Nota: A versão vinculativa do presente acordo de subcontratação do tratamento de dados é o original alemão, disponível em /rechtliches/avv. Esta tradução para português é disponibilizada apenas a título informativo. Em caso de divergências, prevalece a versão alemã.

Acordo de subcontratação do tratamento de dados (DPA) para a Screenway

A presente versão é vinculativa e pode ser validamente celebrada mediante aceitação eletrónica no portal de clientes (ver a secção «Eficácia»).

Preâmbulo

A Bergx2 GmbH opera a plataforma de software como serviço Screenway para a gestão de Digital Signage. No âmbito da utilização do serviço, a Bergx2 GmbH trata dados pessoais por conta do cliente, na aceção do artigo 4.º, ponto 8, e do artigo 28.º do Regulamento (UE) 2016/679 (Regulamento Geral sobre a Proteção de Dados, RGPD). O presente acordo concretiza as obrigações e os direitos de ambas as partes nos termos do artigo 28.º, n.º 3, do RGPD.

§ 1 Objeto e duração do tratamento

(1) Objeto. A Bergx2 GmbH disponibiliza ao cliente a plataforma Screenway como software como serviço. No âmbito da utilização, a Bergx2 GmbH trata os dados pessoais do cliente descritos em maior detalhe no Anexo 1 exclusivamente de acordo com as instruções deste.

(2) Duração. O acordo entra em vigor com a celebração do contrato principal subjacente (contrato de serviço Screenway) e cessa com a cessação deste. As obrigações de apagamento/devolução (§ 10) e de confidencialidade (§ 5, n.º 2) subsistem para além da duração do contrato.

§ 2 Natureza e finalidade do tratamento

(1) A Bergx2 GmbH trata os dados pessoais descritos no Anexo 1 para as seguintes finalidades:

• Disponibilização da plataforma Screenway como SaaS de Digital Signage
• Atribuição das localizações dos ecrãs às contas de cliente
• Apresentação, nos dispositivos terminais, dos conteúdos carregados pelo cliente
• Autenticação dos colaboradores do cliente no início de sessão
• Prestação de suporte, análise de erros e monitorização do serviço

(2) Não é efetuado qualquer tratamento para fins próprios da Bergx2 GmbH (p. ex., marketing, definição de perfis, venda a terceiros).

§ 3 Tipo de dados pessoais e categorias de titulares dos dados

Para a enumeração concreta, ver o Anexo 1. Em resumo:

• Tipo de dados: dados de conta, dados de início de sessão, dados de localização dos ecrãs, conteúdos carregados pelo cliente (em regra, não pessoais)
• Categorias de titulares dos dados: colaboradores dos clientes (para o início de sessão e a atribuição de contas)

No funcionamento normal da Screenway não são tratadas categorias especiais de dados pessoais na aceção do artigo 9.º do RGPD. Caso o cliente carregue, ainda assim, tais dados, tal ocorre fora das categorias abrangidas pelo presente DPA e sob a exclusiva responsabilidade do cliente.

§ 4 Obrigações e direitos do responsável pelo tratamento (cliente)

(1) Poder de instrução. O cliente continua a ser responsável pela licitude do tratamento (artigo 24.º do RGPD). A Bergx2 GmbH trata os dados exclusivamente mediante instruções documentadas do cliente. O presente DPA vale como instrução geral; instruções individuais são possíveis através dos canais de comunicação definidos no contrato de serviço.

(2) Registo. A Bergx2 GmbH documenta os processos relevantes para as instruções na pista de auditoria interna do SGSI (histórico de pull requests, registo de incidentes, registo de fornecedores).

(3) Deveres de informação. O cliente é obrigado a informar os titulares dos dados (os seus colaboradores) sobre o tratamento de dados pela Bergx2 GmbH, nos termos do artigo 13.º do RGPD.

§ 5 Obrigações do subcontratante (Bergx2 GmbH)

(1) Vinculação às instruções. A Bergx2 GmbH trata os dados exclusivamente mediante instruções documentadas do cliente. Se, no entender da Bergx2 GmbH, uma instrução for ilícita, a Bergx2 GmbH informará imediatamente o cliente (artigo 28.º, n.º 3, alínea h), do RGPD).

(2) Confidencialidade. A Bergx2 GmbH obriga à confidencialidade todas as pessoas envolvidas no tratamento antes do início da respetiva atividade (artigo 28.º, n.º 3, alínea b), do RGPD). Tal é feito mediante declarações de confidencialidade (NDA) no momento da contratação ou da adjudicação e encontra-se documentado no SGSI da Bergx2 (registo de colaboradores).

(3) Medidas técnicas e organizativas. A Bergx2 GmbH adota as MTO descritas no Anexo 2, que correspondem ao estado da técnica e garantem um nível de proteção adequado ao risco (artigo 32.º do RGPD).

(4) Subcontratantes ulteriores. A Bergx2 GmbH recorre aos subcontratantes ulteriores enumerados no Anexo 3. Para as condições e o mecanismo de alteração, ver o § 6.

(5) Assistência. A Bergx2 GmbH presta assistência ao cliente no cumprimento das suas obrigações nos termos dos artigos 32.º a 36.º do RGPD, em particular na resposta a pedidos dos titulares dos dados (§ 7) e na notificação de violações de dados pessoais (§ 8).

(6) Comprovativos. A Bergx2 GmbH disponibiliza ao cliente, a pedido, as informações e os documentos necessários à verificação (artigo 28.º, n.º 3, alínea h), do RGPD). Para outras modalidades de auditoria, ver o § 9.

§ 6 Subcontratantes ulteriores

(1) Autorização. Com a celebração do presente DPA, o cliente autoriza de forma geral o recurso aos subcontratantes ulteriores enumerados no Anexo 3 (artigo 28.º, n.º 2, primeira frase, do RGPD).

(2) Notificação de alterações. A Bergx2 GmbH informa o cliente sobre as alterações previstas ao conjunto de subcontratantes ulteriores (adição ou substituição) com, pelo menos, 30 dias de antecedência relativamente à sua produção de efeitos, sob forma de texto (correio eletrónico para o endereço de contacto para a proteção de dados indicado no contrato de serviço).

(3) Direito de oposição. O cliente pode opor-se à alteração, por motivos legítimos, dentro do prazo de 30 dias. Em caso de oposição, a Bergx2 GmbH procurará, em conjunto com o cliente, uma solução consensual; se tal não for possível, o cliente tem o direito de resolução extraordinária do contrato de serviço.

(4) Vinculação. A Bergx2 GmbH vincula contratualmente, por sua vez, cada subcontratante ulterior às obrigações acordadas no presente DPA (artigo 28.º, n.º 4, do RGPD).

§ 7 Colaboração no exercício dos direitos dos titulares dos dados

A Bergx2 GmbH presta assistência ao cliente, na medida do possível, com medidas técnicas e organizativas adequadas, no cumprimento dos direitos dos titulares dos dados previstos no Capítulo III do RGPD (acesso, retificação, apagamento, limitação, portabilidade dos dados, oposição).

Em concreto: a Bergx2 GmbH reencaminha imediatamente ao cliente os pedidos correspondentes que os titulares dos dados dirijam diretamente à Bergx2 GmbH e dá-lhe a possibilidade de responder. A Bergx2 GmbH só responde por si própria mediante instrução expressa do cliente.

§ 8 Notificação de violações de dados pessoais

(1) A Bergx2 GmbH informa o cliente imediatamente, o mais tardar no prazo de 24 horas após a tomada de conhecimento, sobre qualquer violação de dados pessoais constatada na esfera de responsabilidade da Bergx2 GmbH ou de um subcontratante ulterior que afete dados pessoais do cliente.

(2) A notificação é feita por escrito (correio eletrónico para o endereço de contacto para a proteção de dados do cliente) e contém as informações mínimas referidas no artigo 33.º, n.º 3, do RGPD (natureza e âmbito da violação, número de titulares afetados, consequências prováveis, medidas corretivas adotadas).

(3) A Bergx2 GmbH documenta internamente as suas próprias violações de dados pessoais no registo de incidentes (ver incidents/incidents.md do SGSI da Bergx2, procedimento nos termos de documents/verfahren/incident-management-verfahren.md).

(4) A obrigação de notificação à autoridade de controlo competente nos termos do artigo 33.º do RGPD e, se aplicável, aos titulares dos dados nos termos do artigo 34.º do RGPD permanece a cargo do cliente enquanto responsável pelo tratamento. A Bergx2 GmbH presta assistência ao cliente nestas notificações com todas as informações necessárias.

§ 9 Direitos de auditoria e de controlo

(1) Comprovativo. A Bergx2 GmbH disponibiliza ao cliente, a pedido, as informações necessárias ao cumprimento das obrigações decorrentes do presente DPA, em particular a versão atual das MTO (Anexo 2) e da lista de subcontratantes ulteriores (Anexo 3), bem como, se aplicável, extratos de certificações.

(2) Inspeção no local. O cliente tem o direito de se certificar do cumprimento das MTO no local, na sede da Bergx2 GmbH ou nos locais do tratamento. As datas devem ser comunicadas por escrito com, pelo menos, quatro semanas de antecedência; as inspeções devem limitar-se ao necessário e não podem perturbar de forma desproporcionada a atividade empresarial. No máximo, uma inspeção por ano civil, salvo motivo fundamentado.

(3) Reconhecimento de certificações. Na medida em que a Bergx2 GmbH esteja certificada segundo a ISO/IEC 27001:2022 (certificação em preparação) ou apresente verificações independentes equivalentes por terceiros, tal substitui a inspeção no local pelo cliente, desde que o âmbito da certificação abranja o objeto do contrato.

§ 10 Apagamento e devolução após a cessação do contrato

(1) Com a cessação do contrato de serviço, a Bergx2 GmbH – à escolha do cliente – procederá, relativamente aos dados pessoais, de uma das seguintes formas:

• devolução integral (exportação num formato estruturado, de uso corrente e de leitura automática), ou
• apagamento integral (sobrescrita segura de acordo com o estado da técnica), e

no prazo de 30 dias após a cessação do contrato.

(2) As cópias de segurança que contenham dados pessoais são integralmente sobrescritas por rotação, nos termos do Anexo 2, MTO, § Ciclo de vida das cópias de segurança, o mais tardar após cinco semanas (rotação de cópias de segurança). A Bergx2 GmbH documenta o apagamento final por escrito, a pedido.

(3) As obrigações legais de conservação não são afetadas (p. ex., dados de faturação nos termos do § 257 do Código Comercial alemão (HGB) e do § 147 do Código Tributário alemão (AO)).

§ 11 Responsabilidade e disposições finais

(1) Responsabilidade. Aplicam-se as disposições do contrato principal (contrato de serviço Screenway) e o artigo 82.º do RGPD. Em caso de violação do presente DPA, a parte responsável em cada caso responde perante o titular dos dados.

(2) Forma escrita. As alterações e os aditamentos carecem de forma de texto.

(3) Cláusula de salvaguarda. Caso alguma das disposições seja inválida, a validade das restantes não é afetada.

(4) Direito aplicável e foro competente. Aplica-se o direito alemão, com exclusão da Convenção das Nações Unidas sobre os Contratos de Compra e Venda Internacional de Mercadorias. O foro competente é Munique.

Anexo 1: Descrição do tratamento

Anexo 2: Medidas técnicas e organizativas (MTO)

As MTO seguintes correspondem ao artigo 32.º do RGPD e estão categorizadas conforme estabelecido pelas autoridades de controlo e pelo padrão habitual do setor para DPA em conformidade com o RGPD. As medidas são documentadas no sistema de gestão da segurança da informação (SGSI) da Bergx2, segundo a ISO/IEC 27001:2022, e mantidas internamente em detalhe. Os detalhes concretos de implementação (modelos de fabricantes, parâmetros de configuração, localizações de componentes individuais, mecanismos de chaves) não são divulgados neste anexo contratual de acesso público, por motivos de segurança. Mediante pedido fundamentado do cliente, no âmbito do seu direito de auditoria nos termos do § 9, a Bergx2 GmbH disponibiliza os comprovativos de detalhe pertinentes no quadro de um acordo escrito de confidencialidade.

1. Confidencialidade (artigo 32.º, n.º 1, alínea b), do RGPD)

2. Integridade (artigo 32.º, n.º 1, alínea b), do RGPD)

3. Disponibilidade e resiliência (artigo 32.º, n.º 1, alínea b), do RGPD)

4. Procedimentos de verificação, apreciação e avaliação regulares (artigo 32.º, n.º 1, alínea d), do RGPD)

5. Ciclo de vida das cópias de segurança e apagamento

Os dados pessoais contidos em cópias de segurança são integralmente sobrescritos em poucas semanas através da rotação de cópias de segurança definida.

Com a cessação do contrato, o apagamento final dos dados nos sistemas produtivos é efetuado no prazo de 30 dias; em seguida, a rotação de cópias de segurança exclui os dados do conjunto de cópias existentes em poucas semanas.

As janelas de retenção concretas por geração de cópia de segurança são divulgadas mediante pedido fundamentado, no âmbito do direito de auditoria (§ 9).

Anexo 3: Lista de subcontratantes ulteriores

Atualizado em 25.05.2026.

Nota sobre outros fornecedores da Bergx2: para a sua própria atividade empresarial (comunicação entre colaboradores, gestão de código-fonte, ferramentas de escritório e de produtividade), a Bergx2 GmbH utiliza outros prestadores de serviços SaaS. Estes não tratam dados de clientes da plataforma Screenway e, por conseguinte, não são subcontratantes ulteriores na aceção do presente DPA. Mediante pedido fundamentado do cliente, no âmbito do seu direito de auditoria (§ 9), a Bergx2 GmbH divulgará a lista completa dos seus próprios fornecedores.

Eficácia

O presente DPA torna-se, mediante aceitação no portal de clientes com selo temporal e designação de versão, parte integrante eficaz do contrato de serviço Screenway (artigo 28.º, n.º 9, do RGPD: por escrito, incluindo em formato eletrónico).

O registo de aceitação é arquivado pela Bergx2 GmbH de forma inalterável e auditável no backend de clientes e compreende, no mínimo:

• Designação da versão do presente DPA (ver a tabela de versões abaixo)
• Data e hora da aceitação
• Identidade da pessoa que aceita (ID de utilizador da conta de cliente)
• Identidade do cliente (ID de conta/contrato)
• Valor de hash da versão contratual aceite (comprovativo criptográfico de integridade)

Em caso de atualização do presente DPA, o cliente recebe, com, pelo menos, 30 dias de antecedência relativamente à produção de efeitos, uma notificação sob forma de texto, bem como, no início de sessão seguinte no portal de clientes, um pedido de nova aceitação.

Assinatura física ou eletrónica qualificada opcional: caso o cliente – p. ex., por força de requisitos internos de conformidade – pretenda uma contra-assinatura adicional, o DPA pode ser contra-assinado fisicamente ou mediante assinatura eletrónica qualificada (Regulamento eIDAS (UE) n.º 910/2014) entre as partes contratantes. Nesse caso, a apresentação fica a cargo do cliente. A aceitação eletrónica no portal de clientes não é afetada por tal facto e constitui, por si só, uma celebração do contrato em conformidade com o RGPD.

Versões