Contrato de subcontratação (artigo 28.º do RGPD)

1. Partes e objeto

1.1 O responsável pelo tratamento é o Utilizador (doravante «Cliente»); o subcontratante é a iBeekeeper UG (haftungsbeschränkt), Lessingstraße 4, 15345 Altlandsberg, Alemanha (doravante «iBeekeeper»).

1.2 A iBeekeeper trata dados pessoais por conta do Cliente, na medida em que este os guarde no Serviço no âmbito do contrato de utilização (Termos e Condições). Duração: período de vigência do contrato de utilização, acrescido dos prazos previstos na cláusula 9.

2. Natureza, finalidade e âmbito

3. Instruções

A iBeekeeper trata os dados apenas mediante instruções documentadas do Cliente. As instruções estão fixadas de forma exaustiva no contrato de utilização e nas definições e funcionalidades do Serviço que o Cliente utiliza. O Cliente dá outras instruções por escrito, para service@ibeekeeper.de. Se a iBeekeeper considerar que uma instrução é ilícita, a iBeekeeper informa imediatamente o Cliente desse facto (artigo 28.º, n.º 3, terceiro período, do RGPD).

4. Confidencialidade

A iBeekeeper recorre apenas a pessoas que se tenham comprometido a respeitar a confidencialidade ou que estejam sujeitas a uma obrigação legal de sigilo.

5. Medidas técnicas e organizativas

A iBeekeeper toma as medidas previstas no artigo 32.º do RGPD, descritas no Anexo 1, e adapta-as ao estado da técnica, sem reduzir o nível de proteção.

6. Subcontratantes ulteriores

6.1 O Cliente autoriza os subcontratantes ulteriores indicados no Anexo 2.

6.2 A iBeekeeper informa o Cliente por escrito, com pelo menos 30 dias de antecedência, de qualquer intenção de contratar ou substituir um subcontratante ulterior. O Cliente pode opor-se dentro desse prazo por motivo importante relacionado com a proteção de dados. Se as partes não chegarem a acordo, o Cliente pode cancelar o contrato de utilização com efeitos na data da alteração.

6.3 A iBeekeeper impõe contratualmente a cada subcontratante ulterior as mesmas obrigações em matéria de proteção de dados.

7. Assistência ao Cliente

A iBeekeeper presta assistência ao Cliente, através de medidas adequadas, na resposta aos pedidos dos titulares dos dados (artigos 12.º a 22.º do RGPD), em especial através das funções de exportação, alteração e eliminação do Serviço, bem como no cumprimento das obrigações previstas nos artigos 32.º a 36.º do RGPD. Se um titular dos dados se dirigir diretamente à iBeekeeper, a iBeekeeper encaminha o pedido para o Cliente.

8. Violações de dados pessoais

A iBeekeeper notifica o Cliente, sem demora injustificada e, se possível, no prazo de 48 horas após ter tido conhecimento, de uma violação de dados pessoais relativa aos dados tratados por conta do Cliente, com as informações previstas no artigo 33.º, n.º 3, do RGPD, na medida em que sejam conhecidas.

9. Eliminação e devolução

O Cliente pode, a todo o momento, exportar e eliminar ele próprio os dados. Após o termo do contrato de utilização ou após a eliminação da conta, a iBeekeeper elimina os dados tratados por conta do Cliente segundo os prazos previstos nos Termos e Condições (cláusula 9.7), salvo se existir uma obrigação legal de conservação. As cópias de segurança diárias são eliminadas após 30 dias; um estado por mês civil é eliminado após 12 meses. As cópias de segurança são cifradas e só são utilizadas para restauro; após um restauro, os dados eliminados entretanto são novamente eliminados.

10. Comprovação e auditorias

A iBeekeeper disponibiliza ao Cliente, mediante pedido, as informações necessárias para comprovar o cumprimento das presentes obrigações e permite auditorias pelo Cliente ou por um auditor por ele mandatado e sujeito a sigilo, mediante aviso prévio com uma antecedência razoável e durante o horário de expediente. A comprovação é efetuada prioritariamente através de documentos e informações.

11. Responsabilidade e disposições finais

À responsabilidade aplica-se o artigo 82.º do RGPD; quanto ao demais, aplicam-se os Termos e Condições. Em caso de contradição, o presente contrato prevalece sobre os Termos e Condições no que respeita à proteção de dados pessoais.

Anexo 1: Medidas técnicas e organizativas

• Acesso físico e segurança física: servidores exclusivamente em centros de dados da OVHcloud, parte contratante OVH GmbH, Köln; controlo do acesso físico pela OVHcloud, nos termos do respetivo contrato de subcontratação (versão de 17/10/2025).
• Acesso aos sistemas: início de sessão com palavra-passe, palavras-passe guardadas apenas como hash; acesso de administrador aos servidores apenas por chave SSH.
• Acesso aos dados: direitos no Serviço por conta, partilhas apenas pelo Utilizador; os acessos administrativos são registados (aplicação de administração, registo das ações relativas a clientes).
• Transmissão: cifragem de transporte TLS para todas as ligações; fotos sem metadados.
• Controlo da introdução: registo de alterações para o livro de caixa e as faturas emitidas, arquivo inalterável com soma de verificação.
• Disponibilidade: cópia de segurança diária da base de dados e dos ficheiros multimédia em armazenamento separado (armazenamento de objetos da OVHcloud na Alemanha); as cópias de segurança diárias são eliminadas após 30 dias, e um estado por mês civil é eliminado após 12 meses; as cópias de segurança são cifradas e só são utilizadas para restauro; o restauro é testado pelo menos uma vez por ano e o resultado é documentado.
• Separação: armazenamento de dados com capacidade multicliente, consultas por conta.
• Verificação: atualizações de segurança dos servidores e das dependências, verificação anual das medidas.

Anexo 2: Subcontratantes ulteriores

A OVH GmbH recorre, por sua vez, a sociedades do grupo OVHcloud e, para assistência e manutenção, também à OVH Hébergement Inc. (Canadá) e à OVH Limited (Reino Unido); a lista atual encontra-se em https://contract.eu.ovhapis.com/1.0/pdf/OVH_Sub_processors-de.pdf.

Não são subcontratantes ulteriores: Mollie, Apple e Google (pagamento ou entrega numa relação própria com o Utilizador, sem dados tratados por conta do Cliente).