Contrato de Subcontratação

Preâmbulo

1. O presente contrato (o «Contrato») é celebrado entre o cliente da CardUp (o «Responsável») e a Bacêlo & Costa, titular do NIF 518251470, com sede no Arrábida Business Center, Rua Santarém 113, 1.º Traseiras, 4400-292 Vila Nova de Gaia, proprietária da marca CardUp (a «Subcontratante»), em conjunto as «Partes».
2. O Contrato dá cumprimento ao disposto no artigo 28.º, n.os 3 e 4, do Regulamento (UE) 2016/679 (o «RGPD») e integra os Termos e Condições, dos quais constitui parte inseparável.
3. A aceitação dos Termos e Condições implica a aceitação do Contrato, não carecendo de assinatura autónoma para produzir efeitos. A pedido do Responsável, a Subcontratante disponibiliza exemplar assinado.
4. Em caso de divergência entre o Contrato e os Termos e Condições quanto ao tratamento de dados pessoais, prevalece o Contrato.

Cláusula 1.ª — Objeto

1. O Contrato regula o tratamento, pela Subcontratante e por conta do Responsável, dos dados pessoais recolhidos através dos formulários dos perfis digitais do Responsável e demais dados por este carregados na plataforma CardUp (os «Dados»).
2. O Responsável determina as finalidades e os meios essenciais do tratamento dos Dados. A Subcontratante trata os Dados exclusivamente em nome e por conta do Responsável.
3. A descrição do tratamento, exigida pelo artigo 28.º, n.º 3, do RGPD, consta do Anexo I.

Cláusula 2.ª — Instruções

1. A Subcontratante trata os Dados apenas mediante instruções documentadas do Responsável, incluindo quanto a transferências para países terceiros, salvo se obrigada a fazê-lo por força do direito da União ou do Estado-Membro a que esteja sujeita, caso em que informa o Responsável antes do tratamento, salvo proibição legal fundada em motivos de interesse público relevante.
2. A utilização das funcionalidades da plataforma pelo Responsável, tal como configuradas por este, constitui instrução documentada para os efeitos do número anterior.
3. A Subcontratante informa imediatamente o Responsável se considerar que uma instrução viola o RGPD ou outras disposições de proteção de dados.

Cláusula 3.ª — Obrigações da Subcontratante

A Subcontratante obriga-se a:

1. Assegurar que as pessoas autorizadas a tratar os Dados estão sujeitas a dever de confidencialidade, contratual ou legal;
2. Adotar as medidas técnicas e organizativas exigidas pelo artigo 32.º do RGPD, descritas no Anexo II;
3. Respeitar as condições previstas na Cláusula 4.ª para recorrer a subcontratantes ulteriores;
4. Prestar assistência ao Responsável, mediante medidas técnicas e organizativas adequadas e na medida do possível, no cumprimento da obrigação de dar resposta aos pedidos de exercício de direitos dos titulares;
5. Prestar assistência ao Responsável no cumprimento das obrigações previstas nos artigos 32.º a 36.º do RGPD, tendo em conta a natureza do tratamento e a informação ao seu dispor;
6. Eliminar ou devolver os Dados nos termos da Cláusula 8.ª;
7. Disponibilizar ao Responsável a informação necessária para demonstrar o cumprimento das obrigações do artigo 28.º do RGPD e facultar auditorias nos termos da Cláusula 9.ª;
8. Manter registo das categorias de atividades de tratamento realizadas por conta do Responsável, nos termos do artigo 30.º, n.º 2, do RGPD.

Cláusula 4.ª — Subcontratantes ulteriores

1. O Responsável autoriza, em termos gerais, o recurso pela Subcontratante aos subcontratantes ulteriores identificados no Anexo III.
2. A Subcontratante informa o Responsável, com a antecedência mínima de 30 dias, de qualquer alteração pretendida quanto ao aditamento ou substituição de subcontratantes ulteriores, mediante comunicação por correio eletrónico e atualização do Anexo III nesta página.
3. O Responsável pode opor-se fundadamente à alteração no prazo referido no número anterior. Não sendo possível às Partes alcançar solução que salvaguarde a oposição, o Responsável pode resolver o contrato de prestação de serviços, sem encargos, relativamente à parte afetada.
4. A Subcontratante impõe aos subcontratantes ulteriores, por contrato, obrigações de proteção de dados equivalentes às que para si resultam do Contrato, e responde perante o Responsável pelo cumprimento das mesmas.

Cláusula 5.ª — Transferências internacionais

1. Os Dados são alojados no território da União Europeia.
2. Sempre que o recurso a subcontratantes ulteriores implique transferência de dados pessoais para país terceiro, a Subcontratante assegura que a transferência assenta em mecanismo válido nos termos do Capítulo V do RGPD, designadamente decisão de adequação ou cláusulas contratuais-tipo aprovadas pela Comissão Europeia, acompanhadas das medidas suplementares que se mostrem necessárias.
3. O Anexo III identifica os subcontratantes ulteriores estabelecidos fora do Espaço Económico Europeu e o fundamento da transferência.

Cláusula 6.ª — Violações de dados pessoais

1. A Subcontratante notifica o Responsável, sem demora injustificada e no prazo máximo de 48 horas após dela tomar conhecimento, de qualquer violação de dados pessoais que afete os Dados.
2. A notificação descreve a natureza da violação, as categorias e o número aproximado de titulares e de registos afetados, as prováveis consequências e as medidas adotadas ou propostas, na medida da informação disponível, sendo completada logo que possível caso a informação não possa ser prestada de uma só vez.
3. Compete ao Responsável a notificação à autoridade de controlo e, quando aplicável, a comunicação aos titulares dos dados, prestando a Subcontratante a cooperação razoavelmente necessária para o efeito.

Cláusula 7.ª — Direitos dos titulares

1. A plataforma disponibiliza ao Responsável funcionalidades de consulta, correção, exportação e eliminação dos Dados, permitindo-lhe dar resposta autónoma ao exercício de direitos pelos titulares.
2. Recebendo diretamente pedido de titular relativo aos Dados, a Subcontratante abstém-se de lhe dar resposta substantiva e reencaminha-o ao Responsável, sem demora injustificada.

Cláusula 8.ª — Eliminação e devolução

1. Cessado o contrato de prestação de serviços, o Responsável pode exportar os Dados a partir da plataforma. Mediante pedido apresentado até 30 dias após a cessação, a Subcontratante disponibiliza os Dados em formato de utilização corrente.
2. Decorrido o prazo referido no número anterior, a Subcontratante elimina os Dados dos sistemas em utilização, salvo obrigação legal de conservação.
3. As cópias de segurança que contenham Dados são conservadas por período não superior a 90 dias, findo o qual são eliminadas no ciclo normal de rotação. As cópias de segurança não são utilizadas para qualquer finalidade operacional.

Cláusula 9.ª — Auditorias

1. A Subcontratante disponibiliza ao Responsável, mediante pedido, a informação necessária para demonstrar o cumprimento do artigo 28.º do RGPD, incluindo a descrição atualizada das medidas técnicas e organizativas.
2. O Responsável pode realizar auditorias, por si ou por auditor por si mandatado e sujeito a dever de confidencialidade, mediante pré-aviso de 30 dias, em horário laboral, sem perturbação desproporcionada da atividade da Subcontratante e no máximo uma vez por ano, salvo em caso de violação de dados pessoais ou de determinação de autoridade de controlo.
3. Os custos da auditoria são suportados pelo Responsável, salvo se dela resultar a demonstração de incumprimento material imputável à Subcontratante.

Cláusula 10.ª — Responsabilidade e vigência

1. Cada Parte responde nos termos do artigo 82.º do RGPD.
2. As limitações de responsabilidade previstas nos Termos e Condições aplicam-se ao Contrato, na medida em que a lei o permita, não sendo oponíveis a titulares de dados nem a autoridades de controlo.
3. O Contrato vigora enquanto durar o tratamento dos Dados por conta do Responsável e, quanto às obrigações que por natureza lhe sobrevivam, designadamente as das Cláusulas 3.ª, alínea a), e 8.ª, após a cessação.
4. Ao Contrato aplica-se a lei portuguesa, sendo competente o foro da comarca do Porto, sem prejuízo das competências legalmente atribuídas às autoridades de controlo.

Anexo I — Descrição do tratamento

Anexo II — Medidas técnicas e organizativas

1. Encriptação em trânsito: todas as comunicações com a plataforma são efetuadas por canal encriptado (TLS).
2. Controlo de acessos: autenticação por credenciais individuais; palavras-passe conservadas sob função de derivação criptográfica, não reversíveis; perfis de permissões por utilizador; possibilidade de autenticação em dois fatores e de restrição de acesso por endereço IP, ativáveis pelo Responsável.
3. Registo de acessos: conservação e disponibilização ao Responsável do registo de acessos à sua conta, com data, identificação do utilizador e endereço de origem.
4. Proteção contra abuso: limitação de tentativas de autenticação, verificação anti-automatização nos formulários públicos e proteção contra falsificação de pedidos entre sítios.
5. Cópias de segurança: cópia diária encriptada, conservada em localização distinta da infraestrutura de produção, com verificação automática de restauro.
6. Gestão de alterações: execução automática de bateria de testes previamente a cada colocação em produção, com bloqueio da publicação em caso de falha; alterações ao esquema de dados versionadas e reversíveis.
7. Segregação: os dados de cada Responsável são logicamente segregados e o acesso é validado a cada pedido.
8. Confidencialidade: as pessoas com acesso aos Dados estão vinculadas a dever de confidencialidade.

Anexo III — Subcontratantes ulteriores autorizados

Última atualização do presente Anexo: 8 de agosto de 2026. As alterações são comunicadas nos termos da Cláusula 4.ª, n.º 2.

Contactos

Para efeitos do presente Contrato, incluindo pedidos de exemplar assinado, notificações e pedidos de auditoria:
geral@cardup.pt