Contrato de Subcontratação
Este contrato aplica-se a todos os escritórios que usem o Aralex e faz parte integrante das condições do serviço. Regula o tratamento, pelo Aralex, dos dados pessoais que o escritório nele insere sobre os seus clientes e processos. Para os dados de que o Aralex é responsável, veja a política de privacidade.
1. Partes e papéis
Responsável pelo tratamento: o escritório de advogados titular da conta.
Subcontratante: Matteuz Dutra, NIF 309103690, Av. António Augusto de Aguiar, 24 — 1.º Esq., 1050-016 Lisboa, contato@dutraeferrari.com (adiante, «Aralex»).
O escritório determina as finalidades e os meios do tratamento. O Aralex trata os dados apenas mediante instruções documentadas do escritório — sendo a utilização normal do serviço, tal como descrito na documentação, a instrução permanente do escritório.
2. Objeto, duração, natureza e finalidade
Objeto e finalidade: prestação do serviço Aralex — gestão de prazos processuais, processos, clientes, agenda, tempos e faturação, incluindo a recolha automática de notificações do Citius quando o escritório a ative.
Duração: enquanto vigorar a subscrição, acrescida dos prazos de conservação do ponto 9.
Natureza: recolha, registo, conservação, consulta, alteração e apagamento, por meios automatizados.
3. Categorias de titulares e de dados
Titulares: clientes do escritório, contrapartes e demais intervenientes nos processos, e os próprios advogados e colaboradores do escritório.
Categorias de dados: nome, número de documento de identificação, número de identificação fiscal, nacionalidade, morada, endereço de email, telefone, observações da ficha, números e dados de processos judiciais, prazos, notificações do Citius, agendamentos, tempos imputados e dados de faturação.
Advertência quanto a categorias especiais. Os campos livres do Aralex — designadamente as observações da ficha de cliente e a descrição dos processos — permitem inscrever dados que o artigo 9.º do RGPD sujeita a proteção reforçada (saúde, convicções, vida sexual, filiação sindical), bem como dados relativos a condenações e infrações penais (artigo 10.º). O Aralex não solicita nem exige tais dados. Inscrevendo-os, o escritório fá-lo enquanto responsável e sob a sua própria avaliação de licitude e de risco.
4. Obrigações do Aralex
- Tratar os dados apenas segundo instruções documentadas do escritório, incluindo quanto a transferências para países terceiros, salvo obrigação legal — caso em que o escritório será informado antes do tratamento, salvo proibição legal dessa informação.
- Assegurar que quem acede aos dados está sujeito a dever de confidencialidade.
- Adotar as medidas de segurança do artigo 32.º, descritas no ponto 8.
- Respeitar as condições do ponto 5 quanto a subcontratantes ulteriores.
- Auxiliar o escritório, na medida do possível, a responder a pedidos de exercício de direitos dos titulares (ponto 7).
- Auxiliar o escritório no cumprimento dos artigos 32.º a 36.º, atenta a informação de que dispõe.
- Apagar ou devolver os dados no fim da prestação, nos termos do ponto 9.
- Disponibilizar ao escritório a informação necessária para demonstrar o cumprimento destas obrigações e permitir auditorias, nos termos do ponto 10.
- Informar imediatamente o escritório se entender que uma instrução viola o RGPD ou outra disposição de proteção de dados.
5. Subcontratantes ulteriores
O escritório autoriza genericamente o recurso aos subcontratantes ulteriores abaixo. Todos estão vinculados por contrato a obrigações de proteção de dados equivalentes às deste contrato, respondendo o Aralex perante o escritório pelo incumprimento das mesmas.
| Entidade | Serviço | Localização do tratamento |
|---|---|---|
| Railway Corp. (EUA) | Alojamento da base de dados e da aplicação | Amesterdão (UE) |
| Cloudflare, Inc. | Ficheiros e cópias de segurança | Europa Ocidental (UE) |
| Groq, Inc. (EUA) | Leitura de documentos de identificação, apenas quando o escritório usa essa funcionalidade | Estados Unidos, sem conservação |
| Microsoft | Envio de emails do serviço | União Europeia |
| Stripe | Pagamento da subscrição (dados do escritório, não dos seus clientes) | União Europeia e Estados Unidos |
Qualquer alteração — acrescento ou substituição — será comunicada por email com 30 dias de antecedência. Opondo-se o escritório dentro desse prazo, pode resolver a subscrição sem penalização e com reembolso da fração não utilizada.
6. Transferências para países terceiros
Os dados dos clientes e processos são armazenados e tratados na União Europeia: a aplicação e a base de dados em Amesterdão, os ficheiros e cópias de segurança na Europa Ocidental. No funcionamento normal do serviço não há transferência para países terceiros.
Ocorre uma única exceção, que se declara expressamente:
- Leitura de documentos de identificação (Groq, Estados Unidos): transitória, sem conservação, e apenas quando o escritório usa essa funcionalidade — que é opcional e dispensável. Não a usando, nenhum dado de clientes ou processos sai da União Europeia.
Estas transferências assentam nas cláusulas contratuais-tipo aprovadas pela Comissão Europeia e, quando aplicável, na decisão de adequação relativa ao Data Privacy Framework.
Segredo profissional. O Aralex não acede ao conteúdo dos processos no exercício corrente da sua atividade, e o acesso técnico de administração está restrito ao estritamente necessário à manutenção do serviço. Compete ao escritório, enquanto responsável e sujeito ao dever de segredo do Estatuto da Ordem dos Advogados, ponderar a utilização do serviço para matérias sujeitas a segredo — designadamente quanto ao uso da leitura de documentos de identificação, único tratamento fora da União Europeia e que é dispensável.
7. Direitos dos titulares
Os pedidos de titulares devem ser dirigidos ao escritório, que é o responsável. O Aralex disponibiliza no próprio serviço os meios para o escritório os satisfazer autonomamente: consulta, correção, exportação e eliminação de qualquer registo, sem intervenção do Aralex.
Recebendo diretamente um pedido de um titular, o Aralex não lhe dará seguimento e reencaminhá-lo-á sem demora para o escritório.
8. Medidas de segurança (art. 32.º)
- Cifra em trânsito em todas as ligações (HTTPS obrigatório, HSTS).
- Palavras-passe guardadas apenas sob a forma de hash.
- Credenciais do Citius cifradas com AES-256-GCM.
- Isolamento entre escritórios imposto ao nível da base de dados: nenhum escritório acede a dados de outro.
- Controlo de acessos por perfis (administrador e advogado).
- Registo de atividade: quem criou, alterou ou apagou cada registo, quando e a partir de que endereço IP, consultável pelo escritório.
- Cópias de segurança diárias, cifradas antes de saírem do servidor (AES-256-GCM) e guardadas em repositório privado na União Europeia.
- Dados de cartão nunca tratados nem armazenados pelo Aralex.
9. Fim do contrato: apagamento ou devolução
Cessando a subscrição, o escritório mantém, durante um período mínimo de 3 dias, o acesso necessário para exportar os seus dados. Findo o acesso, os dados são apagados definitivamente ao fim de 30 dias, por rotina automática.
O escritório pode, a qualquer momento e sem aviso prévio, apagar de imediato o escritório e a totalidade dos dados a partir do painel de administração. A eliminação abrange clientes, processos, prazos, notificações, agenda, tempos, faturação, utilizadores, registos de atividade e ficheiros, e é definitiva e irreversível.
As cópias de segurança cifradas têm rotação de 30 dias: um dado apagado desaparece delas, no máximo, nesse prazo.
Ressalva-se a conservação de dados de faturação da subscrição pelo prazo legal de 5 anos, que vincula o Aralex enquanto responsável e não como subcontratante.
10. Auditoria
O Aralex disponibiliza ao escritório, mediante pedido, a informação necessária para demonstrar o cumprimento do artigo 28.º. Pode ser realizada auditoria, pelo escritório ou por auditor por si mandatado, mediante pré-aviso de 30 dias, no máximo de uma vez por ano — salvo se houver violação de dados ou determinação de autoridade de controlo, casos em que não há limite de frequência nem pré-aviso mínimo.
11. Violações de dados
O Aralex notificará o escritório sem demora injustificada e nunca depois de 24 horas após ter conhecimento de uma violação de dados que afete os dados do escritório, prestando a informação de que disponha para que este cumpra os artigos 33.º e 34.º. A notificação à autoridade de controlo e aos titulares compete ao escritório, enquanto responsável.
12. Responsabilidade e lei aplicável
Aplica-se a lei portuguesa. O foro competente é o da comarca de Lisboa, com renúncia a qualquer outro. Sem prejuízo do artigo 82.º do RGPD e das responsabilidades que dele decorrem diretamente para cada parte.