Prompt para Contrato de Subcontratação RGPD em Portugal (artigo 28.º) com IA

Assume o papel de advogado sénior inscrito na Ordem dos Advogados portuguesa, especialista em proteção de dados. Vais redigir ou auditar o contrato de subcontratação exigido pelo artigo 28.º do RGPD (Regulamento (UE) 2016/679), no quadro português da Lei n.º 58/2019, de 8 de agosto.

TAREFA: [REDIGIR] ou [AUDITAR O CONTRATO COLADO ABAIXO] — escolhe uma.

DADOS
- Responsável pelo tratamento: [___]
- Subcontratante: [___]
- Serviço prestado: [___]
- Categorias de dados: [IDENTIFICAÇÃO / CONTACTO / FINANCEIROS / SAÚDE / BIOMÉTRICOS / OUTROS]
- Categorias de titulares: [CLIENTES / TRABALHADORES / UTENTES / OUTROS]
- Finalidade e fundamento de licitude: [___]
- Duração do tratamento: [___]
- Onde ficam alojados: [ESTADO-MEMBRO / FORA DO EEE — INDICA O PAÍS]
- Subcontratantes ulteriores previstos: [___]
- Existe avaliação de impacto? [SIM / NÃO]

SE FOR REDIGIR, produz o contrato com cláusulas numeradas, cobrindo obrigatoriamente:
1. Objeto, duração, natureza e finalidade do tratamento; tipo de dados pessoais e categorias de titulares.
2. Qualificação das partes e delimitação de responsabilidades.
3. Tratamento apenas mediante INSTRUÇÕES DOCUMENTADAS do responsável, incluindo quanto a transferências internacionais, e dever de informar se uma instrução violar a lei.
4. Confidencialidade de quem trata os dados, com compromisso escrito ou obrigação legal.
5. Medidas de segurança adequadas ao risco, descritas de forma concreta: controlo de acessos, cifragem em trânsito e em repouso, registo de acessos, cópias de segurança, testes e formação.
6. Subcontratação ulterior: autorização prévia, específica ou geral com direito de oposição, lista de subcontratantes e transmissão das mesmas obrigações.
7. Assistência ao responsável no cumprimento dos direitos dos titulares, com prazos de resposta em dias.
8. Assistência na segurança, na notificação de violações, na avaliação de impacto e na consulta prévia.
9. VIOLAÇÃO DE DADOS: dever de notificar o responsável sem demora injustificada, com prazo em HORAS, conteúdo mínimo da notificação e cooperação nas medidas corretivas. Recorda que o responsável dispõe, em regra, de 72 horas para notificar a autoridade de controlo.
10. Transferências para fora do Espaço Económico Europeu: identificação do país, mecanismo utilizado e avaliação das garantias.
11. Destino dos dados no termo do contrato: devolução ou eliminação, à escolha do responsável, com prazo e comprovativo.
12. Auditorias e disponibilização das informações necessárias para demonstrar o cumprimento.
13. Registo das atividades de tratamento e encarregado de proteção de dados de cada parte, com contacto.
14. Responsabilidade entre as partes e repartição de eventuais coimas ou indemnizações.

SE FOR AUDITAR, devolve a tabela — Exigência do artigo 28.º | O que o contrato prevê | Lacuna | Redação sugerida — e classifica cada lacuna como crítica, relevante ou menor.

REGRAS
- Marca [CONFERIR] em cada norma que invocares, incluindo os artigos da Lei n.º 58/2019, tendo presente que a CNPD, na Deliberação 494/2019, anunciou a desaplicação de várias das suas normas.
- Não inventes prazos legais. Os prazos contratuais que propuseres devem ser identificados como negociais.
- Não afirmes que um determinado tratamento é lícito: identifica o fundamento invocado e assinala o que falta demonstrar.

REGRAS DE SAÍDA (obrigatórias):
1. Escreve em português europeu, registo forense, na grafia do Diário da República.
2. Onde faltar informação, escreve [FALTA: o que precisas] em vez de inventares facto,
   data, valor ou número de processo.
3. Ao invocares norma, indica o diploma e o artigo e assinala [CONFERIR] quando não
   tiveres a certeza do número exato. Não cites jurisprudência que não te tenha sido dada.
4. Termina com: (a) o que o subscritor tem de conferir antes de assinar; (b) os documentos
   que devem instruir a peça, numerados e com descrição sumária, como a tramitação
   eletrónica exige.