Acordo de subcontratação (DPA)

Artigo 1.º — Partes e objeto

O presente acordo é celebrado entre:

• a organização cliente, que utiliza a plataforma BySince para as suas necessidades, adiante « o responsável pelo tratamento »;
• [a completar], [a completar], com sede em [a completar], registada sob o número [a completar], entidade editora da plataforma, adiante « Since & Co » ou « o subcontratante ».

Define as condições em que a Since & Co trata dados pessoais por conta do responsável pelo tratamento, em conformidade com o artigo 28.º do Regulamento (UE) 2016/679 (RGPD). Faz parte integrante do contrato celebrado entre as partes e das condições gerais de utilização. Em matéria de proteção de dados, prevalece sobre qualquer outro documento.

Não abrange os tratamentos pelos quais a própria Since & Co é responsável, descritos na política de privacidade.

Artigo 2.º — Descrição do tratamento

Artigo 3.º — Obrigações do responsável pelo tratamento

1. Determina as finalidades e os fundamentos jurídicos dos tratamentos, e mantém o seu registo.
2. Informa os titulares dos dados, incluindo as pessoas gravadas no terreno, e recolhe o respetivo consentimento quando este é exigido.
3. Cumpre as suas obrigações próprias, nomeadamente em direito do trabalho: informação e consulta dos representantes dos trabalhadores, informação prévia dos trabalhadores sobre os dispositivos de avaliação.
4. Documenta por escrito as suas instruções. A parametrização da plataforma pelos seus administradores vale como instrução: criação das contas, atribuição dos direitos, ativação da IA, registo de chaves de API, ativação da cifragem das capturas, partilhas.
5. Realiza, se for caso disso, a avaliação de impacto sobre a proteção de dados.
6. Zela pela segurança dos seus próprios acessos: escolha dos administradores, retirada das contas das pessoas que saíram, confidencialidade dos identificadores e das chaves.

Artigo 4.º — Tratamento mediante instrução

A Since & Co só trata os dados mediante instrução documentada do responsável pelo tratamento, incluindo no que respeita às transferências para fora da União Europeia, salvo obrigação legal em contrário; nesse caso, informa-o desse facto, salvo se a lei o proibir.

Se a Since & Co considerar que uma instrução viola o RGPD ou outra regra de proteção de dados, informa imediatamente o responsável pelo tratamento.

A Since & Co não utiliza os dados por sua própria conta. Não os vende, não os comunica a outros clientes e não os utiliza para treinar modelos de inteligência artificial.

Artigo 5.º — Confidencialidade

A Since & Co assegura que as pessoas autorizadas a tratar os dados estejam sujeitas a uma obrigação de confidencialidade, recebam a formação necessária e só acedam aos dados na medida do necessário à sua missão: exploração, manutenção, segurança, assistência.

Os membros habilitados do pessoal da Since & Co dispõem de papéis que lhes permitem aceder ao espaço de qualquer organização. Só lhe acedem para as necessidades da prestação ou a pedido do responsável pelo tratamento.

Artigo 6.º — Segurança

A Since & Co aplica as medidas técnicas e organizativas descritas no anexo 1, a fim de garantir um nível de segurança adequado ao risco, em conformidade com o artigo 32.º do RGPD. Pode fazê-las evoluir, sem diminuir o respetivo nível global.

Artigo 7.º — Subcontratantes ulteriores

1. Autorização geral. O responsável pelo tratamento autoriza a Since & Co a recorrer aos subcontratantes ulteriores enumerados no anexo 2.
2. Alteração. A Since & Co informa o responsável pelo tratamento de qualquer aditamento ou substituição com, pelo menos, trinta dias de antecedência, através da publicação de uma nova versão do presente acordo e de uma informação dirigida ao contacto designado pelo responsável pelo tratamento. O responsável pelo tratamento pode opor-se por escrito, por um motivo legítimo relacionado com a proteção de dados, durante esse prazo. Na falta de solução, pode resolver o serviço em causa.
3. Mesmas obrigações. A Since & Co impõe aos seus subcontratantes ulteriores, por contrato, obrigações equivalentes às do presente acordo. Permanece responsável perante o responsável pelo tratamento pelo respetivo cumprimento.

Artigo 8.º — Inteligência artificial

As funcionalidades de IA e os dados que estas transmitem estão descritos nos artigos 11.º a 24.º das condições gerais de utilização. Há que distinguir três situações.

8.1. Chamada realizada com uma chave de API da organização

A organização regista uma chave obtida junto de um fornecedor de IA com o qual ela própria contratou. O fornecedor trata então os dados na conta e segundo o contrato da organização. Não é um subcontratante ulterior da Since & Co: é um subcontratante, ou um destinatário, escolhido pelo responsável pelo tratamento. Este verifica as condições do fornecedor: localização, transferências, prazos de conservação, utilização para o treino de modelos. O registo da chave vale como instrução dada à Since & Co para transmitir os dados a esse fornecedor quando um utilizador habilitado desencadeia a funcionalidade.

8.2. Chamada realizada com a chave pessoal de um utilizador

A plataforma permite a um utilizador registar a sua própria chave, que tem prioridade sobre a da organização. Os dados são então tratados na conta pessoal desse utilizador junto do fornecedor. O administrador não vê essas chaves nem as chamadas correspondentes. Cabe ao responsável pelo tratamento autorizar, enquadrar ou proibir esta prática através das suas regras internas. Se pretender excluí-la, pode desativar a IA para a sua organização.

8.3. Tratamento realizado com os meios da Since & Co

A pedido do responsável pelo tratamento, a Since & Co pode lançar em exploração tratamentos de IA sobre os conteúdos deste: revisão IA das fichas, revisão dos conhecimentos, glossário, descrição, palavras-chave, conversão de transcrições. Utiliza então as suas próprias contas junto dos fornecedores, incluindo por meio das ferramentas « Claude Code » e « Codex », que transmitem os dados ao fornecedor. Esses fornecedores são subcontratantes ulteriores da Since & Co e constam do anexo 2.

A Since & Co só lança esses tratamentos a pedido ou com o acordo do responsável pelo tratamento, e nunca para uma organização que tenha desativado a IA.

8.4. Garantias comuns

• nenhuma chamada a um fornecedor terceiro é feita para um utilizador sem chave disponível, sem consentimento ativo desse utilizador, ou se a IA estiver desativada para a organização;
• os tratamentos locais (sugestão de competências, transcrição local) nada transmitem a terceiros;
• os resultados da IA são propostas sujeitas a validação humana; não é tomada qualquer decisão individual automatizada;
• as chaves de API são cifradas, nunca reapresentadas, nunca exportadas; o registo de utilização não contém pedido, nem resposta, nem chave.

Artigo 9.º — Transferências para fora da União Europeia

Os dados estão alojados no seguinte local: [a completar]. A Since & Co não transfere dados para fora da União Europeia, exceto:

• para a Suíça, para o armazenamento remoto das cópias de segurança, com fundamento na decisão de adequação da Comissão Europeia;
• para os fornecedores de IA, quando essas funcionalidades são utilizadas mediante instrução do responsável pelo tratamento. No caso do artigo 8.3, a Since & Co certifica-se da existência de uma garantia adequada (decisão de adequação ou cláusulas contratuais-tipo) e mantém-na à disposição do responsável pelo tratamento. Nos casos dos artigos 8.1 e 8.2, a transferência decorre do contrato do titular da chave.

Artigo 10.º — Direitos das pessoas

A Since & Co ajuda o responsável pelo tratamento, através de medidas adequadas e na medida do possível, a responder aos pedidos de exercício dos respetivos direitos pelos titulares dos dados. A plataforma permite ao administrador consultar e corrigir os dados dos seus utilizadores, e desativar ou eliminar as respetivas contas. Existe uma exportação estruturada (JSON) para os dados de uma entidade associada; para qualquer outra extração, a Since & Co intervém a pedido.

Se uma pessoa dirigir o seu pedido diretamente à Since & Co, esta transmite-o sem demora ao responsável pelo tratamento e não lhe responde ela própria, salvo instrução em contrário.

Artigo 11.º — Violação de dados

A Since & Co notifica ao responsável pelo tratamento qualquer violação de dados pessoais que lhe diga respeito no mais curto prazo, e o mais tardar quarenta e oito horas após dela ter tomado conhecimento. A notificação descreve a natureza da violação, as categorias e o número aproximado de pessoas e de registos em causa, as suas consequências prováveis, as medidas tomadas ou propostas, e o ponto de contacto. As informações podem ser comunicadas de forma faseada.

O responsável pelo tratamento notifica, se for caso disso, a autoridade de controlo e os titulares dos dados. A Since & Co presta-lhe assistência para o efeito.

Artigo 12.º — Assistência à conformidade

A Since & Co presta assistência ao responsável pelo tratamento, tendo em conta a natureza do tratamento e as informações de que dispõe, na realização de avaliações de impacto, na consulta prévia da autoridade de controlo e no cumprimento das suas obrigações de segurança. Os registos das funcionalidades de IA e dos subcontratantes mantidos pela Since & Co são comunicados a pedido.

Artigo 13.º — Destino dos dados no termo do contrato

1. No termo do contrato, e consoante a escolha do responsável pelo tratamento, a Since & Co restitui-lhe os seus dados num formato corrente e, em seguida, elimina-os, ou elimina-os diretamente.
2. As chaves de API são eliminadas e nunca são restituídas nem exportadas.
3. As cópias presentes nas cópias de segurança são eliminadas com a expiração destas, o mais tardar doze meses após a eliminação. Não são exploradas nesse intervalo.
4. O destino das páginas públicas de verificação dos badges emitidos é decidido pelo responsável pelo tratamento.
5. A Since & Co pode conservar os dados cuja conservação a lei lhe imponha, e aqueles pelos quais ela própria é responsável.
6. A pedido, a Since & Co atesta por escrito a eliminação.

Artigo 14.º — Documentação e auditoria

A Since & Co põe à disposição do responsável pelo tratamento as informações necessárias para demonstrar o cumprimento do artigo 28.º do RGPD.

O responsável pelo tratamento pode realizar ou mandar realizar uma auditoria, no máximo uma vez por ano salvo violação de dados ou pedido de uma autoridade, mediante um pré-aviso de trinta dias, durante o horário de expediente, sem perturbar o serviço nem aceder aos dados de outros clientes. O auditor não deve ser um concorrente da Since & Co e compromete-se à confidencialidade. Os custos da auditoria são suportados pelo responsável pelo tratamento, salvo incumprimento grave verificado.

Artigo 15.º — Registo e contacto

A Since & Co mantém um registo das categorias de atividades de tratamento efetuadas por conta dos seus clientes. Contacto para a proteção de dados: [a completar].

Artigo 16.º — Responsabilidade, duração, direito aplicável

Cada parte responde pelos danos causados pelos seus incumprimentos do RGPD e do presente acordo, nas condições do artigo 82.º do RGPD e nos limites previstos no contrato, que não se aplicam aos direitos dos titulares dos dados.

O acordo aplica-se durante todo o período de tratamento dos dados pela Since & Co. É regido pelo direito francês; os litígios são da competência dos tribunais designados pelas condições gerais de utilização.

Anexo 1 — Medidas de segurança

Anexo 2 — Subcontratantes ulteriores

Subcontratantes ulteriores de IA

Estes fornecedores só intervêm como subcontratantes ulteriores da Since & Co no caso do artigo 8.3, ou seja, para os tratamentos lançados pela Since & Co com as suas próprias contas, a pedido do responsável pelo tratamento.

Não são subcontratantes ulteriores, por não receberem dados pessoais confiados pelo responsável pelo tratamento: o Hugging Face (transferência de modelos executados localmente), os bancos de imagens, o MyMemory, o DiceBear, o Lorem Picsum e a API pública « Recherche d'entreprises ». Estão descritos na política de privacidade.

Contactos da entidade editora: consultar as menções legais.