RGPD - Respostas a questões frequentes

A sigla «RGPD» refere-se a «Regulamento Geral sobre a Proteção de Dados».

Depende diretamente do Regulamento n.º 2016/679 do Parlamento e do Conselho da União Europeia de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados, e que revoga a Diretiva 95/46/CE.

Há vários textos que regulam a proteção dos dados pessoais, de alcance geral ou mais específico:

• No plano internacional: a Convenção n.º 108, para a proteção das pessoas relativamente ao tratamento automatizado dos dados pessoais, é um tratado vinculativo aberto a todos os países.
• No plano europeu: o Regulamento 2016/679, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação de tais dados (RGPD), bem como a Diretiva 2016/680, relativa à proteção de pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para fins de prevenção e deteção de infrações penais, de investigações e de procedimentos judiciais nesta área ou de aplicação de sanções penais.
• No plano nacional: muitos países adotaram regulamentações nacionais relativas à proteção dos dados pessoais. É, por exemplo, o caso de todos os Estados-membros da União Europeia.

O conceito de «dados pessoais» é definido no artigo 4.º do RGPD como «qualquer informação relativa a uma pessoa singular identificada ou identificável [...] direta ou indiretamente».

Por outras palavras, um dado pessoal é um dado ou um conjunto de dados que permitem identificar um indivíduo por qualquer meio.

Um dado é considerado indiretamente identificativo quando a sua simples leitura não permite, à primeira vista, identificar um indivíduo, mas quando investigações complementares podem permitir essa identificação. É o caso típico de um endereço de e-mail.

Sim, de certa forma. Uma das obrigações de um responsável de tratamento é a seleção de subcontratantes que apresentem garantias suficientes para assegurar que os dados pessoais são tratados em conformidade com os regulamentos.
Ou seja, as garantias oferecidas pela OVHcloud na sua qualidade de subcontratante permitem que o cliente respeite uma parte das suas próprias obrigações. Estas garantias incluem as medidas de segurança implementadas por nós, os compromissos feitos em matéria de localização do tratamento dos dados do cliente, etc.

No entanto, as obrigações de um responsável pelo tratamento não se limitam à seleção de um prestador de serviços que cumpra todos os requisitos. Elas vão muito além do perímetro de intervenção da OVHcloud enquanto subcontratante de TI. Portanto, na sua qualidade de responsável pelo tratamento de dados, o cliente não pode alegar estar em total conformidade com o RGPD se se limitar à seleção de um subcontratante. Também deve cumprir as obrigações que lhe incumbem: respeitar o direito dos indivíduos ou realizar análises do impacto sobre a privacidade, por exemplo.

Enquanto prestador de serviços cloud, a OVHcloud posiciona-se como uma empresa subcontratada. Para este efeito, a OVHcloud assume os seguintes compromissos:

1. Não reutilizar os dados armazenados nos nossos serviços: A OVHcloud compromete-se a tratar os dados pessoais do cliente unicamente para os fins da boa execução dos serviços e unicamente segundo as suas instruções.
2. Permitir a reversibilidade dos seus dados: todas as nossas soluções cloud assentam em padrões, entre os quais um certo número de tecnologias open-source. Portanto, os nossos clientes podem recuperar facilmente os seus dados: a reversibilidade e a interoperabilidade são sempre possíveis.
3. Indicar precisamente ao cliente onde são armazenados e tratados os seus dados.
4. Garantir ao cliente uma transparência total em matéria de recurso a subcontratantes.
5. Notificá-lo em caso de violação dos seus dados.
6. Produzir uma documentação completa dos nossos vários serviços: A OVHcloud compromete-se a transmitir todos os documentos pertinentes, como a descrição das medidas de segurança aplicadas aos serviços, um atestado de localização do armazenamento dos dados, etc.
7. Garantir contratualmente os nossos compromissos: os compromissos da OVHcloud não são promessas vãs. Encontram-se integrados contratualmente no nosso Data Processing Agreement (DPA). Este documento assume a forma de um anexo aos nossos contratos. Todos os clientes podem ter acesso a ele, bastando para isso solicitá-lo.

Quando os nossos clientes escolhem um serviço que permite armazenar conteúdos e, especialmente, dados pessoais, é indicada no nosso site a localização ou a zona geográfica dos datacenters disponíveis. Se estiverem disponíveis várias localizações ou zonas geográficas, os nossos clientes poderão escolher a que preferem no momento da realização do pedido.

O «armazenamento de dados» não é, no entanto, sinónimo de «tratamento de dados». De facto, o RGPD fixa regras aplicáveis em matéria de «tratamento» e não de mero «armazenamento». Por isso, é necessário ter especial cuidado ao utilizar estes dois termos.

Quando os nossos clientes escolhem uma zona de armazenamento situada na União Europeia, a OVHcloud garante que não tratará as informações fora da União Europeia ou fora de qualquer país reconhecido pela Comissão Europeia como dispondo de um nível de proteção de dados pessoais suficiente (relativamente à proteção da vida privada, das liberdades e direitos fundamentais das pessoas, bem como quanto ao exercício dos direitos correspondentes [decisão de adequação]). Além disso, comprometemo-nos a nunca tratar os seus dados nos Estados Unidos.

A OVHcloud compromete-se a tratar os dados pessoais do cliente exclusivamente para os fins da boa execução dos serviços e unicamente segundo as suas instruções.

Os dados armazenados pelo cliente no âmbito dos nossos serviços permanecem propriedade do cliente.

Não nos autorizamos a revenda dos ditos dados, assim como qualquer utilização para fins comerciais (como atividades de análise de perfil ou de marketing direto).

Para que os compromissos da OVHcloud lhe permitam cumprir parte das suas obrigações, estes devem estar estipulados num contrato ou em qualquer outro ato jurídico que nos vincule perante si.

A OVHcloud assegura esta oponibilidade de duas formas:

• As Condições Gerais de Serviço que regulam a utilização dos serviços da OVHcloud incluem cláusulas relativas à proteção de dados pessoais;
• O Data Processing Agreement (DPA) é inteiramente dedicado às garantias oferecidas pela OVHcloud no que respeita ao tratamento de dados pessoais.