1. Enquadramento e Responsabilidade

A ASCRA – Associação Social, Cultural e Recreativa de Almoster, pessoa coletiva n.º 503766151, é responsável por garantir a proteção dos dados pessoais tratados no âmbito das suas atividades sociais, culturais, recreativas e administrativas. A ASCRA assegura que o tratamento de dados pessoais cumpre integralmente o Regulamento (UE) 2016/679 (RGPD), a Lei n.º 58/2019, a Lei n.º 59/2019 e todas as orientações da Comissão Nacional de Proteção de Dados (CNPD). A ASCRA adota uma abordagem preventiva baseada nos princípios de licitude, lealdade, transparência, minimização, limitação de finalidades, exatidão, segurança e responsabilidade (accountability), garantindo que todos os tratamentos são proporcionais, justificados e compatíveis com as necessidades institucionais.

2. Encarregado de Proteção de Dados (DPO)

A ASCRA designou um Encarregado de Proteção de Dados (DPO) responsável por monitorizar o cumprimento das obrigações legais em matéria de proteção de dados, prestar esclarecimentos aos titulares, aconselhar a direção da ASCRA, cooperar com a CNPD, avaliar riscos e assegurar que os procedimentos internos seguem o RGPD. O DPO acompanha todos os processos relacionados com recolha, utilização, armazenamento, conservação, eliminação e transmissão de dados pessoais. O contacto do Encarregado de Proteção de Dados é: protecaodedados@ascra.pt.

3. Registo de Atividades de Tratamento

A ASCRA mantém um registo interno atualizado das atividades de tratamento de dados pessoais, cumprindo o disposto no artigo 30.º do RGPD. Este registo inclui, entre outros elementos, as finalidades do tratamento, categorias de titulares, categorias de dados tratados, destinatários, períodos de conservação, medidas de segurança aplicadas, fundamentação jurídica associada a cada operação, existência de subcontratantes, eventuais transferências internacionais e avaliações de risco. O registo permite à ASCRA demonstrar transparência e responsabilidade, garantindo controlo permanente sobre todos os fluxos de dados pessoais dentro da instituição.

4. Avaliação de Impacto sobre a Proteção de Dados (DPIA)

A ASCRA realiza Avaliações de Impacto sobre a Proteção de Dados (DPIA) sempre que um tratamento possa implicar riscos elevados para os direitos e liberdades dos titulares, nos termos dos artigos 35.º e 36.º do RGPD. A DPIA analisa a natureza, âmbito, contexto e finalidades do tratamento, avaliando riscos, vulnerabilidades, medidas existentes, necessidade e proporcionalidade do tratamento e eventuais medidas adicionais para mitigar riscos. Exemplos de situações que podem justificar uma DPIA incluem: tratamento de categorias especiais de dados; monitorização sistemática de atividades; ou implementação de novas tecnologias com impacto significativo na privacidade. Sempre que necessário, o DPO consultará a CNPD antes de avançar com o tratamento em causa.

5. Medidas Técnicas e Organizativas de Segurança

A ASCRA adota um conjunto robusto de medidas técnicas e organizativas para proteger os dados pessoais contra acesso indevido, destruição acidental ou ilícita, perda, alteração, divulgação não autorizada ou qualquer forma de tratamento irregular. Entre estas medidas incluem-se: encriptação de comunicações através de SSL/TLS; firewalls e sistemas anti-intrusão; mecanismos anti-malware e anti-phishing; controlo de acessos baseado no princípio do “necessário saber”; autenticação forte quando aplicável; backups cifrados e políticas de recuperação de desastres; registos e monitorização contínua dos sistemas; atualizações regulares de software e correções de segurança; auditorias internas periódicas; políticas formais de proteção de dados; formação contínua a colaboradores e voluntários; avaliação de subcontratantes; e procedimentos internos rigorosos para deteção e resposta a incidentes. As medidas adotadas são continuamente revistas e ajustadas aos riscos identificados.

6. Procedimentos em Caso de Violação de Dados (Data Breach)

A ASCRA possui procedimentos formais para identificação, tratamento e comunicação de violações de dados pessoais. Quando uma violação é detetada, a ASCRA procede à sua análise imediata, identifica a origem, avalia o impacto e implementa medidas de contenção e mitigação. Caso a violação possa constituir risco para os direitos e liberdades dos titulares, a ASCRA notificará a Comissão Nacional de Proteção de Dados (CNPD) no prazo máximo de 72 horas, conforme o artigo 33.º do RGPD. Quando o risco for elevado, os titulares afetados serão informados de forma clara e atempada, incluindo a descrição da violação, possíveis consequências e medidas adotadas. Todas as violações são registadas internamente, incluindo causas, impacto, medidas tomadas e ações preventivas.

7. Exercício de Direitos pelos Titulares

Os titulares dos dados pessoais podem exercer os direitos previstos no RGPD a qualquer momento: direito de acesso; direito de retificação; direito ao apagamento; direito à limitação do tratamento; direito à portabilidade dos dados; direito de oposição; e direito de retirar o consentimento quando o tratamento se baseie nesta condição. Os titulares têm ainda o direito de apresentar reclamação à Comissão Nacional de Proteção de Dados (CNPD). A ASCRA garante mecanismos internos que permitem processar todos os pedidos de forma transparente e dentro dos prazos legais. O exercício de direitos deve ser solicitado através do Encarregado de Proteção de Dados, utilizando o email protecaodedados@ascra.pt.

8. Transferências de Dados e Subcontratantes

A ASCRA não transfere dados pessoais para fora da União Europeia. Quando recorre a subcontratantes, garante que estes cumprem integralmente o RGPD, atuam exclusivamente segundo instruções da ASCRA, aplicam medidas de segurança adequadas, mantêm obrigações de confidencialidade e assinham contratos de subcontratação em conformidade com o artigo 28.º do RGPD. Sempre que um subcontratante utilize serviços externos que impliquem transferência internacional, essa transferência será proibida, salvo se existirem garantias adequadas reconhecidas pela Comissão Europeia. A ASCRA avalia periodicamente todos os subcontratantes para garantir a continuidade da conformidade legal.

9. Alterações a esta Página

A ASCRA pode atualizar esta página de Proteção de Dados sempre que necessário, garantindo informação transparente e atualizada sobre as medidas adotadas e obrigações legais em vigor. A versão mais recente será sempre disponibilizada no website ascra.pt.