O seu novo fornecedor SaaS acabou de enviar um Acordo de Processamento de Dados. Ou talvez um cliente esteja a pedir-lhe para assinar um antes de partilhar dados dos clientes. De qualquer forma, alguém precisa de uma assinatura num DPA, e precisa rapidamente.
Não precisa de imprimir. Eis como assinar um DPA online mantendo-se em conformidade com o RGPD.
O que é um Acordo de Processamento de Dados?
Um DPA -- Data Processing Agreement, ou Acordo de Processamento de Dados -- é um contrato juridicamente vinculativo entre um responsável pelo tratamento e um subcontratante. Em português simples: é o acordo entre uma empresa que recolhe dados pessoais (o responsável) e qualquer terceiro que trata esses dados em seu nome (o subcontratante).
Ao abrigo do RGPD, um DPA é obrigatório. O Artigo 28 exige que sempre que dados pessoais sejam tratados por terceiros, deve existir um acordo escrito que cubra:
- Que dados são tratados
- Porquê são tratados (a finalidade)
- Durante quanto tempo durará o tratamento
- Que medidas de segurança estão implementadas
- O que acontece quando o contrato termina (eliminação ou devolução dos dados)
- Subcontratantes -- quaisquer terceiros adicionais envolvidos
Se é uma empresa que opera na UE, trabalha com clientes da UE ou trata dados de residentes da UE, precisa de DPAs com cada fornecedor e prestador de serviços que toca dados pessoais.
Porquê todas as empresas devem assinar DPAs
Não é opcional. Eis o que está em jogo:
Multas do RGPD. Não ter um DPA quando deveria pode resultar em multas até 10 milhões de euros ou 2% do volume de negócios global anual. Os reguladores já emitiram multas especificamente por DPAs em falta.
Requisitos de clientes. Cada vez mais, clientes empresariais não trabalham com fornecedores que não podem fornecer um DPA assinado.
Responsabilidade por violação de dados. Sem DPA, as linhas de responsabilidade durante uma violação de dados tornam-se confusas. Um DPA devidamente assinado clarifica quem é responsável por quê.
Confiança. Ter os DPAs em ordem sinaliza que leva a proteção de dados a sério.
Como assinar um DPA online com a CanUSign
A maioria dos DPAs chega como documentos PDF. Eis como assinar um eletronicamente em cerca de um minuto.
Passo 1: Leia o DPA cuidadosamente
Antes de assinar, leia o DPA. Preste atenção a:
- O âmbito do tratamento de dados -- descreve com precisão o que o subcontratante fará com os dados?
- Subcontratantes -- estão listados? Existe um processo de notificação para adicionar novos?
- Medidas de segurança -- são adequadas à sensibilidade dos dados?
- Prazos de notificação de violação -- o RGPD exige notificação em 72 horas
- Cláusulas de rescisão -- o que acontece aos dados quando a relação termina?
Passo 2: Carregue o DPA em PDF
Aceda a canusign.com/pt/create/upload e carregue o documento DPA.
Passo 3: Adicione assinaturas
Coloque a sua assinatura no campo apropriado. Se o DPA necessita de assinaturas de múltiplas partes, pode adicionar campos de assinatura para cada parte e partilhar o link de assinatura.
Passo 4: Envie para contra-assinatura
Partilhe o link do documento com a outra parte. Podem abri-lo no browser, rever o documento e adicionar a sua assinatura sem instalar nada.
Passo 5: Descarregue o DPA assinado
Assim que todas as partes tenham assinado, descarregue o PDF totalmente executado. Cada assinatura inclui carimbo de data e hora e registo de auditoria.
Custo total: €1 por documento. Sem subscrição.
Uma assinatura eletrónica é válida para um DPA?
Sim. O RGPD exige que os DPAs sejam "por escrito, incluindo em formato eletrónico" (Artigo 28(9)). As assinaturas eletrónicas são explicitamente válidas.
Ao abrigo do regulamento eIDAS, uma assinatura eletrónica simples (AES) é legalmente reconhecida e suficiente para DPAs. Não precisa de uma assinatura eletrónica qualificada (AEQ) a menos que circunstâncias específicas o exijam.
O requisito fundamental é que a assinatura demonstre clara intenção de assinar e que exista um registo fiável de quem assinou e quando. O registo de auditoria da CanUSign satisfaz este requisito.
Registo de auditoria: porquê importa para a conformidade
Quando uma autoridade de proteção de dados investiga, "nós assinámos" não basta. Precisa de provar.
Um registo de auditoria documenta:
- Quem assinou (nome, email)
- Quando assinou (data e hora exatas)
- De onde (endereço IP)
- O que assinou (o documento é bloqueado após assinatura)
Isto é particularmente valioso para DPAs porque os reguladores podem pedir-lhe para demonstrar que tinha um acordo válido antes do tratamento começar.
Assinatura de DPA com múltiplas partes
Os DPAs frequentemente envolvem mais de duas partes. Cenários comuns incluem:
- Responsável + Subcontratante -- a configuração padrão
- Responsável + Subcontratante + Sub-subcontratantes
- Múltiplos responsáveis -- acordos de corresponsabilidade ao abrigo do Artigo 26 do RGPD
Com a CanUSign, pode configurar campos de assinatura para cada parte.
Dicas para gerir os seus DPAs
Mantenha um registo. Mantenha uma folha de cálculo de todos os DPAs, com quem são, quando foram assinados e quando expiram.
Defina datas de revisão. Os DPAs devem ser revistos periodicamente.
Armazene cópias assinadas de forma segura.
Use um modelo padrão. Se é um subcontratante que assina DPAs com múltiplos clientes, ter um modelo padrão poupa tempo.
Perguntas frequentes
O RGPD exige um DPA assinado?
Sim. O Artigo 28 do RGPD exige um acordo escrito vinculativo entre responsáveis e subcontratantes.
Posso assinar um DPA no telemóvel?
Sim. A CanUSign funciona em qualquer browser móvel.
Quanto custa assinar um DPA online?
A CanUSign custa €1 por documento. Sem subscrição. Pague apenas quando precisar.
E se a outra parte não tiver CanUSign?
Não precisa. Quando partilha um link de assinatura, a outra parte abre-o no browser e assina.
Obtenha o seu DPA assinado hoje
Os acordos de processamento de dados não são negociáveis ao abrigo do RGPD. Não deixe que o processo de assinatura atrase a integração de fornecedores ou relações com clientes. Carregue o seu DPA na CanUSign, recolha todas as assinaturas digitalmente e mantenha um registo de auditoria pronto para o RGPD.
Um euro. Conformidade total. Sem impressora.