De acordo com a Política de Segurança de Terceiras Partes do Centro de Formação Profissional da Indústria Têxtil, Vestuário, Confecção e Lanifícios doravante designado por MODATEX, todos os fornecedores de bens e serviços do MODATEX deverão comprometer-se em cumprir as respetivas Políticas de Segurança de Informação internas.
O presente Código de Conduta para Fornecedores e Parceiros, Terceiras Partes e Subcontratantes, estabelece um conjunto de requisitos básicos exigidos aos Fornecedores de bens e serviços do MODATEX, relativamente às suas responsabilidades perante os órgãos de gestão e o meio ambiente.
O presente Código de Conduta para Fornecedores e Parceiros, Terceiras Partes e Subcontratantes, rege-se pelas Leis da República Portuguesa e pelas cláusulas seguintes:
- Segurança da informação
1.1. O MODATEX é detentor de um sistema de gestão de segurança da informação doravante designado SGSI.
1.2. No SGSI são estabelecidos, implementados, mantidos e melhorados de forma contínua os requisitos necessários a esse sistema.
1.3. O SGSI preserva a confidencialidade, integridade e disponibilidade da informação através da aplicação de um processo de gestão do risco e dá confiança às partes interessadas de que os riscos são geridos adequadamente.
1.4. É importante que o SGSI faça parte e esteja integrado com os processos da organização e com a estrutura de gestão global e que a segurança da informação seja considerada na conceção de processos, sistemas de informação e controlos.
1.5. O SGSI do MODATEX é formado por um conjunto de políticas que asseguram a confiança e a segurança na informação.
1.6. Os pontos anteriores garantem que a Terceira Parte reconhece a necessidade de segurança e proteção de dados de caracter pessoal em todas as trocas e operações levadas a cabo no desenvolvimento da relação de negócio com o MODATEX.
1.7. A Terceira Parte assume o compromisso de respeitar e fazer respeitar a segurança exigida pelo MODATEX, nos termos estabelecidos pelo presente documento.
- Controlo de acesso
1. O MODATEX no decurso das necessidades de negócio pode autorizar o acesso de uma Terceira Parte a recursos seus, dos seus clientes, formando, formadores e colaboradores doravante designados como Recurso.
2.2. A Terceira Parte só pode aceder ao Recurso após ter sido autorizada pelo MODATEX e pelo tempo necessário à resolução do problema em causa. A alocação de privilégios é temporária e nunca permanente.
2.3. A Terceira Parte não pode guardar dados relativos ao processo de autenticação (“login”), usar Keyloggers ou solicitar a senha de acesso ao Recurso, sendo que a mesma é introduzida sempre pelo colaborador do MODATEX.
2.4. A Terceira Parte tem a obrigação de manter um registo de todos os utilizadores que tenham acesso a qualquer Recurso podendo essa lista ser solicitada pelo MODATEX.
2.5. O MODATEX pode revogar o direito de acesso ao Recurso sem necessidade de informar a Terceira Parte.
2.6. Todos os direitos de acesso que não são autorizados explicitamente são proibidos.
2.7. Somente os indivíduos que precisam de conhecer as informações podem ter direitos de acesso.
2.8. O MODATEX monitoriza a prestação do serviço da Terceira Parte e a mesma deve entregar um relatório do serviço executado após finalização.
- Transferências
1. A transferência de qualquer Recurso para a Terceira Parte por impossibilidade de suporte ao mesmo no local de origem deve ser salvaguardada através de mecanismos de segurança como a encriptação.
3.2. A transferência em “clear text” de qualquer Recurso não é permitido e é uma clara violação deste acordo.
3.3. A Terceira Parte assegura mecanismos de segurança como o controlo e restrição de acessos enquanto o Recurso estiver na sua posse.
3.4. Após a resolução do problema a Terceira Parte fica obrigada a eliminar o Recurso dos seus sistemas de forma permanente.
- Controlos
1. A Terceira Parte, para garantir a continuidade dos seus negócios e indiretamente os do MODATEX, tem de ter implementado um plano de continuidade de negócio com indicação dos serviços críticos que precisam de ser recuperados e os respetivos prazos.
4.2. A Terceira Parte para garantir a proteção dos ativos organizacionais deve manter um conjunto de controlos nomeadamente controles físicos, controles para proteção contra códigos maliciosos, controles de proteção física, controles para proteger a integridade, a disponibilidade e a confidencialidade das informações, controles para garantir a devolução ou destruição dos ativos de informações após seu uso, controles para impedir a cópia e distribuição das informações e um processo de gestão de alterações especificado com precisão.
- Incidentes
1. Sempre que exista uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso, não autorizados, a Dados Pessoais transmitidos, conservados ou sujeitos a qualquer outro tipo de tratamento e/ou seja comprometida a confidencialidade, integridade e disponibilidade da informação de um Recurso, a Terceira Parte deve notificar o MODATEX por escrito no prazo máximo de 72 horas, descrevendo a natureza da ocorrência, as categorias de dados e titulares afetados bem como as medidas técnicas e organizacionais aplicadas antes do sucedido e as que irá aplicar a fim de mitigar a violação ocorrida.
- Direito de auditar
1. A Terceira Parte reconhece expressamente e aceita que o MODATEX adquire o direito de:
6.1.1. Aceder a todas as informações armazenadas ou processadas pela Terceira Parte em seu nome, nomeadamente o direito de auditar ou monitorizar o uso das informações comerciais e a execução do acordo nas instalações da Terceira Parte.
6.1.2. Aceder aos relatórios financeiros, aos relatórios de auditores internos e externos e outros relatórios relacionados às operações comerciais da Terceira Parte, que possam ser relevantes para o MODATEX em matéria de proteção de dados.
6.1.3. Monitorizar e revogar qualquer atividade relacionada aos ativos do MODATEX.
6.2. O MODATEX pode nomear um terceiro para proceder em seu nome à realização da auditoria, notificando a Terceira Parte com antecedência mínima de 8 (oito) dias.
7.Formação
7.1. A Terceira Parte assume o compromisso de assegurar que os seus colaboradores são competentes, com base numa apropriada educação, formação ou experiência aquando da prestação do serviço do MODATEX.
- Segredo comercial
8.1. Considera-se “Segredo comercial”, as informações que cumprem cumulativamente os requisitos seguintes:
8.1.1. Serem secretas, no sentido de, na sua globalidade ou na configuração e ligação exatas dos seus elementos constitutivos, não serem geralmente conhecidas pelas pessoas dos círculos que lidam normalmente com o tipo de informações em questão, ou não serem facilmente acessíveis a essas pessoas.
8.1.2. Terem valor comercial pelo facto de serem secretas.
8.1.3. Terem sido objeto de diligências razoáveis, atendendo às circunstâncias, para serem mantidas secretas pela pessoa que exerce legalmente o seu controlo.
8.2. Por informação protegida, confidencial ou sujeita a segredo comercial, entende-se toda a informação que, independentemente do suporte utilizado, conste de:
8.2.1. Obras, de qualquer natureza, nomeadamente gráfica, escrita ou sonora, não publicadas.
8.2.2. Compilações e seleções informativas inéditas.
8.2.3. Documentação de natureza financeira.
8.2.4. “Know-how” ou saber-fazer, dados tecnológicos, métodos, fórmulas, demonstrações, amostras ou estudos.
8.2.5. Programas de computador ou blocos de programação em forma de código-fonte ou código-objeto.
8.2.6. Documentos comerciais, nomeadamente listas de clientes.
8.2.7. Relatórios, “Drafts”, memorandos.
8.2.8. Quaisquer ativos intelectuais, enquanto conjunto de todos e quaisquer resultados de investigação, protegidos ou não por qualquer direito de propriedade industrial.
8.2.9. «Dados pessoais», informação relativa a uma pessoa singular identificada ou identificável («titular dos dados»); é considerada identificável uma pessoa singular que possa ser identificada, direta ou indiretamente, em especial por referência a um identificador, como por exemplo um nome, um número de identificação, dados de localização, identificadores por via eletrónica ou a um ou mais elementos específicos da identidade física, fisiológica, genética, mental, económica, cultural ou social dessa pessoa singular.
8.2.10. Dados de clientes, nomeadamente base de dados, senhas de acesso, endereços de correio eletrónico, acessos locais e remotos a programas e equipamentos, processos de autenticação e ficheiros.
8.3. O MODATEX classifica toda a sua informação em quatro categorias: SECRETA, CONFIDENCIAL, USO INTERNO, e PÚBLICA.
8.4. Informação classificada como Secreta ou Confidencial apenas pode ser acedida com aprovação do Gestor da unidade de negócio ou do Diretor que gera a informação.
8.5. A respetiva Terceira Parte deve proteger a informação do MODATEX utilizando o mesmo grau de cuidado que usa para prevenir a disseminação e publicação não autorizada da sua própria informação.
- Subcontratação
9.1. Para subcontratar com outras entidades, a Terceira Parte deve comunicar por escrito ao MODATEX, identificando de forma clara e inequívoca a entidade subcontratada e os seus dados de contato. A subcontratação poderá ser levada a cabo se o MODATEX não manifestar oposição no prazo de 8 (oito) dias úteis.
9.2. O subcontratado fica abrangido pelos mesmos controlos de segurança e proteção de dados que a Terceira Parte, ficando esta responsável pela garantia da aplicação dos mesmos pelo subcontratado.
- Confidencialidade
10.1. Por informação protegida ou confidencial, adiante designada globalmente por “Informação”, entende-se toda a informação que, independentemente do suporte utilizado, conste dos pontos referidos de 8.2.1. a 8.2.10, bem como qualquer outra informação divulgada oralmente, por escrito, ou por qualquer outro meio que seja, no citado contexto, entre as partes.
10.2. A informação confidencial divulgada oralmente deverá ser sumariamente transposta para a forma escrita pela Parte Emissora, com a referência à data da sua divulgação, e submetida à Parte Recetora num prazo máximo de 15 (quinze) dias após a respetiva divulgação, sempre com a identificação referida no número 1.1.
11 .Finalidade da divulgação e dever de confidencialidade
11.1. A Informação é divulgada com a exclusiva finalidade de proporcionar a ambas as partes uma relação comercial duradoura e permitir a prestação de serviços de suporte técnico.
11.2. O MODATEX e o Fornecedor ou Terceira Parte comprometem-se a não usar, divulgar ou ceder a qualquer título, em Portugal ou no estrangeiro, a informação divulgada pela outra parte para qualquer outra finalidade distinta, salvo autorização por escrito da respetiva Parte Emissora.
11.3. A respetiva Parte Recetora deve proteger a informação divulgada pela Parte Emissora utilizando o mesmo grau de cuidado que usa para prevenir a disseminação e publicação não autorizada da sua própria informação e de acordo com as melhores práticas existentes em Segurança da Informação.
11.4. A respetiva Parte Recetora deve adotar todas as medidas necessárias para impedir o uso indevido da informação por qualquer pessoa que a ela tenha tido acesso e deve assegurar os meios adequados à prevenção do extravio ou perda da informação, comunicando sempre à Parte Emissora a ocorrência de incidentes desta natureza, ainda que esta comunicação não exclua a sua responsabilidade.
11.5. A respetiva Parte Recetora obriga-se a restituir qualquer cópia, excerto ou parte dos elementos da Informação, no prazo de 8 (oito) dias, mediante mera solicitação da Parte Emissora. Obriga-se ainda a restituir toda a informação desvinculada pela Parte Emissora findo o presente acordo, a solicitação desta e, simultaneamente, a apagar definitivamente os correspondentes ficheiros digitais que possa deter nos seus ativos de informação.
- Propriedade e integridade da informação
12.1. A Informação é propriedade exclusiva da respetiva Parte Emissora ou de terceiras entidades, pessoas singulares ou coletivas que com esta mantenham relações comerciais ou outras.
12.2. A divulgação da Informação à respetiva Parte Recetora não lhe concede qualquer direito de propriedade intelectual, legitimidade para requerer proteção sobre quaisquer direitos ou licença sobre qualquer registo ou pedido de registo de direito de propriedade industrial relacionado com aquela informação, sob pena de aplicação do disposto na alínea a) do nº1 do Artigo 34º do Código da Propriedade Industrial.
12.3. A respetiva Parte Emissora não garante, direta ou indiretamente, no âmbito do presente acordo, a proteção da Informação em sede, designadamente, de direitos de autor ou de propriedade industrial.
12.4. A Parte Recetora aceita e reconhece que o presente acordo não limita o direito de a Parte Emissora modificar a respetiva informação, sem disso lhe dar prévio conhecimento.
12.5. Tais modificações não implicam qualquer responsabilidade para a Parte Emissora, nem a obriga a desenvolver, anunciar, entregar, manter ou financiar quaisquer produtos ou planos de negócio baseados naquela Informação.
- Divulgação Interna da Informação
13.1. A respetiva Parte Recetora deverá limitar a divulgação da Informação aos respetivos quadros, empregados ou colaboradores no âmbito do estritamente necessário à finalidade prevista no presente acordo, fornecendo-lhes as instruções adequadas a esse efeito e celebrando com estes equivalente compromisso escrito de confidencialidade, sendo integralmente responsável perante a Parte Emissora quanto ao cumprimento, por aqueles, dos compromissos ora fixados, podendo esta, a todo o tempo, exigir à outra prova da celebração daqueles acordos.
- Duração
14.1. As presentes clausulas entram em vigor na primeira troca de informação e/ ou prestação de serviço entre ambas as partes, ficando a respetiva Parte Recetora vinculada ao presente compromisso de confidencialidade, nos exatos termos aqui estipulados.
14.2. Após o término da colaboração, as partes ficam obrigadas a manter protegidas as informações confidenciais e classificadas e os segredos comerciais após a expiração da relação do negócio.
14.3. A referida confidencialidade só deixará de ser exigível a partir do momento em que a informação protegida esteja já no domínio público e sem que tal possa ser imputado a qualquer um dos outorgantes.
14.4. Após o término da colaboração, a Terceira Parte devolve ao MODATEX ou a outro designado por este, todas as informações confidenciais, dados pessoais processados e equipamentos usados durante a prestação do serviço e elimina quaisquer cópias em seu poder.
14.5. As partes poderão, por acordo e a todo o tempo, revogar ou alterar, no todo ou em parte, as disposições do presente acordo, conquanto não seja posta em causa a confidencialidade da Informação.
14.6. Os seus efeitos podem igualmente cessar mediante a celebração de um qualquer compromisso contratual entre os Outorgantes no qual seja estipulada a confidencialidade das mesmas informações, sendo assim substituídos os termos deste acordo, sem prejuízo do disposto no número seguinte.
14.7. Em caso algum estão, todavia, as partes vinculadas, pelo presente acordo, a celebrar futuramente quaisquer negócios jurídicos.
15 Responsabilidade
15.1. A Parte Recetora é responsável perante a Parte Emissora por quaisquer danos ou prejuízos, incluindo danos emergentes e lucros cessantes, resultantes do incumprimento ou cumprimento defeituoso das suas obrigações de confidencialidade, sem prejuízo da eventual responsabilidade criminal em que incorre no caso de violação desta obrigação, nos termos da Legislação Portuguesa aplicável e do pagamento à Parte Emissora das quantias que se mostrem devidas a título de Cláusulas Penais que tenham sido contratadas entre as partes
- Exceções ao dever de confidencialidade
16.1. Não se considera abrangido pelo dever de confidencialidade qualquer elemento da Informação:
16.1.1. Cuja divulgação tenha sido expressamente autorizada pela Parte Emissora. Tal autorização deve ser solicitada à Parte Emissora e concedida por esta por escrito no prazo de 8 (oito) dias úteis, findo o qual, na ausência de resposta, se considera indeferida a autorização;
16.1.2. Que até ao momento da divulgação tenha sido publicado, tornado público ou que, de outra forma não possa ignorar-se pertencer ao domínio público;
16.1.3. Tornado público após a divulgação ou pertencente ao domínio público por motivo não imputável à Parte Recetora, a título de dolo ou negligência;
16.1.4. Que a Parte Recetora possa provar, por exibição de suporte escrito, ter na sua posse em momento prévio ao seu recebimento por parte da Parte Emissora;
16.1.5. Recebido pela Parte Recetora de terceiros sem dever de confidencialidade, desde que estes tenham o direito de fornecer essa informação e que a mesma não tenha sido obtida por estes direta ou indiretamente da Parte Emissora sob condição de confidencialidade;
16.1.6. Que a Parte Recetora seja obrigado, por lei ou decisão judicial, a divulgar, desde que a Parte Recetora notifique imediatamente a Parte Emissora e coopere de forma razoável com os esforços empreendidos por este para contestar ou limitar o âmbito de tal divulgação;
16.1.7. Que seja desenvolvida de forma independente pela Parte Recetora.
16.2. O ónus da prova de todas as exceções à obrigação de confidencialidade recai sobre a respetiva Parte Recetora.
16.3. A informação confidencial não deve ser considerada como pertencente ao domínio público apenas por ser do conhecimento de algumas pessoas que nela possam ter algum interesse, e a combinação de parte dessa informação não deve ser considerada como pertencente ao domínio público apenas pelo motivo de cada parcela dessa combinação separadamente se considerar disponível.
- Cláusulas contratuais
17.1. O Subcontratante obriga-se ao estrito e pontual cumprimento do Artigo 28º do Regulamento Geral de Proteção de Dados, (RGPD), aprovado pelo Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho de 27 de abril de 2016.
17.2. O Subcontratante obriga-se ao estrito e pontual cumprimento dos necessários documentos contratuais decorrentes do cumprimento do número anterior, nomeadamente que não exclusivamente, o documento “Cláusulas Contratuais Tratamento de Dados Pessoais – Subcontratante-Fornecedor” se a natureza dos serviços prestados der lugar à assinatura do mesmo.
- Outras obrigações específicas
18.1. O Fornecedor ou Parceiro, Terceira Parte ou Subcontratante compromete-se a:
18.1.1. Cumprir com todas as leis e regulamentação aplicáveis
18.1.2. Aceitar que toda a informação cedida e acedida é confidencial, durante e após o término da relação contratual com o MODATEX, não podendo ser usada para nenhum fim exceto ao que se destina no âmbito em que foi cedida.
18.1.3. Abster-se de comportamentos que possam configurar qualquer forma de corrupção ou suborno, incluindo pagamentos ou outra forma de conferir benefícios a qualquer responsável de entidades públicas ou privadas, com o objetivo de influenciar a tomada de decisões em seu favor.
18.1.4. Promover a igualdade de oportunidades para, e o tratamento dos seus trabalhadores, independentemente da sua etnia, raça, estrato social, deficiências, orientação sexual, crenças políticas ou religiosas, sexo;
18.1.5. Respeitar a dignidade pessoal, a privacidade e direitos de cada indivíduo;
18.1.6. Não empregar qualquer pessoa contra sua própria vontade;
18.1.7. Não tolerar qualquer tratamento inaceitável dos trabalhadores, tais como, assédio sexual ou discriminação;
18.1.8. Proibir comportamentos, incluindo gestos, linguagem ou contacto físico, considerados sexuais, coercivos, ameaçadores, abusivos ou exploradores;
18.1.9. Garantir o pagamento do salário mínimo nacional aplicável;
18.1.10. Cumprir com o número máximo de horas de trabalho previsto nas leis aplicáveis;
18.1.11. Reconhecer, na medida do legalmente imposto, o direito de livre associação dos trabalhadores e, nem favorecer nem discriminar os membros de organizações de trabalhadores ou sindicatos.
18.1.12. Não empregar trabalhadores com idade inferior à mínima legal.
18.1.13. Cumprir com as normas de higiene e segurança no trabalho nos termos legalmente exigidos;
18.1.14. Controlar os riscos e tomar as precauções razoavelmente possíveis contra acidentes e doenças profissionais;
18.1.15. Implementar ou utilizar um sistema de gestão de segurança e higiene.
18.1.16. Agir em conformidade com as normas legais, relativas à proteção do ambiente.
18.1.17. Minimizar a poluição ambiental e efetuar melhorias contínuas na proteção do ambiente, sempre que exigível por lei aplicável.
18.1.18. Implementar ou utilizar um sistema de gestão ambiental razoável.
18.1.19. Promover entre os seus fornecedores, os princípios constantes no presente Código de Conduta.
18.1.20. Cumprir com os princípios de não discriminação relativamente à seleção e tratamento de fornecedores.
18.1.21. Garantir que os Dados Pessoais com que possa tomar contacto no âmbito da prestação de serviços são objeto de um tratamento lícito, leal e transparente em relação ao Titular dos Dados e que os mesmos são recolhidos para finalidades determinadas, explícitas e legítimas não podendo ser tratados posteriormente de uma forma incompatível com essas finalidades, e sempre no estrito respeito pelo RGPD – Regulamento Geral de Proteção de Dados.
- Responsabilidade
19.1. O Fornecedor ou Parceiro, Terceira Parte ou Subcontratante é responsável perante o MODATEX por quaisquer danos ou prejuízos, incluindo danos emergentes e lucros cessantes, resultantes do incumprimento ou cumprimento defeituoso das suas obrigações de confidencialidade, proteção de dados pessoais, realização dos serviços, transações não realizadas, inoportunas ou incorretas e outras atividades contratadas sem prejuízo da eventual responsabilidade criminal em que incorre no caso de violação desta obrigação, nos termos da Legislação Portuguesa aplicável.
