Acordo de Subcontratação (DPA) — Okeanun Manager

Partes e considerandos

Por um lado, o centro de mergulho que contrata o Okeanun Manager, identificado pela denominação social, NIF, morada e representante no processo de registo e subscrição (o „Responsável" ou „Centro"); e por outro, a Munaeko Development Software Solutions, S.L., NIF B88989868, com sede em Gran Vía Manuel López Carreño, 1, 2.º, 30180 Bullas, Múrcia, Espanha, contacto [email protected] (o „Subcontratante" ou „Okeanun"). Ambas as Partes reconhecem capacidade suficiente para se obrigarem.

O Centro subscreve o Okeanun Manager para gerir a sua atividade, podendo introduzir, alojar, organizar e consultar no Serviço dados pessoais de mergulhadores, clientes, contactos de reserva e pessoal do Centro, podendo incluir categorias especiais como dados de saúde, consoante a utilização. Quanto a esses dados, o Centro determina as finalidades e os meios principais e atua como responsável, enquanto a Okeanun os trata por conta do Centro e atua como subcontratante.

Este Acordo integra-se na subscrição do Serviço e é aceite pelo Centro no processo de registo/subscrição mediante ação afirmativa (checkbox) com registo de versão e data. O Centro pode autorizar a Okeanun a recorrer a subcontratantes, aos quais são impostas obrigações equivalentes às assumidas pela Okeanun.

1. Objeto, natureza, finalidade e duração

Este Acordo regula o tratamento de dados pessoais que a Okeanun realiza por conta do Centro na prestação do Okeanun Manager, incluindo recolha, registo, organização, estruturação, conservação, consulta, comunicação a subcontratantes autorizados e eliminação ou devolução no final da prestação. A finalidade é exclusivamente prestar o Serviço ao Centro de acordo com as suas instruções documentadas; a Okeanun não pode tratar os dados para fins próprios. O acordo vigora durante a subscrição e pelo tempo estritamente necessário para executar as operações de cessação, devolução/exportação e eliminação ou bloqueio.

2. Categorias de titulares e de dados

As categorias de titulares incluem principalmente: (i) mergulhadores e clientes do Centro (registados ou não, incluindo „guest divers"); (ii) contactos relacionados com reservas; e (iii) pessoal do Centro na medida em que o Centro o gira no Serviço. As categorias de dados podem incluir: dados de identificação e contacto; dados de reserva, atividade e participação em cursos; certificações de mergulho; dados de seguro; e, quando o Centro os adicione, dados de saúde e documentação médica (categoria especial), bem como informação de pagamento. O Centro é responsável por introduzir apenas dados necessários e pertinentes, segundo os princípios da minimização e da proteção de dados desde a conceção e por defeito.

3. Instruções documentadas do Centro e limites de utilização

A Okeanun trata dados pessoais apenas seguindo as instruções documentadas do Centro, a saber: (i) este Acordo, (ii) a configuração e utilização do Serviço pelo Centro, e (iii) comunicações documentadas através dos canais de suporte estabelecidos. A Okeanun não usa os dados para fins próprios; se determinasse finalidades e meios violando este quadro, poderia ser considerada responsável por esse tratamento. Caso considere que uma instrução infringe a lei aplicável, informa o Centro sem demora.

4. Confidencialidade do pessoal autorizado

A Okeanun assegura que as pessoas autorizadas a tratar dados pessoais por conta do Centro estão sujeitas a compromissos de confidencialidade e sigilo profissional, e que o tratamento ocorre sob a autoridade da Okeanun e conforme instruções, evitando acesso, divulgação ou uso indevido. O Centro reconhece que esta obrigação é essencial, sobretudo quando introduz documentação sensível ou dados de categorias especiais.

5. Medidas técnicas e organizativas de segurança

A Okeanun aplica medidas técnicas e organizativas adequadas para garantir um nível de segurança apropriado ao risco, considerando o estado da técnica, os custos e a natureza, o âmbito, o contexto e as finalidades do tratamento, em especial quando se tratem dados de categorias especiais. Incluem geralmente controlos de acesso e autenticação, segregação por perfis e mecanismos para preservar a confidencialidade, integridade, disponibilidade e capacidade de restauração após incidentes. O detalhe técnico das medidas pode evoluir por razões de segurança.

6. Assistência ao Centro nos direitos dos titulares

Tendo em conta a natureza do tratamento e na medida do possível, a Okeanun assiste o Centro através de medidas adequadas para cumprir a obrigação de responder aos pedidos de exercício de direitos (acesso, retificação, apagamento, limitação, portabilidade ou oposição), incluindo localizar e extrair dados, executar eliminações ou limitações, ou fornecer informação técnica necessária, na medida em que o Centro não o possa fazer por si através das funcionalidades do Serviço.

7. Assistência em segurança, violações e avaliações de impacto

A Okeanun ajuda o Centro a cumprir as suas obrigações de segurança do tratamento, notificação de violações e documentação, e avaliações de impacto quando aplicável, considerando a natureza do tratamento e a informação disponível. Em particular, quando o Centro trate dados de categorias especiais ou tratamentos de alto risco, pode solicitar informação razoável sobre medidas de segurança, arquitetura, subcontratantes e transferências.

8. Notificação de violações de dados pessoais

A Okeanun notifica o Centro, sem demora injustificada, de qualquer violação de dados pessoais de que tenha conhecimento que afete dados tratados por conta do Centro, fornecendo informação suficiente para o Centro cumprir as suas obrigações de avaliação de risco, documentação e, quando aplicável, notificação à autoridade de controlo e comunicação aos titulares. A Okeanun documenta os incidentes para rastreabilidade dos factos, efeitos e medidas corretivas.

9. Subcontratantes autorizados e regime de autorização geral

O Centro concede à Okeanun autorização geral para recorrer aos subcontratantes necessários à prestação do Serviço (por exemplo, alojamento, base de dados, armazenamento de documentos, email transacional, diagnóstico de erros, pagamentos e, se aplicável, notificações ou mapas), desde que a Okeanun: (i) imponha ao subcontratante as mesmas obrigações de proteção de dados; (ii) mantenha controlo razoável das garantias e segurança; e (iii) informe o Centro de qualquer alteração pretendida, permitindo oposição fundamentada. A Okeanun mantém-se plenamente responsável perante o Centro.

10. Transferências internacionais ligadas a subcontratantes

Quando a prestação do Serviço implicar transferências de dados para países terceiros ou organizações internacionais, a Okeanun trata esses dados por conta do Centro apenas segundo as suas instruções documentadas e com as garantias adequadas aplicáveis, disponibilizando ao Centro informação razoável sobre a existência de transferências e o quadro de garantias utilizado, para a sua documentação de conformidade enquanto responsável.

11. Proibição de divulgar dados a terceiros

A Okeanun não cede nem divulga a terceiros os dados pessoais tratados por conta do Centro, exceto na medida necessária para prestar o Serviço através de subcontratantes autorizados ou quando exista uma obrigação legal. A contratação de um subcontratante não cria vínculo direto entre a Okeanun e os titulares do Centro; as comunicações aos titulares, a informação de privacidade e a base jurídica são da responsabilidade do Centro.

12. Destino dos dados no final da prestação

Ao cessar o Serviço, e à escolha do Centro, a Okeanun (i) eliminará os dados tratados por conta do Centro, ou (ii) devolvê-los-á ao Centro ou a um terceiro por este designado, num formato razoável, eliminando as cópias existentes, salvo se o direito da UE ou espanhol exigir conservação. A opção padrão é a eliminação/devolução, sem prejuízo de o Centro solicitar a alternativa dentro do período de exportação. Havendo obrigação legal de conservação, tais dados serão bloqueados ou limitados.

13. Informação de conformidade, auditorias e inspeções

A Okeanun disponibiliza ao Centro a informação necessária para demonstrar o cumprimento deste Acordo e permite e contribui para auditorias razoáveis, incluindo inspeções, pelo Centro ou por um auditor por si autorizado, desde que (i) haja pré-aviso razoável, (ii) o âmbito se limite ao necessário, (iii) se preserve a segurança e confidencialidade de outros clientes e (iv) as condições de acesso sejam acordadas de boa-fé. A documentação pode ser entregue eletronicamente e incluir certificações ou relatórios.

14. Registo de atividades de tratamento e rastreabilidade

A Okeanun mantém o registo de atividades de tratamento correspondente ao seu papel de subcontratante para os tratamentos realizados por conta do Centro e coopera com a autoridade de controlo quando exigido, sem prejuízo das obrigações de documentação e registo que recaem sobre o Centro como responsável. O Centro reconhece a necessidade de rastreabilidade documental para evidenciar diligência e responsabilidade.

15. Obrigações do Centro como responsável

O Centro garante que dispõe de base jurídica suficiente para os dados que introduz ou gere no Serviço e que cumpriu os deveres de informação aos titulares, incluindo, quando trate dados de categorias especiais (por exemplo, dados de saúde), a obtenção da legitimação reforçada exigida e a implementação de garantias adequadas. O Centro é responsável por definir as suas finalidades, manter o seu registo, tratar os pedidos de direitos e estabelecer procedimentos internos de notificação de violações.

16. Ponto de contacto e comunicações de proteção de dados

Para a coordenação operacional, o ponto de contacto da Okeanun para assuntos deste Acordo é [email protected]. O Centro designará um ponto de contacto interno através do email fornecido no registo. As comunicações podem ser feitas eletronicamente, mantendo rastreabilidade razoável dos pedidos e instruções.

17. Integração, prevalência e alterações

Este Acordo é parte integrante dos Termos do Okeanun Manager e regula especificamente o tratamento por conta do Centro. Em caso de conflito com outros termos contratuais quanto ao tratamento, prevalece este Acordo. A Okeanun pode atualizá-lo por razões regulatórias, de segurança ou de evolução do serviço, notificando a nova versão com pré-aviso razoável, ficando registados a versão e a data de aceitação.

18. Cláusulas contratuais-tipo como base

Quando apropriado, este Acordo pode basear-se, total ou parcialmente, nas cláusulas contratuais-tipo aprovadas pela Comissão Europeia para a relação entre responsável e subcontratante, que se integram como elemento normalizado e prevalecem, quando aplicável, sobre disposições conflituantes.

19. Formalização e detalhe reforçado das instruções

As Partes podem completar este Acordo com um anexo técnico de tratamento e fluxos que detalhe, por módulo do Manager, os dados tratados, os subcontratantes envolvidos e as comunicações que ocorrem, reforçando a precisão das instruções documentadas e a rastreabilidade. Tal anexo, quando exista, é parte integrante do Acordo.