a)

As presentes cláusulas contratuais-tipo visam assegurar o cumprimento dos requisitos do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (Regulamento Geral sobre a Proteção de Dados) (1) aplicáveis às transferências de dados pessoais para países terceiros.

b)

As Partes:

acordaram nas presentes cláusulas contratuais-tipo (a seguir designadas por «cláusulas»).

c)

As presentes cláusulas são aplicáveis no que diz respeito à transferência de dados pessoais, conforme especificado no anexo I.B.

d)

O apêndice das presentes cláusulas, que contém os anexos nelas referidos, é parte integrante das presentes cláusulas.

a)

As presentes cláusulas estabelecem garantias adequadas, incluindo direitos oponíveis dos titulares dos dados e medidas jurídicas corretivas eficazes, nos termos do artigo 46.o, n.o 1, e do artigo 46.o, n.o 2, alínea c), do Regulamento (UE) 2016/679 e, no que diz respeito às transferências de dados de responsáveis pelo tratamento para subcontratantes e/ou entre subcontratantes, nos termos do artigo 28.o, n.o 7, do Regulamento (UE) 2016/679, desde que não sejam alteradas, exceto para selecionar o(s) módulo(s) adequado(s) ou para acrescentar ou atualizar informações no apêndice. Tal não impede as Partes de incluir as cláusulas contratuais-tipo estabelecidas nas presentes cláusulas num contrato mais abrangente e/ou de acrescentar outras cláusulas ou garantias adicionais, desde que não colidam, direta ou indiretamente, com as presentes cláusulas, e sem prejuízo dos direitos ou das liberdades fundamentais dos titulares dos dados.

b)

As presentes cláusulas não prejudicam as obrigações a que o exportador de dados está sujeito por força do Regulamento (UE) 2016/679.

a)

Os titulares dos dados podem invocar e fazer aplicar as presentes cláusulas, enquanto terceiros beneficiários, contra o exportador e/ou importador de dados, com as seguintes exceções:

b)

A alínea a) não prejudica os direitos dos titulares dos dados ao abrigo do Regulamento (UE) 2016/679.

a)

Caso as presentes cláusulas utilizem termos que se encontram definidos no Regulamento (UE) 2016/679, esses termos têm o mesmo significado que lhes é atribuído nesse regulamento.

b)

As presentes cláusulas devem ser lidas e interpretadas à luz das disposições do Regulamento (UE) 2016/679.

c)

As presentes cláusulas não devem ser interpretadas de forma contrária aos direitos e obrigações previstos no Regulamento (UE) 2016/679.

a)

Uma entidade que não seja Parte nas presentes cláusulas pode, com o acordo das Partes, aderir, em qualquer momento, às presentes cláusulas, quer como exportador de dados quer como importador de dados, preenchendo o apêndice e assinando o anexo I.A.

b)

Uma vez preenchido o apêndice e assinado o anexo I.A, a entidade aderente passa a ser Parte nas presentes cláusulas e tem os direitos e as obrigações de um exportador ou importador de dados, em conformidade com a sua designação no anexo I.A.

c)

A entidade aderente não tem quaisquer direitos ou obrigações decorrentes das presentes cláusulas em relação ao período antes de se ter tornado Parte.

i)

se tiver obtido o consentimento prévio do titular dos dados,

ii)

se o tratamento for necessário à declaração, ao exercício ou à defesa de um direito num processo judicial no contexto de processos administrativos, regulamentares ou judiciais específicos, ou

iii)

se o tratamento for necessário para a defesa de interesses vitais do titular dos dados ou de outra pessoa singular.

a)

A fim de permitir que os titulares dos dados exerçam efetivamente os seus direitos nos termos da cláusula 10, o importador de dados deve informá-los, quer diretamente quer através do exportador de dados:

b)

A alínea a) não é aplicável caso o titular dos dados já tenha conhecimento das informações, incluindo quando essas informações já tenham sido facultadas pelo exportador de dados, ou quando a disponibilização das informações se revele impossível ou implique um esforço desproporcionado para o importador de dados. Neste último caso, o importador de dados deve, na medida do possível, colocar as informações à disposição do público.

c)

Mediante pedido, as Partes devem disponibilizar gratuitamente ao titular dos dados uma cópia das presentes cláusulas, incluindo o apêndice, tal como preenchido pelas mesmas. Na medida do necessário para proteger segredos comerciais ou outras informações confidenciais, incluindo dados pessoais, as Partes podem editar parte do texto do apêndice antes de partilhar uma cópia do mesmo, mas devem disponibilizar um resumo significativo do apêndice se, de outro modo, o titular dos dados não for capaz de compreender o seu conteúdo ou exercer os seus direitos. Mediante pedido, as Partes devem comunicar ao titular dos dados os motivos das ocultações, na medida do possível sem revelar as informações ocultadas.

d)

As alíneas a) a c) em nada prejudicam as obrigações do exportador de dados nos termos dos artigos 13.o e 14.o do Regulamento (UE) 2016/679.

a)

Cada Parte deve assegurar que os dados pessoais sejam exatos e, se necessário, atualizados. O importador de dados deve adotar todas as medidas adequadas para que os dados inexatos, tendo em conta a(s) finalidade(s) do tratamento, sejam apagados ou retificados sem demora.

b)

Se uma das Partes tomar conhecimento de que os dados pessoais que transferiu ou recebeu são inexatos ou estão desatualizados, deve informar a outra Parte sem demora injustificada.

c)

O importador de dados deve assegurar que os dados pessoais sejam adequados, pertinentes e limitados ao que é necessário relativamente à(s) finalidade(s) do tratamento.

a)

O importador de dados e, durante a transmissão, também o exportador de dados devem aplicar medidas técnicas e organizativas adequadas para garantir a segurança dos dados pessoais, incluindo a proteção contra uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso não autorizados (a seguir designada por «violação de dados pessoais»). Ao avaliar o nível de segurança adequado, devem ter em devida conta as técnicas mais avançadas, os custos de aplicação, a natureza, o âmbito, o contexto e a(s) finalidade(s) do tratamento e os riscos inerentes ao tratamento para os titulares dos dados. As Partes devem, em particular, ponderar o recurso à cifragem ou à pseudonimização, nomeadamente durante a transmissão, sempre que a finalidade do tratamento possa ser cumprida dessa forma.

b)

As Partes acordaram nas medidas técnicas e organizativas estabelecidas no anexo II. O importador de dados deve realizar controlos regulares para garantir que estas medidas continuam a proporcionar um nível de segurança adequado.

c)

O importador de dados deve assegurar que as pessoas autorizadas a tratar os dados pessoais assumiram um compromisso de confidencialidade ou estão sujeitas às obrigações legais de confidencialidade adequadas.

d)

Em caso de violação de dados pessoais relativa a dados pessoais tratados pelo importador de dados ao abrigo das presentes cláusulas, o importador de dados deve tomar as medidas adequadas para reparar a violação de dados pessoais, incluindo medidas para atenuar os seus eventuais efeitos negativos.

e)

Em caso de violação de dados pessoais suscetível de constituir um risco para os direitos e as liberdades das pessoas singulares, o importador de dados deve notificar, sem demora, o exportador de dados e a autoridade de controlo competente, nos termos da cláusula 13. Essa notificação deve conter i) uma descrição da natureza da violação (incluindo, se possível, as categorias e o número aproximado de titulares de dados e de registos de dados pessoais em causa), ii) as suas consequências prováveis, iii) as medidas adotadas ou propostas para reparar a violação e iv) os dados de um ponto de contacto junto do qual possam ser obtidas mais informações. Na medida em que não seja possível ao importador de dados fornecer todas as informações ao mesmo tempo, poderá fazê-lo por fases, sem demora injustificada.

f)

Em caso de violação de dados pessoais suscetível de constituir um risco elevado para os direitos e as liberdades das pessoas singulares, o importador de dados deve notificar igualmente os titulares dos dados afetados, sem demora injustificada, da violação de dados pessoais e da sua natureza, se necessário em cooperação com o exportador de dados, juntamente com as informações referidas na alínea e), subalíneas ii) a iv), a menos que o importador de dados tenha aplicado medidas para reduzir significativamente o risco para os direitos ou as liberdades das pessoas singulares ou que a notificação implique esforços desproporcionados. Neste último caso, o importador de dados deve, em alternativa, emitir uma comunicação pública ou tomar uma medida semelhante para informar o público da violação de dados pessoais.

g)

O importador de dados deve documentar todos os factos pertinentes relacionados com a violação de dados pessoais, incluindo os respetivos efeitos e quaisquer medidas corretivas adotadas, e conservar um registo dos mesmos.

i)

o seu destino for um país que beneficie de uma decisão de adequação nos termos do artigo 45.o do Regulamento (UE) 2016/679 que abranja a transferência ulterior,

ii)

o terceiro assegurar, de qualquer outra forma, as garantias adequadas nos termos dos artigos 46.o ou 47.o do Regulamento (UE) 2016/679 no que diz respeito ao tratamento em questão,

iii)

o terceiro celebrar um instrumento vinculativo com o importador de dados que assegure o mesmo nível de proteção de dados previsto nas presentes cláusulas e o importador de dados facultar uma cópia destas garantias ao exportador de dados,

iv)

for necessária à declaração, ao exercício ou à defesa de um direito num processo judicial no contexto de processos administrativos, regulamentares ou judiciais específicos,

v)

for necessária para a defesa de interesses vitais do titular dos dados ou de outra pessoa singular; ou

vi)

se nenhuma das outras condições for aplicável, o importador de dados tiver obtido o consentimento explícito do titular dos dados para uma transferência ulterior numa situação específica, depois de o ter informado da(s) sua(s) finalidade(s), da identidade do destinatário e dos possíveis riscos dessa transferência para o titular dos dados devido à inexistência de garantias adequadas em matéria de proteção de dados. neste caso, o importador de dados deve informar o exportador de dados e, a pedido deste último, transmitir-lhe uma cópia das informações facultadas ao titular dos dados.

a)

Cada Parte deve poder demonstrar o cumprimento das obrigações que lhe incumbem por força das presentes cláusulas. Em particular, o importador de dados deve conservar documentação adequada relativa às atividades de tratamento realizadas sob a sua responsabilidade.

b)

O importador de dados deve disponibilizar essa documentação à autoridade de controlo competente, mediante pedido.

a)

O importador de dados deve proceder ao tratamento dos dados pessoais apenas mediante instruções documentadas do exportador de dados. O exportador de dados pode dar essas instruções ao longo do período de vigência do contrato.

b)

O importador de dados deve informar imediatamente o exportador de dados se não puder seguir essas instruções.

a)

O importador de dados e, durante a transmissão, também o exportador de dados devem aplicar medidas técnicas e organizativas adequadas para garantir a segurança dos dados, incluindo a proteção contra uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso não autorizados a esses dados (a seguir designada por «violação de dados pessoais»). Ao avaliar o nível de segurança adequado, as Partes devem ter em devida conta as técnicas mais avançadas, os custos de aplicação, a natureza, o âmbito, o contexto e a(s) finalidade(s) do tratamento e os riscos inerentes ao tratamento para os titulares dos dados. As Partes devem, em particular, ponderar o recurso à cifragem ou à pseudonimização, nomeadamente durante a transmissão, sempre que a finalidade do tratamento possa ser cumprida dessa forma. Em caso de pseudonimização, as informações adicionais para a atribuição dos dados pessoais a um titular de dados específico devem permanecer, sempre que possível, sob o controlo exclusivo do exportador de dados. No cumprimento das obrigações que lhe incumbem por força do presente número, o importador de dados deve, pelo menos, aplicar as medidas técnicas e organizativas especificadas no anexo II. O importador de dados deve realizar controlos regulares para garantir que estas medidas continuam a proporcionar um nível de segurança adequado.

b)

O importador de dados só deve conceder acesso aos dados pessoais aos membros do seu pessoal na medida estritamente necessária para a execução, a gestão e o acompanhamento do contrato. Deve assegurar que as pessoas autorizadas a tratar os dados pessoais assumiram um compromisso de confidencialidade ou estão sujeitas às obrigações legais de confidencialidade adequadas.

c)

Em caso de violação de dados pessoais relativa a dados pessoais tratados pelo importador de dados ao abrigo das presentes cláusulas, o importador de dados deve tomar as medidas adequadas para reparar a violação, incluindo medidas para atenuar os seus efeitos negativos. O importador de dados deve notificar igualmente o exportador de dados, sem demora injustificada, após ter tomado conhecimento da violação. Essa notificação deve conter os dados de um ponto de contacto onde possam ser obtidas mais informações, uma descrição da natureza da violação (incluindo, se possível, as categorias e o número aproximado de titulares de dados e de registos de dados pessoais em causa), as suas consequências prováveis e as medidas adotadas ou propostas para reparar a violação, incluindo, se for caso disso, medidas para atenuar os seus eventuais efeitos negativos. Caso, e na medida em que, não seja possível comunicar todas as informações ao mesmo tempo, a notificação inicial deve conter as informações então disponíveis, devendo outras informações, à medida que fiquem disponíveis, ser fornecidas posteriormente sem demora injustificada.

d)

O importador de dados deve cooperar com o exportador de dados e prestar-lhe assistência para que este cumpra as obrigações que lhe incumbem nos termos do Regulamento (UE) 2016/679, em particular a obrigação de notificar a autoridade de controlo competente e os titulares de dados afetados, tendo em conta a natureza do tratamento e as informações ao dispor do importador de dados.

i)

o destino da transferência ulterior for um país que beneficie de uma decisão de adequação nos termos do artigo 45.o do Regulamento (UE) 2016/679 que abranja a transferência ulterior,

ii)

o terceiro assegurar, de qualquer outra forma, as garantias adequadas nos termos dos artigos 46.o ou 47.° do Regulamento (UE) 2016/679 no que diz respeito ao tratamento em questão,

iii)

a transferência ulterior for necessária à declaração, ao exercício ou à defesa de um direito num processo judicial no contexto de processos administrativos, regulamentares ou judiciais específicos, ou

iv)

a transferência ulterior for necessária para a defesa de interesses vitais do titular dos dados ou de outra pessoa singular.

a)

O importador de dados deve responder, rápida e adequadamente, aos pedidos de informação do exportador de dados relacionados com o tratamento ao abrigo das presentes cláusulas.

b)

As Partes devem poder demonstrar o cumprimento das presentes cláusulas. Em particular, o importador de dados deve conservar documentação adequada sobre as atividades de tratamento realizadas por conta do exportador de dados.

c)

O importador de dados deve disponibilizar ao exportador de dados todas as informações necessárias para demonstrar o cumprimento das obrigações previstas nas presentes cláusulas e, a pedido deste último, facilitar e contribuir para as auditorias das operações de tratamento abrangidas pelas presentes cláusulas, a intervalos razoáveis ou se houver indícios de incumprimento. Ao decidir sobre uma revisão ou auditoria, o exportador de dados pode ter em conta as certificações pertinentes detidas pelo importador de dados.

d)

O exportador de dados pode optar por realizar, ele próprio, a auditoria ou mandatar um auditor independente. As auditorias podem incluir inspeções nos edifícios ou nas instalações físicas do importador de dados, devendo, se for caso disso, ser realizadas com uma antecedência razoável.

e)

As Partes devem disponibilizar as informações referidas nas alíneas b) e c), incluindo os resultados de quaisquer auditorias, à autoridade de controlo competente, mediante pedido.

a)

O exportador de dados informou o importador de dados de que atua como subcontratante sob as instruções do(s) seu(s) responsável(eis) pelo tratamento, que o exportador de dados vai disponibilizar ao importador de dados antes do tratamento.

b)

O importador de dados só deve proceder ao tratamento dos dados pessoais mediante instruções documentadas do responsável pelo tratamento, conforme comunicadas ao importador de dados pelo exportador de dados, e quaisquer instruções adicionais documentadas do exportador de dados. Essas instruções adicionais não podem ser contrárias às instruções do responsável pelo tratamento. O responsável pelo tratamento ou exportador de dados pode dar instruções documentadas adicionais a respeito do tratamento de dados ao longo do período de vigência do contrato.

c)

O importador de dados deve informar imediatamente o exportador de dados se não puder seguir essas instruções. Se o importador de dados não puder seguir as instruções do responsável pelo tratamento, o exportador de dados deve notificar imediatamente o responsável pelo tratamento.

d)

O exportador de dados garante que impôs ao importador de dados as mesmas obrigações em matéria de proteção de dados que as estabelecidas no contrato ou noutro ato normativo ao abrigo do direito da União ou dos Estados-Membros entre o responsável pelo tratamento e o exportador de dados (5).

a)

O importador de dados e, durante a transmissão, também o exportador de dados devem aplicar medidas técnicas e organizativas adequadas para garantir a segurança dos dados, incluindo a proteção contra uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso não autorizados a esses dados (a seguir designada por «violação de dados pessoais»). Ao avaliar o nível de segurança adequado, devem ter em devida conta as técnicas mais avançadas, os custos de aplicação, a natureza, o âmbito, o contexto e a(s) finalidade(s) do tratamento e os riscos inerentes ao tratamento para os titulares dos dados. As Partes devem, em particular, ponderar o recurso à cifragem ou à pseudonimização, nomeadamente durante a transmissão, sempre que a finalidade do tratamento possa ser cumprida dessa forma. Em caso de pseudonimização, as informações adicionais para a atribuição dos dados pessoais a um titular de dados específico devem permanecer, sempre que possível, sob o controlo exclusivo do exportador de dados ou responsável pelo tratamento. No cumprimento das obrigações que lhe incumbem por força do presente número, o importador de dados deve, pelo menos, aplicar as medidas técnicas e organizativas especificadas no anexo II. O importador de dados deve realizar controlos regulares para garantir que estas medidas continuam a proporcionar um nível de segurança adequado.

b)

O importador de dados só deve conceder acesso aos dados aos membros do seu pessoal na medida estritamente necessária para a execução, a gestão e o acompanhamento do contrato. Deve assegurar que as pessoas autorizadas a tratar os dados pessoais assumiram um compromisso de confidencialidade ou estão sujeitas às obrigações legais de confidencialidade adequadas.

c)

Em caso de violação de dados pessoais relativa a dados pessoais tratados pelo importador de dados ao abrigo das presentes cláusulas, o importador de dados deve tomar as medidas adequadas para reparar a violação, incluindo medidas para atenuar os seus efeitos negativos. O importador de dados deve notificar igualmente, sem demora injustificada, o exportador de dados e, sempre que adequado e viável, o responsável pelo tratamento após ter tomado conhecimento da violação. Essa notificação deve conter os dados de um ponto de contacto onde possam ser obtidas mais informações, uma descrição da natureza da violação (incluindo, se possível, as categorias e o número aproximado de titulares de dados e de registos de dados pessoais em causa), as suas consequências prováveis e as medidas adotadas ou propostas para reparar a violação de dados, incluindo medidas para atenuar os seus eventuais efeitos negativos. Caso, e na medida em que, não seja possível comunicar todas as informações ao mesmo tempo, a notificação inicial deve conter as informações então disponíveis, devendo outras informações, à medida que fiquem disponíveis, ser fornecidas posteriormente sem demora injustificada.

d)

O importador de dados deve cooperar com o exportador de dados e prestar-lhe assistência para que este cumpra as obrigações que lhe incumbem nos termos do Regulamento (UE) 2016/679, em particular a obrigação de notificar o respetivo responsável pelo tratamento para que este possa, por sua vez, notificar a autoridade de controlo competente e os titulares de dados afetados, tendo em conta a natureza do tratamento e as informações ao dispor do importador de dados.

i)

o destino da transferência ulterior for um país que beneficie de uma decisão de adequação nos termos do artigo 45.o do Regulamento (UE) 2016/679 que abranja a transferência ulterior,

ii)

o terceiro assegurar, de qualquer outra forma, as garantias adequadas nos termos dos artigos 46.o ou 47.o do Regulamento (UE) 2016/679,

iii)

a transferência ulterior for necessária à declaração, ao exercício ou à defesa de um direito num processo judicial no contexto de processos administrativos, regulamentares ou judiciais específicos, ou

iv)

a transferência ulterior for necessária para a defesa de interesses vitais do titular dos dados ou de outra pessoa singular.

a)

O importador de dados deve responder, rápida e adequadamente, aos pedidos de informação do exportador de dados ou do responsável pelo tratamento relacionados com o tratamento ao abrigo das presentes cláusulas.

b)

As Partes devem poder demonstrar o cumprimento das presentes cláusulas. Em particular, o importador de dados deve conservar documentação adequada sobre as atividades de tratamento realizadas por conta do responsável pelo tratamento.

c)

O importador de dados deve disponibilizar ao exportador de dados todas as informações necessárias para demonstrar o cumprimento das obrigações previstas nas presentes cláusulas, que as deve facultar ao responsável pelo tratamento.

d)

O importador de dados deve facilitar e contribuir para as auditorias, realizadas pelo exportador de dados, das operações de tratamento abrangidas pelas presentes cláusulas, a intervalos razoáveis ou se houver indícios de incumprimento. O mesmo se aplica se o exportador de dados solicitar uma auditoria mediante instruções do responsável pelo tratamento. Ao decidir sobre uma auditoria, o exportador de dados pode ter em conta as certificações pertinentes detidas pelo importador de dados.

e)

Se a auditoria for realizada mediante instruções do responsável pelo tratamento, o exportador de dados deve disponibilizar os resultados ao responsável pelo tratamento.

f)

O exportador de dados pode optar por realizar, ele próprio, a auditoria ou mandatar um auditor independente. As auditorias podem incluir inspeções nos edifícios ou nas instalações físicas do importador de dados, devendo, se for caso disso, ser realizadas com uma antecedência razoável.

g)

As Partes devem disponibilizar as informações referidas nas alíneas b) e c), incluindo os resultados de quaisquer auditorias, à autoridade de controlo competente, mediante pedido.

a)

O exportador de dados deve proceder ao tratamento dos dados pessoais apenas mediante instruções documentadas do importador de dados que atue como seu responsável pelo tratamento.

b)

O exportador de dados deve informar imediatamente o importador de dados se não puder seguir essas instruções, nomeadamente se tais instruções violarem o Regulamento (UE) 2016/679 ou o direito da União ou dos Estados-Membros em matéria de proteção de dados.

c)

O importador de dados deve abster-se de quaisquer atos que impeçam o exportador de dados de cumprir as obrigações que lhe incumbem nos termos do Regulamento (UE) 2016/679, inclusivamente no contexto da subcontratação ou no que respeita à cooperação com as autoridades de controlo competentes.

d)

Depois de concluída a prestação dos serviços de tratamento, o exportador de dados deve, consoante a escolha do importador de dados, apagar todos os dados pessoais tratados por conta deste último e certificar ao importador de dados que o fez ou devolver ao importador de dados todos os dados pessoais tratados por sua conta e apagar as cópias existentes.

a)

As Partes devem aplicar medidas técnicas e organizativas adequadas para garantir a segurança dos dados, nomeadamente durante a transmissão, e a proteção contra uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso não autorizados (a seguir designada por «violação de dados pessoais»). Ao avaliar o nível de segurança adequado, devem ter em devida conta as técnicas mais avançadas, os custos de aplicação, a natureza dos dados pessoais (7), a natureza, o âmbito, o contexto e a(s) finalidade(s) do tratamento e os riscos para os titulares dos dados e, em particular, ponderar o recurso à cifragem ou à pseudonimização, nomeadamente durante a transmissão, sempre que a finalidade do tratamento possa ser cumprida dessa forma.

b)

O exportador de dados deve prestar assistência ao importador de dados para garantir a segurança adequada dos dados, em conformidade com o disposto na alínea a). Em caso de violação de dados pessoais relativa aos dados pessoais tratados pelo exportador de dados ao abrigo das presentes cláusulas, o exportador de dados deve notificar o importador de dados, sem demora injustificada, após ter tomado conhecimento da mesma e prestar assistência ao importador de dados para reparar a violação.

c)

O exportador de dados deve assegurar que as pessoas autorizadas a tratar os dados pessoais assumiram um compromisso de confidencialidade ou estão sujeitas às obrigações legais de confidencialidade adequadas.

a)

As Partes devem poder demonstrar o cumprimento das presentes cláusulas.

b)

O exportador de dados deve disponibilizar ao importador de dados todas as informações necessárias para demonstrar o cumprimento das obrigações que lhe incumbem por força das presentes cláusulas e facilitar e contribuir para as auditorias.

a)

OPÇÃO 1: AUTORIZAÇÃO PRÉVIA ESPECÍFICA O importador de dados não pode subcontratar nenhuma das suas atividades de tratamento realizadas por conta do exportador de dados ao abrigo das presentes cláusulas a um subcontratante ulterior sem a autorização escrita prévia específica do exportador de dados. O importador de dados deve apresentar o pedido de autorização específica pelo menos [especificar período] antes da contratação do subcontratante ulterior, juntamente com as informações necessárias para permitir ao exportador de dados tomar uma decisão sobre a autorização. A lista de subcontratantes ulteriores já autorizados pelo exportador de dados pode ser consultada no anexo III. As Partes devem manter o anexo III atualizado.

OPÇÃO 2: AUTORIZAÇÃO ESCRITA GERAL O importador de dados tem a autorização geral do exportador de dados para a contratação de (um) subcontratante(s) ulterior(es) a partir de uma lista acordada. O importador de dados deve informar especificamente o exportador de dados, por escrito, das alterações pretendidas a efetuar a essa lista quanto ao aumento do número ou à substituição de subcontratantes ulteriores com uma antecedência mínima de [especificar período], dando assim ao exportador de dados tempo suficiente para se opor a essas alterações antes da contratação do(s) subcontratante(s) ulterior(es). O importador de dados deve fornecer ao exportador de dados as informações necessárias para que este último possa exercer o seu direito de oposição.

b)

Se o importador de dados contratar um subcontratante ulterior para realizar operações específicas de tratamento (por conta do exportador de dados), deve fazê-lo através de um contrato escrito que preveja, do ponto de vista material, as mesmas obrigações em matéria de proteção de dados que as que incumbem ao importador de dados por força das presentes cláusulas, incluindo em termos de direitos de terceiro beneficiário para os titulares dos dados (8). As Partes concordam que, ao cumprir esta cláusula, o importador de dados cumpre as obrigações que lhe incumbem por força da cláusula 8.8. O importador de dados deve garantir que o subcontratante ulterior cumpre as obrigações a que o importador de dados está sujeito nos termos das presentes cláusulas.

c)

O importador de dados deve facultar ao exportador de dados, a pedido do mesmo, uma cópia do referido acordo de subcontratação e de quaisquer alterações subsequentes. Na medida do necessário para proteger segredos comerciais ou outras informações confidenciais, incluindo dados pessoais, o importador de dados pode editar o texto do acordo antes de partilhar uma cópia.

d)

O importador de dados continua a ser inteiramente responsável, perante o exportador de dados, pelo cumprimento das obrigações que incumbem ao subcontratante ulterior por força do seu contrato com o importador de dados. O importador de dados deve notificar o exportador de dados de qualquer incumprimento, pelo subcontratante ulterior, das obrigações que lhe incumbem por força desse contrato.

e)

O importador de dados deve acordar com o subcontratante ulterior uma cláusula do terceiro beneficiário nos termos da qual — em caso de desaparecimento de facto, de extinção legal ou de insolvência do importador de dados — o exportador de dados tem o direito de rescindir o contrato do subcontratante ulterior e de dar instruções ao subcontratante ulterior para apagar ou devolver os dados pessoais.

a)

OPÇÃO 1: AUTORIZAÇÃO PRÉVIA ESPECÍFICA O importador de dados não pode subcontratar nenhuma das suas atividades de tratamento realizadas por conta do exportador de dados ao abrigo das presentes cláusulas a um subcontratante ulterior sem a autorização escrita prévia específica do responsável pelo tratamento. O importador de dados deve apresentar o pedido de autorização específica pelo menos [especificar período] antes da contratação do subcontratante ulterior, juntamente com as informações necessárias para permitir ao responsável pelo tratamento tomar uma decisão sobre a autorização. Deve informar o exportador de dados dessa contratação. A lista de subcontratantes ulteriores já autorizados pelo responsável pelo tratamento pode ser consultada no anexo III. As Partes devem manter o anexo III atualizado.

OPÇÃO 2: AUTORIZAÇÃO ESCRITA GERAL O importador de dados tem a autorização geral do responsável pelo tratamento para a contratação de (um) subcontratante(s) ulterior(es) a partir de uma lista acordada. O importador de dados deve informar especificamente o responsável pelo tratamento, por escrito, das alterações pretendidas a efetuar a essa lista quanto ao aumento do número ou à substituição de subcontratantes ulteriores com uma antecedência mínima de [especificar período], dando assim ao responsável pelo tratamento tempo suficiente para se opor a essas alterações antes da contratação do(s) subcontratante(s) ulterior(es). O importador de dados deve fornecer ao responsável pelo tratamento as informações necessárias para que este último possa exercer o seu direito de oposição. O importador de dados deve informar o exportador de dados da contratação do(s) subcontratante(s) ulterior(es).

b)

Se o importador de dados contratar um subcontratante ulterior para realizar operações específicas de tratamento (por conta do responsável pelo tratamento), deve fazê-lo através de um contrato escrito que preveja, do ponto de vista material, as mesmas obrigações em matéria de proteção de dados que as que incumbem ao importador de dados por força das presentes cláusulas, incluindo em termos de direitos de terceiro beneficiário para os titulares dos dados (9). As Partes concordam que, ao cumprir esta cláusula, o importador de dados cumpre as obrigações que lhe incumbem por força da cláusula 8.8. O importador de dados deve garantir que o subcontratante ulterior cumpre as obrigações a que o importador de dados está sujeito nos termos das presentes cláusulas.

c)

O importador de dados deve facultar ao exportador de dados ou ao responsável pelo tratamento, a pedido do mesmo, uma cópia do referido acordo de subcontratação e de quaisquer alterações subsequentes. Na medida do necessário para proteger segredos comerciais ou outras informações confidenciais, incluindo dados pessoais, o importador de dados pode editar o texto do acordo antes de partilhar uma cópia.

d)

O importador de dados continua a ser inteiramente responsável, perante o exportador de dados, pelo cumprimento das obrigações que incumbem ao subcontratante ulterior por força do seu contrato com o importador de dados. O importador de dados deve notificar o exportador de dados de qualquer incumprimento, pelo subcontratante ulterior, das obrigações que lhe incumbem por força desse contrato.

e)

O importador de dados deve acordar com o subcontratante ulterior uma cláusula do terceiro beneficiário nos termos da qual — em caso de desaparecimento de facto, de extinção legal ou de insolvência do importador de dados — o exportador de dados tem o direito de rescindir o contrato do subcontratante ulterior e de dar instruções ao subcontratante ulterior para apagar ou devolver os dados pessoais.

a)

O importador de dados, se necessário com a assistência do exportador de dados, deve responder a quaisquer perguntas e pedidos que receba de um titular de dados relacionados com o tratamento dos seus dados pessoais e com o exercício dos seus direitos ao abrigo das presentes cláusulas sem demora injustificada e, o mais tardar, no prazo de um mês a contar da data de receção da pergunta ou do pedido (10). O importador de dados deve tomar as medidas adequadas para facilitar essas perguntas, pedidos e o exercício dos direitos do titular dos dados. Quaisquer informações facultadas ao titular dos dados devem ser apresentadas de forma inteligível e de fácil acesso, utilizando uma linguagem clara e simples.

b)

Em particular, a pedido do titular dos dados, o importador de dados deve, gratuitamente:

c)

Se o importador de dados proceder ao tratamento dos dados pessoais para efeitos de comercialização direta, deve cessar o tratamento para esses fins se o titular dos dados se lhe opuser.

d)

O importador de dados não deve tomar uma decisão exclusivamente com base no tratamento automatizado dos dados pessoais transferidos (a seguir designada por «decisão automatizada») que produza efeitos jurídicos relativamente ao titular dos dados ou que o afete significativamente de forma similar, a não ser com o consentimento explícito do titular dos dados ou se estiver autorizado a fazê-lo ao abrigo da legislação do país de destino, desde que essa legislação preveja medidas adequadas para salvaguardar os seus direitos e legítimos interesses. Neste caso, o importador de dados deve, se necessário em cooperação com o exportador de dados:

e)

Quando os pedidos de um titular de dados forem excessivos, particularmente devido ao seu caráter recorrente, o importador de dados pode exigir o pagamento de uma taxa razoável tendo em conta os custos administrativos do deferimento do pedido ou pode indeferi-los.

f)

O importador de dados pode recusar o pedido de um titular de dados se essa recusa for permitida pela legislação do país de destino e for necessária e proporcional numa sociedade democrática para proteger um dos objetivos enumerados no artigo 23.o, n.o 1, do Regulamento (UE) 2016/679.

g)

Se o importador de dados tencionar recusar um pedido de um titular de dados, deve informá-lo dos motivos da recusa e da possibilidade de apresentar uma reclamação à autoridade de controlo competente e/ou de interpor recurso judicial.

a)

O importador de dados deve notificar imediatamente o exportador de dados de qualquer pedido que tenha recebido de um titular de dados. Não pode responder ele próprio a esse pedido, salvo se tiver sido autorizado pelo exportador de dados.

b)

O importador de dados deve prestar assistência ao exportador de dados no cumprimento das suas obrigações de resposta aos pedidos dos titulares dos dados respeitantes ao exercício dos seus direitos ao abrigo do Regulamento (UE) 2016/679. Neste contexto, as Partes devem estabelecer, no anexo II, as medidas técnicas e organizativas adequadas, tendo em conta a natureza do tratamento, através das quais a assistência deve ser prestada, bem como o âmbito e a amplitude da assistência necessária.

c)

No cumprimento das obrigações que lhe incumbem por força das alíneas a) e b), o importador de dados deve cumprir as instruções do exportador de dados.

a)

O importador de dados deve notificar imediatamente o exportador de dados e, se for caso disso, o responsável pelo tratamento, de qualquer pedido que tenha recebido de um titular de dados, não devendo responder a esse pedido, a menos que tenha sido autorizado a fazê-lo pelo responsável pelo tratamento.

b)

O importador de dados deve prestar assistência ao responsável pelo tratamento, se necessário em cooperação com o exportador de dados, no cumprimento das suas obrigações de resposta aos pedidos dos titulares dos dados respeitantes ao exercício dos seus direitos ao abrigo do Regulamento (UE) 2016/679 ou do Regulamento (UE) 2018/1725, consoante o caso. Neste contexto, as Partes devem estabelecer, no anexo II, as medidas técnicas e organizativas adequadas, tendo em conta a natureza do tratamento, através das quais a assistência deve ser prestada, bem como o âmbito e a amplitude da assistência necessária.

c)

No cumprimento das obrigações que lhe incumbem por força das alíneas a) e b), o importador de dados deve cumprir as instruções do responsável pelo tratamento, conforme comunicadas pelo exportador de dados.

a)

O importador de dados deve informar os titulares dos dados, de forma transparente e de fácil acesso, através de uma notificação individual ou no seu sítio Web, de um ponto de contacto autorizado a tratar as reclamações. Deve tratar imediatamente quaisquer reclamações que receba de um titular de dados.

[OPÇÃO: O importador de dados concorda que os titulares dos dados podem igualmente apresentar uma reclamação a um organismo independente de resolução de litígios (11), sem que tenham de suportar quaisquer custos. Deve informar os titulares dos dados, da forma prevista na alínea a), desse mecanismo de recurso e de que não são obrigados a utilizá-lo, ou a seguir uma determinada sequência na interposição de recurso.]

b)

Em caso de litígio entre um titular dos dados e uma das Partes quanto ao cumprimento das presentes cláusulas, essa Parte deve envidar todos os esforços para resolver a questão de forma amigável e atempada. As Partes devem manter-se mutuamente informadas sobre esses litígios e, quando adequado, cooperar na sua resolução.

c)

Se o titular dos dados invocar um direito de terceiro beneficiário nos termos da cláusula 3, o importador de dados deve aceitar a decisão do titular dos dados de:

d)

As Partes aceitam que o titular dos dados possa ser representado por um organismo, organização ou associação sem fins lucrativos, nas condições estabelecidas no artigo 80.o, n.o 1, do Regulamento (UE) 2016/679.

e)

O importador de dados deve acatar uma decisão vinculativa nos termos do direito da UE ou dos Estados-Membros aplicável.

f)

O importador de dados acorda que a opção do titular dos dados não prejudica os direitos materiais e processuais do mesmo de obter reparação em conformidade com a legislação aplicável.

a)

Cada Parte é responsável perante a(s) outra(s) Parte(s) por quaisquer danos que lhe(s) cause decorrentes de qualquer violação das presentes cláusulas.

b)

Cada Parte é responsável perante o titular dos dados, tendo o titular dos dados o direito de receber uma indemnização, por quaisquer danos materiais ou imateriais que a Parte cause ao titular dos dados em consequência da violação dos direitos de terceiro beneficiário ao abrigo das presentes cláusulas. Tal não prejudica a responsabilidade do exportador de dados nos termos do Regulamento (UE) 2016/679.

c)

Quando mais de uma Parte for responsável por quaisquer danos causados ao titular dos dados devido a uma violação das presentes cláusulas, todas as Partes responsáveis são solidariamente responsáveis e o titular dos dados tem o direito de intentar uma ação em tribunal contra qualquer uma destas Partes.

d)

As Partes acordam que, se uma Parte for considerada responsável nos termos da alínea c), tem o direito de reclamar à(s) outra(s) Parte(s) a parte da indemnização correspondente à sua responsabilidade pelos danos.

e)

O importador de dados não pode invocar o comportamento de um subcontratante ou subcontratante ulterior para se eximir à sua própria responsabilidade.

a)

Cada Parte é responsável perante a(s) outra(s) Parte(s) por quaisquer danos que lhe(s) cause decorrentes de qualquer violação das presentes cláusulas.

b)

O importador de dados é responsável perante o titular dos dados, tendo o titular dos dados o direito de receber uma indemnização, por quaisquer danos materiais ou imateriais que o importador de dados ou o seu subcontratante ulterior cause ao titular dos dados em consequência da violação dos direitos de terceiro beneficiário ao abrigo das presentes cláusulas.

c)

Não obstante o disposto na alínea b), o exportador de dados é responsável perante o titular dos dados, tendo o titular dos dados o direito de receber uma indemnização, por quaisquer danos materiais ou imateriais que o exportador ou o importador de dados (ou o seu subcontratante ulterior) cause ao titular dos dados em consequência da violação dos direitos de terceiro beneficiário ao abrigo das presentes cláusulas. Tal não prejudica a responsabilidade do exportador de dados e, se este for um subcontratante que atue por conta de um responsável pelo tratamento, a responsabilidade do responsável pelo tratamento nos termos do Regulamento (UE) 2016/679 ou do Regulamento (UE) 2018/1725, consoante o caso.

d)

As Partes acordam que, se o exportador de dados for considerado responsável, nos termos da alínea c), por danos causados pelo importador de dados (ou pelo seu subcontratante), tem o direito de reclamar ao importador de dados a parte da indemnização correspondente à responsabilidade do importador de dados pelos danos.

e)

Quando mais de uma Parte for responsável por quaisquer danos causados ao titular dos dados devido a uma violação das presentes cláusulas, todas as Partes responsáveis são solidariamente responsáveis e o titular dos dados tem o direito de intentar uma ação em tribunal contra qualquer uma destas Partes.

f)

As Partes acordam que, se uma Parte for considerada responsável nos termos da alínea e), tem o direito de reclamar à(s) outra(s) Parte(s) a parte da indemnização correspondente à sua responsabilidade pelos danos.

g)

O importador de dados não pode invocar o comportamento de um subcontratante ulterior para se isentar da sua própria responsabilidade.

a)

[Quando o exportador de dados estiver estabelecido num Estado-Membro da UE:] A autoridade de controlo com a responsabilidade de assegurar o cumprimento, pelo exportador de dados, do Regulamento (UE) 2016/679 no que diz respeito à transferência de dados, conforme indicado no anexo I.C, deve agir como autoridade de controlo competente.

[Quando o exportador de dados não estiver estabelecido num Estado-Membro da UE, mas for abrangido pelo âmbito de aplicação territorial do Regulamento (UE) 2016/679, em conformidade com o seu artigo 3.o, n.o 2, e tiver nomeado um representante nos termos do artigo 27.o, n.o 1, do Regulamento (UE) 2016/679:] A autoridade de controlo do Estado-Membro em que o representante, na aceção do artigo 27.o, n.o 1, do Regulamento (UE) 2016/679, está estabelecido, conforme indicado no anexo I.C, deve agir como autoridade de controlo competente.

[Quando o exportador de dados não estiver estabelecido num Estado-Membro da UE, mas for abrangido pelo âmbito de aplicação territorial do Regulamento (UE) 2016/679, em conformidade com o seu artigo 3.o, n.o 2, sem, contudo, ter de nomear um representante nos termos do artigo 27.o, n.o 2, do Regulamento (UE) 2016/679:] A autoridade de controlo de um dos Estados-Membros onde se encontram os titulares dos dados cujos dados pessoais são transferidos ao abrigo das presentes cláusulas no contexto da oferta que lhes é feita de bens ou serviços ou cujo comportamento é controlado, conforme indicado no anexo I.C, deve agir como autoridade de controlo competente.

b)

O importador de dados aceita submeter-se à jurisdição da autoridade de controlo competente e cooperar com a mesma em quaisquer procedimentos destinados a assegurar o cumprimento das presentes cláusulas. Em particular, o importador de dados concorda em responder a pedidos de informação, submeter-se a auditorias e cumprir as medidas adotadas pela autoridade de controlo, incluindo medidas corretivas e compensatórias. Deve fornecer à autoridade de controlo uma confirmação escrita de que foram tomadas as medidas necessárias.

a)

As Partes garantem que não têm motivos para crer que a legislação e as práticas do país terceiro de destino aplicáveis ao tratamento dos dados pessoais pelo importador de dados, incluindo quaisquer requisitos de divulgação de dados pessoais ou medidas destinadas a autorizar o acesso de autoridades públicas, impedem o importador de dados de cumprir as obrigações que lhe incumbem por força das presentes cláusulas. Tal baseia-se no entendimento de que a legislação e as práticas que respeitem a essência dos direitos e das liberdades fundamentais e não excedam o necessário e proporcional numa sociedade democrática para salvaguardar um dos objetivos enumerados no artigo 23.o, n.o 1, do Regulamento (UE) 2016/679 não são contrárias ao disposto nas presentes cláusulas.

b)

As Partes declaram que, ao apresentar a garantia referida na alínea a), tiveram em devida conta, em especial, os seguintes elementos:

c)

O importador de dados garante que, ao efetuar a avaliação nos termos da alínea b), envidou todos os esforços para fornecer ao exportador de dados informações pertinentes e acorda que continuará a cooperar com o exportador de dados no sentido de assegurar o cumprimento das presentes cláusulas.

d)

As Partes acordam em documentar a avaliação prevista na alínea b) e disponibilizá-la à autoridade de controlo competente, mediante pedido.

e)

O importador de dados acorda em notificar imediatamente o exportador de dados se, depois de ter subscrito as presentes cláusulas e durante a vigência do contrato, tiver motivos para crer que está ou ficou sujeito a legislações ou práticas não conformes com os requisitos da alínea a), nomeadamente na sequência de uma alteração da legislação do país terceiro ou de uma medida (como um pedido de divulgação) que indique uma aplicação dessa legislação na prática que não esteja em consonância com os requisitos da alínea a). [Para o módulo três: O exportador de dados deve transmitir a notificação ao responsável pelo tratamento.]

f)

Na sequência de uma notificação nos termos da alínea e), ou se o exportador de dados tiver motivos para crer que o importador de dados já não é capaz de cumprir as obrigações que lhe incumbem por força das presentes cláusulas, o exportador de dados deve identificar imediatamente as medidas adequadas (por exemplo, medidas técnicas ou organizativas para garantir a segurança e a confidencialidade) a adotar pelo exportador e/ou importador de dados para resolver a situação [para o módulo três: se for caso disso, em consulta com o responsável pelo tratamento]. O exportador de dados deve suspender a transferência de dados se considerar que não podem ser asseguradas garantias adequadas para essa transferência ou se receber instruções [para o módulo três: do responsável pelo tratamento ou] da autoridade de controlo competente nesse sentido. Neste caso, o exportador de dados tem o direito de rescindir o contrato, na medida em que este diga respeito ao tratamento de dados pessoais ao abrigo das presentes cláusulas. Se o contrato envolver mais de duas Partes, o exportador de dados só pode exercer este direito de rescisão em relação à Parte pertinente, salvo decisão das Partes em contrário. Se o contrato for rescindido nos termos da presente cláusula, aplica-se a cláusula 16, alíneas d) e e).

a)

O importador de dados acorda em notificar imediatamente o exportador de dados e, se possível, o titular dos dados (se necessário, com a ajuda do exportador de dados) se:

[Para o módulo três: O exportador de dados deve transmitir a notificação ao responsável pelo tratamento.]

b)

Se o importador de dados estiver proibido de notificar o exportador de dados e/ou o titular dos dados por força da legislação do país de destino, o importador de dados acorda em envidar todos os esforços para obter uma derrogação da proibição com vista a comunicar, o mais rapidamente possível, o maior número possível de informações. O importador de dados aceita documentar todos os seus esforços a fim de poder comprová-los a pedido do exportador de dados.

c)

Quando tal for permitido pela legislação do país de destino, o importador de dados aceita fornecer periodicamente ao exportador de dados, durante a vigência do contrato, o maior número possível de informações pertinentes sobre os pedidos recebidos (em particular, o número de pedidos, o tipo de dados solicitados, a(s) autoridade(s)/entidade(s) requerente(s), se os pedidos foram contestados e o resultado dessas contestações, etc.). [Para o módulo três: O exportador de dados deve transmitir as informações ao responsável pelo tratamento.]

d)

O importador de dados aceita conservar as informações nos termos das alíneas a) a c) durante a vigência do contrato e em disponibilizá-las à autoridade de controlo competente, mediante pedido.

e)

As alíneas a) a c) não prejudicam a obrigação que incumbe ao importador de dados, nos termos da cláusula 14, alínea e), e da cláusula 16, de informar imediatamente o exportador de dados se não puder cumprir as presentes cláusulas.

a)

O importador de dados aceita controlar a legalidade do pedido de divulgação, em particular a questão de saber se este se mantém nos limites dos poderes concedidos à autoridade pública requerente, e em contestar o pedido se, após uma avaliação minuciosa, concluir que existem fundamentos razoáveis para considerar que o pedido é ilegal nos termos da legislação do país de destino, das obrigações aplicáveis ao abrigo do direito internacional e dos princípios de cortesia internacional. O importador de dados deve, nas mesmas condições, explorar as possibilidades de recurso. Ao contestar um pedido, o importador de dados deve procurar medidas provisórias com vista a suspender os efeitos do pedido até que a autoridade judiciária competente tenha decidido sobre o seu mérito. O importador de dados não pode divulgar os dados pessoais solicitados até que seja obrigado a fazê-lo ao abrigo das regras processuais aplicáveis. Estes requisitos não prejudicam as obrigações que incumbem ao importador de dados nos termos da cláusula 14, alínea e).

b)

O importador de dados aceita documentar a sua avaliação jurídica e qualquer contestação do pedido de divulgação e, na medida do permitido pela legislação do país de destino, disponibilizar a documentação ao exportador de dados. Deve igualmente disponibilizá-la à autoridade de controlo competente, mediante pedido. [Para o módulo três: O exportador de dados deve disponibilizar a avaliação ao responsável pelo tratamento.]

c)

O importador de dados aceita fornecer a quantidade mínima de informação admissível ao responder a um pedido de divulgação, com base numa interpretação razoável do pedido.

a)

O importador de dados deve informar imediatamente o exportador de dados se, por qualquer motivo, não puder cumprir as presentes cláusulas.

b)

Se o importador de dados violar ou não puder cumprir as presentes cláusulas, o exportador de dados deve suspender a transferência de dados pessoais para o importador de dados até que o cumprimento seja novamente assegurado ou o contrato seja rescindido. Esta disposição não prejudica o disposto na cláusula 14, alínea f).

c)

O exportador de dados tem o direito de rescindir o contrato, na medida em que este diga respeito ao tratamento de dados pessoais ao abrigo das presentes cláusulas, caso:

Nestes casos, deve informar a autoridade de controlo competente [para o módulo três: e o responsável pelo tratamento] desse incumprimento. Se o contrato envolver mais de duas Partes, o exportador de dados só pode exercer este direito de rescisão em relação à Parte pertinente, salvo decisão das Partes em contrário.

d)

[Para os módulos um, dois e três: Os dados pessoais que tenham sido transferidos antes da rescisão do contrato nos termos da alínea c) devem, consoante a escolha do exportador de dados, ser imediatamente devolvidos ao exportador de dados ou apagados na sua totalidade. O mesmo se aplica a quaisquer cópias dos dados.] [Para o módulo quatro: Os dados pessoais recolhidos pelo exportador de dados na UE que tenham sido transferidos antes da rescisão do contrato nos termos da alínea c) devem ser imediatamente apagados na sua totalidade, incluindo quaisquer cópias dos mesmos.] O importador de dados deve certificar o apagamento dos dados ao exportador de dados. Até que os dados sejam apagados ou devolvidos, o importador de dados deve continuar a assegurar o cumprimento das presentes cláusulas. Caso a legislação local aplicável ao importador de dados proíba a devolução ou o apagamento dos dados pessoais transferidos, o importador de dados garante continuar a assegurar o cumprimento das presentes cláusulas e só proceder ao tratamento dos dados na medida em que e enquanto for necessário nos termos dessa legislação local.

e)

Qualquer das Partes pode revogar o seu consentimento em ficar vinculada pelas presentes cláusulas se i) a Comissão Europeia adotar uma decisão nos termos do artigo 45.o, n.o 3, do Regulamento (UE) 2016/679 que abranja a transferência de dados pessoais a que se aplicam as presentes cláusulas; ou ii) o Regulamento (UE) 2016/679 se tornar parte do quadro jurídico do país para o qual os dados pessoais são transferidos. Tal não prejudica outras obrigações aplicáveis ao tratamento em questão nos termos do Regulamento (UE) 2016/679.

a)

Qualquer litígio decorrente das presentes cláusulas deve ser dirimido pelos tribunais de um Estado-Membro da UE.

b)

As Partes acordam que estes são os tribunais _______ (especificar a preposição e o Estado-Membro).

c)

Um titular de dados pode igualmente intentar uma ação judicial contra o exportador e/ou importador de dados nos tribunais do Estado-Membro em que tem a sua residência habitual.

d)

As Partes aceitam submeter-se à jurisdição dos referidos tribunais.

Qualquer litígio decorrente das presentes cláusulas deve ser dirimido pelos tribunais _______ (especificar a preposição e o país).

1.

Endereço: …

Nome, cargo e contactos da pessoa de contacto: …

Atividades pertinentes para os dados transferidos ao abrigo das presentes cláusulas: …

Assinatura e data: …

Papel (responsável pelo tratamento/subcontratante): …

2.

1.

Endereço: …

Nome, cargo e contactos da pessoa de contacto: …

Atividades pertinentes para os dados transferidos ao abrigo das presentes cláusulas: …

Assinatura e data: …

Papel (responsável pelo tratamento/subcontratante): …

2.

1.

Endereço: …

Nome, cargo e contactos da pessoa de contacto: …

Descrição do tratamento (incluindo uma delimitação clara de responsabilidades caso sejam autorizados vários subcontratantes ulteriores): …

2.