1. INTRODUÇÃO

A Newspring Services, S.A. (doravante designada abreviadamente por "Newspring") na sua organização interna e no desenvolvimento da sua atividade comercial mantém e gere bases de dados que contêm informações pessoais quer dos seus trabalhadores, dos seus fornecedores, dos seus clientes e ainda de clientes dos seus clientes.

A 25 de maio de 2018, passou a ser aplicável em toda a União Europeia o Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho de 27 de Abril de 2016 (adiante referido apenas por "RGPD"), criando e reforçando uma série de obrigações em matéria de proteção e tratamento de dados pessoais.

Salvo exceções, os dados pessoais tratados pela Newspring resultam das relações contratuais estabelecidas com todas as pessoas e entidades que consigo se relacionam: trabalhadores; clientes; e fornecedores.

Este documento, denominado Política de Proteção de Dados Pessoais (adiante referido apenas por "Política"), pretende dar a conhecer a todos os interessados, com particular enfoque nos trabalhadores da Newspring, bem como aos clientes da Newspring, as regras relativas à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados, e instituir mecanismos e procedimentos na organização interna da Newspring de modo a garantir que os dados pessoais por si geridos enquanto responsável pelo tratamento ou subcontratante, ou ainda por entidade por si subcontratada, asseguram todos os mecanismos de proteção que a legislação reconhece aos titulares desses dados.

A Política foi elaborada de acordo com as disposições do RGPD, tal como complementado por legislação nacional ou europeia, por interpretações e linhas de orientação emitidas por autoridades europeias e nacionais.

A Política aplica-se ao tratamento de dados pessoais efetuado pela Newspring por meios total ou parcialmente automatizados bem como ao tratamento por meios não automatizados de dados pessoais.

2. CONCEITOS RELEVANTES

Para melhor compreensão da Política, elencam-se abaixo alguns dos conceitos que se consideram mais relevantes nos termos do RGPD:

a. Dados pessoais – informação relativa a uma pessoa singular identificada ou identificável («titular dos dados»); é considerada identificável uma pessoa singular que possa ser identificada, direta ou indiretamente, em especial por referência a um identificador, como por exemplo um nome, um número de identificação, dados de localização, identificadores por via eletrónica ou a um ou mais elementos específicos da identidade física, fisiológica, genética, mental, económica, cultural ou social dessa pessoa singular;

b. Tratamento – uma operação ou um conjunto de operações efetuadas sobre dados pessoais ou sobre conjuntos de dados pessoais, por meios automatizados ou não automatizados, tais como a recolha, o registo, a organização, a estruturação, a conservação, a adaptação ou alteração, a recuperação, a consulta, a utilização, a divulgação por transmissão, difusão ou qualquer outra forma de disponibilização, a comparação ou interconexão, a limitação, o apagamento ou a destruição;

c. Pseudonimização – o tratamento de dados pessoais de forma que deixem de poder ser atribuídos a um titular de dados específico sem recorrer a informações suplementares, desde que essas informações suplementares sejam mantidas separadamente e sujeitas a medidas técnicas e organizativas para assegurar que os dados pessoais não possam ser atribuídos a uma pessoa singular identificada ou identificável;

d. Responsável pelo tratamento – a pessoa singular ou coletiva, a autoridade pública, a agência ou outro organismo que, individualmente ou em conjunto com outras, determina as finalidades e os meios de tratamento de dados pessoais; sempre que as finalidades e os meios desse tratamento sejam determinados pelo direito da União ou de um Estado-Membro, o responsável pelo tratamento ou os critérios específicos aplicáveis à sua nomeação podem ser previstos pelo direito da União ou de um Estado-Membro;

e. Subcontratante – uma pessoa singular ou coletiva, a autoridade pública, agência ou outro organismo que trate os dados pessoais por conta do responsável pelo tratamento destes;

f. Terceiro – a pessoa singular ou coletiva, a autoridade pública, o serviço ou organismo que não seja o titular dos dados, o responsável pelo tratamento, o subcontratante e as pessoas que, sob a autoridade direta do responsável pelo tratamento ou do subcontratante, estão autorizadas a tratar os dados pessoais;

g. Consentimento – uma manifestação de vontade, livre, específica, informada e explícita, pela qual o titular dos dados aceita, mediante declaração ou ato positivo inequívoco, que os dados pessoais que lhe dizem respeito sejam objeto de tratamento;

h. Violação de dados pessoais – uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso, não autorizados, a dados pessoais transmitidos, conservados ou sujeitos a qualquer outro tipo de tratamento;

i. Encarregado da proteção de dados – é a pessoa singular/coletiva que poderá ter que ser designada obrigatoriamente por uma empresa nos termos do RGPD e que tem como principal função assegurar o cumprimento de todas as normas relacionadas com proteção de dados pessoais dentro de uma organização, servindo como ponto de contacto interno e externo para tal efeito.

3. O TRATAMENTO DE DADOS PESSOAIS

3.1. O tratamento de dados pessoais deverá respeitar uma série de princípios, sob pena de incumprimento do RGPD e demais legislação aplicável, com consequências negativas para a Newspring.

3.2. Assim, elencam-se abaixo os princípios relativos ao tratamento de dados pessoais que devem ser seguidos por todos os trabalhadores da Newspring quando estejam envolvidos em operações que impliquem o tratamento de dados pessoais:

• Tratamento lícito, leal e transparente em relação ao titular dos dados;

• Recolhidos para finalidades determinadas, explícitas e legítimas e não podendo ser tratados posteriormente de uma forma incompatível com essas finalidades;

• Adequados, pertinentes e limitados ao que é necessário relativamente às finalidades para as quais são tratados («minimização dos dados»);

• Exatos e atualizados sempre que necessário; devem ser adotadas todas as medidas adequadas para que os dados inexatos, tendo em conta as finalidades para que são tratados, sejam apagados ou retificados sem demora («exatidão»);

• Conservados de uma forma que permita a identificação dos titulares dos dados apenas durante o período necessário para as finalidades para as quais são tratados;

• Tratados de uma forma que garanta a sua segurança, incluindo a proteção contra o seu tratamento não autorizado ou ilícito e contra a sua perda, destruição ou danificação acidental, adotando as medidas técnicas ou organizativas adequadas («integridade e confidencialidade»);

• Em caso de transferência de dados pessoais e/ou dos respetivos suportes, assegurar que são tomadas todas as medidas de segurança necessárias, adequadas e proporcionais, de forma a garantir a inviolabilidade da mesma, nomeadamente no que se refere à exposição a terceiros.

3.3. Adicionalmente aos princípios elencados, os trabalhadores da Newspring ficam expressamente obrigados a manter confidencial e a não revelar, por qualquer forma ou meio, a nenhuma outra pessoa, em público ou em privado ou através discussão nos meios de comunicação, qualquer informação comercial ou dados pessoais de que tenham tido ou venham a ter conhecimento relativamente a qualquer documentação ou informação, técnica ou comercial, funcionamento interno, gestão, organização, procedimentos, atividade, composição e identificação de carteira de clientes, ou outro inerente à atividade e trabalhos desenvolvidos pela Newspring ou ainda sobre quaisquer dados dos clientes da Newspring sobre os quais tome conhecimento, esteja ou não no exercício das suas funções.

3.4. O trabalhador não pode copiar, reproduzir, modificar, distribuir ou fazer qualquer tipo de cedência, gratuita ou onerosa, de qualquer informação comercial ou dados pessoais, exceto no que se mostre necessário e adequado no exercício das suas funções na Newspring.

3.5. O acesso, uso ou divulgação indevida e não autorizada de informação comercial ou dados pessoais consubstanciará uma infração disciplinar grave, que, consoante o grau de culpa do trabalhador e o prejuízo que a infração represente para a Newspring, poderá culminar no seu despedimento com justa causa, mesmo quando inexistam antecedentes disciplinares.

3.6. Sem prejuízo da responsabilidade disciplinar aplicável, a violação do disposto na Política poderá cumulativamente gerar contra o trabalhador responsabilidade civil e criminal.

4. DIREITOS DOS TITULARES DOS DADOS

4.1. A Newspring tem estabelecidos procedimentos internos que visam assegurar a proteção dos direitos dos titulares dos dados pessoais de forma a garantir os princípios elencados na lei e acima identificados.

4.2. Retificação – Ao titular dos dados pessoais é assegurado o direito de obter, sem demora injustificada, da Newspring, a retificação dos dados pessoais inexatos que lhe digam respeito. Tendo em conta as finalidades do tratamento, o titular dos dados tem direito a que os seus dados pessoais incompletos sejam completados, nomeadamente por meio de uma declaração adicional.

4.3. Apagamento – É igualmente atribuído ao titular dos dados o direito de solicitar à Newspring, o apagamento dos seus dados pessoais, e a Newspring tem a obrigação de apagar os dados pessoais, sem demora injustificada, quando se aplique um dos motivos indicados no RGPD.

4.4. Acesso – O titular dos dados tem o direito de obter da Newspring a confirmação de que os dados pessoais que lhe digam respeito são ou não objeto de tratamento e, se for esse o caso, o direito de aceder aos seus dados pessoais e às seguintes informações:

• As finalidades do tratamento dos dados;

• As categorias dos dados pessoais em questão;

• Os destinatários ou categorias de destinatários a quem os dados pessoais foram ou serão divulgados, nomeadamente os destinatários estabelecidos em países terceiros ou pertencentes a organizações internacionais;

• Se for possível, o prazo previsto de conservação dos dados pessoais, ou, se não for possível, os critérios usados para fixar esse prazo;

• A existência do direito de solicitar ao responsável pelo tratamento a retificação, o apagamento ou a limitação do tratamento dos dados pessoais no que diz respeito ao titular dos dados, ou do direito de se opor a esse tratamento;

• O direito de apresentar reclamação a uma autoridade de controlo;

• Se os dados não tiverem sido recolhidos junto do titular, as informações disponíveis sobre a origem desses dados;

• A existência de decisões automatizadas, incluindo a definição de perfis.

4.5. Reclamação – O titular dos dados pessoais tem o direito de apresentar reclamação a uma autoridade de controlo.

4.6. Limitação – O titular dos dados pessoais tem o direito de obter da Newspring a limitação do tratamento dos seus dados, se se aplicar uma das seguintes situações:

• Quando conteste a exatidão dos dados pessoais e durante o período em que a Newspring verifica a sua exatidão;

• Quando o tratamento for ilícito e o titular dos dados se opuser ao apagamento dos dados pessoais e solicitar, em contrapartida, a limitação da sua utilização;

• Quando a Newspring já não necessitar dos dados pessoais para fins de tratamento, mas esses dados sejam requeridos pelo titular para efeitos de declaração, exercício ou defesa de um direito num processo judicial;

• Se tiver oposto ao tratamento nos termos do RGPD, até se verificar que os motivos legítimos da Newspring prevalecem sobre os do titular dos dados.

4.7. Portabilidade – O titular dos dados tem o direito de receber os dados pessoais que lhe digam respeito e que tenha fornecido à Newspring, num formato estruturado, de uso corrente e de leitura automática, e o direito de transmitir esses dados a outro responsável pelo tratamento sem que a Newspring o possa impedir, se:

• O tratamento se basear no consentimento dado nos termos do artigo 6º, nº 1, alínea a), ou do artigo 9º, nº 2, alínea a), ou num contrato referido no artigo 6º, nº 1, alínea b), todos do RGPD; e

• O tratamento for realizado por meios automatizados.

4.8. Oposição – O titular dos dados tem o direito de se opor a qualquer momento, por motivos relacionados com a sua situação particular, ao tratamento dos dados pessoais que lhe digam respeito. Neste caso, a Newspring cessará o tratamento dos dados pessoais, a não ser que apresente razões imperiosas e legítimas para esse tratamento que prevaleçam sobre os interesses, direitos e liberdades do titular dos dados, ou para efeitos de declaração, exercício ou defesa de um direito num processo judicial.

5. GESTÃO DOS DADOS PESSOAIS DOS TRABALHADORES DA NEWSPRING

5.1. Os dados pessoais dos trabalhadores serão tratados de acordo com a legislação europeia e nacional nesta matéria e, bem assim, nos termos desta Política e do Anexo I ao Contrato de Trabalho.

5.2. Os dados pessoais dos trabalhadores da Newspring são tratados para as diligências pré-contratuais (processo de admissão), para a execução do contrato de trabalho, para o controlo de acessos às instalações onde a Newspring desenvolve a sua atividade e para o cumprimento de obrigações legais em matéria laboral e resultantes do contrato de trabalho.

5.3. A Newspring pode ceder esses dados a terceiros, nos termos indicados no ponto 6 desta Política.

5.4. Os trabalhadores dispõem, igualmente, e com as devidas adaptações e limitações, dos direitos indicados no ponto 4 desta Política.

6. CESSÃO DE DADOS A TERCEIROS

6.1. A Newspring apenas irá ceder os dados pessoais a terceiros nos seguintes casos:

a. recurso a terceiros para a prestação de determinados serviços que impliquem o acesso por essas entidades a dados pessoais, caso em que tais terceiros tratarão os dados exclusivamente para as finalidades estabelecidas pela Newspring e de acordo com as instruções por si emitidas;

b. no cumprimento de uma obrigação contratual, em particular, nos casos em que atua como subcontratante dos seus clientes e em que a cessão dos dados se afigura como essencial para cumprimento da obrigação contratual consubstanciada na prestação de serviços ao cliente, caso em que assegurará que a cessão não compromete a confidencialidade dos dados e cumprirá com os requisitos do RGPD;

c. no cumprimento de uma obrigação legal, caso em que assegurará que a cessão não compromete a confidencialidade dos dados e cumprirá com os requisitos do RGPD; e com o consentimento do titular dos dados.

6.2. Em caso de exigência de dados pessoais por auditores ou autoridades externas, o seu fornecimento será limitado ao estritamente necessário para que essas entidades possam executar adequadamente as tarefas e funções que por via da lei ou de contrato lhes estão cometidas.

7. SUBCONTRATANTES

7.1. Caso a Newspring recorra no âmbito da sua atividade comercial, a qualquer terceiro que, nos termos do RGPD, seja considerando como subcontratante, compromete-se a recorrer apenas a entidades que apresentem garantias suficientes de execução de medidas técnicas e organizativas adequadas de uma forma que o tratamento satisfaça os requisitos do RGPD e assegure a defesa dos direitos do titular dos dados.

7.2. Adicionalmente, a Newspring compromete-se a celebrar com os subcontratantes um contrato que estipule, nomeadamente, que o subcontratante:

a. Trata os dados pessoais apenas mediante instruções documentadas do responsável pelo tratamento, incluindo no que respeita às transferências de dados para países terceiros ou organizações internacionais, a menos que seja obrigado a fazê-lo pelo direito da União ou do Estado-Membro a que está sujeito, informando nesse caso o responsável pelo tratamento desse requisito jurídico antes do tratamento, salvo se a lei proibir tal informação por motivos importantes de interesse público;

b. Assegura que as pessoas autorizadas a tratar os dados pessoais assumiram um compromisso de confidencialidade ou estão sujeitas a adequadas obrigações legais de confidencialidade;

c. Adota todas as medidas exigidas nos termos do artigo 32.º do RGPD;

d. Só contrata outro subcontratante com a autorização prévia e por escrito da Newspring;

e. Toma em conta a natureza do tratamento, e na medida do possível, presta assistência à Newspring através de medidas técnicas e organizativas adequadas, para permitir que esta cumpra a sua obrigação de dar resposta aos pedidos dos titulares dos dados tendo em vista o exercício dos seus direitos;

f. Presta assistência à Newspring em caso de violação de dados pessoais;

g. Apaga ou devolve-lhe todos os dados pessoais depois de concluída a prestação de serviços relacionados com o tratamento, apagando as cópias existentes, a menos que a conservação dos dados seja exigida ao abrigo do direito da União ou dos Estados-Membros;

h. Disponibiliza à Newspring todas as informações necessárias para demonstrar o cumprimento das suas obrigações e facilita e contribui para as auditorias, inclusive as inspeções, conduzidas pela Newspring ou por outro auditor por esta mandatado.

8. SEGURANÇA DA INFORMAÇÃO

8.1. Tendo em conta as técnicas mais avançadas, os custos de aplicação e a natureza, o âmbito, o contexto e as finalidades do tratamento, bem como os riscos, de probabilidade e gravidade variável, para os direitos e liberdades das pessoas singulares, a Newspring aplicou as medidas técnicas e organizativas adequadas para assegurar um nível de segurança adequado ao risco, garantindo a segurança dos dados pessoais por si tratados.

8.2. A Newspring implementou internamente um procedimento de gestão e comunicação de violações de dados pessoais que deverá ser integralmente cumprido por todos os trabalhadores.