Acordo de Tratamento de Dados

1. Partes e funções

Responsável pelo tratamento: a empresa ou o profissional titular da conta ORÇIVO («Cliente»).

Subcontratante: David Coelho, NIF 269913068, Calçada do Barro, n.º 55, 2670-345 Loures, que presta o serviço ORÇIVO («ORÇIVO»). Contacto: [email protected].

Este acordo não se aplica aos dados da conta do próprio Cliente (email, dados da empresa, faturação). Para esses dados, o ORÇIVO é responsável pelo tratamento, nos termos da Política de Privacidade.

2. Objeto, duração, natureza e finalidade

• Objeto: tratamento dos dados pessoais que o Cliente introduz no ORÇIVO ou recolhe através dele.
• Duração: enquanto a conta do Cliente existir, e até à eliminação dos dados prevista na cláusula 10.
• Natureza e finalidade: alojar, organizar, apresentar e enviar orçamentos aos clientes do Cliente, gerar documentos PDF e páginas de orçamento com link, registar a resposta (aprovação ou rejeição) e apresentar indicadores ao Cliente. O ORÇIVO não usa estes dados para fins próprios.
• Titulares dos dados: clientes e potenciais clientes do Cliente, e as pessoas que abrem ou respondem a um orçamento.
• Categorias de dados: nome, email, telefone, NIF, morada e notas sobre o cliente; conteúdo dos orçamentos; nome indicado e comentário na resposta a um orçamento; data e hora, prefixo truncado do endereço IP e identificação abreviada do navegador de quem responde.

O ORÇIVO não se destina a tratar categorias especiais de dados (art. 9.º do RGPD). O Cliente compromete-se a não as introduzir.

3. Instruções do Cliente

O ORÇIVO trata os dados apenas mediante instruções documentadas do Cliente, incluindo quanto a transferências para países terceiros, salvo se a lei exigir outro tratamento. Nesse caso, o ORÇIVO informa o Cliente antes do tratamento, salvo se a lei o proibir. As instruções do Cliente são este acordo, os Termos de Serviço e as ações que realiza no serviço (criar, editar, enviar, partilhar, exportar ou apagar dados). O ORÇIVO informa o Cliente de imediato se considerar que uma instrução viola a legislação de proteção de dados.

4. Confidencialidade

O ORÇIVO garante que as pessoas autorizadas a tratar os dados assumiram um compromisso de confidencialidade ou estão sujeitas a uma obrigação legal de confidencialidade adequada. Atualmente, apenas o titular do ORÇIVO tem acesso aos sistemas de produção.

5. Segurança

O ORÇIVO aplica as medidas técnicas e organizativas do Anexo I, adequadas ao risco (art. 32.º do RGPD), e pode atualizá-las desde que o nível de proteção não diminua.

6. Subcontratantes ulteriores

O Cliente dá autorização geral para o ORÇIVO recorrer aos subcontratantes ulteriores indicados no Anexo II. O ORÇIVO informa o Cliente por email, com pelo menos 30 dias de antecedência, de qualquer inclusão ou substituição. O Cliente pode opor-se, por motivos razoáveis relacionados com a proteção de dados, até ao fim desse prazo. Se não houver acordo, o Cliente pode cancelar a conta, e o ORÇIVO reembolsa a parte não utilizada do período pago.

O ORÇIVO impõe a cada subcontratante ulterior, por contrato, obrigações de proteção de dados equivalentes às deste acordo, e continua plenamente responsável perante o Cliente pelo seu cumprimento.

7. Transferências internacionais

Os dados são alojados na União Europeia. Quando um subcontratante ulterior trata dados fora do Espaço Económico Europeu, ou permite o acesso a partir de fora dele, a transferência baseia-se numa decisão de adequação (art. 45.º do RGPD) ou em garantias adequadas (art. 46.º do RGPD), nomeadamente as cláusulas contratuais-tipo aprovadas pela Comissão Europeia.

8. Assistência ao Cliente

O serviço permite ao Cliente consultar, corrigir, exportar e apagar os dados dos seus clientes. Se o ORÇIVO receber diretamente um pedido de um titular, encaminha-o ao Cliente sem demora e não lhe responde diretamente, salvo instrução do Cliente. O ORÇIVO presta ainda a assistência razoável de que o Cliente precise para cumprir os arts. 32.º a 36.º do RGPD (segurança, notificação de violações, avaliações de impacto e consulta prévia).

9. Violações de dados pessoais

O ORÇIVO notifica o Cliente sem demora injustificada, e no máximo 48 horas depois de ter conhecimento de uma violação de dados pessoais que afete os dados do Cliente, com a informação prevista no art. 33.º, n.º 3, do RGPD disponível nesse momento. A restante informação é enviada assim que for conhecida.

10. Fim do tratamento: devolução e eliminação

O Cliente pode exportar os seus dados a qualquer momento, em formato JSON, nas definições da conta. Quando o Cliente pede a eliminação da conta, o ORÇIVO apaga os dados pessoais tratados ao abrigo deste acordo no prazo máximo de 30 dias, salvo se a lei exigir a sua conservação. Os dados apagados podem permanecer em cópias de segurança durante um período limitado, até estas serem substituídas.

11. Informação e auditorias

O ORÇIVO disponibiliza ao Cliente a informação necessária para demonstrar o cumprimento do art. 28.º do RGPD, incluindo uma descrição atualizada das medidas do Anexo I. Se essa informação não for suficiente, o Cliente pode realizar uma auditoria, diretamente ou através de um auditor independente sujeito a confidencialidade, no máximo uma vez por ano, com aviso prévio de 30 dias, a expensas próprias e sem acesso a dados de outros clientes. Aplicam-se também as auditorias exigidas por uma autoridade de controlo.

12. Disposições finais

Em caso de conflito entre este acordo e os Termos de Serviço, prevalece este acordo quanto à proteção de dados. A limitação de responsabilidade dos Termos de Serviço aplica-se a este acordo, sem prejuízo das disposições do RGPD que não possam ser afastadas por contrato.

Anexo I — Medidas técnicas e organizativas

• Isolamento entre clientes: cada pedido é limitado aos dados da empresa do utilizador autenticado, com verificação no servidor em todas as consultas; o acesso direto à base de dados pela internet está bloqueado.
• Autenticação: gerida pela Supabase Auth; as palavras-passe nunca são guardadas pelo ORÇIVO.
• Cifragem: todo o tráfego usa HTTPS/TLS; a base de dados é cifrada em repouso pelo fornecedor; os links públicos usam tokens aleatórios de 256 bits, guardados apenas em hash e cifrados.
• Links públicos: expiram ao fim de 90 dias e podem ser revogados ou regenerados a qualquer momento.
• Minimização: do endereço IP de quem responde a um orçamento só se guarda um prefixo truncado; os registos técnicos não incluem o conteúdo dos orçamentos.
• Proteção contra abuso: limites de pedidos por endereço e de emails por conta e por dia.
• Registos de auditoria: as ações relevantes ficam registadas durante 12 meses.
• Acesso: apenas o titular do ORÇIVO acede aos sistemas de produção, com autenticação de dois fatores nas contas dos fornecedores e credenciais guardadas num gestor de palavras-passe.
• Desenvolvimento: testes automáticos, verificação de vulnerabilidades em dependências e dados fictícios em ambientes de teste.

Anexo II — Subcontratantes ulteriores

As transferências para fora do Espaço Económico Europeu seguem a cláusula 7 e os acordos de tratamento de dados de cada fornecedor.