Acordo de Subcontratação (DPA)

1. Objeto, duração, natureza e finalidade

• Objeto: o tratamento dos dados pessoais dos colaboradores do cliente necessário para prestar o Sesta (gestão de férias, ausências, teletrabalho, formação, despesas e registos laborais associados).
• Duração: enquanto a organização do cliente existir no Sesta e, depois disso, o tempo necessário para devolver e apagar os dados nos termos da secção 9.
• Natureza: recolha, registo, organização, conservação, consulta, cálculo, exportação e apagamento, por meios automatizados.
• Finalidade: apenas a prestação do serviço ao cliente. O Sesta não usa estes dados para fins próprios, não os vende e não os usa para publicidade.

2. Categorias de titulares e de dados

• Titulares: colaboradores do cliente, os seus responsáveis e os utilizadores de RH e administração.
• Dados: identificação e contacto profissional (nome, email); dados laborais (cargo, equipa, responsável, distrito, data de admissão, tipo de contrato, código de processamento salarial e vencimento base, quando o cliente os indica); ausências e presença (datas, tipo, motivo da decisão, dias de teletrabalho); formação (ações, horas, certificados); despesas (deslocações, quilómetros, matrícula e proprietário da viatura, valores e recibos); documentos anexados; o texto que os utilizadores escrevem ao assistente de IA; registo de atividade.
• Categorias especiais: podem existir dados de saúde, por exemplo um certificado de incapacidade temporária anexado a uma baixa. Cabe ao cliente ter fundamento para os tratar (art. 9.º, n.º 2, alínea b), do RGPD). Os documentos anexados só são visíveis ao próprio colaborador, a quem decide o pedido, à RH e ao administrador da organização, e o tipo de ausência nunca aparece nos feeds de calendário, onde qualquer ausência surge apenas como "Ausente".

3. Instruções do cliente

O Sesta trata os dados apenas segundo instruções documentadas do cliente. Estas instruções são os Termos de Utilização, este acordo e o que o cliente configura e faz na aplicação. Se o Sesta considerar que uma instrução viola o RGPD ou outra lei, avisa o cliente de imediato. Se uma lei da União ou de Portugal obrigar o Sesta a tratar dados por outro motivo, avisa o cliente antes, salvo se essa lei o proibir.

4. Confidencialidade

Quem tem acesso aos dados do cliente em nome do Sesta está obrigado a sigilo. Hoje, além dos processos automáticos de publicação do serviço, só o titular do Sesta tem acesso técnico à produção, e usa-o apenas para operar o serviço, dar suporte a pedido do cliente ou resolver incidentes.

5. Segurança (art. 32.º RGPD)

O Sesta aplica as medidas técnicas e organizativas descritas no Anexo I e mantém-nas adequadas ao risco.

6. Subcontratantes ulteriores

• O cliente dá autorização geral para o Sesta recorrer aos subcontratantes do Anexo II.
• Antes de acrescentar ou substituir um subcontratante, o Sesta avisa o administrador da organização por email com, pelo menos, 30 dias de antecedência. O cliente pode opor-se por motivos razoáveis de proteção de dados; se não houver solução, pode cancelar a subscrição sem penalização antes da mudança.
• O Sesta celebrou com cada subcontratante um acordo de tratamento de dados (os acordos padrão de cada prestador) com garantias suficientes nos termos do art. 28.º, n.º 4, do RGPD, e responde perante o cliente pelo seu cumprimento.

7. Transferências internacionais

Os dados são alojados e tratados na União Europeia. O Sesta não transfere dados para fora do Espaço Económico Europeu, salvo o trânsito cifrado pela rede de entrega de conteúdos da AWS (CloudFront) quando alguém acede a partir de fora da Europa, coberto pelo acordo de tratamento de dados da AWS. Qualquer outra transferência só acontece com instrução documentada do cliente e com as garantias do capítulo V do RGPD.

8. Apoio ao cliente

• Direitos dos titulares: o Sesta ajuda o cliente a responder a pedidos de acesso, retificação, apagamento, limitação, portabilidade e oposição. A maior parte faz-se na própria aplicação (editar, desativar, exportar em CSV ou PDF). Se um titular contactar o Sesta diretamente, o pedido é reencaminhado para o cliente.
• Violações de dados: o Sesta notifica o cliente sem demora injustificada e, sempre que possível, até 48 horas depois de tomar conhecimento de uma violação que afete os seus dados, com a informação disponível sobre a natureza, as categorias e o número aproximado de titulares afetados, as consequências prováveis e as medidas tomadas. A notificação à CNPD e aos titulares cabe ao cliente, com o apoio do Sesta.
• Avaliações de impacto e consultas prévias: o Sesta fornece a informação de que disponha para o cliente as fazer.

9. Fim do contrato: devolução e apagamento

• Enquanto a organização existir, e também em modo de leitura, o cliente pode exportar os seus dados em CSV e PDF.
• Encerramento a pedido: o cliente pode pedir por email o encerramento da organização. O Sesta envia-lhe primeiro, se o pedir, os dados em CSV e um arquivo com os documentos anexados, e depois apaga a organização até 30 dias após o pedido, confirmando-o por escrito.
• Apagamento por omissão: se uma organização ficar 12 meses sem subscrição ativa e sem que ninguém entre na aplicação, o Sesta avisa o administrador por email e, sem resposta em 30 dias, apaga-a.
• As cópias de segurança automáticas expiram em 7 dias, pelo que os dados apagados desaparecem delas nesse prazo. O Sesta pede também o apagamento aos subcontratantes, salvo o que estes tenham de conservar por lei.
• Os prazos de conservação dos registos laborais que a lei impõe ao empregador são da responsabilidade do cliente, que deve exportar o que precise de guardar antes do encerramento. Os dados de faturação da subscrição são dados do próprio Sesta, enquanto responsável pelo tratamento, e seguem os prazos fiscais.

10. Informação e auditorias

O Sesta disponibiliza ao cliente, a pedido, a informação necessária para demonstrar o cumprimento deste acordo. O cliente pode fazer, ou mandar fazer por um auditor independente sujeito a sigilo, uma auditoria por ano, com aviso de 30 dias e a expensas próprias, sem acesso aos dados de outros clientes. Estes limites não se aplicam depois de uma violação de dados que afete o cliente nem quando a auditoria seja exigida pela CNPD.

11. Responsabilidade e lei aplicável

A responsabilidade entre as partes rege-se pelos Termos de Utilização e pelo art. 82.º do RGPD. Quanto ao tratamento de dados pessoais por conta do cliente, o Sesta cumpre este acordo mesmo que os Termos digam menos. Aplica-se a lei portuguesa.

Anexo I: medidas técnicas e organizativas

• Localização: dados alojados e tratados na União Europeia (AWS, Irlanda).
• Cifragem: dados cifrados em trânsito e em repouso.
• Isolamento: cada organização só acede aos seus próprios dados.
• Controlo de acessos: perfis com permissões diferentes; cada responsável só decide pela sua equipa.
• Autenticação: sem palavras-passe guardadas pelo Sesta.
• Rede: a infraestrutura e a base de dados não estão expostas diretamente à Internet.
• Registo de atividade: as ações relevantes ficam registadas, com quem e quando.
• Cópias de segurança: cópias diárias e armazenamento redundante.
• Minimização: o calendário partilhado nunca mostra o tipo de ausência.

Anexo II: subcontratantes ulteriores