Acordo de Tratamento de Dados (AVV) — Versão para Portugal

1. Objeto e duração

(1) O subcontratante disponibiliza ao responsável pelo tratamento o software NymTime como Software-as-a-Service: escala, registo dos tempos de trabalho com o smartphone do trabalhador em etiquetas NFC (em alternativa, registo por localização com verificação geográfica sem NFC), verificação do local no momento do registo, registo dos intervalos de descanso segundo a regra escolhida pelo responsável pelo tratamento, ausências, indicações de disponibilidade, troca de turnos, comunicações da empresa (quadro de avisos), conta de horas, análise de horas, exportação para o processamento salarial e, opcionalmente, arquivo de documentos, incluindo a consulta pelo trabalhador em causa, documentos salariais, dados de volume de negócios por local e custos internos com pessoal. Para o efeito, trata dados pessoais por conta do responsável pelo tratamento.

(2) A duração do presente acordo rege-se pelo contrato de utilização (Condições Gerais, nymtime.com/agb). O acordo cessa com o contrato de utilização; o ponto 10 continua a aplicar-se para além dessa data, até que todos os dados tenham sido devolvidos ou eliminados.

(3) Os dados do responsável pelo tratamento são guardados exclusivamente em centros de dados situados na União Europeia. Durante a transmissão, passam pelo proxy inverso da Cloudflare; os e-mails e as notificações push são enviados através dos serviços indicados no anexo 2. O anexo 2 indica as transferências para países terceiros que assim ocorrem e o respetivo fundamento (artigo 45.º e artigo 46.º, n.º 2, alínea c), do RGPD).

(4) Se o cliente permitir, nos termos do § 12, n.º 5, das Condições Gerais, a utilização do NymTime por empresas com ele coligadas, o responsável pelo tratamento dos dados pessoais dos trabalhadores de um local é a empresa registada no Back Office como entidade empregadora desse local (anexo 4). O cliente celebra o presente acordo em nome próprio e, simultaneamente, em nome e com poderes de representação de cada empresa coligada indicada no anexo 4; cada uma dessas empresas é, assim, responsável pelo tratamento dos dados dos respetivos locais na aceção do presente acordo e do artigo 28.º do RGPD. O cliente garante que os poderes de representação lhe foram conferidos antes do registo e comprova-os perante o subcontratante, a pedido deste. As instruções (ponto 3), comunicações e notificações previstas no presente acordo são dadas e recebidas pelo cliente de forma agregada para todas as empresas coligadas; o cliente exerce em nome delas os direitos previstos no ponto 11, salvo se normas imperativas exigirem uma atuação direta de uma empresa coligada. Cada empresa coligada continua a ser responsável pela licitude do tratamento dos dados dos seus trabalhadores (artigo 5.º, n.º 2, e artigo 24.º do RGPD); aos dados de um local aplica-se a parte B do Estado em que este se situa. Relativamente aos locais sem empresa coligada registada, o responsável pelo tratamento é o cliente.

2. Natureza e finalidade do tratamento, categorias de dados e titulares dos dados

(1) A natureza e a finalidade do tratamento, as categorias de dados pessoais e as categorias de titulares dos dados estão descritas no anexo 1. Em resumo: gestão de dados de base, escala, registos dos tempos de trabalho segundo o direito do Estado do local, ausências, resultado da verificação do local no momento do registo, dados do dispositivo, comunicações dos trabalhadores e — na medida em que o responsável pelo tratamento os utilize — documentos e dados de custos com pessoal, em todos os casos para efeitos de planeamento da afetação do pessoal, de cumprimento das obrigações de registo previstas no direito do trabalho e de preparação do processamento salarial.

(2) Não são guardadas coordenadas GPS, trajetos nem perfis de movimento. O resultado da verificação do local só é registado no momento de um registo durante um turno, como «dentro», «fora» ou «local indisponível», com a data e hora e a precisão; não há determinação da localização em segundo plano. A verificação só é efetuada nos locais em que o direito do país do local a permita e em que o responsável pelo tratamento não a tenha desativado; o responsável pelo tratamento assegura que os passos exigidos por esse direito estão cumpridos antes da sua utilização (parte B).

(3) O motivo de ausência «Baixa médica» é registado sem diagnóstico e sem indicação da causa da doença. Para além disso, as categorias especiais de dados pessoais previstas no artigo 9.º do RGPD só são objeto de tratamento na medida em que o responsável pelo tratamento utilize a função «Atestado de baixa médica (atestado médico)»: o comprovativo do início e da duração previsível da incapacidade para o trabalho é um dado relativo à saúde. O responsável pelo tratamento só o pode arquivar na medida em que o possa exigir segundo o direito do Estado em que o trabalhador está empregado (a parte B indica as disposições aplicáveis); o fundamento jurídico é o artigo 9.º, n.º 2, alínea b), do RGPD, em conjugação com essas disposições e com o artigo 88.º do RGPD. O subcontratante limita o acesso a estes documentos às pessoas autorizadas para o efeito pelo responsável pelo tratamento e ao trabalhador em causa e não analisa o seu conteúdo. O responsável pelo tratamento assegura que não são arquivados diagnósticos nem outros dados relativos à saúde nos campos de texto livre nem noutros documentos.

(4) Além disso, o subcontratante trata por conta do responsável pelo tratamento: as indicações de disponibilidade dos trabalhadores (indicação voluntária para efeitos de planeamento; não constitui tempo de disponibilidade para o trabalho nem regime de prevenção na aceção do direito do tempo de trabalho, nem confere direito a remuneração), as propostas e aceitações na troca de turnos (os colegas do mesmo local e da mesma função veem o nome, a função ou o departamento e o horário do turno em causa — não veem dados de presença nem de desempenho), os dados de contacto que o próprio trabalhador disponibilize aos colegas (consentimento nos termos do artigo 6.º, n.º 1, alínea a), do RGPD, desativado por predefinição, podendo ser retirado a qualquer momento nos termos do artigo 7.º, n.º 3, do RGPD, com efeitos imediatos na aplicação), as confirmações de leitura das comunicações da empresa (quadro de avisos) e os intervalos de descanso e as pausas curtas registados, incluindo o alerta «Pausa não registada». O alerta destina-se exclusivamente à correção do registo dos tempos de trabalho e não constitui uma sanção nem uma avaliação do desempenho; a correção é efetuada, com fundamentação, por uma pessoa do responsável pelo tratamento.

(5) Os dados de volume de negócios por local que o responsável pelo tratamento introduz ou importa para efeitos de indicadores referem-se ao local e não a pessoas e não constituem, por si só, dados pessoais; só são analisados em conjunto com os custos com pessoal, que são acessíveis exclusivamente à Gerência do responsável pelo tratamento e aos gestores por ela autorizados para o efeito.

3. Instruções do responsável pelo tratamento (artigo 28.º, n.º 3, alínea a))

(1) O subcontratante trata os dados pessoais exclusivamente mediante instruções documentadas do responsável pelo tratamento, salvo se for obrigado a fazê-lo pelo direito da União ou da Áustria; nesse caso, informa o responsável pelo tratamento dessa obrigação antes do tratamento, salvo se o direito o proibir.

(2) As instruções são dadas através da configuração no Back Office — em especial locais e zona do local, funções e permissões, regra de pausas por local, prazo para as indicações de disponibilidade, obrigação de aprovação na troca de turnos, visibilidade dos documentos para os trabalhadores, prazos de conservação, ativação e desativação do NFC e da verificação do local no momento do registo por local, ativação do acesso do suporte (Definições → Subscrição → Acesso do suporte), exportação e eliminação — e por escrito para office@nymtime.com, bastando um e-mail (forma convencionada nos termos do § 886 do ABGB, Código Civil austríaco, Allgemeines Bürgerliches Gesetzbuch). O responsável pelo tratamento determina quais dos seus utilizadores podem dar instruções (função Gerência).

(3) Se o subcontratante considerar que uma instrução é inadmissível à luz da legislação de proteção de dados, informa sem demora o responsável pelo tratamento e pode suspender a sua execução até que a instrução seja confirmada ou alterada.

4. Confidencialidade (artigo 28.º, n.º 3, alínea b))

(1) O subcontratante assegura que todas as pessoas autorizadas a tratar os dados assumiram um compromisso de confidencialidade ou estão sujeitas a adequadas obrigações legais de confidencialidade e que essa obrigação se mantém após o termo da sua atividade.

(2) Em funcionamento normal, o subcontratante não acede aos conteúdos da conta de cliente. O acesso do suporte só é possível se o responsável pelo tratamento o ativar expressamente no Back Office — com âmbito, duração e possibilidade de revogação a qualquer momento. Cada acesso é registado no histórico de auditoria do responsável pelo tratamento, com a data e hora, a pessoa e a ação.

5. Segurança do tratamento (artigo 28.º, n.º 3, alínea c), artigo 32.º)

(1) O subcontratante adota as medidas técnicas e organizativas descritas no anexo 3 e mantém-nas durante toda a vigência do contrato. Verifica-as regularmente e adapta-as às técnicas mais avançadas.

(2) O subcontratante pode desenvolver as medidas e substituí-las por medidas equivalentes, desde que o nível de proteção não seja reduzido. As alterações substanciais são documentadas no anexo 3 e comunicadas ao responsável pelo tratamento no Back Office.

6. Subcontratantes ulteriores (artigo 28.º, n.os 2 e 4, e n.º 3, alínea d))

(1) O responsável pelo tratamento concede autorização geral para a contratação dos subcontratantes ulteriores («outro subcontratante» na aceção do artigo 28.º, n.os 2 e 4, do RGPD) indicados no anexo 2. Com cada subcontratante ulterior existe um contrato que lhe impõe as mesmas obrigações em matéria de proteção de dados que o presente acordo impõe ao subcontratante.

(2) Se o subcontratante pretender contratar ou substituir um subcontratante ulterior, informa o responsável pelo tratamento com, pelo menos, 30 dias de antecedência, por e-mail e no Back Office. O responsável pelo tratamento pode opor-se dentro desse prazo por motivo importante relacionado com a proteção de dados; se não for alcançado um acordo, qualquer das partes pode cancelar o contrato de utilização para o fim do mês em curso.

(3) Uma transferência de dados pessoais para um país terceiro fora do Espaço Económico Europeu só é efetuada se estiverem preenchidos os requisitos dos artigos 44.º a 49.º do RGPD (decisão de adequação ou cláusulas contratuais-tipo nos termos do artigo 46.º, n.º 2, alínea c), do RGPD). O subcontratante responde pelos subcontratantes ulteriores como por atos próprios.

7. Assistência no exercício dos direitos dos titulares dos dados (artigo 28.º, n.º 3, alínea e))

(1) O subcontratante presta assistência ao responsável pelo tratamento, através de medidas técnicas e organizativas adequadas, para responder, nos prazos legais, aos pedidos dos titulares dos dados de acesso, retificação, apagamento, limitação do tratamento, portabilidade dos dados e oposição (artigos 15.º a 22.º do RGPD).

(2) Para o efeito, o produto disponibiliza: consulta e exportação mensal dos próprios registos de tempos na aplicação do colaborador (artigos 15.º e 20.º do RGPD); exportação de todos os dados de um trabalhador a partir do Back Office; correções com registo no histórico; arquivamento, anonimização e eliminação segundo os prazos de conservação; na aplicação do colaborador, o pedido do trabalhador de eliminação da sua conta, que é reencaminhado para decisão do responsável pelo tratamento (os registos dos tempos de trabalho são conservados durante o período legal previsto na parte B).

(3) Se um titular dos dados dirigir um pedido diretamente ao subcontratante, este reencaminha-o sem demora para o responsável pelo tratamento e não lhe responde ele próprio, salvo se o responsável pelo tratamento lhe der instruções nesse sentido.

8. Notificação de violações de dados pessoais (artigo 28.º, n.º 3, alínea f), artigo 33.º)

(1) O subcontratante notifica o responsável pelo tratamento de qualquer violação de dados pessoais sem demora, o mais tardar 48 horas após ter tido conhecimento dela, por e-mail para o endereço da pessoa de contacto. A notificação contém as informações previstas no artigo 33.º, n.º 3, do RGPD: natureza da violação, categorias e número aproximado de titulares dos dados e de registos de dados afetados, consequências prováveis, medidas adotadas e propostas, bem como um ponto de contacto.

(2) O subcontratante presta assistência ao responsável pelo tratamento na notificação à autoridade de controlo no prazo de 72 horas (artigo 33.º) e na comunicação aos titulares dos dados (artigo 34.º) e documenta todas as violações, incluindo os respetivos efeitos e as medidas de reparação.

9. Avaliação de impacto sobre a proteção de dados e consulta prévia (artigo 28.º, n.º 3, alínea f), artigos 35.º e 36.º)

(1) O registo sistemático da presença dos trabalhadores pode tornar necessária uma avaliação de impacto sobre a proteção de dados nos termos do artigo 35.º, n.º 3, alínea a), do RGPD. Para o efeito, o subcontratante disponibiliza ao responsável pelo tratamento um modelo de avaliação de impacto sobre a proteção de dados para a NymTime e as informações técnicas sobre o produto e presta-lhe assistência numa eventual consulta prévia da autoridade de controlo (artigo 36.º).

(2) Incumbem ao responsável pelo tratamento a realização da avaliação de impacto sobre a proteção de dados para a sua própria utilização, o enquadramento sobre se o direito do respetivo país exige, para a verificação do local, uma convenção coletiva ou um acordo com a comissão de trabalhadores, uma consulta, uma informação ou um consentimento, bem como a sua celebração ou obtenção. O subcontratante disponibiliza para o efeito listas de verificação por país e modelos; estes não bloqueiam nenhuma função nem substituem aconselhamento jurídico.

10. Eliminação e devolução após a cessação do contrato (artigo 28.º, n.º 3, alínea g))

(1) Após a cessação do contrato de utilização, o responsável pelo tratamento pode exportar integralmente os seus dados a partir do Back Office durante 30 dias (Excel, CSV, documentos no formato original). Decorrido esse prazo, o subcontratante elimina todos os dados pessoais do responsável pelo tratamento, salvo se o direito da União ou o direito austríaco obrigar o próprio subcontratante à sua conservação; nesse caso, o tratamento fica limitado à conservação. As obrigações de conservação do responsável pelo tratamento (segundo o direito do Estado do local, parte B) continuam a ser obrigação sua (§ 14, n.º 3, das Condições Gerais); cumpre-as através da exportação atempada.

(2) A pedido, a eliminação é confirmada por escrito ao responsável pelo tratamento. As cópias de segurança são substituídas o mais tardar 35 dias após a eliminação dos dados primários.

(3) Durante a vigência do contrato, o responsável pelo tratamento pode arquivar, anonimizar ou eliminar trabalhadores individuais e fixar ele próprio os prazos de conservação por tipo de dados, dentro dos valores mínimos legais. Uma execução diária aplica os prazos e regista o número e o tipo de dados dos registos eliminados.

11. Comprovação e auditorias (artigo 28.º, n.º 3, alínea h))

(1) O subcontratante disponibiliza ao responsável pelo tratamento todas as informações necessárias para demonstrar o cumprimento das obrigações previstas no artigo 28.º do RGPD, em especial o presente acordo, os anexos, o registo das atividades de tratamento nos termos do artigo 30.º, n.º 2, do RGPD e os relatórios sobre a verificação das medidas técnicas e organizativas.

(2) O responsável pelo tratamento, ou um auditor por ele mandatado e sujeito a sigilo, pode verificar o cumprimento do presente acordo mediante aviso prévio razoável de, pelo menos, 14 dias, durante o horário normal de expediente, no máximo uma vez por ano civil, salvo se uma violação de dados pessoais ou uma ordem da autoridade de controlo exigir uma verificação adicional. O subcontratante colabora nas auditorias.

(3) O subcontratante informa sem demora o responsável pelo tratamento se considerar que uma instrução viola o RGPD ou outras disposições da União ou da Áustria em matéria de proteção de dados.

12. Responsabilidade e disposições finais

(1) A responsabilidade das partes rege-se pelo artigo 82.º do RGPD e, quanto ao resto, pelo § 15 das Condições Gerais. Nas relações entre as partes, cada uma responde pela violação das obrigações que lhe incumbem por força do presente acordo e do RGPD.

(2) É aplicável o direito austríaco, com exclusão das normas de conflitos do direito internacional privado. As partes acordam, nos termos do § 104 da JN (lei austríaca de organização judiciária e competência, Jurisdiktionsnorm) — e, no caso de responsáveis pelo tratamento com sede noutro Estado-Membro, também nos termos do artigo 25.º do Regulamento (UE) n.º 1215/2012 (Bruxelas I-A) —, a competência exclusiva do tribunal materialmente competente para Viena, Innere Stadt. As alterações e aditamentos ao presente acordo exigem forma escrita; as partes acordam para o efeito, nos termos do § 886 do ABGB, uma forma simplificada, bastando um e-mail para o endereço registado. O mesmo se aplica à supressão deste requisito.

(3) A confirmação eletrónica do presente acordo no ato de compra ou, se o subcontratante tiver criado a conta de cliente a pedido, no primeiro início de sessão da Gerência no Back Office — com a data e hora, a versão, a soma de verificação (SHA-256) do texto do documento confirmado, o endereço IP e o utilizador — é registada na conta de cliente e vale como celebração em formato eletrónico na aceção do artigo 28.º, n.º 9, do RGPD. Em caso de contradição entre o presente acordo e as Condições Gerais, prevalece o presente acordo em questões de proteção de dados.

Anexo 1 — Objeto do tratamento: categorias de dados, titulares dos dados, finalidades

Categorias de dados pessoais (para cada categoria: dados — finalidade — fundamento jurídico do responsável pelo tratamento):

• Dados de base: nome, endereço de e-mail, número de telefone, posto, função, afetação a locais, número de trabalhador, tipo de vínculo, data de admissão e de saída — gestão, escala, faturação — artigo 6.º, n.º 1, alíneas b) e c), do RGPD.
• Dados contratuais (acordo): tempo de trabalho contratual (horas por semana, por mês ou por ano), categoria de vínculo (tempo completo, tempo parcial, menores de 18 anos, aprendizagem, sazonal, outra), período de referência, convenção coletiva aplicável, direito a férias em dias, em todos os casos com início de vigência e histórico de versões — escala, conta de horas, saldo de férias, verificação dos limites do direito do tempo de trabalho — artigo 6.º, n.º 1, alíneas b) e c), do RGPD.
• Escala: turnos planeados, funções, necessidades mínimas de pessoal, turnos em aberto, momentos de publicação e de confirmação (quem publicou a escala e quando, quando o trabalhador a viu e a confirmou), alterações posteriores à publicação com fundamentação — planeamento da afetação do pessoal, comprovação da comunicação atempada — artigo 6.º, n.º 1, alíneas b) e c), do RGPD.
• Disponibilidades: indicação por dia ou meio-dia («disponível», «de preferência não», «indisponível»), momento da introdução — indicação voluntária para efeitos de planeamento; não constitui tempo de disponibilidade para o trabalho nem regime de prevenção na aceção do direito do tempo de trabalho — artigo 6.º, n.º 1, alínea b), do RGPD.
• Troca de turnos: proposta, respostas dos colegas do mesmo local e da mesma função (visíveis para estes: nome, função ou departamento, horário do turno), decisão da chefia, resultado da verificação dos limites do direito do tempo de trabalho — planeamento da afetação do pessoal — artigo 6.º, n.º 1, alínea b), do RGPD.
• Partilha de contactos (Contactos): indicação de se o trabalhador tornou o seu número de telefone e endereço de e-mail visíveis para os colegas do mesmo local, com a data e hora da concessão e de uma eventual retirada — contactabilidade na equipa — consentimento nos termos do artigo 6.º, n.º 1, alínea a), do RGPD, desativado por predefinição, podendo ser retirado a qualquer momento nos termos do artigo 7.º, n.º 3, do RGPD.
• Comunicações da empresa (quadro de avisos): texto, cartaz (imagem ou PDF, sem metadados de imagem), destinatários (locais, departamentos), validade, confirmação de leitura e de tomada de conhecimento por trabalhador com a data e hora — comprovação da tomada de conhecimento de informações da empresa — artigo 6.º, n.º 1, alíneas b) e f), do RGPD; não há controlo do desempenho.
• Registos dos tempos de trabalho: início e fim efetivos, intervalos de descanso (não remunerados; blocos de pausa planeados por turno, remunerados ou não remunerados, bem como uma pausa confirmada pelo responsável do local, com indicação de quem a confirmou) e pausas curtas, incluindo a indicação «Pausa não registada», método de registo de ponto (NFC ou registo por localização sem NFC), registo de desvios no horário contratual (dias confirmados «conforme previsto», horas efetivas em caso de desvio, comunicação do trabalhador e confirmação da chefia), conta de horas por período de apuramento (horas contratuais, horas creditadas, saldo, transporte e fecho do período), correções com fundamentação e autor — obrigação de registo segundo o direito do Estado do local (parte B) — artigo 6.º, n.º 1, alínea c), do RGPD.
• Ausências: tipo (férias, baixa médica, folga compensatória, assistência a familiar, feriado, licença especial, formação, não remunerada), período, estado, autor; na baixa médica, sem diagnóstico — escala, manutenção da retribuição — artigo 6.º, n.º 1, alíneas b) e c), do RGPD.
• Verificação do local no momento do registo: resultado «dentro», «fora» ou «local indisponível», com a data e hora e a precisão em metros; sem coordenadas, sem trajetos — plausibilidade do registo — segundo o direito do país do local (parte B); artigo 88.º do RGPD.
• Comprovativos da configuração (conformidade): indicações do responsável pelo tratamento sobre o país, a dimensão da empresa e a representação dos trabalhadores, acordos e atas carregados, data da avaliação de impacto sobre a proteção de dados, tomadas de conhecimento e consentimentos por trabalhador com a data e hora e a versão do documento, retiradas de consentimento — comprovação de que os passos exigidos pelo direito nacional foram cumpridos antes da utilização da função — artigo 6.º, n.º 1, alíneas c) e f), do RGPD e, quanto aos consentimentos, artigo 7.º do RGPD.
• Dados do dispositivo: identificador do dispositivo, chave pública, modelo e versão do sistema operativo, token push para notificações, estado (ativo, substituído, bloqueado), data e hora do registo — um dispositivo por pessoa, proteção contra falsificação — artigo 6.º, n.º 1, alínea f), do RGPD.
• Documentos (opcional): inscrição na segurança social, informação escrita sobre os elementos essenciais da relação de trabalho, contrato de trabalho, comprovativos com eventual data de validade, documentos pedidos pela empresa e carregados pelo trabalhador, recibos de vencimento e recibos anuais de vencimento, incluindo campos propostos automaticamente com nota de verificação, em todos os casos com a indicação de se o documento é visível na aplicação para o trabalhador em causa — processo individual, preparação do processamento salarial — artigo 6.º, n.º 1, alínea c), do RGPD, em conjugação com o direito do Estado do local (parte B); estes documentos podem conter números de identificação nacionais (por exemplo, o número de segurança social), que o responsável pelo tratamento só arquiva no âmbito do direito do seu Estado. Os documentos salariais só são visíveis para a Gerência, para as pessoas expressamente autorizadas pelo responsável pelo tratamento e para o trabalhador em causa; cada acesso é registado. Conservação: os documentos salariais segundo o tipo de dados «Documentos salariais» (prazo e respetivo início segundo a parte B), os restantes documentos segundo o tipo de dados «Documentos dos colaboradores».
• Atestado de baixa médica (atestado médico, opcional): início e duração previsível da incapacidade para o trabalho, sem diagnóstico — comprovação da baixa médica e manutenção da retribuição — dado relativo à saúde, artigo 9.º, n.º 2, alínea b), do RGPD, em conjugação com a disposição do Estado em que o trabalhador está empregado segundo a qual a entidade empregadora pode exigir o comprovativo (parte B). Se a incapacidade para o trabalho for comunicada por via eletrónica através de uma instituição de segurança social, o responsável pelo tratamento arquiva apenas a informação a que tem direito, sem diagnóstico; se um comprovativo contiver um código de diagnóstico, torna-o ilegível antes do carregamento. Acesso apenas para a Gerência, para as pessoas expressamente autorizadas para o efeito pelo responsável pelo tratamento e para o trabalhador em causa; cada acesso é registado. Conservação segundo o tipo de dados «Documentos dos colaboradores».
• Custos com pessoal (opcional, visíveis para a Gerência e para os gestores por ela autorizados («Custos com pessoal»)): remuneração bruta com histórico (montante, unidade, número de prestações salariais por ano, horas semanais, tipo de vínculo, taxa de encargos da entidade empregadora), suplementos, adiantamentos, ajustamentos com histórico — cálculo interno — artigo 6.º, n.º 1, alínea f), do RGPD.
• Dados de volume de negócios por local (opcional): volume de negócios diário e valor-objetivo — indicador de peso dos custos com pessoal — não são dados pessoais; só são analisados em conjunto com os custos com pessoal.
• Registos: histórico de auditoria (quem, o quê, quando, antes/depois), notificações — comprovação, segurança — artigo 5.º, n.º 2, e artigo 32.º do RGPD.
• Categorias de titulares dos dados: trabalhadores por conta de outrem, prestadores de serviços com contrato de prestação livre (freie Dienstnehmer), trabalhadores temporários, estagiários e aprendizes do responsável pelo tratamento. Os utilizadores do Back Office (Gerência, gestores, consultores fiscais) e a pessoa de contacto do responsável pelo tratamento não são objeto do presente acordo; quanto aos seus dados, o próprio subcontratante é responsável pelo tratamento (Política de Privacidade, secções 6 e 7).
• Finalidades: planeamento da afetação do pessoal; cumprimento da obrigação de registo dos tempos de trabalho, incluindo os intervalos de descanso, segundo o direito do Estado do local; plausibilidade do registo; gestão das ausências; organização das disponibilidades, da troca de turnos e das comunicações da empresa; arquivo e disponibilização de documentos do pessoal; preparação do processamento salarial; segurança e rastreabilidade do sistema.
• Conservação (alterável pelo responsável pelo tratamento dentro dos valores mínimos legais): os valores predefinidos e os valores mínimos para os registos dos tempos de trabalho, o histórico de auditoria, os documentos dos colaboradores (tipo de dados «employee_documents», incluindo os comprovativos carregados e os atestados de baixa médica), os documentos salariais, os custos com pessoal e os perfis de trabalhadores arquivados (seguidamente, anonimização) são indicados na parte B, segundo o direito do Estado do local; eventos brutos de presença, 3 meses, ou menos quando o direito do Estado o exija (parte B); notificações, 6 meses. As disponibilidades, as trocas de turnos e as confirmações de leitura são eliminadas juntamente com a escala ou a comunicação a que respeitam, o mais tardar após 12 meses.

Anexo 2 — Subcontratantes ulteriores autorizados

Situação em 28 de setembro de 2026. O subcontratante recorre aos seguintes subcontratantes ulteriores; a lista atualizada pode ser consultada a qualquer momento no Back Office, em Definições → Subscrição.

• Alojamento do serviço (servidores, base de dados, arquivo de ficheiros, cópias de segurança): Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Alemanha — centro de dados de Falkenstein (Alemanha, região fsn1), Object Storage na mesma região. Garantia: acordo de tratamento de dados nos termos do artigo 28.º do RGPD; nenhum tratamento fora da UE.
• Alojamento e disponibilização do sítio Web nymtime.com e reencaminhamento de todo o tráfego de dados para api.nymtime.com, app.nymtime.com e admin.nymtime.com (proxy inverso, cifragem do transporte, proteção contra ataques de sobrecarga): Cloudflare (Cloudflare Germany GmbH, Rosental 7, 80331 Munique / Cloudflare, Inc., São Francisco, EUA). A ligação TLS termina na Cloudflare; a Cloudflare trata assim, tecnicamente, todos os dados transmitidos, incluindo os dados dos trabalhadores, durante a transmissão, mas não guarda conteúdos do serviço — só são armazenados temporariamente os ficheiros estáticos e, além disso, registos de ligação para defesa contra ataques. Garantia: acordo de tratamento de dados nos termos do artigo 28.º do RGPD; transferência para os EUA com base na certificação ao abrigo do Quadro de Privacidade de Dados UE-EUA (EU-US Data Privacy Framework, artigo 45.º do RGPD) e das cláusulas contratuais-tipo (artigo 46.º, n.º 2, alínea c), do RGPD).
• Envio de e-mails (ligações de início de sessão e de convite, códigos de ativação da aplicação do colaborador, notificações, comunicações contratuais e de pagamento, faturas): Resend, Inc., São Francisco, EUA — envio através do Amazon Simple Email Service na região eu-west-1 (Irlanda). Dados tratados: endereço do destinatário, assunto, conteúdo e estado de entrega da mensagem. Garantia: Data Processing Addendum de 28.09.2026 (artigo 28.º do RGPD); transferência para os EUA com base no Quadro de Privacidade de Dados UE-EUA (artigo 45.º do RGPD) e nas cláusulas contratuais-tipo (artigo 46.º, n.º 2, alínea c), do RGPD).
• Notificações push para a aplicação do colaborador: Expo (650 Industries, Inc., EUA), entrega nos dispositivos através do Apple Push Notification service (Apple Inc.) ou do Firebase Cloud Messaging (Google). Dados tratados: token push do dispositivo, identificador e tipo da notificação, um texto genérico sem conteúdo pessoal. Garantia: acordo de tratamento de dados nos termos do artigo 28.º do RGPD; transferência para os EUA com base no Quadro de Privacidade de Dados UE-EUA (artigo 45.º do RGPD) e nas cláusulas contratuais-tipo (artigo 46.º, n.º 2, alínea c), do RGPD).
• Reconhecimento automático de campos em documentos (apenas se o responsável pelo tratamento ativar esta função): prestador com tratamento na UE, sem utilização dos dados para fins de treino — será aqui acrescentado antes da ativação da função; até lá, a função está desativada.
• Pesquisa de endereços no Back Office (sugestões ao introduzir o endereço de um local): Komoot GmbH, Hauptstraße 35, 12159 Berlim, Alemanha (serviço Photon, servidores na UE; base de dados OpenStreetMap, ODbL 1.0). É transmitido exclusivamente o texto do endereço introduzido; o pedido é feito pelo nosso servidor, não pelo navegador. Não são transmitidos dados dos trabalhadores. Em alternativa, em caso de falha: Nominatim da OpenStreetMap Foundation, St John’s Innovation Centre, Cowley Road, Cambridge CB4 0WS, Reino Unido — não é possível celebrar um acordo de tratamento de dados com a fundação; o serviço recebe apenas o texto do endereço e só é consultado como via alternativa. A Komoot não oferece um acordo de tratamento de dados para o serviço público Photon; apenas é transmitido o texto introduzido do endereço do estabelecimento, nenhum dado de trabalhadores.

Para que a informação fique completa — responsáveis pelo tratamento autónomos, que não são subcontratantes ulteriores: Comissão Europeia, Rue de la Loi 200, 1049 Bruxelas, Bélgica (confirmação do número de identificação para efeitos de IVA (número UID) do responsável pelo tratamento no sistema de intercâmbio de informações sobre o IVA VIES; são transmitidos apenas o código do país e o número UID, fundamento jurídico: artigo 6.º, n.º 1, alínea c), do RGPD, em conjugação com o § 11, n.º 1a, da UStG 1994 (lei austríaca do IVA, Umsatzsteuergesetz); sem dados dos trabalhadores), Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin 2, Irlanda (processamento de pagamentos, faturação e gestão da subscrição do responsável pelo tratamento enquanto cliente; transferências para a Stripe, Inc. (EUA) ao abrigo do Quadro de Privacidade de Dados UE-EUA e de cláusulas contratuais-tipo) e Österreichische Post AG, Rochusplatz 1, 1030 Viena, ou um serviço de estafeta (entrega das etiquetas NFC no endereço comercial ou de entrega; recebe exclusivamente dados de expedição: empresa, pessoa de contacto, endereço e, eventualmente, número de telefone). Nenhum destes destinatários trata dados dos trabalhadores do responsável pelo tratamento.

Anexo 3 — Medidas técnicas e organizativas (artigo 32.º do RGPD)

O subcontratante aplica, em especial, as seguintes medidas:

• Controlo de entrada e de acesso: funcionamento do serviço exclusivamente em centros de dados na UE; o controlo físico da entrada e a certificação ISO 27001 são requisitos impostos ao prestador de alojamento do serviço (Hetzner Online GmbH, anexo 2); acesso administrativo apenas através de contas pessoais com chaves SSH e autenticação de dois fatores para a consola de administração, igualmente como requisito imposto ao prestador de alojamento; nenhuma conta partilhada.
• Controlo de acesso no produto: sistema de permissões baseado em funções e direitos (Gerência, gestor, trabalhador, outras funções com permissões individuais), limitação dos gestores aos locais que lhes estão atribuídos; dados de custos com pessoal apenas para a Gerência; atestados de baixa médica e documentos salariais apenas para a Gerência, para as pessoas expressamente autorizadas pelo responsável pelo tratamento e para o trabalhador em causa, sendo registado cada acesso a esses documentos; início de sessão no Back Office através de logins pessoais, com o endereço de e-mail como identificador de utilizador e uma palavra-passe guardada exclusivamente como valor de hash com sal aleatório (scrypt) — definição da palavra-passe através de uma ligação única (válida durante 24 horas), reposição através de uma ligação única (válida durante 1 hora), confirmação de um novo endereço de e-mail com um código enviado para o novo endereço, bloqueio durante 15 minutos após 10 tentativas falhadas, termo de todas as sessões existentes em cada alteração da palavra-passe, cookie de sessão que expira após 14 dias, autenticação de dois fatores opcional (aplicação TOTP, que o responsável pelo tratamento pode tornar obrigatória para toda a empresa, códigos de recuperação apenas como valor de hash, segredo TOTP guardado cifrado); ativação da aplicação do colaborador por código único enviado para o endereço de e-mail registado (validade limitada, no máximo 5 tentativas, pedidos limitados por endereço e por endereço IP); os acessos são registados.
• Associação ao dispositivo: exatamente um dispositivo ativo por trabalhador; par de chaves criptográficas no armazenamento seguro do dispositivo; cada registo de ponto é assinado pelo dispositivo; um novo dispositivo só é associado após a confirmação de um código enviado por e-mail e a comprovação da presença no local (etiqueta NFC ou verificação do local) — o dispositivo anterior é então bloqueado automaticamente, a empresa é notificada e a mudança é registada; a empresa pode bloquear um dispositivo a qualquer momento.
• Etiquetas NFC: NXP NTAG 424 DNA, configuradas para uma mensagem dinâmica e criptograficamente assinada em cada toque (Secure Unique NFC) com verificação do contador — concebidas para impedir a cópia e a reprodução; a chave do chip não é revelada nem ao telemóvel nem aos utilizadores; o código QR na placa do local conduz apenas à página de transferência da aplicação do colaborador e não constitui um método de registo de ponto; registo por localização sem NFC apenas dentro da zona do local.
• Minimização dos dados: não são guardadas coordenadas nem trajetos; no registo de ponto não há fotografias — as imagens só entram no sistema como documentos carregados pelo próprio trabalhador (por exemplo, um atestado de baixa médica); quanto à localização, apenas o resultado da verificação no momento do registo («dentro», «fora», «local indisponível», data e hora, precisão); não há determinação da localização em segundo plano; verificação apenas durante o turno e apenas nos locais em que o direito do país a permita e em que o responsável pelo tratamento não a tenha desativado; os eventos brutos são eliminados após 3 meses, ou antes, quando o direito do país o exija; notificações push sem conteúdo pessoal.
• Cifragem: transmissão exclusivamente através de TLS 1.2 ou superior (até ao proxy inverso da Cloudflare e, a partir daí, novamente cifrada até aos servidores do serviço); a base de dados encontra-se em volumes cifrados com LUKS (dm-crypt, AES-XTS) no prestador de alojamento; a aplicação cifra os documentos com AES-256-GCM antes de os guardar no Object Storage, encontrando-se as chaves apenas nos servidores da aplicação; o pgBackRest cifra as cópias de segurança da base de dados com AES-256 antes de as guardar no Object Storage; chaves e credenciais de acesso fora do código-fonte; palavras-passe e códigos de início de sessão apenas como valor de hash com sal aleatório.
• Integridade e rastreabilidade: histórico de auditoria inalterável (acréscimo permitido; alteração e eliminação impedidas por regra da base de dados) para todas as ações relevantes em matéria de segurança; apenas eliminação lógica (soft delete) com carimbo temporal; correções dos tempos de trabalho com fundamentação, autor e valor anterior.
• Registos dos servidores: os registos dos servidores da aplicação (interface, servidor Web) contêm endereços IP, mas não contêm conteúdos de documentos nem dados salariais; são rodados em função do tamanho (no máximo cinco ficheiros de 10 MB cada por serviço) e eliminados o mais tardar após 30 dias.
• Disponibilidade: dois servidores de base de dados com replicação contínua; cópias de segurança diárias (semanalmente completas, diariamente diferenciais e, além disso, arquivo contínuo dos registos de transações) com conservação até 35 dias, cifradas no Object Storage do prestador de alojamento na UE; teste automático mensal de recuperação; monitorização com alertas; armazenamento temporário dos registos de ponto no dispositivo em caso de perda de ligação.
• Separação: separação lógica dos dados dos clientes através de uma chave de organização em cada consulta; ambientes separados para desenvolvimento, teste e produção; nenhuns dados de produção em ambientes de teste ou de desenvolvimento.
• Conservação e eliminação: prazos configuráveis por tipo de dados, com valores mínimos legais obrigatórios; execução diária automatizada de eliminação e anonimização, com registo; devolução e eliminação nos termos do ponto 10.
• Acesso do suporte: nenhum acesso do subcontratante aos dados dos clientes em funcionamento normal; acesso apenas após ativação pelo responsável pelo tratamento, com âmbito, duração e possibilidade de revogação a qualquer momento; cada acesso é registado.
• Organização: compromisso de confidencialidade de todos os intervenientes; processo documentado para violações de dados pessoais, com notificação no prazo de 48 horas; registo das atividades de tratamento nos termos do artigo 30.º, n.º 2, do RGPD; revisão anual destas medidas; atualizações de segurança num prazo razoável; princípios da proteção de dados desde a conceção e por defeito (artigo 25.º do RGPD) no processo de desenvolvimento.

Anexo 4 — Empresas coligadas como responsáveis pelo tratamento (ponto 1, n.º 4)

O anexo 4 é a lista das empresas coligadas em nome das quais o cliente celebra o presente acordo nos termos do ponto 1, n.º 4: firma, Estado, endereço, número de identificação para efeitos de IVA (número UID) (se indicado) e os locais de que a empresa é a entidade empregadora. O cliente mantém a lista no Back Office; a versão em vigor está ali disponível a qualquer momento, e qualquer alteração da lista é considerada uma instrução documentada na aceção do ponto 3. Enquanto não estiver registada nenhuma empresa coligada, o cliente é o responsável pelo tratamento relativamente a todos os locais.

B1. Fundamentos jurídicos no contexto laboral

(1) Ao tratamento no contexto laboral aplicam-se o artigo 88.º do RGPD, o artigo 28.º da Lei n.º 58/2019, de 8 de agosto, que assegura a execução do RGPD na ordem jurídica nacional, e os artigos 20.º a 22.º do Código do Trabalho relativos aos meios de vigilância a distância.

(2) A verificação do local no momento do registo (ponto 2, n.º 2, e anexo 1 da parte A) não é efetuada nos locais situados em Portugal (Deliberação n.º 7680/2014 da Comissão Nacional de Proteção de Dados); nesses locais, o subcontratante não trata resultados de qualquer verificação do local.

B2. Registos dos tempos de trabalho

Os registos dos tempos de trabalho (ponto 2, n.º 1, e anexo 1 da parte A) destinam-se ao registo dos tempos de trabalho previsto no artigo 202.º do Código do Trabalho; o fundamento jurídico é o artigo 6.º, n.º 1, alínea c), do RGPD, em conjugação com esse artigo. O registo deve poder ser consultado de imediato no local de trabalho; o responsável pelo tratamento assegura-o através da consulta no Back Office e da exportação. O subcontratante não transmite dados a autoridades.

B3. Comprovativo de doença e documentos

(1) O responsável pelo tratamento só arquiva um comprovativo de ausência por doença (função «Atestado de baixa médica», anexo 1 da parte A) na medida em que o possa exigir nos termos do artigo 254.º do Código do Trabalho, e sempre sem diagnóstico; o fundamento jurídico é o artigo 9.º, n.º 2, alínea b), do RGPD, em conjugação com esse artigo e com o artigo 88.º do RGPD.

(2) Entre os documentos do anexo 1 da parte A incluem-se em Portugal, em especial, o contrato de trabalho, a informação escrita sobre aspetos relevantes do contrato de trabalho (artigo 106.º do Código do Trabalho), os recibos de vencimento (artigo 276.º do Código do Trabalho) e a inscrição na segurança social; o fundamento jurídico é o artigo 6.º, n.º 1, alínea c), do RGPD, em conjugação com essas disposições. O responsável pelo tratamento só arquiva o número de identificação da segurança social (NISS) e o número de identificação fiscal (NIF) no âmbito dessas disposições.

B4. Conservação

Valores predefinidos para os locais situados em Portugal, alteráveis pelo responsável pelo tratamento dentro dos valores mínimos: registos dos tempos de trabalho, 60 meses (mínimo de 60 meses; cinco anos para o registo dos tempos de trabalho, artigo 202.º, n.º 4, do Código do Trabalho); eventos brutos de presença, 3 meses; histórico de auditoria, 84 meses (mínimo de 24 meses); documentos dos colaboradores (tipo de dados «employee_documents»), 84 meses; documentos salariais, 120 meses (mínimo de 120 meses); custos com pessoal, 84 meses; notificações, 6 meses; perfis de trabalhadores arquivados, 84 meses, seguidos de anonimização. As obrigações legais de conservação continuam a ser obrigações próprias do responsável pelo tratamento (ponto 10, n.º 1, da parte A). O prazo dos documentos salariais conta-se a partir do fim do ano civil a que o processamento salarial respeita (para recibos de vencimento carregados, a partir do fim do ano do carregamento).

B5. Autoridade de controlo

A autoridade de controlo competente para o responsável pelo tratamento é a Comissão Nacional de Proteção de Dados (CNPD), Av. D. Carlos I, 134 – 1.º, 1200-651 Lisboa, www.cnpd.pt. Para o subcontratante é competente a autoridade austríaca de proteção de dados (Österreichische Datenschutzbehörde), Barichgasse 40–42, 1030 Viena, www.dsb.gv.at.