Contrato de Processamento de Dados RemoteGymp

Versão:2026-08-28

Data de entrada em vigor:28 de agosto de 2026

O presente Contrato de Processamento de Dados ("DPA") faz parte dos Termos de Serviço RemoteGymp, de um formulário de encomenda ou de outro contrato para os Serviços (o "Acordo") entre o cliente ("Cliente") eRemoteGymp Ltd, empresa número NI742463, do B1 Portview Trade Centre, BT4 1HE, Reino Unido ("RemoteGymp").

1. Âmbito e funções

1.1 Este DPA aplica-se quando o RemoteGymp processa Dados Pessoais em nome do Cliente na prestação dos Serviços. O Cliente é o Controlador e RemoteGymp é o Processador, exceto quando a lei aplicável atribua funções diferentes.

1.2 O Cliente instrui a RemoteGymp a processar os Dados Pessoais conforme necessário para fornecer, proteger e suportar os Serviços, cumprir o Contrato e as instruções legais documentadas do Cliente e conforme descrito no Anexo 1.

1.3 O Cliente é responsável pela legalidade, justiça e transparência do tratamento; a exatidão e minimização dos Dados Pessoais; todos os avisos, consentimentos e outras bases legais necessárias; e a legalidade das suas instruções e acesso remoto.

1.4 Quando o Cliente implementa os Serviços no seu próprio ambiente, o Cliente determina sozinho os meios e as finalidades do processamento nesse ambiente e o RemoteGymp não é um Processador de Dados Pessoais aí mantidos. O RemoteGymp atua como Processador apenas em relação aos dados de licenciamento e de titularidade transmitidos para o RemoteGymp. As secções 6, 7 e 8 aplicam-se apenas aos processos de dados RemoteGymp.

1,5Lei de Proteção de Dados Aplicávelsignifica todas as leis relacionadas com a proteção de dados, a privacidade e o tratamento de Dados Pessoais aplicáveis ao tratamento de uma parte ao abrigo do presente DPA, incluindo (a) o RGPD do Reino Unido e a Lei de Proteção de Dados de 2018; (b) Regulamento (UE) 2016/679 e legislação de execução dos Estados-Membros; (c) a Lei Federal Suíça sobre a Proteção de Dados; e (d) as Leis de Privacidade do Estado dos EUA identificadas no Anexo 3.

Controlador, Processador, Titular dos dados, Dados Pessoais, Violação de dados pessoaiseprocessamentotêm os significados atribuídos no Regulamento (UE) 2016/679, e os termos equivalentes ao abrigo de qualquer outra Lei de Proteção de Dados Aplicável serão interpretados em conformidade.

2. Obrigações do processador

RemoteGymp irá:

• processar Dados Pessoais apenas com base em instruções documentadas, incluindo para transferências internacionais,

a menos que seja exigido por lei, caso em que notificará o Cliente antes do processamento, a menos que seja legalmente proibido;

• informar imediatamente o Cliente se, na opinião de RemoteGymp, uma instrução violar o aplicável

lei de proteção de dados;

• garantir que o pessoal autorizado está vinculado à confidencialidade;
• implementar e manter as medidas adequadas ao risco, conforme descrito no Anexo 2;
• tendo em conta a natureza do tratamento, ajudar razoavelmente o Cliente com o titular dos dados

pedidos, segurança, notificações de violação, avaliações de impacto na proteção de dados e deveres de consulta prévia;

• notificar o Cliente sem demora injustificada após ter tido conhecimento de uma violação de dados pessoais que afete

Dados Pessoais do Cliente e fornecer informações disponíveis razoavelmente necessárias para as obrigações do Cliente; e

• disponibilizar informações razoavelmente necessárias para demonstrar a conformidade com o presente DPA.

A assistência RemoteGymp pode ser cobrada a taxas razoáveis ​​quando o pedido for extraordinariamente oneroso ou surgir de atos ou instruções do Cliente, a menos que a assistência seja necessária devido à violação de RemoteGymp.

3. Subprocessadores

3.1 O Cliente concede à RemoteGymp uma autorização geral por escrito para utilizar subprocessadores para prestar os Serviços. O RemoteGymp imporá obrigações de proteção de dados a cada subcontratante através de um contrato escrito que não seja menos protetor do que os presentes neste DPA, e continuará totalmente responsável perante o Cliente pelo desempenho das obrigações de proteção de dados de cada subcontratante.

3.2 RemoteGymp dará ao contacto da conta pelo menos 30 dias#039; aviso prévio por e-mail de um novo subprocessador pretendido que irá processar os Dados Pessoais do Cliente.

3.3 O Cliente poderá contestar por motivos razoáveis ​​de proteção de dados no prazo de 30 dias após a notificação. As partes trabalharão de boa fé para encontrar uma solução razoável. Se nenhum estiver disponível, o Cliente poderá rescindir o Serviço afetado antes de o novo subcontratante iniciar o processamento; esta é a única solução do Cliente para a objeção, sem afetar os direitos obrigatórios.

4. Transferências internacionais

RemoteGymp não efetuará uma transferência restrita de Dados Pessoais do Cliente, a menos que utilize um mecanismo de transferência legal reconhecido pela Lei de Proteção de Dados Aplicável. As partes cooperarão razoavelmente na documentação de transferência necessária e nas medidas suplementares.

5.º Pedidos do titular dos dados

Se o RemoteGymp receber um pedido relacionado com os Dados Pessoais do Cliente, não responderá em nome do Cliente, a menos que seja autorizado ou legalmente exigido. Sempre que possível, a RemoteGymp encaminhará o pedido para o Cliente. O Cliente é responsável por responder e a RemoteGymp prestará assistência razoável e adequada à natureza do processamento.

6. Segurança e violações

6.1 RemoteGymp avaliará os riscos de processamento e manterá as medidas técnicas e organizacionais adequadas. O Cliente reconhece que a segurança muda ao longo do tempo e que o Anexo 2 descreve categorias de controlos em vez de uma garantia contra todos os incidentes.

6.2 Uma notificação de violação não é uma admissão de culpa ou responsabilidade. O Cliente é responsável pelas notificações a indivíduos e reguladores, a menos que a lei exija expressamente que a RemoteGymp os notifique diretamente.

7.º Devolução e exclusão

No final dos Serviços afetados, e à escolha do Cliente, quando tecnicamente disponível, a RemoteGymp devolverá ou delete os Dados Pessoais do Cliente e cópias existentes, a menos que a lei exija a retenção. Os dados em cópias de segurança protegidas podem permanecer até serem substituídos durante o ciclo normal de cópia de segurança e permanecerão protegidos e indisponíveis para utilização normal. O cliente deve exportar os dados necessários antes do fim do acesso à conta.

8. Auditoria

8.1 RemoteGymp atenderá primeiro aos pedidos de auditoria utilizando relatórios, certificações, políticas, questionários independentes atuais ou outras provas relevantes, quando disponíveis.

8.2 Se esta evidência for insuficiente, o Cliente poderá realizar uma auditoria em qualquer período de 12 meses e auditorias adicionais após uma violação de dados pessoais relevante ou um pedido do regulador. As auditorias requerem um aviso prévio razoável, devem ocorrer durante o horário de expediente, devem minimizar as interrupções e os riscos, devem proteger outros clientes e informações confidenciais e não podem incluir testes de vulnerabilidade ou penetração sem acordo escrito.

8.3 O Cliente suporta custos razoáveis ​​de auditoria, a menos que a auditoria identifique uma violação material por parte da RemoteGymp.

9. Responsabilidade e prioridade

As exclusões e limitações de responsabilidade no Contrato aplicam-se a este DPA em toda a extensão permitida por lei. Se este DPA entrar em conflito com o Contrato sobre o tratamento de Dados Pessoais, este DPA controlará esse conflito.

10.º Prazo

Este DPA começa quando o Cliente aceita o Contrato ou as partes o celebram e continua enquanto a RemoteGymp processa os Dados Pessoais do Cliente. A lei aplicável e a jurisdição são as previstas no Contrato.

Anexo 1 — Detalhes de processamento

Assunto e duração:Fornecimento, segurança, manutenção e suporte dos Serviços durante a vigência do Contrato e pelo período limitado de eliminação, cópia de segurança e retenção legal posterior.

Natureza e finalidade:Recolha, gravação, organização, transmissão, alojamento, recuperação, consulta, resolução de problemas, proteção, eliminação e outros processamentos necessários para suporte remoto, administração de conta e instruções documentadas do Cliente.

Titulares dos dados:Utilizadores, administradores, técnicos, funcionários, contratados, clientes, utilizadores finais, utilizadores de dispositivos do cliente, contactos de suporte e outras pessoas cujos dados o Cliente disponibiliza.

Dados Pessoais:Nomes, nomes de utilizador, dados de contacto comercial, identificadores, detalhes IP e dispositivos, dados de autenticação e permissão, metadados de auditoria e de sessão, informações de suporte, conteúdo de ecrã, nomes de ficheiros, ficheiros, comandos, saída de terminal e outros conteúdos selecionados pelo Cliente.

Dados de categoria especial e de alto risco:Os Serviços não foram concebidos para exigir dados de categorias especiais ou de crimes, mas estes dados podem aparecer incidentalmente num dispositivo acedido remotamente, em conteúdos selecionados pelo Cliente ou em descrições de texto livre introduzidas por uma pessoa que solicite apoio. O Cliente deverá minimizá-lo e dispor de todas as condições legais e salvaguardas adicionais necessárias ao seu processamento.

Frequência:Conforme iniciado pelo Cliente e pelos seus utilizadores autorizados, com segurança de suporte contínuo e processamento operacional quando necessário.

Anexo 2 — Medidas de segurança

As medidas RemoteGymp # 039;, adequadas à implantação e risco relevantes, incluem:

• controlos de acesso lógico, contas exclusivas, permissões baseadas em funções e privilégios mínimos;
• proteções de autenticação e autenticação multifator quando suportadas;
• encriptação das comunicações suportadas em trânsito e proteção adequada de segredos;
• segregação entre clientes e acesso administrativo controlado;
• registo de segurança, operacional e de aceitação com restrições de acesso;
• desenvolvimento seguro, controlo de alterações, revisão de dependências, correção e tratamento de vulnerabilidades;
• arranjos de monitorização de disponibilidade, cópia de segurança e recuperação apropriados para componentes alojados;
• malware, abuso, proteções de rede e infraestrutura;
• deteção de incidentes, escalonamento, resposta e revisão pós-incidente;
• confidencialidade do pessoal, revisão do acesso e sensibilização para a segurança;
• due diligence e contratos para subprocessadores; e
• revisão periódica e melhoria dos controlos à luz do risco e da tecnologia.

O Cliente continua responsável pela segurança dos seus endpoints, redes, ambiente auto-hospedado, credenciais, permissões de utilizador, backups e configuração.

Anexo 3 — Leis de Privacidade do Estado dos EUA

1. Âmbito.Este Anexo aplica-se quando RemoteGymp processa Informações Pessoais sujeitas às Leis de Privacidade do Estado dos EUA e prevalece sobre o corpo deste DPA para esse processamento.

2.º Funções.O cliente é uma empresa ou um controlador; RemoteGymp é um fornecedor de serviços ou processador.

3.º Restrições.RemoteGymp não deverá: (a) vender ou partilhar Informação Pessoal; (b) reter, utilizar ou divulgar Informações Pessoais para qualquer outra finalidade que não seja a execução dos Serviços especificados no Contrato, ou conforme permitido de outra forma pela CCPA; (c) reter, utilizar ou divulgar Informações Pessoais fora da relação comercial direta entre as partes; ou (d) combinar Informações Pessoais com informações recebidas de outra fonte, exceto conforme permitido pela CCPA.

4. Certificação.RemoteGymp certifica que compreende as restrições do n.º 3 e que as cumprirá.

5.º Assistência.RemoteGymp ajudará o Cliente a responder aos pedidos de direitos do consumidor e, quando necessário, honrará os sinais de preferência de exclusão, incluindo o Controlo de Privacidade Global.

6.º Aviso.RemoteGymp notificará o Cliente se determinar que já não pode cumprir as suas obrigações ao abrigo das Leis de Privacidade do Estado dos EUA.