Os SASUE têm de garantir que o recurso a subcontratantes ocorrerá apenas por contrato, estabelecendo, nomeadamente:
- a)Objeto e duração do tratamento;
- b)Natureza e a finalidade do processamento;
- c)Categorias de dados pessoais em causa e dos titulares;
- d)Obrigações do subcontratante;
- e)Obrigação de o tratamento ser efetuado apenas mediante instruções documentadas dos SASUE;
- f)Que as pessoas autorizadas a tratar os dados pessoais assumiram um compromisso de confidencialidade;
- g)Adoção de medidas de segurança adequadas ao tratamento;
- h)Possibilidade de recorrer a outro subcontratante apenas com o consentimento específico, prévio e por escrito dos SASUE;
- i)Auxiliar os SASUE para que este cumpra as obrigações que tem perante os titulares dos dados;
- j)Auxiliar os SASUE para que este cumpra as obrigações referentes à implementação de medidas de segurança, notificações de incidente de segurança e realização de avaliação de impacto sobre a proteção de dados (AIPDs);
- k)Destino final dos dados findo o contrato e de acordo com as instruções dos SASUE: apagamento ou devolução de todos os dados pessoais depois de concluída a prestação de serviços relacionados com o tratamento;
- l)Disponibilização de todas as informações necessárias para que os SASUE possam demonstrar o cumprimento das obrigações, bem como facilitar e contribuir para as auditorias, inclusive as inspeções, conduzidas pelo Responsável pelo tratamento ou por outro auditor por este mandatado.