Lista de Subprocessadores

1. Enquadramento e Objeto da Lista de Subprocessadores

A presente lista identifica os fornecedores e serviços relevantes para o tratamento de dados pessoais no âmbito da atividade da WebDig Host, de João Manuel da Silva Costa.

O seu objetivo é proporcionar aos clientes informação clara sobre:

• A identidade dos fornecedores envolvidos na prestação dos serviços;
• As funções desempenhadas por cada entidade;
• As categorias de dados pessoais que podem ser tratadas;
• Os países ou regiões associados à prestação dos serviços;
• As possíveis transferências internacionais de dados;
• As garantias de proteção de dados exigíveis em função de cada relação contratual.

A lista deve ser interpretada em conjunto com o Acordo de Tratamento de Dados (DPA), a Política de Privacidade e os Termos e Condições aplicáveis.

Nem todos os fornecedores indicados intervêm em todos os serviços. A sua utilização depende das características do serviço contratado, da localização da infraestrutura e das funcionalidades utilizadas.

2. Conceito de Subprocessador e Base Legal

Nos termos do artigo 28.º do RGPD, um subprocessador é uma entidade contratada por um subcontratante para realizar, em seu nome, operações de tratamento de dados pessoais por conta de um responsável pelo tratamento.

Quando a WebDig Host atua como subcontratante dos seus clientes, a contratação de outros subcontratantes para tratar esses dados está sujeita às condições previstas no RGPD e no Acordo de Tratamento de Dados.

Em particular, devem ser observados os requisitos de autorização, informação sobre alterações e imposição de obrigações contratuais adequadas.

2.1. Qualificação dos intervenientes

Importa distinguir três situações:

• Subprocessadores: entidades externas que tratam dados pessoais por conta dos clientes através da WebDig Host, quando esta atua como subcontratante.
• Prestadores que atuam como responsáveis autónomos: entidades que determinam as finalidades e os meios de determinadas operações de tratamento, nos termos da legislação aplicável.
• Ferramentas e aplicações auto-hospedadas: programas utilizados nos sistemas administrados pela WebDig Host que não constituem, por si só, entidades terceiras.

Uma mesma entidade pode desempenhar funções jurídicas distintas consoante o serviço e a operação de tratamento.

2.2. Obrigações contratuais

Os contratos com subprocessadores devem estabelecer obrigações adequadas de confidencialidade, segurança, assistência, tratamento de incidentes, utilização de outros subprocessadores e destino dos dados após a cessação da prestação dos serviços, nos termos do artigo 28.º do RGPD.

3. Princípios de Seleção e Controlo de Subprocessadores

A WebDig Host procura selecionar fornecedores e subprocessadores com base em critérios de segurança, fiabilidade técnica, continuidade operacional e proteção de dados.

Os principais critérios considerados incluem:

• Necessidade e proporcionalidade: utilização de serviços externos de acordo com as necessidades operacionais e contratuais.
• Avaliação de riscos: consideração dos riscos associados ao tipo de serviço, aos dados tratados e às dependências tecnológicas.
• Segurança da informação: avaliação das medidas técnicas e organizativas relevantes para o serviço.
• Localização do tratamento: preferência por infraestruturas situadas no Espaço Económico Europeu (EEE), sempre que adequado e viável.
• Minimização de dados: limitação dos dados partilhados ao necessário para as finalidades aplicáveis.
• Garantias contratuais: verificação dos compromissos de proteção de dados exigíveis em função da relação estabelecida.
• Acompanhamento: revisão das relações com fornecedores quando ocorram alterações relevantes, incidentes ou riscos conhecidos.

A WebDig Host poderá solicitar informações adicionais ou adotar medidas corretivas quando identifique riscos relevantes relacionados com fornecedores que tratem dados pessoais.

4. Categorias de Fornecedores e Subprocessadores

Os fornecedores e serviços utilizados pela WebDig Host podem enquadrar-se nas seguintes categorias:

• Infraestrutura de servidores e centros de dados: alojamento de servidores virtuais, dedicados e componentes de infraestrutura.
• DNS, CDN e segurança: resolução de nomes, distribuição de conteúdos, proteção de tráfego e serviços relacionados.
• Correio eletrónico: serviços de encaminhamento, filtragem, análise de reputação, proteção contra mensagens abusivas e envio de newsletters.
• Registo e gestão de domínios: intermediários de registo e entidades responsáveis por operações associadas aos domínios.
• Faturação e pagamentos: emissão de documentos fiscais e processamento de transações.
• Monitorização e suporte: serviços de disponibilidade, diagnóstico, administração e assistência técnica.
• Serviços especializados: outros fornecedores utilizados em situações específicas, de acordo com os serviços contratados.

As categorias acima identificam funções técnicas ou comerciais e não determinam, isoladamente, a qualidade jurídica dos fornecedores para efeitos do RGPD.

5. Lista Detalhada de Fornecedores e Subprocessadores

As tabelas seguintes identificam os fornecedores e serviços comunicados pela WebDig Host, com indicação da respetiva função e das categorias de dados potencialmente envolvidas.

5.1. Infraestrutura de Servidores e Centros de Dados

5.2. DNS, CDN e Segurança de Perímetro

A WebDig Host utiliza serviços próprios e fornecedores externos para assegurar a resolução de nomes de domínio, a distribuição de conteúdos, a disponibilidade dos serviços e a proteção das comunicações.

Os serviços DNS podem tratar registos de zonas, nomes de domínio, endereços IP e informações técnicas relacionadas com consultas e operações de administração. Quando são utilizadas funcionalidades de CDN, proxy ou segurança de tráfego, podem também ser processados dados associados aos pedidos dos visitantes.

cPFence – Ferramenta de Segurança

A WebDig Host utiliza o cPFence como componente de proteção dos ambientes de alojamento, incluindo funcionalidades de deteção de ameaças e bloqueio de determinadas atividades suspeitas.

O cPFence é identificado nesta secção como software de segurança utilizado na infraestrutura, não sendo automaticamente classificado como subprocessador.

Uma eventual qualificação do fornecedor como subprocessador dependerá da existência de operações de tratamento de dados pessoais realizadas por esse fornecedor por conta da WebDig Host, incluindo eventuais serviços externos de telemetria, suporte ou análise.

Não se presume que todos os dados técnicos processados pelo software sejam transmitidos ao seu fornecedor.

5.3. Serviços Antispam, Filtragem e Envio de Email

A WebDig Host utiliza serviços próprios e fornecedores externos para a filtragem de correio eletrónico, prevenção de spam e phishing, análise de reputação, encaminhamento de mensagens e envio de comunicações eletrónicas.

O tratamento pode envolver endereços de remetentes e destinatários, cabeçalhos, endereços IP, conteúdo de mensagens, anexos, identificadores de campanhas e registos técnicos, dependendo da função desempenhada por cada serviço.

Rspamd – Sistema Auto-hospedado

A WebDig Host utiliza o Rspamd como tecnologia de filtragem e análise de mensagens de correio eletrónico.

Consoante a configuração, o sistema pode analisar cabeçalhos, endereços IP, identificadores de remetentes, conteúdo das mensagens, URLs e outros indicadores relevantes para deteção de spam, phishing, malware e utilização abusiva.

O Rspamd é executado na infraestrutura administrada pela WebDig Host e não constitui, por si só, um subprocessador externo.

A eventual utilização de serviços externos de reputação, consulta ou análise deve ser avaliada separadamente, de acordo com os dados transmitidos e a natureza da relação com cada fornecedor.

Serviços de Reputação e Listas de Bloqueio

A infraestrutura de correio eletrónico pode recorrer a listas e serviços de reputação para apoiar a identificação de remetentes suspeitos, endereços IP associados a spam e outras ameaças.

Entre os serviços identificados na configuração anteriormente documentada encontram-se:

• Abusix;
• Barracuda;
• blocklist.de;
• SpamEatingMonkey;
• MailSpike;
• SpamCop;
• MailCleaner;
• Malware.Expert.

A referência a estes serviços não significa que todos estejam permanentemente ativos ou que todos recebam as mesmas categorias de dados.

As consultas de reputação podem envolver endereços IP, domínios, identificadores técnicos ou outros indicadores, dependendo do serviço e da configuração utilizada.

Estas entidades não são automaticamente classificadas como subprocessadores. A respetiva qualificação depende das operações de tratamento e das relações contratuais aplicáveis.

5.4. Registo e Gestão de Domínios

Os serviços de registo e gestão de domínios podem exigir a comunicação de dados dos titulares e contactos a registrars, entidades de registo e outros intervenientes necessários ao funcionamento do sistema de nomes de domínio.

Determinadas entidades podem atuar como responsáveis autónomos pelo tratamento, de acordo com as suas obrigações regulamentares e contratuais.

A transmissão de dados a entidades de registo pode resultar de requisitos técnicos, regulamentares ou contratuais associados às extensões de domínio.

Nem todas estas operações constituem subprocessamento ao abrigo do artigo 28.º do RGPD.

5.5. Faturação e Pagamentos

Os fornecedores de faturação e pagamentos intervêm predominantemente no tratamento de dados associados à relação comercial entre a WebDig Host e os seus clientes.

Neste contexto, a WebDig Host atua normalmente como responsável pelo tratamento, podendo os prestadores assumir diferentes qualidades jurídicas consoante o serviço e as suas próprias obrigações legais.

Os fornecedores desta secção são apresentados por motivos de transparência e não devem ser automaticamente interpretados como subprocessadores dos dados alojados pelos clientes.

5.6. Monitorização, Registos e Segurança

A WebDig Host utiliza ferramentas de monitorização, registo de eventos e segurança para acompanhar a disponibilidade, o desempenho e o funcionamento dos serviços.

Estas ferramentas podem recolher ou analisar:

• Endereços IP e identificadores técnicos;
• Estados de disponibilidade dos serviços;
• Tempos de resposta;
• Eventos de autenticação e administração;
• Registos de erros e incidentes;
• Indicadores de atividade suspeita.

Quando as ferramentas são executadas exclusivamente em sistemas administrados pela WebDig Host, a aplicação utilizada não constitui, por si só, um subprocessador autónomo.

Contudo, se uma ferramenta utilizar serviços externos para armazenar, transmitir ou analisar dados pessoais por conta da WebDig Host, a respetiva relação será avaliada à luz do RGPD.

5.7. Outros Subprocessadores Eventuais

A WebDig Host poderá necessitar de recorrer a fornecedores adicionais para serviços específicos, incluindo alojamento especializado, cópias de segurança externas, segurança, monitorização ou assistência técnica.

Quando esses fornecedores devam tratar dados pessoais por conta dos clientes na qualidade de subprocessadores, a sua contratação ficará sujeita às condições previstas no Acordo de Tratamento de Dados e no artigo 28.º do RGPD.

A mera referência a categorias de fornecedores eventuais não constitui autorização ilimitada para contratar novos subprocessadores sem cumprir os procedimentos de informação e oposição aplicáveis.

6. Localização de Dados e Transferências Internacionais

A WebDig Host privilegia, sempre que tecnicamente adequado e comercialmente viável, a utilização de infraestrutura situada no Espaço Económico Europeu (EEE).

Contudo, a localização da sede de um fornecedor não determina necessariamente a localização de todos os tratamentos de dados pessoais realizados no âmbito dos seus serviços.

Determinados fornecedores podem utilizar redes globais, equipas de suporte internacionais, entidades associadas ou outros prestadores, o que pode originar transferências de dados pessoais para países terceiros.

Quando exista uma transferência internacional sujeita ao capítulo V do RGPD, devem ser identificados e aplicados os mecanismos legalmente adequados, consoante o caso, incluindo:

• Decisões de adequação: quando a Comissão Europeia tenha reconhecido um nível adequado de proteção para o país, território ou organização abrangida.
• Cláusulas Contratuais-Tipo (SCC): quando constituam um mecanismo de transferência aplicável e válido.
• Medidas suplementares: quando necessárias em função da avaliação das circunstâncias concretas da transferência.
• Outros mecanismos previstos no RGPD: quando estejam preenchidos os respetivos pressupostos legais.

Quando aplicável, a WebDig Host considera a necessidade de avaliar as circunstâncias da transferência, os riscos associados e as medidas de proteção disponíveis.

A utilização de encriptação ou de outras medidas técnicas não substitui, por si só, a necessidade de existir um fundamento jurídico adequado para a transferência internacional.

As informações específicas sobre localização e garantias dependem dos serviços efetivamente contratados e das condições aplicáveis aos fornecedores envolvidos.

7. Alterações à Lista e Direito de Oposição do Cliente

A WebDig Host pode atualizar esta lista quando seja necessário adicionar, substituir ou deixar de utilizar subprocessadores.

A comunicação poderá incluir, quando relevante:

• Identificação do novo subprocessador ou do subprocessador substituído;
• Descrição dos serviços ou operações de tratamento envolvidos;
• Informação sobre a localização do tratamento, quando disponível;
• Data prevista para a alteração;
• Indicação do procedimento para apresentação de oposição.

Quando um cliente apresente oposição fundamentada, a WebDig Host avaliará a situação e procurará identificar uma solução adequada, quando tecnicamente viável.

Se não for possível encontrar uma solução compatível com a prestação do serviço, poderão aplicar-se as disposições previstas no Acordo de Tratamento de Dados e nas condições contratuais relevantes.

As alterações meramente editoriais, correções de informação e remoção de fornecedores que deixaram de ser utilizados não constituem necessariamente uma nova contratação de subprocessadores.

A publicação desta lista no website não substitui a comunicação individual por email quando esta seja contratualmente exigida.

8. Responsabilidades, Limitações e Relação com Outros Documentos

A presente lista complementa o Acordo de Tratamento de Dados, a Política de Privacidade e os Termos e Condições da WebDig Host.

Quando atua como subcontratante, a WebDig Host mantém perante o cliente as responsabilidades que lhe são atribuídas pelo artigo 28.º do RGPD, incluindo as relativas à contratação de outros subcontratantes.

A utilização de subprocessadores não afasta as obrigações legais e contratuais da WebDig Host.

Os subprocessadores devem estar sujeitos às obrigações de proteção de dados legalmente exigíveis, incluindo, conforme aplicável:

• Tratamento de dados pessoais de acordo com instruções documentadas;
• Confidencialidade das pessoas autorizadas a tratar dados;
• Aplicação de medidas técnicas e organizativas adequadas;
• Assistência relativamente a pedidos dos titulares e incidentes de proteção de dados;
• Condições para utilização de outros subprocessadores;
• Eliminação ou devolução dos dados pessoais após a cessação dos serviços, nos termos aplicáveis;
• Disponibilização das informações necessárias para demonstrar o cumprimento das obrigações contratuais e legais.

A classificação jurídica de um fornecedor não é determinada exclusivamente pela sua inclusão nesta lista, mas pelas operações efetivamente realizadas e pela legislação aplicável.

Em caso de divergência entre esta página e o Acordo de Tratamento de Dados, deverão ser observadas as disposições contratuais aplicáveis, sem prejuízo das normas imperativas do RGPD.

9. Contactos para Questões de Proteção de Dados

Para questões relacionadas com a presente Lista de Subprocessadores, com o Acordo de Tratamento de Dados ou com a proteção de dados pessoais, a WebDig Host disponibiliza os seguintes canais oficiais de contacto:

Os pedidos relacionados com dados pessoais, subprocessadores ou obrigações previstas no RGPD devem ser encaminhados preferencialmente através do canal de Proteção de Dados.

Para facilitar a análise, recomenda-se que o pedido inclua uma descrição clara da questão apresentada, evitando a transmissão desnecessária de credenciais ou dados pessoais sensíveis.

O canal destinado ao Encarregado de Proteção de Dados deve assegurar a confidencialidade das comunicações e permitir o seu encaminhamento para o EPD sem acesso indiscriminado por outros departamentos.