Acordo de Tratamento de Dados

1. Partes

• Subcontratante: EMPTYTROUBLES, Lda., NIPC 516307819, com sede em Zona Industrial de Albergaria-a-Velha, Arruamento D, Lote 28, 3850-184 Albergaria-a-Velha, Portugal, que presta o serviço FlowConsent («EmptyTroubles»).
• Responsável pelo tratamento: a organização que subscreve o FlowConsent e aceita os Termos de Serviço («o Cliente»).

2. Objeto, duração, natureza e finalidade

• Objeto: tratamento de dados pessoais necessário à prestação do FlowConsent — plataforma de fluxos de aprovação, formulários, consentimentos e assinaturas com trilho de auditoria.
• Duração: enquanto vigorar a subscrição do Cliente e, após a cessação, durante o período de carência e eliminação previsto na cláusula 11.
• Natureza: alojamento, armazenamento, organização, consulta, transmissão (envio de emails e notificações), apresentação, exportação e eliminação.
• Finalidade: exclusivamente a prestação do Serviço ao Cliente, incluindo suporte, segurança e manutenção.

3. Categorias de dados e de titulares

• Titulares: utilizadores do Cliente (colaboradores, gestores, administradores), pessoas externas que assinam, aprovam ou consentem através de ligações públicas, e outras pessoas cujos dados o Cliente decida inserir nos processos.
• Dados: identificação e contacto (nome, email, organização, papel, fotografia de perfil quando sincronizada), dados de diretório (gestor, empresa), conteúdos de processos (campos de formulário, decisões, comentários, assinaturas, anexos), registos de auditoria e dados técnicos (endereço IP, data/hora, dispositivo).
• O Cliente não deve inserir categorias especiais de dados (art. 9.º RGPD) sem base legal adequada e sem avaliar a necessidade de medidas adicionais.

4. Instruções do Cliente

A EmptyTroubles trata os dados pessoais apenas mediante instruções documentadas do Cliente — constituídas por estes termos, pelos Termos de Serviço e pelas configurações que o Cliente define no Serviço —, incluindo no que respeita a transferências para países terceiros, salvo se o direito da União ou do Estado-Membro o exigir; nesse caso, informa o Cliente antes do tratamento, salvo proibição legal. A EmptyTroubles informa o Cliente de imediato se considerar que uma instrução viola o RGPD.

5. Confidencialidade

A EmptyTroubles assegura que as pessoas autorizadas a tratar os dados pessoais assumiram um compromisso de confidencialidade ou estão sujeitas a obrigações legais de confidencialidade, e que o acesso é limitado ao estritamente necessário.

6. Medidas de segurança (art. 32.º RGPD)

A EmptyTroubles aplica medidas técnicas e organizativas adequadas ao risco, incluindo encriptação em trânsito e em repouso de segredos e credenciais, isolamento de dados por organização, controlo de acessos por papel, registo de auditoria, limitação de pedidos e procedimentos de resposta a incidentes. A descrição atualizada consta da página de Segurança, que faz parte integrante deste DPA. As medidas podem evoluir, desde que o nível de proteção não diminua.

7. Subcontratantes ulteriores

• O Cliente concede uma autorização geral por escrito para a EmptyTroubles recorrer aos subcontratantes ulteriores indicados na Política de Privacidade (secção 6).
• Os assistentes de IA de terceiros que os utilizadores do Cliente liguem por MCP (por exemplo, Claude, ChatGPT ou Copilot) não são subcontratantes ulteriores da EmptyTroubles: são escolhidos e contratados pelo Cliente ou pelos seus utilizadores, que decidem os dados a partilhar. O Cliente controla se são permitidos (Definições › Assistentes de IA, desligado por omissão) e pode revogar qualquer ligação a qualquer momento.
• A EmptyTroubles informa o Cliente de qualquer alteração pretendida (inclusão ou substituição) com antecedência razoável, dando-lhe a oportunidade de se opor por motivos razoáveis relacionados com a proteção de dados. Se a objeção não puder ser resolvida, o Cliente pode cessar a subscrição do serviço afetado.
• A EmptyTroubles impõe a cada subcontratante ulterior, por contrato, obrigações de proteção de dados equivalentes às deste DPA e permanece responsável perante o Cliente pelo seu cumprimento.

8. Assistência ao Cliente

• Direitos dos titulares: tendo em conta a natureza do tratamento, a EmptyTroubles assiste o Cliente através de medidas técnicas e organizativas adequadas — nomeadamente exportação de dados por utilizador e por organização, eliminação, e o portal Direitos do titular, onde as pessoas que assinaram ou consentiram por ligação pública podem aceder aos seus registos e pedir o apagamento ou opor-se, pedidos esses que o Cliente analisa e decide. Pedidos recebidos diretamente pela EmptyTroubles são reencaminhados ao Cliente sem demora.
• Artigos 32.º a 36.º: a EmptyTroubles presta a informação razoavelmente necessária para o Cliente cumprir as obrigações de segurança, notificação de violações, avaliação de impacto e consulta prévia.

9. Notificação de violações de dados

A EmptyTroubles notifica o Cliente sem demora injustificada — com o objetivo de o fazer no prazo máximo de 48 horas — após tomar conhecimento de uma violação de dados pessoais que afete os dados do Cliente, indicando, na medida do possível, a natureza da violação, as categorias e o número aproximado de titulares e registos afetados, as consequências prováveis e as medidas adotadas ou propostas. A informação pode ser prestada de forma faseada.

10. Responsabilidades do Cliente

O Cliente garante que dispõe de fundamento de licitude para o tratamento, que informou os titulares nos termos dos artigos 13.º e 14.º do RGPD e que as instruções que dá são conformes com a lei.

11. Eliminação e devolução no termo do contrato

• Antes e durante a cessação, o Proprietário da organização pode exportar todos os dados (ficheiro ZIP), assegurando a devolução dos dados ao Cliente.
• Após o pedido de eliminação ou o termo da subscrição, aplica-se um período de carência de 30 dias, durante o qual o Proprietário pode restaurar a organização. Findo esse prazo, todos os dados pessoais — incluindo ficheiros — são eliminados definitivamente, salvo obrigação legal de conservação.
• Durante a vigência, os processos concluídos são eliminados de acordo com o prazo de retenção configurado pelo Cliente (mínimo de 30 dias), mantendo-se apenas contadores agregados.

12. Informação e auditorias

A EmptyTroubles disponibiliza ao Cliente a informação necessária para demonstrar o cumprimento do artigo 28.º do RGPD e permite e contribui para auditorias, incluindo inspeções, realizadas pelo Cliente ou por auditor por si mandatado, mediante aviso prévio razoável, em horário laboral, sujeitas a confidencialidade e sem comprometer a segurança de outros clientes. Sempre que possível, a demonstração é feita primeiro através de documentação e questionários.

13. Transferências internacionais

Os dados do Serviço são alojados na União Europeia. Qualquer transferência para fora do Espaço Económico Europeu realizada por um subcontratante ulterior é efetuada com base numa decisão de adequação (incluindo o EU-US Data Privacy Framework) ou nas Cláusulas Contratuais-Tipo aprovadas pela Comissão Europeia, com medidas complementares quando necessário.

14. Responsabilidade, lei aplicável e foro

A responsabilidade das partes rege-se pelo artigo 82.º do RGPD e pelas limitações previstas nos Termos de Serviço, na medida permitida por lei. Em caso de conflito entre este DPA e os Termos de Serviço em matéria de proteção de dados, prevalece este DPA. Lei aplicável e foro competente: lei portuguesa; foro da comarca de Aveiro.

15. Contacto

Questões sobre este DPA: privacy@empty.pt.