Acordo de Tratamento de Dados

Este acordo, nos termos do artigo 28.º do Regulamento Geral sobre a Proteção de Dados (RGPD), é celebrado entre o advogado titular da conta Imigra (“Responsável”) e [Nome do responsável], NIF [NIF], [Morada] (“Subcontratante”). É aceite ao criar conta e vigora enquanto a conta existir.

1. Objeto

O Subcontratante trata dados pessoais por conta do Responsável apenas para prestar o Imigra: guardar, organizar, apresentar, exportar e eliminar a informação dos clientes e processos do Responsável, enviar os emails que o Responsável desencadeia (por exemplo, pedidos de documentos), ler automaticamente, no próprio servidor, a zona de leitura ótica de passaportes e títulos de residência para sugerir dados que o Responsável confirma, e fazer cópias de segurança.

2. Dados e titulares

• Titulares: clientes do Responsável e os seus familiares (incluindo menores, como dependentes em processos de reagrupamento familiar).
• Dados: identificação (nome, data de nascimento, nacionalidade, documentos de identificação e passaporte), contactos, morada, NIF e NISS, situação migratória e processos, documentos carregados, prazos, honorários e pagamentos, notas.
• Os documentos carregados podem conter categorias especiais de dados (por exemplo, de saúde). Cabe ao Responsável garantir o fundamento para os tratar.

3. Obrigações do Subcontratante

• Tratar os dados apenas segundo as instruções documentadas do Responsável, que são as dadas através do serviço e deste acordo.
• Garantir que quem tem acesso aos dados está obrigado a confidencialidade.
• Aplicar as medidas de segurança do ponto 4.
• Ajudar o Responsável a responder aos direitos dos titulares, através das funções de exportação, correção e eliminação do serviço e, se necessário, por email.
• Notificar o Responsável de qualquer violação de dados pessoais sem demora injustificada e, em todo o caso, no prazo de 48 horas após dela ter conhecimento, com a informação disponível para que o Responsável cumpra o artigo 33.º do RGPD.
• Disponibilizar a informação necessária para demonstrar o cumprimento deste acordo e permitir auditorias razoáveis, com aviso prévio.
• Não transferir os dados para fora do Espaço Económico Europeu.

4. Medidas de segurança

• Comunicações cifradas (HTTPS/TLS).
• Cada documento é cifrado com AES-256-GCM antes de ser guardado; a chave fica fora do armazenamento dos ficheiros.
• A base de dados só é acessível pela rede interna do servidor, nunca diretamente pela internet.
• Separação dos dados por conta em todas as consultas; palavras-passe guardadas apenas como hash.
• Links de pedido de documentos aleatórios e protegidos por um código enviado ao cliente por email.
• Cópias de segurança diárias, cifradas, guardadas na UE e mantidas até 30 dias.
• Acesso à infraestrutura restrito ao Subcontratante, com autenticação forte.

5. Subcontratantes ulteriores

O Responsável autoriza os seguintes subcontratantes ulteriores:

• Hetzner Online GmbH (Alemanha): servidores, armazenamento e cópias de segurança.
• Sendinblue SAS, marca Brevo (França): envio de emails.

O Subcontratante avisa o Responsável por email com pelo menos 30 dias de antecedência antes de acrescentar ou substituir um subcontratante ulterior. Se o Responsável se opuser, pode eliminar a conta antes da alteração. O Subcontratante impõe a cada subcontratante ulterior obrigações de proteção de dados equivalentes às deste acordo.

6. Fim do tratamento

O Responsável pode exportar os dados a qualquer momento. Ao eliminar a conta, os dados são apagados de imediato do serviço e desaparecem das cópias de segurança no prazo de 30 dias, salvo obrigação legal de os conservar.

7. Contacto

privacidade@hlgsystems.pt. Em caso de conflito entre este acordo e os Termos de Utilização, prevalece este acordo quanto à proteção de dados.