Acordo de tratamento de dados (DPA)

1. Objeto, âmbito e articulação contratual

Objeto do Acordo. O presente Acordo tem por objeto definir as condições em que o Subcontratante se compromete a efetuar, por conta do Responsável, as operações de tratamento de dados pessoais descritas no Anexo 1, no âmbito da prestação do Serviço nullbot. Especifica as obrigações e os direitos respetivos das Partes à luz do artigo 28.º do RGPD e, mais amplamente, das disposições aplicáveis em matéria de proteção de dados pessoais.

Enquadramento jurídico. O presente Acordo insere-se no âmbito do RGPD, nomeadamente dos seus artigos 28.º (subcontratação), 32.º (segurança do tratamento), 33.º e 34.º (violações de dados), 35.º (avaliação de impacto), 36.º (consulta prévia) e 44.º e seguintes (transferências de dados para países terceiros), bem como da lei n.º 78-17, de 6 de janeiro de 1978, alterada, relativa à informática, aos ficheiros e às liberdades.

Articulação contratual e hierarquia dos documentos. O presente Acordo constitui um anexo do contrato de serviços celebrado entre as Partes e dele faz parte integrante. Prevalece sobre qualquer estipulação contrária dos demais documentos contratuais no que respeita exclusivamente ao tratamento de dados pessoais. Em caso de contradição entre o presente Acordo e as Condições Gerais de Venda, as Condições Gerais de Utilização ou a Política de Confidencialidade, prevalecem as estipulações do presente Acordo apenas quanto às questões relativas à proteção de dados pessoais.

Aceitação. A subscrição do Serviço e a sua utilização implicam a aceitação plena e integral do presente Acordo pelo Cliente, agindo na qualidade de Responsável.

2. Definições

Os termos a seguir, quando utilizados com maiúscula inicial no presente Acordo, têm o seguinte significado. Os conceitos de «dados pessoais», «tratamento», «responsável pelo tratamento», «subcontratante», «titular dos dados» e «violação de dados pessoais» entendem-se na aceção do artigo 4.º do RGPD.

• «Serviço» designa o software nullbot fornecido em modo SaaS pelo Subcontratante, incluindo os seus agentes de inteligência artificial, as suas interfaces, funcionalidades e componentes associados.
• «Agente» designa qualquer agente de inteligência artificial implementado no âmbito do Serviço para executar tarefas e ações por conta do Cliente, de acordo com as configurações e instruções por este definidas.
• «Conteúdo do Cliente» designa o conjunto de dados, ficheiros, instruções, pedidos, documentos e informações, incluindo os dados de caráter pessoal, que o Cliente submete aos Agentes ou integra no Serviço.
• «Dados Pessoais» designa qualquer informação relativa a uma pessoa singular identificada ou identificável, tratada pelo Subcontratante por conta do Responsável no âmbito do presente Acordo.
• «Tratamento» designa qualquer operação ou conjunto de operações efetuadas sobre dados pessoais, tais como a recolha, o registo, a organização, a estruturação, a conservação, a adaptação, a alteração, a extração, a consulta, a utilização, a comunicação, a interconexão, a limitação, o apagamento ou a destruição.
• «Responsável» ou «Responsável pelo tratamento» designa o Cliente, que determina as finalidades e os meios do tratamento.
• «Subcontratante» designa a MARA LABS, que trata os dados pessoais por conta do Responsável.
• «Subcontratante posterior» designa qualquer terceiro a que o Subcontratante recorra para realizar, no todo ou em parte, atividades de tratamento específicas por conta do Responsável.
• «Titular dos dados» designa a pessoa singular identificada ou identificável a quem dizem respeito os dados pessoais tratados.
• «Violação de dados pessoais» ou «Violação» designa uma violação de segurança que provoque, de forma acidental ou ilícita, a destruição, a perda, a alteração, a divulgação não autorizada de dados pessoais transmitidos, conservados ou tratados de outra forma, ou o acesso não autorizado a esses dados.
• «CCT» designa as Cláusulas contratuais-tipo adotadas pela Comissão Europeia através da sua decisão de execução (UE) 2021/914, de 4 de junho de 2021, que regula as transferências de dados pessoais para países terceiros.
• «RGPD» designa o Regulamento (UE) 2016/679, de 27 de abril de 2016.

3. Qualidade e papéis das partes

Qualidade do Cliente. O Cliente atua na qualidade de responsável pelo tratamento na aceção do artigo 4.º, ponto 7, do RGPD. Determina sozinho as finalidades e os meios dos tratamentos realizados no âmbito da utilização do Serviço. Cabe-lhe, a este título, assegurar a licitude dos tratamentos que confia ao Subcontratante, nomeadamente dispor de uma base jurídica adequada na aceção do artigo 6.º do RGPD e, sendo caso disso, das garantias previstas no artigo 9.º, bem como ter cumprido as suas obrigações de informação para com os titulares dos dados.

Qualidade do Subcontratante. A MARA LABS atua na qualidade de subcontratante na aceção do artigo 4.º, ponto 8, do RGPD. O Subcontratante trata os dados pessoais exclusivamente por conta do Responsável e com base nas suas instruções documentadas, em conformidade com o presente Acordo.

Garantias do Subcontratante. O Subcontratante declara apresentar garantias suficientes quanto à aplicação de medidas técnicas e organizativas adequadas, de forma a que o tratamento cumpra os requisitos do RGPD e garanta a proteção dos direitos dos titulares dos dados, em conformidade com o artigo 28.º, n.º 1, do RGPD.

Responsabilidades próprias do Cliente. O Cliente permanece o único responsável:

• da licitude, da lealdade e da transparência dos tratamentos que realiza através do Serviço;
• da exatidão, qualidade e pertinência do Conteúdo do Cliente submetido aos Agentes;
• do cumprimento das suas obrigações de informação e, se aplicável, de recolha do consentimento dos titulares dos dados;
• da definição do prazo de conservação adequado dos dados e da minimização dos dados submetidos ao Serviço;
• da configuração e da supervisão dos Agentes, bem como das ações por eles executadas por sua conta.

4. Descrição e âmbito do tratamento

Âmbito. O Subcontratante está autorizado a tratar, por conta do Responsável, os dados pessoais necessários à prestação do Serviço, dentro dos limites e segundo as modalidades descritas no Anexo 1 ao presente Acordo, o qual precisa a natureza e a finalidade do tratamento, a sua duração, o tipo de dados pessoais em causa e as categorias de titulares dos dados, em conformidade com o artigo 28.º, n.º 3, do RGPD.

Determinação pelo Responsável. O âmbito exato do tratamento resulta das configurações, parametrizações e utilizações que o Cliente aplica no Serviço, bem como do Conteúdo do Cliente que este submete aos Agentes. O Responsável reconhece que lhe cabe definir e limitar esse âmbito, não dispondo o Subcontratante do controlo sobre o conteúdo dos dados que o Cliente opta por submeter.

Evolução. O Anexo 1 pode ser complementado ou atualizado para ter em conta a evolução do Serviço ou das utilizações do Cliente, sem que essa atualização possa alargar o tratamento para além do que é necessário à prestação do Serviço acordada entre as Partes.

5. Instruções documentadas do Responsável

Tratamento mediante instruções documentadas. Nos termos do artigo 28.º, n.º 3, alínea a), do RGPD, o Subcontratante só trata os dados pessoais mediante instruções documentadas do Responsável, inclusive no que se refere às transferências de dados pessoais para um país terceiro ou a uma organização internacional, salvo se for obrigado a fazê-lo por força do direito da União ou do Estado-Membro a que está sujeito. Nesse caso, o Subcontratante informa o Responsável dessa obrigação jurídica antes do tratamento, exceto se o direito em causa proibir tal informação por motivos importantes de interesse público.

Forma das instruções. Constituem instruções documentadas do Responsável: o presente Acordo e os seus anexos, o contrato de serviços, as configurações efetuadas pelo Cliente no âmbito do Serviço, o Conteúdo do Cliente submetido aos Agentes, bem como qualquer instrução complementar formalizada por escrito (incluindo por correio eletrónico ou através da interface do Serviço) e dirigida ao Subcontratante.

Instruções manifestamente ilícitas. O Subcontratante informa imediatamente o Responsável se, na sua opinião, uma instrução constituir uma violação do RGPD ou de outras disposições do direito da União ou do direito dos Estados-Membros relativas à proteção de dados. Nesse caso, o Subcontratante tem o direito de suspender a execução da instrução em causa até à sua confirmação ou alteração pelo Responsável.

Ausência de utilização para fins próprios. O Subcontratante proíbe-se de tratar os dados pessoais para fins distintos dos necessários à execução do presente Acordo e à prestação do Serviço, nomeadamente de os explorar por conta própria ou por conta de terceiros.

6. Confidencialidade das pessoas autorizadas a tratar

Compromisso de confidencialidade. Nos termos do artigo 28.º, n.º 3, alínea b), do RGPD, o Subcontratante assegura que as pessoas autorizadas a tratar os dados pessoais se comprometem a respeitar a confidencialidade ou estão sujeitas a uma obrigação legal adequada de confidencialidade.

Habilitação e limitação dos acessos. O Subcontratante assegura que o acesso aos dados pessoais é estritamente limitado aos membros do seu pessoal e às pessoas habilitadas que necessitem de a ele aceder para a execução das suas funções, segundo o princípio da necessidade de conhecer e do menor privilégio.

Sensibilização e formação. O Subcontratante assegura que as pessoas autorizadas a tratar os dados pessoais recebem a formação e a sensibilização necessárias em matéria de proteção de dados pessoais e de segurança da informação.

Perenidade do compromisso. A obrigação de confidencialidade subsiste após a cessação de funções das pessoas em causa e após o termo do presente Acordo.

7. Medidas de segurança (artigo 32.º)

Obrigação de segurança. Em conformidade com o artigo 28.º, n.º 3, alínea c), e com o artigo 32.º do RGPD, o Subcontratante implementa as medidas técnicas e organizativas adequadas para garantir um nível de segurança adaptado ao risco, tendo em conta o estado da técnica, os custos de implementação e a natureza, o âmbito, o contexto e as finalidades do tratamento, bem como os riscos para os direitos e liberdades das pessoas singulares.

Critérios de apreciação. As medidas implementadas têm em conta, na medida do necessário:

• da pseudonimização e da cifragem dos dados pessoais;
• meios que permitam garantir a confidencialidade, a integridade, a disponibilidade e a resiliência constantes dos sistemas e dos serviços de tratamento;
• meios que permitam restabelecer a disponibilidade dos dados pessoais e o acesso aos mesmos em prazos adequados, em caso de incidente físico ou técnico;
• de um procedimento destinado a testar, analisar e avaliar regularmente a eficácia das medidas técnicas e organizativas para garantir a segurança do tratamento.

Pormenor das medidas. As medidas técnicas e organizativas implementadas pelo Subcontratante estão descritas no Anexo 2 ao presente Acordo. Estas medidas podem evoluir ao longo do tempo, desde que o nível de segurança não seja reduzido.

Partilha de responsabilidades. O Responsável mantém-se responsável pela implementação das medidas de segurança que relevam da sua própria esfera de controlo, nomeadamente a gestão das credenciais e permissões dos seus utilizadores, a segurança dos seus próprios sistemas de informação e a minimização dos dados submetidos ao Serviço.

8. Recurso a subcontratantes posteriores

Autorização geral. Nos termos do artigo 28.º, n.os 2 e 4, do RGPD, o Responsável autoriza de forma geral o Subcontratante a recorrer a subcontratantes posteriores para a execução de atividades de tratamento específicas necessárias à prestação do Serviço. A lista dos subcontratantes posteriores autorizados à data do presente Acordo consta do Anexo 3.

Informação prévia e direito de oposição. O Subcontratante informa o Responsável de qualquer alteração prevista relativa ao acrescento ou à substituição de um subcontratante posterior, por qualquer meio adequado (nomeadamente através da publicação de uma atualização do Anexo 3 e de informação no site ou no âmbito do Serviço), dando assim ao Responsável a possibilidade de apresentar objeções a essas alterações num prazo razoável. Em caso de objeção legítima e fundamentada do Responsável, as Partes envidam esforços para encontrar uma solução. Na falta de solução, o Responsável poderá resolver a parte do Serviço em causa pelo recurso ao subcontratante posterior litigioso, nas condições previstas no contrato.

Obrigações impostas aos subcontratantes posteriores. Nos termos do artigo 28.º, n.º 4, do RGPD, quando o Subcontratante recorra a um subcontratante posterior, impõe-lhe, por contrato ou por qualquer outro ato jurídico, as mesmas obrigações em matéria de proteção de dados que as estabelecidas no presente Acordo, nomeadamente a obrigação de apresentar garantias suficientes quanto à aplicação de medidas técnicas e organizativas adequadas.

Responsabilidade. O Subcontratante permanece plenamente responsável perante o Responsável pelo cumprimento, pelo subcontratante posterior, das suas obrigações em matéria de proteção de dados. Caso o subcontratante posterior não cumpra as suas obrigações, o Subcontratante permanece plenamente responsável perante o Responsável pelo cumprimento, pelo subcontratante posterior, das suas obrigações.

9. Assistência para o exercício dos direitos dos titulares dos dados

Obrigação de assistência. Em conformidade com o artigo 28.º, n.º 3, alínea e), do RGPD, o Subcontratante assiste o Responsável, através de medidas técnicas e organizativas adequadas, na medida do possível, no cumprimento da sua obrigação de dar resposta aos pedidos que lhe sejam apresentados pelos titulares dos dados para o exercício dos seus direitos.

Direitos abrangidos. A assistência incide sobre o conjunto dos direitos previstos no capítulo III do RGPD, nomeadamente o direito de acesso, de retificação, de apagamento, de limitação do tratamento, de portabilidade dos dados, bem como o direito de oposição.

Transmissão dos pedidos. Caso um titular dos dados dirija diretamente ao Subcontratante um pedido de exercício dos seus direitos relativo a um tratamento efetuado por conta do Responsável pelo Tratamento, o Subcontratante transmite sem demora esse pedido ao Responsável pelo Tratamento e abstém-se de lhe responder diretamente, salvo instrução em contrário do Responsável pelo Tratamento.

Meios disponibilizados. Na medida em que o Serviço o permita, o Subcontratante disponibiliza ao Responsável as funcionalidades e ferramentas que lhe permitem responder aos pedidos dos titulares dos dados.

10. Assistência em matéria de segurança, de violações, de AIPD e de consulta prévia

Obrigação geral de assistência. Em conformidade com o artigo 28.º, n.º 3, alínea f), do RGPD, o Subcontratante ajuda o Responsável a garantir o cumprimento das obrigações previstas nos artigos 32.º a 36.º do RGPD, tendo em conta a natureza do tratamento e as informações à disposição do Subcontratante.

Segurança do tratamento (artigo 32.º). O Subcontratante assiste o Responsável no cumprimento dos requisitos de segurança enunciados no artigo 32.º do RGPD, nomeadamente comunicando-lhe as informações relativas às medidas técnicas e organizativas implementadas.

Notificação de violações (artigos 33.º e 34.º). O Subcontratante assiste o Responsável no cumprimento das suas obrigações de notificação de uma violação de dados pessoais à autoridade de controlo e, quando aplicável, de comunicação dessa violação aos titulares dos dados, nas condições previstas na secção «Notificação de violações de dados pessoais» do presente Acordo.

Avaliação de impacto (artigo 35.º). O Subcontratante presta assistência ao Responsável, sempre que necessário e na medida das informações de que dispõe, na realização de uma avaliação de impacto sobre a proteção de dados (AIPD) relativa aos tratamentos efetuados através do Serviço.

Consulta prévia (artigo 36.º). O Subcontratante assiste o Responsável, quando aplicável, no âmbito da consulta prévia à autoridade de controlo prevista no artigo 36.º do RGPD.

Custo da assistência. A assistência prevista na presente rubrica é prestada tendo em conta a natureza do tratamento e as informações à disposição do Subcontratante. Quando os pedidos de assistência excedam o que está razoavelmente incluído no Serviço, o Subcontratante poderá faturar ao Responsável os custos razoáveis incorridos a este título, após informação prévia.

11. Notificação de violações de dados pessoais

Informação do Responsável. O Subcontratante notifica o Responsável de qualquer violação de dados pessoais o mais rapidamente possível após dela ter tomado conhecimento, a fim de permitir ao Responsável cumprir, se for caso disso, a sua obrigação de notificação à autoridade de controlo no prazo de setenta e duas (72) horas previsto no artigo 33.º do RGPD.

Conteúdo da notificação. Na medida das informações de que dispõe, o Subcontratante comunica ao Responsável, se for caso disso de forma faseada:

• a descrição da natureza da violação, incluindo, se possível, as categorias e o número aproximado de pessoas em causa e de registos em causa;
• as consequências prováveis da violação;
• as medidas tomadas ou propostas para remediar a violação e, se aplicável, atenuar as suas consequências negativas;
• os contactos de um ponto de contacto junto do qual podem ser obtidas informações adicionais.

Cooperação. O Subcontratante coopera com o Responsável e adota as medidas razoáveis para ajudar na investigação, na limitação e na resolução da violação. Salvo obrigação legal em contrário, o Subcontratante não procede a qualquer notificação à autoridade de controlo ou aos titulares dos dados por conta do Responsável, salvo instrução expressa deste último.

12. Transferências para fora da União Europeia

Princípio. O Subcontratante não procede a qualquer transferência de dados pessoais para um país terceiro à União Europeia ou para uma organização internacional sem ter informado o Responsável e sem ter implementado as garantias adequadas previstas no capítulo V do RGPD.

Garantias adequadas. Alguns subcontratantes posteriores a que o Subcontratante recorre estão estabelecidos fora do Espaço Económico Europeu, nomeadamente nos Estados Unidos. As transferências para esses subcontratantes posteriores são reguladas pelas Cláusulas Contratuais-Tipo (CCT) adotadas pela Comissão Europeia na sua Decisão de Execução (UE) 2021/914, de 4 de junho de 2021, e, sendo caso disso, por qualquer outro mecanismo de transferência reconhecido como válido (nomeadamente decisão de adequação ou certificação ao abrigo de um quadro de proteção de dados reconhecido).

Medidas adicionais. Quando necessário, o Subcontratante implementa, ou assegura que os subcontratantes posteriores em causa implementam, medidas adicionais adequadas (técnicas, organizativas e contratuais) a fim de garantir um nível de proteção de dados pessoais substancialmente equivalente ao garantido na União Europeia.

Informação ao Responsável. A pedido, o Subcontratante comunica ao Responsável as informações relativas às garantias implementadas para enquadrar as transferências. A lista dos subcontratantes posteriores e a sua localização constam do Anexo 3.

13. Auditorias e inspeções

Disponibilização das informações. Em conformidade com o artigo 28.º, n.º 3, alínea h), do RGPD, o Subcontratante disponibiliza ao Responsável todas as informações necessárias para demonstrar o cumprimento das obrigações previstas no artigo 28.º do RGPD e para permitir a realização de auditorias, incluindo inspeções, pelo Responsável ou por outro auditor por si mandatado, e contribui para essas auditorias.

Modalidades da auditoria. O Responsável pode, a expensas suas, mandar realizar uma auditoria ao cumprimento, pelo Subcontratante, das obrigações previstas no presente Acordo, nas seguintes condições:

• a auditoria é realizada com base num aviso prévio escrito razoável, que não poderá ser inferior a trinta (30) dias de calendário, salvo em caso de violação de dados comprovada ou de pedido de uma autoridade de controlo;
• a auditoria realiza-se durante as horas e dias úteis e de forma a não perturbar de modo desproporcionado a atividade do Subcontratante;
• a auditoria está limitada a uma (1) vez por período de doze (12) meses, salvo circunstâncias excecionais (violação comprovada, pedido de uma autoridade de controlo);
• o auditor mandatado pelo Responsável pelo Tratamento não deve ser um concorrente do Subcontratante e deve estar sujeito a uma obrigação de confidencialidade;
• as constatações e informações obtidas no âmbito da auditoria são estritamente confidenciais.

Documentação e certificações. O Subcontratante pode satisfazer a sua obrigação de demonstração de conformidade disponibilizando ao Responsável a documentação relevante, os relatórios de auditoria, atestados ou certificações de que disponha, sempre que esses elementos permitam justificar razoavelmente o cumprimento das suas obrigações.

Custos. Os custos relacionados com a realização da auditoria são suportados pelo Responsável. O tempo razoavelmente dedicado pelo Subcontratante à assistência e ao acompanhamento da auditoria poderá ser faturado ao Responsável, após informação prévia, quando exceder o que é razoavelmente incluído no Serviço.

14. Destino dos dados no termo do tratamento

Escolha do Responsável. Nos termos do artigo 28.º, n.º 3, alínea g), do RGPD, no termo da prestação de serviços relativa ao tratamento, o Subcontratante, consoante a escolha do Responsável, elimina ou devolve todos os dados pessoais ao Responsável e destrói as cópias existentes, salvo se o direito da União ou o direito do Estado-Membro exigir a conservação dos dados pessoais.

Prazos. O Responsável dispõe de um prazo razoável, que não pode ser inferior a trinta (30) dias de calendário a contar do termo da prestação, para exercer a sua escolha de restituição ou eliminação. Na falta de instrução do Responsável no termo deste prazo, o Subcontratante procede à eliminação dos dados pessoais.

Modalidades de restituição. Em caso de restituição, os dados são devolvidos ao Responsável num formato estruturado e de uso corrente, na medida das funcionalidades de exportação do Serviço.

Supressão. A supressão ocorre num prazo razoável, incluindo junto dos subcontratantes posteriores em causa, e incide sobre as cópias existentes, sem prejuízo das obrigações legais de conservação e das cópias de segurança sujeitas a um ciclo de apagamento automático segundo uma rotação determinada.

Certificação. A pedido do Responsável, o Subcontratante certifica por escrito a supressão efetiva dos dados pessoais.

15. Responsabilidade, garantia e repartição entre as partes

Princípio da responsabilidade. Cada Parte responde pelos danos causados pelo tratamento sempre que não tenha cumprido as obrigações do RGPD que lhe incumbem especificamente ou sempre que tenha agido fora das instruções lícitas do Responsável ou contrariamente às mesmas, em conformidade com o artigo 82.º do RGPD.

Responsabilidade do Subcontratante. O Subcontratante só é responsável pelos danos causados pelo tratamento resultantes do incumprimento das suas próprias obrigações ao abrigo do presente Acordo ou das obrigações que lhe incumbem especificamente na qualidade de subcontratante, na aceção do RGPD.

Responsabilidade do Responsável. O Responsável garante o Subcontratante contra qualquer reclamação, ação ou pedido de terceiros, incluindo dos titulares dos dados e das autoridades de controlo, resultante de um incumprimento do Responsável das suas próprias obrigações, nomeadamente em matéria de licitude dos tratamentos, de informação aos titulares dos dados, de base jurídica, de minimização dos dados e de licitude do Conteúdo do Cliente submetido aos Agentes.

Limitação de responsabilidade. As limitações e exclusões de responsabilidade previstas nas Condições gerais de venda aplicam-se ao presente Acordo, na medida permitida pelo direito aplicável e sob reserva das disposições imperativas do RGPD relativas à reparação dos danos sofridos pelos titulares dos dados.

16. Duração e resolução do acordo

Duração. O presente Acordo produz efeitos a partir da data de aceitação pelo Cliente e permanece em vigor durante toda a duração do contrato de serviços ao abrigo do qual o Subcontratante trata dados pessoais por conta do Responsável.

Caráter acessório. O presente Acordo constitui um acessório do contrato de serviços. Cessa automaticamente no termo do contrato de serviços, sem prejuízo das estipulações relativas ao destino dos dados no termo do tratamento e das obrigações cuja natureza implique que subsistam para além da cessação do Acordo (nomeadamente a confidencialidade).

Sobrevivência de certas obrigações. As obrigações de confidencialidade, de eliminação ou de restituição dos dados e de cooperação em caso de pedido de uma autoridade de controlo sobrevivem à cessação do presente Acordo durante o período necessário à sua execução.

17. Disposições diversas

Hierarquia dos documentos. Em caso de contradição entre as disposições do presente Acordo e as dos demais documentos contratuais relativos ao tratamento de dados pessoais, prevalecem as disposições do presente Acordo. Para qualquer questão não relacionada com a proteção de dados, mantêm-se aplicáveis as Condições gerais de venda e as Condições gerais de utilização.

Nulidade parcial. Se uma ou várias estipulações do presente Acordo forem declaradas nulas, ilícitas ou inaplicáveis, as restantes estipulações conservarão toda a sua força e alcance. As Partes envidarão esforços para substituir a estipulação inválida por uma estipulação válida que prossiga um objetivo equivalente.

Alteração. O Subcontratante pode ter de atualizar o presente Acordo, nomeadamente para ter em conta a evolução da regulamentação aplicável, das orientações das autoridades de controlo ou do Serviço. O Responsável é informado por qualquer meio adequado.

Direito aplicável e jurisdição. O presente Acordo rege-se pelo direito francês e pelo direito da União Europeia. Qualquer litígio relativo à sua interpretação ou execução é da competência dos tribunais determinados nos termos das Condições Gerais de Venda, sem prejuízo das regras imperativas de competência, nomeadamente as que protegem os titulares dos dados.

18. Anexo 1 — Descrição do tratamento

O presente Anexo especifica os elementos do tratamento exigidos pelo artigo 28.º, n.º 3, do RGPD. O âmbito efetivo do tratamento depende das utilizações e configurações do Cliente, bem como do Conteúdo do Cliente submetido aos Agentes.

19. Anexo 2 — Medidas técnicas e organizativas de segurança

O Subcontratante implementa as seguintes medidas técnicas e organizativas, em conformidade com o artigo 32.º do RGPD. Estas medidas podem evoluir, sem diminuição do nível de segurança.

O Responsável permanece responsável pelas medidas de segurança do seu próprio âmbito, nomeadamente a gestão das suas credenciais e a segurança dos seus próprios sistemas.

20. Anexo 3 — Lista de subcontratantes posteriores autorizados

O Responsável autoriza o recurso aos seguintes subcontratantes ulteriores, à data do presente Acordo. Qualquer alteração a esta lista é objeto de informação prévia ao Responsável, que dispõe de um direito de oposição nas condições previstas no presente Acordo.

Para qualquer informação adicional relativa aos subcontratantes posteriores e às garantias que enquadram as transferências, o Responsável pode dirigir um pedido por correio postal à sede social do Subcontratante. Um endereço de correio eletrónico de contacto dedicado será colocado em serviço assim que o domínio for aberto e publicado aqui.