# Contrato de subcontratação: lista de verificação para ferramentas web

> Quando precisa de um contrato de subcontratação nos termos do art. 28.º do RGPD, que conteúdos obrigatórios tem e o que verificar em ferramentas de análise e marketing.

Quelle: https://whovisit.app/pt/blog/contrato-subcontratacao-ferramentas-web
Veröffentlicht: 2026-11-07
Herausgeber: Whovisit (ARAVILO, Innsbruck)

Quase todas as ferramentas que utiliza no seu website tratam dados por sua conta: análise web, newsletter, CRM, mapa de calor, chat. Assim que estão em causa dados pessoais, o RGPD exige um contrato com o fornecedor. Chama-se contrato de subcontratação (em alemão Auftragsverarbeitungsvertrag, abreviado AV-Vertrag ou AVV). Este artigo explica quando precisa dele, o que deve constar e em que deve pensar ao escolher uma ferramenta.

## Quando precisa de um contrato de subcontratação

O art. 28.º do RGPD aplica-se quando um prestador de serviços trata dados pessoais **por sua conta** e segundo as suas instruções. Nesse caso, você é o responsável pelo tratamento e o fornecedor é o subcontratante. O texto legal encontra-o no [RGPD no EUR-Lex](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679).

Nem toda a relação é subcontratação. Deve distinguir três situações:

| Situação | Característica | Contrato |
|---|---|---|
| Subcontratação | O fornecedor age apenas segundo as suas instruções | Contrato de subcontratação nos termos do art. 28.º |
| Responsabilidade conjunta | Você e o fornecedor decidem em conjunto sobre finalidade e meios | Acordo nos termos do art. 26.º |
| Responsável próprio | O fornecedor usa os dados para fins próprios | Consoante o caso, fundamento jurídico próprio e transferência |

O decisivo é quem determina a finalidade e os meios, e não o nome do contrato. Um fornecedor que usa os dados também para fins próprios, por exemplo para melhorar os seus produtos para além do serviço prestado a si, deixa de ser subcontratante nessa parte. Nos termos do art. 28.º, n.º 10, um subcontratante que determina ele próprio finalidade e meios é considerado responsável pelo tratamento relativamente a esse tratamento.

## Conteúdos obrigatórios nos termos do art. 28.º, n.º 3

O contrato tem de fixar o objeto e a duração do tratamento, a natureza e a finalidade, o tipo de dados e as categorias de titulares. Além disso, tem de prever que o subcontratante:

- **a)** trata os dados apenas mediante instrução documentada, também nas transferências para um país terceiro,
- **b)** recorre a pessoas obrigadas a confidencialidade,
- **c)** adota as medidas previstas no art. 32.º,
- **d)** cumpre as condições para a contratação de outros subcontratantes,
- **e)** apoia-o nos pedidos dos titulares dos dados,
- **f)** apoia-o nas obrigações decorrentes dos arts. 32.º a 36.º,
- **g)** apaga ou devolve os dados, à sua escolha, após o fim do serviço,
- **h)** fornece provas e permite verificações.

O contrato deve ser celebrado por escrito, sendo suficiente o formato eletrónico (n.º 9). Um modelo de referência é oferecido pela Comissão Europeia com as [cláusulas contratuais-tipo para a subcontratação](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32021D0915). Nos termos do art. 28.º, n.º 6, o contrato pode basear-se total ou parcialmente nelas.

## Subcontratantes ulteriores

Se o fornecedor recorrer ele próprio a prestadores de serviços, por exemplo a um fornecedor de alojamento, aplicam-se duas regras do art. 28.º, n.os 2 e 4:

- Precisa da sua autorização prévia, específica ou geral, por escrito. Em caso de autorização geral, tem de o informar de qualquer alteração prevista. Pode então opor-se.
- Tem de impor aos subcontratantes ulteriores as mesmas obrigações de proteção de dados. Se um subcontratante ulterior não as cumprir, o primeiro subcontratante responde perante si.

Por isso, peça ao fornecedor uma lista atualizada dos seus subcontratantes ulteriores, com sede e função.

## País terceiro

Se os dados forem tratados fora da UE e do EEE ou puderem ser consultados a partir de lá, aplicam-se adicionalmente as regras para transferências para países terceiros (capítulo V, art. 44.º e seguintes do RGPD). Existem habitualmente três vias: uma decisão de adequação da Comissão, cláusulas contratuais-tipo para a transferência ou regras vinculativas aplicáveis às empresas. Para os EUA existe desde 2023 uma [decisão de adequação sobre o quadro de privacidade de dados UE-EUA](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32023D1795). Aplica-se apenas a empresas que participam no quadro. É contestada em tribunal, por isso verifique a situação atual. Um servidor na UE resolve a questão se nem o fornecedor nem um subcontratante ulterior de um país terceiro puderem aceder aos dados.

## Lista de verificação para ferramentas de análise e marketing

1. **Esclarecer o papel.** O fornecedor trata apenas por sua conta ou também para fins próprios?
2. **Verificar o contrato.** Constam todos os pontos do art. 28.º, n.º 3?
3. **Descrever os dados.** Estão indicados de forma concreta o tipo de dados e as categorias de titulares?
4. **Ver os subcontratantes ulteriores.** Existe uma lista e um procedimento em caso de alterações?
5. **Perguntar a localização do servidor.** Onde estão os dados, quem pode aceder?
6. **Documentar a via do país terceiro.** Que fundamento sustenta uma transferência?
7. **Regular o apagamento.** O que acontece aos dados após o fim do contrato?
8. **Ler as medidas técnicas.** Cifragem, direitos de acesso, registo de atividade.

Junte o contrato à sua documentação e inclua a ferramenta no seu registo das atividades de tratamento nos termos do art. 30.º do RGPD. Sobretudo em ferramentas que só carregam após o consentimento, o contrato é um segundo pressuposto, independente. O consentimento no dispositivo não o substitui, como mostra [§ 25 TDDDG: cookies e rastreamento na Alemanha](https://whovisit.app/blog/tdddg-paragraf-25-cookies).

## O que ameaça em caso de infração

Se o contrato faltar ou estiver incompleto, a autoridade de controlo pode contestá-lo. Para infrações às obrigações do art. 28.º, o art. 83.º, n.º 4 do RGPD prevê coimas até 10 milhões de euros ou até 2 % do volume de negócios anual mundial, consoante o que for mais elevado. Esse é o quadro, não uma previsão para um caso concreto.

## E na Suíça?

A lei suíça de proteção de dados regula o tratamento por subcontratantes no art. 9.º da LPD (DSG). A ideia é semelhante, a formulação é diferente. Quem se dirige a titulares de dados na UE precisa, em regra, do contrato nos termos do RGPD. Se isso se aplica à sua oferta, explica-o [Rastreamento de websites na Suíça: revDSG e FMG](https://whovisit.app/blog/website-tracking-schweiz-revdsg).

## Perguntas frequentes

**Preciso de um contrato de subcontratação se a ferramenta só mostrar nomes de empresas?** Depende de o fornecedor tratar, nesse processo, dados pessoais por sua conta, por exemplo endereços IP, mesmo que apenas por breves instantes. Em caso de dúvida, celebre o contrato, que não custa praticamente nada. Se um endereço IP é pessoal, explica-o [Endereço IP e RGPD: é um dado pessoal?](https://whovisit.app/blog/ip-adresse-personenbezogen-dsgvo).

**Basta aceitar as condições gerais do fornecedor?** Apenas se nelas constarem todos os conteúdos obrigatórios e se a regulamentação for claramente reconhecível como contrato ou adenda. Muitos fornecedores disponibilizam o contrato de subcontratação como documento próprio para celebração.

**Tenho de assinar o contrato?** Tem de ser redigido por escrito. Um formato eletrónico é suficiente nos termos do art. 28.º, n.º 9, pelo que a celebração por clique é habitual.