Acordo de Subcontratação do Tratamento

1. Objeto, partes e prevalência

O presente Acordo tem por objeto regular as condições em que a AXPA Systems S.L.U. (NIF B26941039, com sede em CR. Baños de Arteixo, 33, 15008, A Coruña, Espanha; doravante, «AXPA» ou o «Subcontratante») trata dados pessoais por conta da organização cliente que utiliza a Plataforma (doravante, o «Cliente» ou o «Responsável»). O Acordo aplica-se a todos os serviços prestados ao abrigo dos Termos e Condições de Utilização e de qualquer contrato, encomenda ou subscrição que os incorpore. Em caso de contradição entre este Acordo e os Termos em matéria de proteção de dados pessoais tratados por conta do Cliente, prevalece este Acordo; no restante, os Termos permanecem integralmente em vigor. Se o Cliente e a AXPA tiverem subscrito um acordo de subcontratação negociado e assinado por ambas as partes, aquele prevalecerá sobre este.

2. Papel de cada parte e tratamentos excluídos

A AXPA atua como SUBCONTRATANTE relativamente aos dados pessoais de terceiros que o Cliente, os seus membros ou as suas integrações incorporam na Plataforma no âmbito da sua atividade: pilotos e pessoal da organização, dados de contacto de clientes finais do Cliente, registos de voo e telemetria associados a pessoas identificáveis, documentação de qualificações e formação, e qualquer outro conteúdo que o Cliente decida armazenar. O Cliente é o Responsável por esses dados e garante dispor de uma base jurídica válida para o seu tratamento e ter informado os titulares dos dados. A AXPA atua, em contrapartida, como RESPONSÁVEL INDEPENDENTE relativamente aos dados da conta, à faturação, à segurança da plataforma, ao suporte, à analítica de produto e às comunicações comerciais, tratamentos que ficam FORA do âmbito deste Acordo e se regem pela Política de Privacidade. Esta distinção não é formal: determina que tratamentos o Cliente pode instruir e quais não.

3. Duração da subcontratação

A subcontratação inicia-se com a primeira incorporação de dados pessoais de terceiros na Plataforma por parte do Cliente e prolonga-se enquanto a relação contratual estiver em vigor, acrescida do período de tolerância e de conservação previsto na cláusula 26 dos Termos. O termo do contrato principal produz o termo deste Acordo, sem prejuízo das obrigações que pela sua natureza devam subsistir, em particular a confidencialidade e as da cláusula 13.

4. Instruções documentadas do Responsável

A AXPA tratará os dados pessoais unicamente seguindo instruções documentadas do Cliente, incluindo as relativas a transferências internacionais, salvo se o Direito da União ou o de um Estado-Membro a obrigarem a outra coisa, caso em que a AXPA informará o Cliente dessa exigência legal previamente, salvo se esse Direito o proibir por razões de interesse público. Constituem instruções documentadas do Cliente: este Acordo, os Termos e Condições, a configuração que o Cliente aplica na Plataforma e a utilização que faz das suas funcionalidades, e qualquer instrução adicional que dirija por escrito ao Encarregado da Proteção de Dados. A AXPA informará o Cliente se, na sua opinião, uma instrução violar o RGPD ou outras disposições de proteção de dados, e poderá suspender a sua execução até que o Cliente a confirme, altere ou retire.

5. Obrigações gerais do Subcontratante

A AXPA compromete-se a: (a) tratar os dados exclusivamente para as finalidades do serviço contratado e nunca para finalidades próprias; (b) NÃO utilizar os dados pessoais do Cliente para treinar, ajustar nem avaliar modelos de inteligência artificial, algoritmos ou funcionalidades, nem com fins estatísticos ou de melhoria do produto, salvo consentimento expresso, separado e revogável do Cliente, em coerência com a cláusula 22 dos Termos; (c) não comunicar os dados a terceiros, salvo aos subcontratantes da cláusula 8, por instrução do Cliente ou por obrigação legal; (d) manter por escrito um registo das categorias de atividades de tratamento efetuadas por conta do Cliente nos termos do artigo 30.º, n.º 2, do RGPD; e (e) designar e manter um ponto de contacto em matéria de proteção de dados, que é o Encarregado da Proteção de Dados indicado na cláusula 18.

6. Confidencialidade do pessoal autorizado

A AXPA garante que as pessoas autorizadas a tratar dados pessoais por conta do Cliente se comprometeram expressamente e por escrito a respeitar a confidencialidade, ou estão sujeitas a uma obrigação de confidencialidade de natureza estatutária, e que essa obrigação subsiste após o termo da sua relação com a AXPA. O acesso é concedido de acordo com o princípio do menor privilégio e da necessidade de conhecer, limita-se ao pessoal que dele precisa para prestar o serviço ou o suporte, e é retirado quando essa necessidade cessa. A AXPA garante igualmente que esse pessoal recebeu a formação necessária em matéria de proteção de dados.

7. Segurança do tratamento

Tendo em conta o estado da técnica, os custos de aplicação e a natureza, o âmbito, o contexto e as finalidades do tratamento, bem como os riscos de probabilidade e gravidade variáveis para os direitos e liberdades das pessoas singulares, a AXPA aplica as medidas técnicas e organizativas adequadas exigidas pelo artigo 32 do RGPD. Essas medidas são descritas no ANEXO II deste Acordo. A AXPA poderá atualizá-las para incorporar melhorias técnicas, mas NÃO poderá degradar o nível de segurança global durante a vigência do Acordo. O Cliente reconhece que a configuração que ele próprio controla —gestão de membros e funções, âmbito das unidades organizativas, política de dispositivos e sessões, e conteúdo que decide carregar— faz parte da segurança do conjunto e é da sua responsabilidade.

8. Subcontratantes e autorização geral

O Cliente concede à AXPA uma AUTORIZAÇÃO GERAL POR ESCRITO, na aceção do artigo 28.º, n.º 2, do RGPD, para recorrer aos subcontratantes indicados no ANEXO III deste Acordo. A AXPA imporá a cada subcontratante, por contrato, as mesmas obrigações de proteção de dados que as aqui estipuladas, e responderá plenamente perante o Cliente pelo incumprimento das obrigações por parte do subcontratante. Quando a AXPA se propuser incorporar um subcontratante novo ou substituir um existente, comunicá-lo-á ao Cliente com pelo menos TRINTA (30) DIAS DE CALENDÁRIO de antecedência através da atualização do Anexo III e de um aviso na Plataforma ou por correio eletrónico. Durante esse prazo o Cliente poderá opor-se por motivos razoáveis e documentados relacionados com a proteção de dados; se as partes não alcançarem uma solução, o Cliente poderá resolver a parte do serviço afetada sem penalização, com direito ao reembolso proporcional do período não consumido.

9. Transferências internacionais

O tratamento realiza-se em geral dentro do Espaço Económico Europeu: a computação é implementada na região de Frankfurt e as bases de dados e o armazenamento de objetos residem na região europeia dos respetivos fornecedores. Contudo, alguns fornecedores são sociedades estabelecidas fora do EEE cujo pessoal pode aceder remotamente a esses sistemas com fins de suporte, engenharia e segurança, o que constitui uma transferência internacional. Toda a transferência está coberta por um mecanismo do capítulo V do RGPD, identificado fornecedor a fornecedor no ANEXO III: a decisão de adequação aplicável ao país de destino (artigo 45), o Quadro de Privacidade de Dados UE-EUA, ou as Cláusulas Contratuais-Tipo aprovadas pela Decisão de Execução (UE) 2021/914 (artigo 46.º, n.º 2, alínea c)), complementadas quando adequado com medidas suplementares. A AXPA não realizará transferências distintas das previstas sem instrução ou autorização prévia do Cliente.

10. Assistência no exercício dos direitos dos titulares dos dados

A AXPA assistirá o Cliente, tendo em conta a natureza do tratamento e através de medidas técnicas e organizativas adequadas, no cumprimento da sua obrigação de responder aos pedidos de exercício dos direitos de acesso, retificação, apagamento, limitação, portabilidade e oposição, bem como do direito a não ser objeto de decisões automatizadas. A Plataforma incorpora funcionalidades de autosserviço —consulta, edição, exportação e eliminação de registos— que permitem ao Cliente atender diretamente à maior parte desses pedidos. Se um titular dos dados dirigir o seu pedido à AXPA em vez de ao Cliente, a AXPA não lhe responderá por sua conta: comunicá-lo-á ao Cliente sem demora injustificada e, em todo o caso, no prazo de CINCO (5) DIAS ÚTEIS a contar da sua receção.

11. Assistência em segurança, avaliações de impacto e consulta prévia

A AXPA prestará ao Cliente assistência razoável, tendo em conta a natureza do tratamento e a informação de que disponha, no cumprimento das obrigações dos artigos 32 a 36 do RGPD: segurança do tratamento, notificação de violações de segurança à autoridade de controlo e aos titulares dos dados, avaliações de impacto sobre a proteção de dados e consulta prévia à autoridade de controlo. Esta assistência será prestada sem custo adicional quando consistir em facultar documentação já elaborada ou informação sobre as medidas de segurança; a assistência que exija desenvolvimentos específicos ou dedicação extraordinária poderá ser faturada aos preços em vigor, mediante comunicação e aceitação prévias do Cliente.

12. Violações da segurança dos dados pessoais

A AXPA notificará o Cliente de qualquer violação da segurança dos dados pessoais tratados por sua conta SEM DEMORA INJUSTIFICADA a partir do momento em que dela tenha conhecimento, e em todo o caso no prazo de QUARENTA E OITO (48) HORAS, por correio eletrónico para o endereço de contacto do titular da organização e mediante aviso na Plataforma. A notificação descreverá a natureza da violação, as categorias e o número aproximado de titulares e de registos afetados, as consequências prováveis, as medidas adotadas ou propostas para lhe pôr termo e mitigar os seus efeitos, e os dados de contacto do Encarregado da Proteção de Dados. Quando não for possível facultar toda a informação em simultâneo, será fornecida de forma faseada, sem demora injustificada. Cabe ao CLIENTE, na sua condição de Responsável, decidir sobre a notificação à autoridade de controlo e aos titulares dos dados e efetuá-la; a AXPA não a realizará em seu nome salvo instrução expressa.

13. Devolução ou eliminação dos dados no termo

Ao terminar a prestação dos serviços, e à escolha do Cliente, a AXPA eliminará os dados pessoais tratados por sua conta ou devolvê-los-á, e eliminará as cópias existentes, salvo se o Direito da União ou o de um Estado-Membro exigir a sua conservação. O Cliente pode exercer a opção de devolução a qualquer momento enquanto o serviço estiver ativo e durante o período de tolerância posterior, utilizando as funções de exportação da Plataforma ou solicitando uma extração ao Encarregado da Proteção de Dados; decorrido esse período, a AXPA procederá à eliminação nos termos da cláusula 26 dos Termos. As cópias de segurança são sobrescritas nos ciclos ordinários de rotação do fornecedor de base de dados: durante esse intervalo os dados ficam bloqueados e não são submetidos a nenhum tratamento distinto da sua conservação.

14. Auditorias e disponibilização de informação

A AXPA colocará à disposição do Cliente toda a informação necessária para demonstrar o cumprimento das obrigações do artigo 28 do RGPD e permitirá e contribuirá para a realização de auditorias, incluindo inspeções, por parte do Cliente ou de um auditor por ele autorizado. O Cliente deverá avisar previamente com pelo menos TRINTA (30) DIAS DE CALENDÁRIO, limitar a auditoria a uma vez por ano civil —salvo se existir uma violação de segurança comprovada ou se uma autoridade de controlo o exigir, casos em que essa limitação não se aplica—, realizá-la em horário laboral e sem perturbar a atividade, e submeter o auditor a um compromisso de confidencialidade. O auditor não poderá ser um concorrente da AXPA. A AXPA poderá satisfazer o pedido apresentando certificações em vigor, relatórios de auditoria de terceiros ou questionários de segurança preenchidos, desde que respondam razoavelmente ao objeto da auditoria. Os custos da auditoria são por conta do Cliente, salvo se esta revelar um incumprimento substancial imputável à AXPA.

15. Obrigações do Responsável

O Cliente garante que: (a) o tratamento que instrui dispõe de uma base jurídica válida e respeita os princípios do artigo 5 do RGPD, em particular a minimização; (b) informou os titulares dos dados nos termos dos artigos 13 e 14 e, quando adequado, recolheu o seu consentimento; (c) as suas instruções são lícitas e não obrigam a AXPA a violar a regulamentação; (d) mantém atualizada a lista de membros da sua organização e as suas permissões, e revoga sem demora os acessos que deixem de ser necessários; e (e) não incorporará na Plataforma categorias especiais de dados do artigo 9 nem dados relativos a condenações e infrações penais do artigo 10 sem acordo prévio e por escrito com a AXPA, uma vez que a Plataforma não está concebida nem dimensionada para os tratar.

16. Responsabilidade

Cada parte responde pelos danos causados por um tratamento que viole o RGPD nos termos do artigo 82. A responsabilidade da AXPA decorrente deste Acordo fica sujeita aos mesmos limites quantitativos e exclusões acordados na cláusula 29 dos Termos, salvo se a regulamentação aplicável não permitir essa limitação e sem que tal afete a responsabilidade perante os titulares dos dados ou as autoridades de controlo, que se rege pelo RGPD. O Cliente manterá indemne a AXPA perante as reclamações decorrentes da falta de base jurídica, de informação aos titulares dos dados ou de licitude das suas instruções.

17. Vigência, alteração e termo

Este Acordo entra em vigor com o início da subcontratação e permanece em vigor enquanto durar o tratamento. A AXPA poderá alterá-lo para o adaptar a mudanças regulamentares, a decisões ou orientações das autoridades de controlo, ou a alterações na arquitetura do serviço, publicando a versão atualizada com uma nova data neste mesmo endereço e comunicando-o ao Cliente. As alterações que reduzam de forma substancial as garantias do Cliente facultam-lhe a resolução da parte do serviço afetada sem penalização no prazo de trinta dias a contar da comunicação. A atualização do Anexo III rege-se pelo procedimento específico da cláusula 8.

18. Lei aplicável, autoridade de controlo e contacto

Este Acordo rege-se pela legislação espanhola e pelo Regulamento (UE) 2016/679, e os litígios são submetidos aos tribunais previstos na cláusula 37 dos Termos. A autoridade de controlo competente relativamente à AXPA é a Agencia Española de Protección de Datos (www.aepd.es), sem prejuízo da autoridade que seja competente relativamente ao Cliente. Todas as comunicações relativas a este Acordo —pedidos de um exemplar assinado, instruções adicionais, oposição a um subcontratante, pedidos de auditoria e notificações— serão dirigidas ao Encarregado da Proteção de Dados da AXPA Systems S.L.U., Pablo Menéndez-Ponte Alonso, em admin@axpa.app.

Anexo II — Medidas técnicas e organizativas

Medidas aplicadas pela AXPA nos termos do artigo 32 do RGPD. A descrição é a real da arquitetura da Plataforma e é atualizada quando esta muda, sem que o nível global de segurança possa ser degradado durante a vigência do Acordo.

• Cifragem em trânsito: toda a comunicação com a Plataforma é feita por HTTPS com TLS. Não é oferecido nenhum ponto de acesso em claro.
• Cifragem em repouso: a base de dados e o armazenamento de objetos aplicam a cifragem gerida pelos respetivos fornecedores. As palavras-passe nunca são armazenadas em claro, mas como resumo criptográfico com sal.
• Isolamento entre clientes: cada registo está adstrito a uma organização e as regras de acesso da camada de dados filtram por ela em toda a consulta, de modo que o isolamento não depende de a interface ocultar o dado, mas de a consulta não o devolver.
• Controlo de acesso granular: o modelo de autorização baseia-se em permissões por domínio funcional, não na hierarquia de funções, com funções de sistema e funções próprias de cada organização. As organizações com hierarquia interna podem ainda limitar cada membro à sua unidade ou à sua subárvore.
• Autenticação reforçada: suporte de segundo fator e de identidade federada. O acesso ao painel de administração da plataforma está restrito a administradores globais e exige obrigatoriamente segundo fator, sem possibilidade de o contornar.
• Gestão de sessões e dispositivos: as sessões caducam, são registadas de forma individualizada e podem ser revogadas remotamente. O número de dispositivos e sessões em simultâneo está limitado por plano, o que reduz o impacto de uma credencial comprometida.
• Limitação de taxa nos pontos de acesso sensíveis —autenticação, verificação e códigos de utilização única— para conter os ataques de força bruta e de enumeração.
• Auditoria estática de segurança automatizada, integrada como porta de qualidade tanto na revisão de código como na compilação de produção: um achado crítico ou alto detém a implementação antes de chegar à base de dados.
• Rastreabilidade: registo dos envios de correio, das sessões ativas e dos eventos de ciclo de vida da conta, conservados para permitir a investigação de um incidente.
• Cópias de segurança e recuperação geridas pelo fornecedor de base de dados, com recuperação para um ponto no tempo dentro da janela de retenção do seu plano.
• Minimização e separação de finalidades: o conteúdo do Cliente não é usado para treinar modelos nem para melhorar o produto sem consentimento expresso e separado, nos termos da cláusula 5(b).
• Medidas organizativas: acesso segundo o princípio do menor privilégio, compromisso escrito de confidencialidade do pessoal autorizado, formação em proteção de dados e designação de um Encarregado da Proteção de Dados como ponto de contacto único.