Contrato de subcontratação.

Artigo 1.º

Objeto, natureza e duração.

O que tratamos, para quê e até quando.

• Objeto. Fornecimento de um serviço de conformidade com o combate ao branqueamento de capitais e ao financiamento do terrorismo: constituição e conservação de processos de vigilância, triagem contra as listas oficiais, preparação de comunicações de operação suspeita.
• Natureza das operações. Recolha, registo, organização, conservação, consulta, extração, cifragem, apagamento.
• Categorias de pessoas. Clientes e potenciais clientes do gabinete, os seus beneficiários efetivos, as suas contrapartes e os colaboradores do gabinete que utilizam o serviço.
• Categorias de dados. Dados de identificação, documentos comprovativos, elementos de apreciação do risco e — quando existe uma comunicação — o respetivo conteúdo, cuja confidencialidade é protegida pelo artigo L.561-18 do code monétaire et financier.
• Duração. A da assinatura, prolongada pelos prazos legais de conservação que parametrizar, nomeadamente os cinco anos do artigo L.561-12.

Artigo 2.º

As nossas obrigações.

• Instruções documentadas. Só tratamos os seus dados mediante as suas instruções, materializadas pela utilização que faz do serviço e pelo presente acordo. Se uma instrução nos parecer contrária ao regulamento, informamo-lo disso.
• Confidencialidade. As pessoas autorizadas a aceder aos dados estão vinculadas a um compromisso de confidencialidade. No serviço, o acesso às comunicações de operação suspeita é ainda restringido às pessoas que designar para esse efeito.
• Assistência. Prestamos-lhe assistência para responder aos pedidos de exercício de direitos, para as suas avaliações de impacto e em caso de violação de dados — que lhe notificamos sem demora injustificada.
• Registo. Mantemos o registo das categorias de tratamentos efetuados por sua conta, previsto no artigo 30.º, n.º 2.

Artigo 3.º

Subcontratantes ulteriores.

Autoriza o recurso aos subcontratantes indicados abaixo. Qualquer acréscimo é-lhe assinalado antes da entrada em serviço, o que lhe deixa a faculdade de se opor.

A lista atualizada, com os dados em causa e as garantias aplicáveis, consta da página subcontratantes.

Artigo 4.º

Segurança.

As medidas abaixo são as que estão efetivamente implementadas, não uma lista de intenções.

• Cifragem dos dados em repouso (AES-256-GCM) e em trânsito (TLS).
• Compartimentação dos dados por gabinete, aplicada ao nível da base de dados e não apenas pelo código aplicacional.
• Registo dos acessos e registo de integridade encadeado em cada processo, verificável independentemente do serviço.
• Segundo fator de autenticação disponível para cada conta e exigível para todo um gabinete.
• Cópias de segurança cifradas e restauro testado.

Artigo 5.º

Destino dos dados no fim do contrato.

No termo da prestação, escolhe entre a devolução e o apagamento. A devolução é feita num formato utilizável, acompanhada dos elementos de prova que permitem verificar a respetiva integridade. O apagamento abrange as cópias, incluindo as de segurança, num prazo que lhe indicamos.

Uma reserva, e é importante: os dados que tem de conservar ao abrigo de uma obrigação legal — nomeadamente os cinco anos do artigo L.561-12 — não são apagados enquanto essa obrigação vigorar. É o seu dispositivo de conformidade que manda, não o fim da assinatura.

Artigo 6.º

Auditoria.

Pode solicitar a demonstração do cumprimento destas obrigações. Disponibilizamos a documentação técnica do serviço e respondemos aos questionários de verificação. Uma auditoria nas instalações pode ser acordada, a suas expensas, mediante pré-aviso razoável e sem comprometer a confidencialidade dos dados dos outros gabinetes.