Acordo de tratamento de dados

Porque é que existe sequer um acordo destes

A legislação de proteção de dados não permite que um responsável pelo tratamento entregue dados pessoais a um fornecedor por mera confiança. O artigo 28.º do RGPD do Reino Unido diz que a relação tem de ser regida por um contrato que vincule o subcontratante, e enumera o que esse contrato tem de conter. O dever corre nos dois sentidos: se recolher dados pessoais através de um inquérito e não existir um acordo, é o cliente que está em incumprimento, e não apenas nós. É por isso que as equipas de contratação o pedem cedo, e é por isso que preferimos publicar esta página a responder quarenta vezes ao mesmo e-mail.

A página sobre o RGPD do Reino Unido explica com mais detalhe a repartição entre responsável pelo tratamento e subcontratante, incluindo os casos em que somos nós o responsável pelo tratamento — dados de conta e correspondência de apoio.

Quando precisa de um, e quando não precisa

Precisa de um acordo se o seu inquérito recolher dados pessoais. Esse limiar é mais baixo do que parece. Um inquérito sem campo de nome pode ainda assim recolher dados pessoais através de uma caixa de texto livre onde alguém escreve sobre si próprio, através de uma pergunta de morada ou de e-mail, através de um ficheiro carregado ou através de um campo oculto que transporte uma referência de processo do seu próprio sistema. Se algum destes casos se aplicar, trate o inquérito como tratamento de dados pessoais e ponha a papelada em ordem.

Um inquérito genuinamente anónimo — sem identificadores, sem campos ocultos, sem carregamentos, sem texto livre que convide a pormenores pessoais — não precisa de acordo, porque não há dados pessoais a tratar. Seja honesto consigo próprio sobre qual dos dois está a realizar. A secção sobre anonimato cobre as três funcionalidades que mais vezes o quebram por acidente.

O que o nosso acordo abrange

O acordo é curto e segue a estrutura do artigo 28.º, n.º 3, em vez de a reinventar. Cada um destes pontos consta do documento:

O anexo, em termos simples

O anexo é a parte que a maioria das pessoas realmente lê, porque é a que diz para onde vão os dados. O conteúdo dos inquéritos, as respostas, as respostas parciais guardadas e os ficheiros carregados são armazenados pela Supabase, em infraestrutura da AWS em Londres (eu-west-2). Os controlos técnicos que lhes são aplicados — TLS em trânsito, AES-256 em repouso, segurança ao nível da linha, isolamento entre organizações resolvido no servidor e não recebido do navegador, e um contentor privado de carregamentos legível apenas através de URL assinados que expiram ao fim de 300 segundos — estão descritos na página de segurança, e essa mesma descrição constitui o anexo relativo ao artigo 32.º.

Todos os terceiros de que dependemos, o que fazem, o que veem e onde o fazem, constam da página de subcontratantes subsequentes. O acordo dá autorização escrita de caráter geral para essa lista e obriga-nos a publicar uma inclusão antes de o novo fornecedor iniciar o tratamento, com direito de oposição por motivos razoáveis de proteção de dados. Duas linhas dessa página estão marcadas como "a confirmar" porque ainda não verificámos a região junto do fornecedor; se precisar de uma delas confirmada antes de poder assinar, diga-o e nós insistimos em vez de adivinhar.

Como pedir uma cópia

Peça-a através da página de contactos. Indique-nos a denominação legal da organização contratante e quem vai assinar, e se precisa dela antes ou depois de existir uma conta — qualquer das hipóteses serve, e preferimos que o seu encarregado de proteção de dados a leia durante a avaliação a que descubra um problema ao terceiro mês.

Se a sua organização tiver um acordo próprio de utilização obrigatória, envie-o. As autarquias, os organismos de saúde e as universidades costumam ter, e analisar o vosso é mais rápido do que discutir de quem é o papel que prevalece. Lemo-lo com atenção e voltamos com pontos concretos sempre que uma cláusula não corresponda ao funcionamento real da plataforma — uma cláusula de auditoria que exija a inspeção presencial de um centro de dados que não é nosso, por exemplo, ou um compromisso de conservação que pressuponha uma expiração automática que não temos. Preferimos assinalá-lo a assinar algo que não conseguimos cumprir.

O que o acordo não faz

Não escolhe o seu fundamento de licitude, não escreve a sua política de privacidade nem preenche a sua avaliação de impacto sobre a proteção de dados. São responsabilidades do responsável pelo tratamento, e nenhum contrato com um fornecedor as transfere. Preenchemos as secções relativas ao fornecedor numa DPIA e respondemos a um questionário de segurança — veja a página sobre o RGPD do Reino Unido para saber o que cobrimos — mas a avaliação é sua.

Também não confere uma certificação que não temos. Não temos certificação ISO 27001, não concluímos uma auditoria SOC 2 e não temos Cyber Essentials. Se o seu processo tratar alguma dessas como critério eliminatório, o acordo não o vai fazer passar, e deve sabê-lo antes de investir tempo numa avaliação.

Páginas relacionadas

A segurança descreve os controlos a que o acordo nos obriga. O RGPD do Reino Unido cobre papéis, fundamentos de licitude, conservação e direitos dos respondentes. Os subcontratantes subsequentes são a lista do anexo em versão viva. A declaração de acessibilidade é o outro documento que a contratação costuma pedir no mesmo e-mail.

Esta página descreve o acordo. Não constitui aconselhamento jurídico e não substitui a sua própria análise.