Proteção de Dados (RGPD) para Clientes

Este documento complementa a nossa Política de Privacidade (que trata os dados dos visitantes do Site) e descreve o nosso compromisso de proteção de dados enquanto prestador de serviços de IT geridos para empresas clientes — um papel em que, frequentemente, a ONEGEST trata dados pessoais por conta do cliente (por exemplo, ao gerir o email, os backups, o ERP ou o CRM de uma empresa que, por sua vez, contém dados pessoais de colaboradores e clientes dessa empresa).

1. O papel da ONEGEST: responsável vs. subcontratante

Nos termos do artigo 4.º do RGPD, quando o cliente (“responsável pelo tratamento”) contrata a ONEGEST para gerir infraestrutura, email, backups, o seu ERP ou o seu CRM, a ONEGEST atua como subcontratante (processor) — trata dados pessoais exclusivamente de acordo com as instruções documentadas do cliente, para a finalidade de prestação do serviço contratado, nunca para fins próprios.

2. Acordo de Processamento de Dados (DPA)

Para clientes dos packs Produtividade Cloud e Gestão Total, ou de qualquer serviço avulso que implique acesso a dados pessoais geridos pelo cliente (email, backups, ERP, CRM), disponibilizamos um Acordo de Processamento de Dados (Data Processing Agreement), nos termos do artigo 28.º do RGPD, a assinar no momento da contratação. Este acordo formaliza, entre outros pontos: o objeto e a duração do tratamento, a natureza e finalidade do tratamento, o tipo de dados pessoais e categorias de titulares, as obrigações e direitos do responsável pelo tratamento (o cliente).

3. Subcontratantes ulteriores (subprocessors)

Para prestar os seus serviços, a ONEGEST recorre a fornecedores e parceiros tecnológicos, que podem processar dados pessoais por conta do cliente final:

• Hostinger — alojamento web, domínios, VPS/Cloud e email profissional;
• Microsoft — Microsoft 365 (email, ficheiros, produtividade);
• Google — Google Workspace (email, ficheiros, produtividade);
• Cegid — software de gestão empresarial (ERP) e faturação;
• Fornecedores de plataformas de CRM — quando o serviço de Gestão Comercial & CRM é contratado; o fornecedor concreto é indicado no Acordo de Processamento de Dados;
• Fornecedores de backup e cibersegurança geridos — backup on-premise e SaaS, antivírus gerido, EDR, firewall e VPN.

A lista completa e atualizada de subcontratantes ulteriores relevantes para o serviço concreto contratado consta do respetivo Acordo de Processamento de Dados. A ONEGEST compromete-se a notificar o cliente de qualquer alteração a esta lista, dando-lhe a oportunidade de se opor, salvo impedimento técnico ou contratual justificado.

4. Medidas técnicas e organizativas de segurança

• Cifragem de dados em trânsito (HTTPS/TLS) em todos os serviços geridos;
• Controlo de acesso baseado em funções, com autenticação adequada a cada sistema;
• Política de backups com teste de restauro periódico e documentado — não apenas a cópia dos dados, mas a confirmação regular de que são recuperáveis;
• Antivírus gerido e, nos níveis avançados, deteção e resposta a ameaças (EDR);
• Registo e monitorização de incidentes de segurança.

5. Notificação de violações de dados pessoais

Em caso de violação de dados pessoais que afete dados tratados por conta de um cliente, a ONEGEST compromete-se a notificar o cliente (responsável pelo tratamento) sem demora injustificada, para que este possa cumprir a sua própria obrigação de notificação à autoridade de controlo competente no prazo de 72 horas, nos termos do artigo 33.º do RGPD.

6. Devolução ou eliminação de dados no termo do contrato

No termo da relação contratual, a ONEGEST devolve ao cliente, ou elimina de forma segura — conforme instrução do cliente — todos os dados pessoais tratados por sua conta, incluindo cópias existentes em sistemas de backup, salvo obrigação legal de conservação em contrário.

7. Transferências internacionais de dados

Alguns subcontratantes ulteriores (nomeadamente Microsoft e Google) podem processar dados em centros de dados localizados fora do Espaço Económico Europeu. Nestes casos, a ONEGEST assegura-se de que estão em vigor mecanismos de transferência válidos nos termos do Capítulo V do RGPD, nomeadamente Cláusulas Contratuais-Tipo da Comissão Europeia ou o EU-U.S. Data Privacy Framework, conforme aplicável ao subcontratante em causa.

8. Relação com a Diretiva NIS2

Para clientes sujeitos à Diretiva (UE) 2022/2555 (NIS2) — transposta em Portugal e em fase de transposição em Espanha — ou que integrem a cadeia de fornecimento de empresas abrangidas, a ONEGEST presta um serviço de diagnóstico e plano de ação NIS2, que complementa, mas não substitui, as obrigações de proteção de dados pessoais aqui descritas — a NIS2 regula a gestão de risco de cibersegurança e a notificação de incidentes a nível organizacional, com objetivos distintos (ainda que sobrepostos) do RGPD.

9. Contacto para assuntos de proteção de dados

Para solicitar o Acordo de Processamento de Dados aplicável ao seu contrato, ou para qualquer questão relacionada com o tratamento de dados pessoais no âmbito dos nossos serviços, contacte-nos através de info@onegest.com ou do telefone +351 965853634.