Modelos e registos · ISO 27701 · Cláusula A.1 y A.2

Modelo de contrato de subcontratante ISO 27701

Cada fornecedor que trata dados por conta da empresa precisa de um contrato com um conteúdo mínimo fixado por lei. O sistema de privacidade controla que exista e que seja cumprido.

Numa frase

O contrato de subcontratação fixa o objeto, a duração, a natureza e a finalidade do tratamento, os tipos de dados e de titulares e as obrigações do subcontratante —instruções documentadas, confidencialidade, segurança, subcontratantes ulteriores, apoio com direitos e violações de dados, devolução ou apagamento no final e auditorias—, porque assim o exige o artigo 28.º, n.º 3, do RGPD; a ISO/IEC 27701 inclui esses acordos nas tabelas A.1 e A.2, do lado do responsável pelo tratamento e do subcontratante.

Conteúdo revisto em 17 de outubro de 2026

Onde a norma o exige: ISO 27701 · Cláusula A.1 y A.2 Cita-se a edição de 2025: os números de 4 a 10 são capítulos; A.1, A.2 e A.3 são as tabelas do Anexo A com os controlos do responsável pelo tratamento, do subcontratante e comuns a ambos.
Tipo de informação: Documento obrigatório Documento a manter em vigor (art. 28.º, n.º 3, do RGPD; tabelas A.1 e A.2)
Quem o preenche: Compras ou a área contratante, com o encarregado O responsável do PIMS verifica que nenhum subcontratante trata dados sem contrato
Quando: Antes de o fornecedor receber dados Revê-se na renovação, quando o serviço muda ou quando há aviso de novos subcontratantes ulteriores
Durante quanto tempo se conserva: Enquanto durar o serviço e depois Fixado pela organização segundo os prazos de prescrição de eventuais responsabilidades

O que a norma exige

O que o referencial ISO 27701 exige e o que fica ao seu critério

A norma pede ao responsável pelo tratamento que escolha subcontratantes que apresentem garantias suficientes e que tenha com eles um contrato que cubra os controlos necessários. Ao subcontratante pede que trate os dados apenas segundo as instruções do cliente, que o informe se uma instrução lhe parecer ilícita e que controle os seus subcontratantes ulteriores.

O artigo 28.º, n.º 3, enumera o conteúdo mínimo do contrato. O n.º 2 proíbe recorrer a outro subcontratante sem autorização prévia por escrito, específica ou geral; no caso da geral, o subcontratante deve informar das alterações para que o responsável possa opor-se.

O contrato não se arquiva para cair no esquecimento: o responsável deve poder verificar que é cumprido, e o contrato deve permitir-lhe auditorias ou inspeções (art. 28.º, n.º 3, alínea h)).

Leia-o em contexto: Controlos para responsáveis e subcontratantes, na Academia (ISO 27701)

Estrutura

Campos que o modelo deve ter

Objeto, duração, natureza e finalidade do tratamento
Tipos de dados pessoais e categorias de titulares
Tratamento apenas segundo instruções documentadas
Confidencialidade do pessoal do subcontratante
Medidas de segurança do art. 32.º do RGPD
Regime de subcontratantes ulteriores e autorização
Apoio com direitos, violações de dados e avaliações de impacto
Devolução ou apagamento dos dados no final
Informação e auditorias à disposição do responsável
Transferências internacionais, se as houver

Exemplo

Exemplo: gabinete de processamento salarial de uma empresa fictícia

Empresa, pessoas e números fictícios: o exemplo serve apenas para mostrar como fica um registo bem preenchido.

Campo	Conteúdo
Contrato	EN-2026-03 · Oficinas Douro Norte, Lda. (responsável) e Gabinete Marão (subcontratante), ambas fictícias
Objeto	Processamento salarial e gestão de admissões e cessações na Segurança Social · Vigência anual renovável
Dados e titulares	Dados de identificação, bancários e remuneratórios de 86 trabalhadores
Subcontratantes ulteriores	Autorização geral; aviso com 30 dias para oposição · Atual: fornecedor de software de processamento salarial com servidores na UE
Violações de dados	Aviso ao responsável em 24 horas a partir do momento em que o gabinete tenha conhecimento
Fim do contrato	Devolução em formato normalizado e apagamento certificado em 30 dias
Revisão	Questionário de segurança anual · Último: fevereiro de 2026, sem constatações

Na auditoria

Erros que os auditores costumam apontar

Fornecedores com acesso a dados sem contrato, porque «só prestam suporte».
Contratos genéricos que não descrevem os dados nem os titulares.
Não se sabe quem são os subcontratantes ulteriores do fornecedor de nuvem.
O contrato prevê auditorias, mas o subcontratante nunca é revisto.

No Kimobox

Como se gere este registo no Kimobox

1Os subcontratantes são geridos a partir do portal de fornecedores, com o contrato e o respetivo vencimento.
2O sistema avisa antes de caducar um contrato ou uma revisão.
3O registo das atividades liga cada destinatário ao seu contrato.
4As revisões periódicas ficam documentadas como avaliações de fornecedor.

Perguntas frequentes

O que nos perguntam antes de começar

Basta aceitar as condições do fornecedor?

Pode bastar se incluírem todo o conteúdo do artigo 28.º, n.º 3, e ficarem por escrito. É preciso lê-las: muitas omitem o regime de subcontratantes ulteriores ou o apagamento no final.

O que traz um subcontratante certificado pela ISO 27701?

Traz evidência de que o seu sistema de privacidade foi auditado, o que facilita demonstrar as garantias suficientes. Não substitui o contrato nem a verificação por parte do responsável pelo tratamento.

Faça a gestão dos registos do referencial ISO 27701 sem modelos avulsos

Mostramos-lhe o módulo a funcionar com dados semelhantes aos seus.

Pedir uma demonstração

Continue a explorar

Páginas relacionadas

Fontes

De onde vem cada dado

Referências ao texto oficial em vigor. Se uma norma for revista, esta página é atualizada e a data de revisão reflete-o.

Regulamento (UE) 2016/679, Regulamento Geral sobre a Proteção de Dados EUR-Lex · 27 de abril de 2016; aplicável desde 25 de maio de 2018
ISO/IEC 27701:2025 — Sistemas de gestão da informação de privacidade. Requisitos e orientações ISO/IEC · Segunda edição, outubro de 2025