruturação, conservação, consulta, transmissão, disponibilização, exportação, eliminação e outras operações tecnicamente necessárias à execução dos serviços contratados.
2. O tratamento tem início com a ativação dos serviços e mantém-se durante a vigência da relação contratual, sem prejuízo das obrigações de devolução e eliminação previstas na cláusula 11.ª.
3. As categorias de titulares, dados pessoais, operações e finalidades encontram-se descritas no Anexo A.

Cláusula 3.ª · Instruções documentadas

1. A Crednex tratará os dados pessoais exclusivamente segundo instruções documentadas do Responsável pelo Tratamento, incluindo quanto às transferências internacionais.
2. Constituem instruções documentadas as previstas no presente Acordo e respetivos anexos, bem como as transmitidas através das funcionalidades da plataforma ou por comunicação escrita de representante autorizado.
3. Caso considere que determinada instrução viola o RGPD ou outra legislação aplicável em matéria de proteção de dados, a Crednex informará imediatamente o Responsável pelo Tratamento.
4. A Crednex não utilizará os dados dos clientes finais para publicidade própria, comercialização de bases de dados, criação de perfis comerciais próprios ou treino de modelos de inteligência artificial.

Cláusula 4.ª · Confidencialidade

1. A Crednex assegurará que todas as pessoas autorizadas a tratar dados pessoais ficam vinculadas a deveres de confidencialidade legalmente exigíveis ou contratualmente assumidos.
2. O acesso aos dados será limitado às pessoas que dele necessitem para desempenhar funções autorizadas.
3. Os deveres de confidencialidade subsistem após a cessação da relação contratual.

Cláusula 5.ª · Segurança do tratamento

1. A Crednex adotará medidas técnicas e organizativas adequadas aos riscos identificados, nos termos do artigo 32.º do RGPD.
2. Tais medidas incluirão, quando adequadas ao risco: cifragem dos dados em trânsito e em repouso; controlo de acesso baseado em funções e no princípio do menor privilégio; autenticação reforçada dos acessos administrativos; segregação lógica dos dados de diferentes captadores; registo e monitorização de acessos e operações relevantes; gestão de vulnerabilidades e atualizações de segurança; cópias de segurança protegidas e testes periódicos de recuperação; procedimentos documentados de resposta a incidentes; mecanismos de eliminação ou anonimização; e testes periódicos da eficácia das medidas.
3. As medidas efetivamente implementadas, as suas limitações e os procedimentos operacionais constam do Anexo B.
4. A Crednex não reduzirá materialmente o nível de proteção contratado sem avaliação do risco e informação prévia ao Responsável pelo Tratamento.

Cláusula 6.ª · Recurso a outros subcontratantes

1. O Responsável pelo Tratamento concede autorização geral para a utilização dos outros subcontratantes identificados no Anexo C.
2. A Crednex notificará o Responsável pelo Tratamento, com antecedência mínima de 30 dias, de alterações destinadas a acrescentar ou substituir outros subcontratantes, permitindo-lhe apresentar oposição fundamentada.
3. A Crednex celebrará com os outros subcontratantes contratos que imponham obrigações de proteção de dados equivalentes às previstas no presente Acordo, na parte aplicável.
4. A Crednex permanece responsável perante o Responsável pelo Tratamento pelo cumprimento das obrigações de proteção de dados dos outros subcontratantes, nos termos legais.

Cláusula 7.ª · Transferências internacionais

1. As transferências de dados pessoais para países terceiros apenas poderão ocorrer em conformidade com o capítulo V do RGPD.
2. Quando aplicável, serão utilizadas decisões de adequação, cláusulas contratuais-tipo ou outros mecanismos legalmente admissíveis.
3. A Crednex disponibilizará informação sobre os países de destino, as entidades destinatárias, os mecanismos de transferência e as medidas complementares relevantes.
4. Qualquer acesso remoto a dados pessoais a partir de países terceiros será igualmente objeto de avaliação.

Cláusula 8.ª · Direitos dos titulares

1. A Crednex prestará assistência ao Responsável pelo Tratamento na resposta aos pedidos de exercício dos direitos previstos no capítulo III do RGPD, tendo em conta a natureza do tratamento e as informações ao seu dispor.
2. Os pedidos recebidos diretamente pela Crednex, relativos a tratamentos realizados por conta do captador, serão comunicados a este sem demora injustificada e, sempre que possível, no prazo máximo de dois dias úteis.
3. A Crednex não decidirá autonomamente sobre o mérito desses pedidos, salvo nos casos legalmente exigidos.

Cláusula 9.ª · Violações de dados pessoais

1. A Crednex notificará o Responsável pelo Tratamento sem demora injustificada após tomar conhecimento de uma violação de dados pessoais que afete os dados tratados por sua conta.
2. As partes convencionam, como objetivo operacional, a comunicação inicial no prazo máximo de 24 horas após a confirmação de conhecimento da violação, ainda que a investigação não esteja concluída.
3. A comunicação inicial incluirá as informações disponíveis sobre a natureza do incidente, os dados e titulares potencialmente afetados, as consequências previsíveis e as medidas adotadas.
4. A Crednex atualizará a informação à medida que a investigação avance e colaborará na avaliação da necessidade de notificação à CNPD e aos titulares.
5. A responsabilidade pelas notificações legalmente exigidas ao abrigo dos artigos 33.º e 34.º do RGPD caberá à parte a quem a lei atribua tal obrigação, sem prejuízo da cooperação contratualmente prevista.

Cláusula 10.ª · Assistência e auditoria

1. A Crednex prestará assistência razoável ao Responsável pelo Tratamento quanto à segurança, à avaliação de impacto e à consulta prévia à autoridade de controlo, considerando a natureza do tratamento e as informações disponíveis.
2. Disponibilizará as informações necessárias para demonstrar o cumprimento das obrigações previstas no artigo 28.º do RGPD.
3. Permitirá e contribuirá para auditorias e inspeções realizadas pelo Responsável pelo Tratamento ou por auditor por este mandatado, mediante condições proporcionadas de segurança e confidencialidade.
4. As modalidades práticas das auditorias serão acordadas de modo a proteger os dados de terceiros e a segurança da infraestrutura partilhada, sem impedir o exercício dos direitos legalmente reconhecidos.

Cláusula 11.ª · Devolução e eliminação dos dados

1. Terminada a prestação dos serviços, a Crednex devolverá ou eliminará, conforme escolha documentada do Responsável pelo Tratamento, os dados pessoais tratados por sua conta, salvo quando uma disposição legal exigir a sua conservação.
2. O Responsável pelo Tratamento poderá solicitar a exportação dos dados em formato estruturado e tecnicamente utilizável, durante [30] dias após a cessação.
3. As cópias existentes nos sistemas de produção serão eliminadas após a conclusão do procedimento de devolução ou no termo desse prazo.
4. Os dados residuais em cópias de segurança serão eliminados segundo o ciclo técnico documentado de retenção, de [X] dias, permanecendo protegidos contra utilização corrente até ao respetivo expurgo.
5. A Crednex disponibilizará confirmação da eliminação efetuada, quando solicitada.

Cláusula 12.ª · Obrigações do Responsável pelo Tratamento

Compete ao Responsável pelo Tratamento:

1. Determinar as finalidades e os fundamentos jurídicos do tratamento;
2. Prestar aos titulares a informação exigida pelos artigos 13.º e 14.º do RGPD;
3. Assegurar a licitude da recolha e da transmissão dos dados;
4. Garantir que os vendedores e demais utilizadores atuam com legitimidade e poderes adequados;
5. Definir e comunicar os prazos de conservação aplicáveis;
6. Responder aos pedidos dos titulares, com a assistência da Crednex;
7. Realizar as avaliações de impacto que sejam legalmente exigidas, sem prejuízo da assistência da Crednex;
8. Não transmitir dados excessivos ou desnecessários à finalidade do tratamento.

Cláusula 13.ª · Responsabilidade

1. Cada parte responde pelos danos e incumprimentos que lhe sejam imputáveis nos termos do RGPD e demais legislação aplicável.
2. Nenhuma disposição contratual poderá afastar os direitos dos titulares ou limitar os poderes das autoridades de controlo.
3. A distribuição interna de responsabilidades entre as partes observará as respetivas obrigações legais e contratuais, sem prejuízo das regras do artigo 82.º do RGPD.

Cláusula 14.ª · Vigência e prevalência

1. O presente Acordo entra em vigor na data da sua aceitação e mantém-se aplicável enquanto ocorrer tratamento de dados pessoais por conta do Responsável pelo Tratamento.
2. Em caso de conflito entre este Acordo e os Termos e condições, prevalecem as disposições do presente Acordo em matéria de proteção de dados pessoais.
3. O presente Acordo é interpretado de acordo com a legislação da União Europeia e a legislação portuguesa aplicáveis.

Anexo A · Descrição do tratamento

• Titulares: requerentes de financiamento, segundos titulares, fiadores e outras pessoas legitimamente envolvidas nos processos.
• Categorias de dados: identificação e contactos; data de nascimento e documento de identificação; situação profissional; rendimentos; elementos fiscais; obrigações financeiras; documentos justificativos; informação sobre o financiamento pretendido; histórico de tramitação e comunicações.
• Finalidades: recolha e organização documental, gestão administrativa de processos, acompanhamento de estados, relatórios operacionais e comunicações determinadas pelo Responsável pelo Tratamento.
• Operações: recolha, armazenamento, organização, consulta, atualização, transmissão autorizada, exportação e eliminação.
• Duração: vigência contratual e prazos de conservação definidos pelo Responsável pelo Tratamento. Por defeito, os processos não concluídos são eliminados [12] meses após o último movimento.
• Categorias especiais de dados: não são objeto de recolha sistemática. A plataforma pede apenas os documentos necessários e alerta o titular para não enviar informação de saúde, filiação sindical ou outros dados sensíveis desnecessários, por exemplo em anexos da declaração de IRS.

Anexo B · Medidas técnicas e organizativas

[A confirmar com evidência técnica antes da entrada em vigor.] Medidas previstas na arquitetura da plataforma:

Área	Medida prevista
Alojamento e localização	Base de dados e documentos na Scaleway, região de Paris (França, UE). Site e interface servidos pelo Cloudflare.
Cifragem	HTTPS (TLS) em todas as comunicações. Dados e documentos cifrados em repouso. Chaves geridas no serviço de gestão de chaves do fornecedor.
Autenticação	Palavras-passe guardadas com algoritmo de dispersão próprio para o efeito. Autenticação em dois passos obrigatória para administradores.
Segregação	Cada registo pertence a um captador; o servidor verifica a pertença em cada pedido. Testes automáticos de acesso cruzado entre captadores.
Documentos	Armazenamento privado, acessível apenas através de ligações temporárias geradas para utilizadores autorizados.
Auditoria	Registo de acessos a documentos, exportações, mudanças de etapa, alterações de comissões e operações administrativas.
Retenção e cópias	Cópias de segurança diárias geridas pelo fornecedor, com retenção de [X] dias. Eliminação automática dos processos no fim do prazo de conservação.
Incidentes	Procedimento escrito de resposta a incidentes, com o objetivo de comunicação inicial em 24 horas (cláusula 9.ª).
Pessoal e suporte	Acesso de suporte a dados de clientes apenas a pedido do captador e registado.
Testes	[Teste de segurança independente antes do lançamento comercial.]

Anexo C · Outros subcontratantes

[Inventário a confirmar antes da aceitação.]

Prestador	Serviço	Localização e mecanismo
Scaleway SAS	Base de dados e armazenamento de documentos	França (UE)
Cloudflare, Inc.	Entrega do site, segurança e encaminhamento de email	Rede global, sede nos EUA · EU-US Data Privacy Framework e cláusulas contratuais-tipo [confirmar]
Meta Platforms Ireland Ltd.	WhatsApp Business (lembretes), se o captador o ativar	UE e EUA [confirmar]
[Fornecedor de email transacional]	Emails de serviço	[a definir]