As cláusulas
Obrigações de conformidade expressas
Não basta a remissão genérica para «a legislação aplicável». O contrato deve enumerar as obrigações concretas — prazo de atendimento, estrutura do menu, conteúdo do guião, horários de emissão, prazos de conservação — porque o que não está enumerado não é verificado.
Direito de auditoria
Faculdade de auditar directamente ou por terceiro, com periodicidade mínima, prazo de pré-aviso e obrigação de acesso a registos e a gravações. Sem esta cláusula, a verificação depende da boa vontade do prestador.
Reporte com evidência
Os indicadores reportados devem ser acompanhados dos registos que os sustentam, e não apenas do valor agregado. Um indicador sem registo subjacente não é verificável.
Notificação prévia de alterações
Obrigação de comunicar, com antecedência fixada, alterações de localização, de plataforma, de subcontratados e a introdução de sistemas automatizados de interacção.
Subcontratação ulterior
Regime de autorização da subcontratação, com identificação dos subcontratantes e manutenção das mesmas obrigações ao longo de toda a cadeia.
Consequências e reversibilidade
Consequências contratuais do incumprimento e condições de reversibilidade, incluindo a devolução dos dados e dos registos em formato utilizável no termo do contrato.
A repartição de responsabilidade entre as partes
O contrato pode e deve repartir a responsabilidade entre contratante e prestador, com regime de regresso para o caso de a primeira ser sancionada por facto imputável ao segundo. Essa repartição é eficaz entre as partes.
O que a repartição não faz é alterar a posição perante o consumidor ou perante a autoridade. Quem é notificado é quem presta o serviço, e é essa entidade que tem de responder no prazo fixado, com a evidência que tiver.
Na generalidade dos casos, o prestador de externalização actua como subcontratante e a entidade contratante como responsável pelo tratamento, o que exige contrato nos termos do artigo 28.º do Regulamento (UE) 2016/679. [A qualificação depende do grau de autonomia decisória do prestador quanto às finalidades e aos meios, e deve ser verificada caso a caso.]
Aplicar isto ao seu caso
O enquadramento geral não substitui a análise concreta. O diagnóstico determina o que se aplica à sua operação em particular.