PORTULAN/parlamento-pt huggingface dataset:
21 DE JULHO DE 2015 307____________________________________________________________________________________________________Artigo 21.o Deveres perante o Instituto dos Mercados Públicos, do Imobiliário e da Construção, I.P., e o Gabinete Nacional de Segurança 1 - As empresas gestoras estabelecidas em território nacional são obrigadas a facultar ao IMPIC, I.P., e ao GNS o acesso às respetivas instalações e aos equipamentos e sistemas conexos com a atividade de gestão da plataforma eletrónica, a prestar-lhes todas as informações, documentação e demais elementos relacionados com a sua atividade que o IMPIC, I.P., ou o GNS lhes solicite, bem como a comunicar-lhes, no prazo de 15 dias a contar da respetiva ocorrência:  a) Qualquer alteração verificada nos requisitos gerais de licenciamento previstos no artigo 15.o; b) A cessação da respetiva atividade em território nacional; c) A criação de sucursais, agências, estabelecimentos, locais de atendimento e outras formas de representação comercial da empresa relacionadas com a atividade de gestão de plataformas eletrónicas em território nacional.  2 - As empresas gestoras estabelecidas em território nacional são também obrigadas a informar o IMPIC, I.P., e o GNS, no prazo de 30 dias a contar de cada uma das respetivas ocorrências, de todas as alterações que impliquem atualização de dados identificativos da empresa, bem como, quando se tratar de sociedades com sede em território nacional ou constituídas ao abrigo da lei portuguesa, de quaisquer modificações introduzidas no respetivo contrato de sociedade. 3 - As comunicações e informações referidas nos números anteriores são efetuadas pelos meios indicados no n.o 1 do artigo 14.o, sendo a prestação de falsas declarações ou falsas informações punível nos termos da lei.
II SÉRIE-A — NÚMERO 174 308___________________________________________________________________________________________________Artigo 22.o Deveres perante os utilizadores 1 - A empresa gestora está obrigada, desde o início do procedimento de formação dos contratos públicos na plataforma eletrónica até à respetiva conclusão, no que respeita às condições técnicas de utilização pelos seus utilizadores: a) A intervir e a prestar auxílio, quando necessário ou lhe seja solicitado, no esclarecimento de eventuais dúvidas na utilização da plataforma eletrónica por parte dos representantes da entidade adjudicante ou dos interessados no procedimento de formação do contrato; b) A garantir um canal de comunicação com vista à resolução dos problemas específicos que se coloquem, no âmbito do procedimento de formação do contrato; c) A disponibilizar relatórios de anomalias, registos de acessos, submissões ou outra informação relevante, sempre que tecnicamente possível, para efeitos de tomada de decisões que surjam nos procedimentos de formação de um contrato público, quando solicitada pelo respetivo júri; d) A manter uma linha de apoio aos utilizadores, que permita, no mínimo: i) Disponibilizar uma linha telefónica de número único «707» para o efeito; ii) Assegurar atendimento entre as 9 e as 19 horas, em dias úteis; iii) Garantir um nível de atendimento nos termos do Decreto-Lei  n.o 134/2009, de 2 de junho, alterado pelo Decreto-Lei n.o 72-A/2010, de 18 de junho. 2 - Para cumprimento das obrigações previstas no número anterior, a empresa gestora deve disponibilizar na página de entrada da plataforma eletrónica, os seus contactos de suporte e apoio técnico.
21 DE JULHO DE 2015 309____________________________________________________________________________________________________3 - A empresa gestora é ainda obrigada a comunicar aos respetivos utilizadores, com a antecedência mínima de 90 dias, a sua intenção de cessar a atividade de prestação de serviços de gestão da plataforma eletrónica, bem como a indicar a entidade a quem toda a documentação deve ser transmitida. CAPÍTULO V Tipos de serviços prestados pelas plataformas eletrónicas Artigo 23.o Remuneração pelos serviços prestados 1 - As empresas gestoras são remuneradas pelas entidades adjudicantes pelo serviço de disponibilização da plataforma eletrónica, pelo apoio à respetiva utilização e outros serviços avançados, conforme contratado entre as partes, de acordo com os procedimentos estabelecidos no CCP, com pleno respeito pelas regras da concorrência estabelecidas na legislação nacional e europeia. 2 - As empresas gestoras devem proporcionar a qualquer operador económico, pessoa singular ou coletiva, a título gratuito, um mínimo de três acessos, em simultâneo, aos serviços base da respetiva plataforma eletrónica. 3 - As empresas gestoras apenas podem cobrar aos operadores económicos pelos serviços de disponibilização de mais do que três acessos aos serviços base ou pela prestação de serviços avançados. 4 - As empresas gestoras devem manter em local público da plataforma eletrónica a tabela de preços de todos os serviços oferecidos, com indicação expressa da sua entrada em vigor, ou última atualização.
II SÉRIE-A — NÚMERO 174 310___________________________________________________________________________________________________5 - O modelo de remuneração das empresas gestoras, para efeitos de definição das quantias a pagar entre estas, tendo em conta o volume de procedimentos lançados em cada uma das plataformas eletrónicas e o número de operadores económicos que a eles concorrem acedendo através de outras plataformas, é objeto de portaria do membro do Governo que tutela o IMPIC, I.P. Artigo 24.o Serviços base prestados aos operadores económicos 1 - Os serviços base a disponibilizar aos operadores económicos nos termos dos n.os 2 e 3 do artigo anterior, compreendem o acesso a todas as funcionalidades essenciais, mediante contrato de utilização com a plataforma selecionada, que permitam o desenvolvimento total e completo dos procedimentos pré-contratuais públicos, designadamente: a) O acesso aos procedimentos e às peças do procedimento que tenham sido publicadas; b) O envio de mensagens através da plataforma eletrónica; c) O envio de mensagens de correio eletrónico para todos os intervenientes na fase do procedimento de formação de contratos públicos em curso, sempre que, nos termos do CCP, tal comunicação seja obrigatória; d) Os pedidos de esclarecimentos e listas de erros e omissões; e) A submissão de candidaturas, de propostas e de soluções; f) As pronúncias em audiência prévia; g) As reclamações e as impugnações; h) A decisão de adjudicação; i) A entrega de documentos de habilitação; j) A visualização de todas as mensagens e avisos criados pelas entidades adjudicantes a que, nos termos da lei, deva ter acesso.
21 DE JULHO DE 2015 311____________________________________________________________________________________________________2 - O acesso aos serviços base da plataforma eletrónica é concedido aos operadores económicos registados numa plataforma. 3 -  Os serviços a prestar pelas empresas gestoras devem satisfazer todas as exigências e condições estabelecidas no CCP e na presente lei, no âmbito de cada uma das fases do procedimento de formação dos contratos públicos. 4 - A empresa gestora é responsável pela disponibilização das funcionalidades necessárias à aplicação das disposições do CCP e da presente lei, no que respeita à contratação eletrónica em boas condições de segurança, de registo, de fiabilidade e de sustentabilidade. 5 - O interface com os utilizadores e todas as comunicações e procedimentos realizados nas plataformas eletrónicas são redigidos em língua portuguesa, podendo ser disponibilizado interface adicional noutras línguas. Artigo 25.o Serviços avançados prestados aos operadores económicos Para efeitos do disposto no n.o 3 do artigo 23.o, são serviços avançados todos os que não sendo necessários para o desenvolvimento total e completo dos procedimentos pré-contratuais públicos, nos termos do artigo anterior, são facultativos, podendo ser prestados pelas plataformas eletrónicas aos operadores económicos mediante contrato e pagamento de um preço. Artigo 26.o Cessação da prestação de serviços de gestão e exploração Quando a empresa gestora cesse a prestação de serviços contratada, por decisão sua ou de terceiros, por acordo com as entidades adjudicantes que a tiverem contratado, ou por caducidade dos contratos de prestação de serviços, devem os respetivos responsáveis assegurar, sem quaisquer encargos adicionais, que:
II SÉRIE-A — NÚMERO 174 312___________________________________________________________________________________________________a) A informação constante da mesma, respeitante a procedimentos de contratação pública já concluídos, bem como todos os arquivos de auditoria, transitam, para efeitos de custódia, para as entidades adjudicantes de cada procedimento, devendo ser asseguradas as condições de leitura de todos os documentos; b) Os procedimentos de formação de contratos públicos em curso seguem a sua tramitação até à conclusão, sem qualquer encargo adicional para a entidade adjudicante e para os operadores económicos interessados, candidatos e concorrentes. CAPÍTULO VI Requisitos funcionais, técnicos e de segurança das plataformas eletrónicas SECÇÃO I Requisitos funcionais das plataformas eletrónicas Artigo 27.o Requisitos das plataformas eletrónicas Os serviços a prestar pelas plataformas eletrónicas devem satisfazer integralmente todas as exigências e condições estabelecidas no CCP no âmbito de cada uma das fases dos procedimentos de formação dos contratos. Artigo 28.o  Disponibilização e livre acesso 1 - As plataformas eletrónicas devem estar disponíveis, não podendo constituir um fator de restrição no acesso dos interessados aos procedimentos de formação de contratos públicos.
21 DE JULHO DE 2015 313____________________________________________________________________________________________________2 - O acesso às plataformas eletrónicas e aos seus instrumentos deve estar permanentemente disponível a todos os interessados, salvo nos casos em que as limitações de acesso se justifiquem por razões de manutenção ou avaria dos sistemas. 3 - O processo de registo dos operadores económicos nas plataformas eletrónicas, na modalidade gratuita, não pode exceder três dias úteis. 4 - A manutenção dos dados dos operadores económicos e dos utilizadores deve ser feita pelos próprios utilizadores de forma autónoma e gratuita, excluindo a designação dos operadores económicos, o respetivo número de identificação fiscal e o endereço de correio eletrónico de cada utilizador. 5 - As operações de manutenção das plataformas eletrónicas que limitem a disponibilidade de serviço, devem ser realizadas entre as 00h00 e as 8h00, nos dias úteis, ou aos sábados, domingos e feriados nacionais, a qualquer hora, com vista a minorar os constrangimentos causados aos utilizadores. 6 - Salvo em casos de manutenção urgente devidamente justificados, as operações de manutenção referidas no numero anterior devem ser comunicadas aos utilizadores, na página de entrada da respetiva plataforma, com 72 horas de antecedência, e comunicadas ao IMPIC, I.P., no prazo de 24 horas após a sua ocorrência. Artigo 29.o  Não discriminação 1 - Os instrumentos a utilizar nas plataformas eletrónicas e disponibilizados aos operadores económicos, nomeadamente os produtos, as aplicações e os programas informáticos, bem como as respetivas especificações técnicas, devem ser compatíveis com os produtos, de uso corrente no domínio das tecnologias da informação e da comunicação, designadamente com o Regulamento Nacional de Interoperabilidade Digital (RNID), de forma a evitar situações discriminatórias.
II SÉRIE-A — NÚMERO 174 314___________________________________________________________________________________________________2 - As empresas gestoras não podem exigir o cumprimento de requisitos injustificados, não proporcionais ou que de forma alguma consubstanciem um fator de discriminação, designadamente para efeitos de acesso ao sistema de contratação da plataforma eletrónica. 3 - A plataforma eletrónica deve indicar a forma de obter os programas informáticos utilizados, bem como os respetivos comandos e instruções. 4 - As aplicações e os programas informáticos utilizados nas plataformas eletrónicas devem ser de fácil instalação e utilização, com manual de instalação e utilização, permitindo o acesso a um utilizador com conhecimentos médios nos domínios das tecnologias da informação e comunicação. Artigo 30.o Requisitos funcionais 1 - As plataformas eletrónicas devem garantir, no mínimo, os seguintes requisitos funcionais: a) Basear-se em normas abertas, de acordo com o RNID, que não envolvam custos específicos de licenciamento por parte dos utilizadores, disponibilizando as aplicações que permitam efetuar o carregamento dos documentos na plataforma eletrónica; b) Garantir que todas as mensagens entre interessados, candidatos, concorrentes e adjudicatários, relativas a pedidos de esclarecimentos, lista de erros e omissões, pronúncias, incluindo os documentos anexos às mesmas, ficam automaticamente disponíveis para visualização daqueles que tenham acesso à fase do procedimento em curso; c) Garantir o envio de mensagens de correio eletrónico para todos os intervenientes na fase do procedimento de formação do contrato público em curso, sempre que, nos termos do CCP, tais comunicações sejam obrigatórias; d) Garantir o registo do envio das mensagens de correio eletrónico;
21 DE JULHO DE 2015 315____________________________________________________________________________________________________e) Garantir o registo de qualquer ação efetuada pelos diversos utilizadores registados; f) Listar, ordenar e exportar para formato XML (Extensible Markup Language) e ou para folha de cálculo em formato ODF (Open Document Format), em todas as fases do procedimento, a informação relevante para a gestão, o reporte e a monitorização, incluindo os metadados; g) Disponibilizar um relatório para verificação e controlo do fluxo do procedimento de acordo com o artigo seguinte; h) Permitir a parametrização de procedimentos com diferentes critérios de adjudicação em cada lote; i)  Suportar a realização de todos os procedimentos de formação de contratos públicos, nos termos previstos no CCP; j) Permitir o descarregamento agregado de todos os documentos anexos a mensagens submetidas pelos operadores económicos; k) Permitir o descarregamento agregado de todos os documentos, incluindo peças do procedimento, pedidos de esclarecimento sobre as peças, esclarecimentos prestados sobre as peças, listas de erros e omissões, pronúncias sobre erros e omissões, propostas dos concorrentes, pedidos de esclarecimentos sobre as propostas, esclarecimentos prestados sobre as propostas, relatórios do júri e dos serviços competentes da entidade adjudicante, pronúncias em sede de audiência prévia e todas as notificações da entidade adjudicante, por procedimento; l) Permitir a utilização de mecanismos de autenticação e assinatura eletrónica com certificados qualificados emitidos por entidades que constem na Trusted-Service Status List, nomeadamente, o constante do cartão de cidadão; m) Facultar o acesso ao registo de atividades realizadas nas diversas etapas do processo de contratação, com possibilidade de definição de notificações automáticas de eventos;
II SÉRIE-A — NÚMERO 174 316___________________________________________________________________________________________________n) Permitir importar mapas de quantidades com múltiplos requisitos (matriz n*m) e múltiplos lotes e exportar para formatos XML e ou para folha de cálculo em formato ODF; o) Dispor de um «relógio/contador» relativo à hora oficial portuguesa indicativo do prazo restante, contado nos termos do CCP, para cada fase do procedimento, designadamente, para efetuar pedidos de esclarecimentos, para identificar erros e omissões, para apresentação de propostas, para audiência prévia, para entrega dos documentos de habilitação e aceitação da minuta do contrato e para prestação da caução; p) Suportar a realização de leilões eletrónicos invertidos mono e multivariáveis, com uma ou várias rondas, ocultando a identificação dos concorrentes participantes; q) Permitir a integração bidirecional com sistemas de informação de gestão das entidades adquirentes, através da plataforma de interoperabilidade da Administração Pública, permitindo o envio de informação para a plataforma de contratação pública e o envio de informação em sentido contrário; r) Garantir a possibilidade de auditoria em qualquer momento do processo. s) Garantir processo de verificação das características do certificado qualificado para assinatura eletrónica de documentos. t) Possibilitar o acesso, por parte da Autoridade da Concorrência, aos dados que permitam a monitorização dos preços apresentados pelos operadores económicos. 2 - As entidades adjudicantes são livres de, nos documentos que suportam os procedimentos de contratação de plataformas eletrónicas, exigirem requisitos adicionais, designadamente: a) Disponibilizar ambiente de pré-produção para realização de testes e formação inicial;
21 DE JULHO DE 2015 317____________________________________________________________________________________________________b) Permitir disponibilização da plataforma eletrónica em subdomínio, no domínio da entidade gestora, definido pela entidade adjudicante; c) Permitir, através da plataforma de interoperabilidade da Administração Pública, a recolha de informação relativa aos procedimentos de aquisição no âmbito do Sistema Nacional de Compras Públicas para monitorização dos preços apresentados pelos operadores económicos, nos termos a definir pela Entidade de Serviços Partilhados da Administração Pública, I.P. (ESPAP, I.P.). Artigo 31.o Fluxo do procedimento 1 - As plataformas eletrónicas mantêm em vigor um sistema que documenta as várias fases do procedimento conduzido por meios eletrónicos, permitindo, em cada momento, fornecer informação adequada e fidedigna que se revele necessária. 2 - As plataformas eletrónicas devem disponibilizar as funcionalidades necessárias para o cumprimento desta obrigação de forma a permitir manter os documentos no seu formato original, devidamente conservados, bem como um registo de todas as incidências do procedimento apto a servir de prova, em caso de litígio. 3 - O sistema referido no n.o 1 deve permitir identificar, entre outras informações: a) A entidade e o utilizador que acedeu às peças do procedimento; b) A data e hora exatas da submissão dos documentos; c) O documento enviado, bem como a entidade e o utilizador que o enviou; e d) A duração da comunicação. 4 - O sistema previsto no presente artigo deve manter-se atualizado, incluindo a informação cronológica nas peças do concurso, até ao ato de adjudicação, sem prejuízo do disposto no artigo 74.o.
II SÉRIE-A — NÚMERO 174 318___________________________________________________________________________________________________Artigo 32.o Impedimentos de acesso à plataforma eletrónica 1 - A entidade adjudicante e a empresa gestora apenas respondem pelos impedimentos de ordem técnica no acesso à plataforma eletrónica que lhes sejam imputáveis, que sejam imputáveis ao sistema em que a plataforma opera ou à própria plataforma. 2 - Sempre que ocorram problemas técnicos na rede pública ou na plataforma eletrónica que impossibilitem ou tornem excessivamente demorada a prática de qualquer ato que, nos termos do CCP, deva ser praticado na plataforma eletrónica, deve a entidade adjudicante, por iniciativa própria ou a solicitação dos candidatos e concorrentes, tomar todas as medidas necessárias de forma a que os interessados não sejam prejudicados, podendo, nomeadamente, prorrogar o prazo para a prática desses mesmos atos, o qual aproveita a todos os candidatos e concorrentes. 3 - A entidade gestora deve informar, através de anúncio publicado na página de entrada da plataforma eletrónica, em área de acesso livre a todos os interessados, o período de tempo durante o qual a mesma esteve inoperacional. Artigo 33.o Informação aos interessados As plataformas eletrónicas devem disponibilizar, em local de acesso livre a todos os potenciais interessados, as especificações necessárias exigidas para a realização dos procedimentos de formação dos contratos, designadamente as respeitantes: a) A anúncios publicados no Diário da República ou no Jornal Oficial da União Europeia, quando existam; b) Às peças do procedimento; c) Ao modo de apresentação das candidaturas, soluções e propostas, tal como definido pela entidade adjudicante;
21 DE JULHO DE 2015 319____________________________________________________________________________________________________d) Ao modo e requisitos a que a encriptação de dados deve obedecer; e) A assinaturas eletrónicas exigidas e ao modo de as obter, designadamente através da utilização dos certificados do cartão de cidadão; f) Aos selos temporais exigidos e ao modo de os obter; g) Aos requisitos a que os ficheiros que contêm os documentos das propostas, das candidaturas e das soluções devem obedecer. SECÇÃO II Requisitos técnicos das plataformas eletrónicas Artigo 34.o Interoperabilidade e compatibilidade 1 - As plataformas eletrónicas devem cumprir os requisitos de interoperabilidade e compatibilidade previstos no RNID. 2 - As plataformas eletrónicas devem ter a capacidade para permitir o intercâmbio generalizado de dados, nomeadamente entre diferentes formatos e aplicações ou entre níveis diferentes de desempenho, respeitando os requisitos fixados e atualizados, sempre que razões de ordem tecnológica tal justifique, mediante portaria dos membros do Governo que tutelam o IMPIC, I.P., a ESPAP, I.P., e a Agência para a Modernização Administrativa, I.P. (AMA, I.P.), e de que depende o GNS, designadamente: a) A linguagem de scripting para página web;  b) O nível de acessibilidade para as páginas públicas; c) O acesso remoto a sistemas de ficheiros (se aplicável);  d) O envio seguro de correio eletrónico; e) A representação gráfica para a especificação de processos de negócio;
II SÉRIE-A — NÚMERO 174 320___________________________________________________________________________________________________f) O protocolo para a garantia de entrega de mensagens na integração entre dois ou mais sistemas de informação interorganismos da Administração Pública; g) A segurança de integridade e confidencialidade da comunicação na integração entre dois ou mais sistemas de informação interorganismos da Administração Pública;  h) A segurança de autenticação da comunicação na integração entre dois ou mais sistemas de informação interorganismos da Administração Pública; i) A possibilidade de utilização de WS-Addressing na troca de informação entre sistemas de informação; j) A definição do standard universal utilizado para todos os ficheiros carregados nas plataformas eletrónicas; k) O tipo de assinatura eletrónica que todos os documentos assinados eletronicamente devem utilizar. Artigo 35.o Interligação com plataformas públicas 1 - Sem prejuízo do disposto no artigo anterior, as plataformas eletrónicas devem garantir, sempre que necessário e tecnicamente possível através da plataforma de interoperabilidade da Administração Pública, a sua interligação: a) Com o Portal dos Contratos Públicos, quer em termos técnicos quer no que respeita ao cumprimento das regras de sincronismo necessárias à transferência dos dados requeridos entre a plataforma eletrónica e o referido Portal; b) Com o portal do Diário da República Eletrónico, nomeadamente para efeitos de envio dos anúncios previstos no CCP; c) Com o Catálogo Nacional de Compras Públicas da ESPAP, I.P., quer em termos técnicos quer no que respeita ao cumprimento das regras de sincronismo necessárias à transferência dos dados requeridos entre a plataforma eletrónica e o referido Catálogo;
21 DE JULHO DE 2015 321____________________________________________________________________________________________________d) Com a solução de Gestão de Recursos Financeiros e Orçamentais em modo partilhado (GeRFiP, da ESPAP, I.P.), quer em termos técnicos, quer no que respeita ao cumprimento das regras de sincronismo necessárias à transferência dos dados requeridos entre a plataforma eletrónica e a referida solução; e) Com a solução que venha a ser implementada pelo Tribunal de Contas ou pelas entidades do Sistema Nacional de Controlo Interno da Administração Financeira do Estado, no âmbito das suas competências na área da auditoria e controlo dos contratos públicos; f)  Com a solução de autenticação do cartão de cidadão e com o mecanismo central de autenticação «Autenticação.Gov.pt», disponibilizadas pela AMA, I.P.; g) Com o Protocolo para a Normalização da Informação Técnica na Construção (ProNIC), gerido pelo IMPIC, I.P; h) Com a plataforma a desenvolver pela Autoridade da Concorrência. 2 - As interligações previstas no número anterior devem ser estabelecidas através de protocolo a celebrar entre as respetivas entidades envolvidas. 3 - Não pode ser cobrado pelas entidades gestoras qualquer montante pelo estabelecimento das interligações previstas nos números anteriores. Artigo 36.o Interligação entre plataformas eletrónicas 1 - As empresas gestoras devem cumprir as condições de interligação e interoperabilidade entre si, necessárias para que os operadores económicos possam escolher livremente a plataforma eletrónica, independentemente da que for utilizada pela entidade pública com que pretendem interagir.
II SÉRIE-A — NÚMERO 174 322___________________________________________________________________________________________________2 - A ESPAP, I.P., é responsável pelo sistema de interligação entre as plataformas eletrónicas, cujo desenvolvimento e manutenção são assegurados pela Imprensa Nacional - Casa da Moeda, S. A. (INCM), e que funciona através da plataforma de interoperabilidade da Administração Pública. 3 - As condições de interligação, interoperabilidade e financiamento são fixadas por portaria dos membros do Governo que tutelam a AMA, I. P., a ESPAP, I.P., e o IMPIC, I.P., de que depende o GNS e responsáveis pela INCM., a publicar no prazo de 90 dias após a publicação da presente lei. 4 - Quando as fases mais avançadas de interoperabilidade forem alcançadas, cessa a obrigação de prestação dos serviços base definidos no artigo 24.o. Artigo 37.o Troca de dados entre as plataformas eletrónicas e o Portal dos Contratos Públicos 1 - A informação transmitida pelas plataformas eletrónicas ao Portal dos Contratos Públicos destina-se, designadamente, a arquivo, ao tratamento estatístico e a monitorização da informação, devendo os dados transmitidos estar devidamente codificados e serem suscetíveis de tratamento automático. 2 - A codificação a que se refere o número anterior deve estar perfeitamente sincronizada com o Portal dos Contratos Públicos, com vista a que não se verifique qualquer perturbação na correta identificação das entidades e dos processos a que respeita a informação transmitida. 3 - As condições de interligação das plataformas eletrónicas com o Portal dos Contratos Públicos são fixadas por portaria do membro do Governo que tutela o IMPIC, I.P. 4 - Sem prejuízo do disposto no número anterior, as plataformas eletrónicas devem prever a realização de procedimentos por agrupamento de entidades adjudicantes, disponibilizando para esse efeito campos para indicação dos dados de cada uma das entidades adjudicantes, nomeadamente designação e número de identificação de pessoa coletiva (NIPC), e demais dados necessários à exportação automática das fichas, a definir nos termos do artigo seguinte.
21 DE JULHO DE 2015 323____________________________________________________________________________________________________Artigo 38.o Dados a transmitir ao Portal dos Contratos Públicos As plataformas eletrónicas devem transmitir ao Portal dos Contratos Públicos dados relativos à formação e à execução dos contratos públicos, nos termos a definir por portaria do membro do Governo que tutela o IMPIC, I.P.  SECÇÃO III Requisitos de segurança das plataformas eletrónicas Artigo 39.o Implementação e gestão da segurança 1 - No desenvolvimento da sua atividade, as empresas gestoras implementam um sistema de gestão de segurança da informação baseado na Norma ISO/IEC 27001. 2 - Para efeitos do disposto no número anterior, as empresas gestoras fornecem ao GNS documentação comprovativa, nomeadamente: a) Da realização de uma avaliação exaustiva dos riscos que identifique o âmbito de aplicação do sistema e assinale o impacto na atividade em caso de violação da garantia da informação; b) Da identificação das ameaças e vulnerabilidades da plataforma eletrónica, e a produção de um documento de análise de riscos onde se enumerem igualmente contramedidas para evitar tais ameaças, e as medidas corretivas a tomar caso a ameaça se concretize, bem como a apresentação de uma lista hierarquizada de melhorias a introduzir; c) Da identificação dos riscos residuais por escrito. 3 - As empresas gestoras selecionam os controlos de segurança adequados com base na análise de riscos prevista na alínea a) do número anterior, e na norma ISO/IEC 27002, nas seguintes áreas da segurança:
II SÉRIE-A — NÚMERO 174 324___________________________________________________________________________________________________a) Avaliação de risco, adotando-se para o efeito a norma ISO/IEC 27005 ou outra metodologia de avaliação de riscos equivalente; b) Segurança física e ambiental; c) Segurança dos recursos humanos; d) Gestão de comunicações e operações; e) Medidas normalizadas de controlo do acesso; f) Aquisição, desenvolvimento e manutenção dos sistemas de informação; g) Gestão de incidentes no domínio da segurança das informações; h) Medidas para corrigir e mitigar violações dos sistemas de informação suscetíveis de causar a destruição, a perda acidental, a alteração, ou a divulgação ou acesso não autorizados dos dados pessoais a tratar; i) Conformidade; j) Segurança de redes informáticas, recomendando-se para o efeito a norma ISO/IEC 27033. 4 - A aplicação destas normas pode cingir-se apenas às partes da organização que são relevantes para a atividade das plataformas eletrónicas. Artigo 40.o Gestão de utilizadores, perfil de acesso e privilégios 1 - A plataforma eletrónica deve suportar perfis com diferentes privilégios, incluindo, no mínimo, os seguintes: a) Administrador de segurança; b) Administrador de sistemas; c) Operador de sistemas;  d) Auditor de sistemas.  2 - A plataforma eletrónica deve ser capaz de associar e atribuir os utilizadores aos perfis definidos no número anterior.
21 DE JULHO DE 2015 325____________________________________________________________________________________________________3 - A plataforma eletrónica deve garantir que um utilizador não pode ser associado a múltiplos perfis, de acordo com o seguinte critério: a) Um utilizador com o perfil de «administrador de segurança» não é autorizado a assumir o perfil de «auditor de sistemas»; b) Um utilizador com o perfil de «administrador de sistemas» não é autorizado a assumir o perfil de «administrador de segurança» ou de «auditor de sistemas». Artigo 41.o Sistemas e operações 1 - A empresa gestora garante que a plataforma eletrónica é fiável, nomeadamente: a) Os procedimentos de operação e segurança estão definidos; b) A plataforma eletrónica foi desenhada e desenvolvida de modo a que o risco de falha dos sistemas seja mínimo; c) A plataforma eletrónica está protegida de vírus e software malicioso de modo a assegurar a integridades dos sistemas e da informação nestes incluídos.  2 - As plataformas eletrónicas devem assegurar a disponibilidade da informação para todos os seus utilizadores, exceto nos períodos de manutenção, de acordo com o disposto nos n.os 5 e 6 do artigo 28.o. 3 - As plataformas eletrónicas devem implementar soluções de modo a inibir e minimizar os efeitos de ataques distribuídos de negação de serviços. 4 - A ligação da plataforma eletrónica à rede pública deve ser assegurada, no mínimo, por duas origens fisicamente independentes. 5 - Os vários sistemas que compõem a plataforma eletrónica devem estar atualizados e ser corrigidos (patched), de forma expedita, à medida que são descobertas novas vulnerabilidades.
II SÉRIE-A — NÚMERO 174 326___________________________________________________________________________________________________6 - Todos os serviços das plataformas eletrónicas devem estar sincronizados com o NTP (Network Time Protocol) definido a partir do UTC (Universal Time Coordinated), devendo ser utilizadas duas fontes de tempo diferentes, em que uma delas é obrigatoriamente a hora legal portuguesa. 7 - Em caso de desastre, as plataformas eletrónicas devem disponibilizar meios capazes de continuar as operações usando sistemas alternativos e assegurar o backup para garantir a integridade e a possibilidade de recuperação da informação. 8 - A empresa gestora deve especificar na sua política qual o tempo máximo aceitável, na reposição dos serviços. Artigo 42.o Segurança aplicacional 1 - A empresa gestora deve garantir que o sistema se encontra devidamente protegido contra vulnerabilidades e ataques, impedindo, designadamente: a) Falhas de injeção, nomeadamente, interrogações SQL (Structured Query Language), LDAP (Lightweight Directory Access Protocol) ou XPath (XML Path Language), comandos do sistema operativo (SO) e alteração de argumentos de programa; b) XSS (Cross-Site Scripting).  2 - O sistema deve assegurar a autenticação forte e a gestão das sessões, o que exige, no mínimo, que:  a) As credenciais sejam sempre protegidas quando armazenadas com recurso a técnicas de controlo da integridade dos dados (hashing) ou de cifragem dos dados; b) As credenciais não possam ser adivinhadas nem alteradas através de funções de gestão da conta pouco sólidas, nomeadamente, através da criação de conta, alteração da senha, recuperação da senha ou identificadores de sessão frágeis;
21 DE JULHO DE 2015 327____________________________________________________________________________________________________c) Os identificadores de sessão e os dados da sessão não se encontrem expostos no localizador uniforme de recursos (URL);  d) Os identificadores de sessão não sejam vulneráveis a ataques de fixação de sessão;  e) Os identificadores de sessão tenham um tempo limite de operação, o que assegura que o utilizador sai do sistema;  f) As senhas, os identificadores de sessão e outras credenciais sejam enviados apenas através do protocolo TLS (Transport Layer Security). 3 - O sistema deve possuir uma configuração de segurança adequada, o que exige, no mínimo, que:  a) Todos os elementos de software sejam atualizados, na medida do necessário para mitigar eventuais vulnerabilidades, nomeadamente o SO, o servidor web e o servidor de aplicações, o sistema de gestão de bases de dados (DBMS), as aplicações, e todas as bibliotecas de códigos;  b) Os serviços e processos desnecessários do SO, servidor web e servidor de aplicações, sejam desativados, retirados ou não sejam instalados;  c) As senhas da conta por defeito sejam alteradas ou desativadas. 4 - O sistema deve limitar o acesso ao URL com base nos níveis e autorizações de acesso do utilizador, exigindo-se, no mínimo, que:  a) Se forem utilizados mecanismos de segurança externos, para fins de autenticação e verificação das autorizações de acesso às páginas, os mesmos devem estar devidamente configurados para cada página;  b) Se for utilizada proteção ao nível dos códigos, a mesma deve existir para cada página pretendida.  5 - O sistema deve utilizar o protocolo TLS de modo a garantir uma proteção suficiente, devendo estar criadas todas as medidas que se seguem ou outras de eficácia equivalente:
II SÉRIE-A — NÚMERO 174 328___________________________________________________________________________________________________a) O sistema deve exigir a versão mais atualizada do protocolo HTTPS (Hypertext Transfer Protocol Secure) para aceder a quaisquer recursos sensíveis utilizando certificados que sejam válidos, não caducados, não revogados e compatíveis com todos os domínios utilizados pelo sítio;  b) O sistema deve apor a indicação «seguro» em todos os cookies sensíveis;  c) O servidor deve configurar o fornecedor do TLS de modo a que este apenas aceite algoritmos de cifragem de dados conformes com as melhores práticas; d) Os utilizadores devem ser informados de que devem ativar a funcionalidade TLS no seu navegador.  6 - O sistema deve impedir reencaminhamentos e reenvios não validados. Artigo 43.o Integridade dos dados 1 - As plataformas eletrónicas não devem partilhar hardware e recursos do SO, nem quaisquer dados, nomeadamente, credenciais de acesso e de cifragem, com qualquer outra aplicação ou sistema.  2 - Cada transação com sucesso que envolva modificação do conteúdo da informação da plataforma eletrónica deve fazer passar a base de dados (BD) de um estado de integridade para outro estado de integridade. 3 - Deve ser garantido que todos os dados críticos da plataforma eletrónica são seguros e autênticos, devendo para o efeito ser utilizados algoritmos e chaves fortes, de acordo com as normas internacionais.  4 - Devem ser considerados como dados críticos, no mínimo, todas as configurações de segurança, perfis de utilizador, dados relativos às peças do procedimento e propostas, bem como os respetivos backups.
21 DE JULHO DE 2015 329____________________________________________________________________________________________________Artigo 44.o Segurança de rede 1 - A ligação da plataforma eletrónica à Internet deve ser protegida por um sistema de proteção de fronteira.  2 - Todo o tráfego destinado à plataforma eletrónica deve ser inspecionado e registado.  3 - As regras do sistema de proteção de fronteira devem rejeitar o tráfego que não é necessário à utilização e à administração segura do sistema.  4 - A plataforma eletrónica deve estar alojada num segmento da rede de produção devidamente protegido, separado de eventuais segmentos utilizados para alojar sistemas que não são de produção, como ambientes de desenvolvimento ou de testes. 5 - A rede local (LAN) deve cumprir, no mínimo, as seguintes medidas de segurança:  a) Lista de acesso Layer 2/ segurança dos portos (port switch);  b) Os portos não utilizados/necessários devem ser desativados;  c) A DMZ (demilitarized zone) deve encontrar-se numa rede local virtual (VLAN) ou LAN própria; d) Não devem estar ativas interligações (trunking) L2 em portas desnecessárias.  Artigo 45.o Tratamento dos dados pessoais e livre circulação O tratamento de informação, pelas plataformas eletrónicas, que contenha dados pessoais, implica a notificação prévia da Comissão Nacional de Proteção de Dados, nos termos previstos na Lei de Proteção de Dados Pessoais.
II SÉRIE-A — NÚMERO 174 330___________________________________________________________________________________________________Artigo 46.o Segurança física Sem prejuízo dos controlos de segurança identificados e implementados, com base nos requisitos da ISO/IEC 27001, os sistemas que compõem a plataforma eletrónica devem estar devidamente protegidos em zona segura, com acesso restrito e controlado por sistemas de controlo de acessos e dentro dessa zona, no mínimo, instalado num bastidor seguro. Artigo 47.o Identificação e autenticação 1 - A plataforma eletrónica deve garantir a existência de uma conta individual por utilizador e que os dados de autenticação são únicos. 2 - Sempre que o utilizador sai da sua conta (logout), para voltar a entrar a plataforma eletrónica deve requerer novamente a apresentação dos dados de autenticação. 3 - A plataforma eletrónica deve garantir que o utilizador tem capacidade para definir as suas senhas ou códigos de acesso, gerir os seus certificados de autenticação, gerir os seus selos de validação cronológica e autenticar-se de forma segura, designadamente através do cartão do cidadão ou da chave móvel digital.  4 - Nos casos em que os dados de autenticação são criados pela plataforma eletrónica ou por um sistema exterior, a plataforma eletrónica deve garantir que na primeira utilização o utilizador é obrigado a definir novos dados de autenticação, exceto quando aquela seja feita através da interligação com os mecanismos referidos na alínea f) do n.o 1 do artigo 35.o 5 - Se for ultrapassado o número máximo de tentativas de autenticação, a plataforma eletrónica deve bloquear a conta do utilizador, que é notificado, por meio fidedigno, do procedimento estabelecido para o desbloqueio.
21 DE JULHO DE 2015 331____________________________________________________________________________________________________6 - A plataforma pode permitir o acesso dos utilizadores por método de autenticação através do nome de utilizador e senha, de acordo com o n.o 3, e deve alertar os utilizadores para o nível de segurança associado a esse método de autenticação. Artigo 48.o Controlo de acessos 1 - As plataformas eletrónicas devem garantir a capacidade de controlar e limitar o acesso aos diversos recursos, identificando os utilizadores, associando o perfil às respetivas permissões e restrições.  2 - Para o efeito, as entidades gestoras de plataformas devem garantir a identificação correta e fiável dos utilizadores e do operador económico através de processo de verificação. 3 - O processo de verificação de identidade inicia-se após solicitação do operador económico, devendo a entidade gestora disponibilizar um certificado de autenticação provisório e gratuito em 24 horas, garantindo a sua conclusão com a entrega do certificado de autenticação definitivo no prazo máximo de 30 dias. 4 - O processo de verificação de identidade é dispensado para procedimentos de formação de contratos celebrados ao abrigo de acordo-quadro. 5 - As plataformas devem ter mecanismos para garantir o controlo de perfis e acesso restrito às peças concursais para os procedimentos que exigem um nível de proteção elevado e verificação dos utilizadores que podem ter acesso. 6 - As aplicações devem operar com o menor conjunto de privilégios de que necessitam para esse fim.
II SÉRIE-A — NÚMERO 174 332___________________________________________________________________________________________________Artigo 49.o Gestão das chaves criptográficas 1 - Para a cifragem dos dados devem ser utilizados algoritmos correntes fortes e chaves fortes. 2 - A integridade das senhas deve ser controlada com técnicas hash que utilizam um algoritmo corrente forte e com técnicas salt adequadas.  3 - Todas as chaves e senhas devem estar protegidas contra qualquer acesso não autorizado.  4 - Quando as chaves assimétricas sejam emitidas pela plataforma eletrónica e para efeitos de confidencialidade, devem as mesmas ser alvo de mecanismos e procedimentos de retenção da chave privada (key escrow), com controlo multipessoal. Artigo 50.o Registos de acesso 1 - Os registos de acessos devem indicar os dados da máquina de origem, da máquina de destino, do utilizador do sistema, da data e hora do evento e dos ficheiros acedidos, quando aplicável.  2 - A plataforma eletrónica deve: a) Disponibilizar um interface amigável que permita analisar a informação constante dos registos de auditoria, com capacidade para efetuar pesquisas, pelo menos, baseado na data e hora do evento, no tipo de evento e na identidade do utilizador/processo; b) Garantir a segurança dos dados de registo, bem como suficiente espaço para guardar esses dados; c) Garantir que os dados de registo não podem ser automaticamente reescritos;
21 DE JULHO DE 2015 333____________________________________________________________________________________________________d) Garantir que é vedada a leitura no registo de acessos a todo e qualquer utilizador, com exceção dos que, possuindo perfil de auditores de sistemas, estejam expressamente autorizados para o efeito; e) Gerar alarmes, designadamente, por correio eletrónico e por SMS (short message service), sempre que se detete eventual violação de segurança.  3 - No mínimo, sempre que um utilizador com perfil de administrador de segurança ou administrador de sistemas exceda o número máximo de tentativas de autenticação deve ser gerado o referido alarme para os utilizadores com o perfil de administrador de segurança. 4 - O período de retenção dos arquivos de auditoria e registo de acessos deve ser de cinco anos. 5 - As plataformas eletrónicas devem, obrigatoriamente, registar os seguintes eventos:  a) Ligar e desligar os servidores;  b) Tentativas com sucesso ou fracassadas de alteração dos parâmetros de segurança do SO;  c) Tentativas com sucesso ou fracassadas de criar, modificar, apagar contas do sistema;  d) Ligar e desligar as aplicações e sistemas utilizados pela plataforma eletrónica;  e) Tentativas com sucesso ou fracassadas de início e fim de sessão;  f)  Tentativas com sucesso ou fracassadas de consulta de dados;  g) Tentativas com sucesso ou fracassadas de alteração de configurações; h) Tentativas com sucesso ou fracassadas de modificação de dados; i) Tentativas com sucesso ou fracassadas de criar, modificar ou apagar informação relativa às permissões;  j) Tentativas com sucesso ou fracassadas de acesso às instalações onde estão alojados os sistemas das plataformas eletrónicas;  k) Cópias de segurança, recuperação ou arquivo dos dados;  l) Alterações ou atualizações de software e hardware;  m) Manutenção do sistema.
II SÉRIE-A — NÚMERO 174 334___________________________________________________________________________________________________Artigo 51.o Arquivo 1 - As plataformas eletrónicas devem garantir que conseguem gerar arquivos em suporte lógico adequado. 2 - As plataformas eletrónicas devem garantir a guarda e o processamento dos arquivos de modo a poderem vir a constituir-se como meio de prova. 3 - Os registos de acesso e toda a documentação relativa aos procedimentos de formação de contratos públicos devem ser arquivados. 4 - As plataformas eletrónicas devem garantir a manutenção e o arquivo dos registos de utilização e acesso dos documentos nela carregados. 5 - O registo dos arquivos de auditoria deve ser realizado de preferência em texto com codificação UTF-8 (unicode transformation format) e exportável. 6 - Os arquivos devem ser armazenados e organizados de forma sequencial, diariamente, sendo assinados eletronicamente e com aposição de selo temporal emitido por uma entidade certificadora que preste serviços de validação cronológica. 7 - A plataforma eletrónica deve garantir, do ponto de vista tecnológico, que a destruição de um arquivo só pode ser levado a cabo com a autorização expressa por escrito do administrador de sistema, do administrador de segurança e do auditor de sistemas. Artigo 52.o Cópias de segurança e recuperação 1 - A plataforma eletrónica deve incluir uma função para efetuar cópia de segurança da informação associada aos procedimentos de contratação eletrónica. 2 - Os dados guardados na cópia de segurança devem ser suficientes para recriar o estado do sistema.