Acordo de tratamento de dados (artigo 28.º do RGPD)
Versão em vigor desde 04/10/2026
Este acordo faz parte dos Termos da plataforma e do EULA-SLA e aplica-se automaticamente a cada empresa que usa a plataforma SIAG ("o Responsável"). A Stunning Evolution, Lda ("o Subcontratante") trata dados pessoais em nome do Responsável nos termos seguintes.
1. Objeto, duração, natureza e finalidade
- Objeto: prestação da plataforma SIAG (alojamento, funcionamento, manutenção, cópias de segurança e suporte).
- Duração: enquanto durar a utilização da plataforma, mais o período de encerramento de 30 dias.
- Natureza: recolha, registo, organização, conservação, consulta, transmissão às integrações ativadas pelo Responsável, cópia de segurança e apagamento.
- Finalidade: permitir ao Responsável gerir o seu negócio e relacionar-se com os seus clientes através da plataforma.
2. Titulares e categorias de dados
- Titulares: clientes e potenciais clientes do Responsável, a sua equipa, candidatos a emprego e visitantes do site.
- Dados: identificação e contactos, NIF, moradas, dados de pedidos, orçamentos, obras e faturas, assinaturas desenhadas, fotografias de locais de intervenção, mensagens e conversas, avaliações, registos de horas, localização temporária de técnicos em deslocação, dados técnicos de acesso.
- O Responsável não deve carregar categorias especiais de dados (artigo 9.º do RGPD) na plataforma.
3. Obrigações do Subcontratante
O Subcontratante compromete-se a:
- tratar os dados apenas segundo as instruções documentadas do Responsável — as configurações e utilização da plataforma constituem essas instruções —, salvo obrigação legal, de que informa o Responsável;
- garantir que as pessoas autorizadas a tratar os dados estão sujeitas a dever de confidencialidade;
- aplicar as medidas de segurança da secção 4;
- respeitar as condições de recurso a outros subcontratantes da secção 5;
- ajudar o Responsável a responder aos pedidos de exercício de direitos dos titulares — a plataforma permite exportar e apagar os dados de cada utilizador;
- ajudar o Responsável no cumprimento das obrigações de segurança, notificação de violações e avaliações de impacto;
- no fim da prestação, apagar os dados nos termos da secção 7;
- disponibilizar a informação necessária para demonstrar o cumprimento destas obrigações e permitir auditorias razoáveis, com aviso prévio.
4. Medidas de segurança
- Bases de dados separadas por empresa, sem acesso cruzado.
- Ligações cifradas (HTTPS/TLS) e credenciais de integrações cifradas em repouso.
- Palavras-passe guardadas com algoritmos de hash próprios; autenticação de dois fatores disponível e exigível para administradores; verificação de palavras-passe expostas em fugas conhecidas.
- Registo de auditoria das ações administrativas; proteção contra pedidos forjados e limitação de tentativas de acesso.
- Cópias de segurança automáticas da base de dados e dos ficheiros, com cópia externa opcional.
- Atualizações regulares do sistema e das dependências, com verificação de vulnerabilidades conhecidas.
- Apagamento automático de dados de curta duração (por exemplo, localização de técnicos ao fim de 2 dias).
5. Outros subcontratantes
O Responsável autoriza o recurso aos subcontratantes abaixo. Os assinalados com * só são usados se o Responsável ativar a funcionalidade correspondente.
| Subcontratante | Serviço | Localização |
|---|---|---|
| DigitalOcean | Alojamento dos servidores | Conforme a região do servidor |
| Sentry | Registo de erros técnicos | UE/EUA |
| Fornecedor de email configurado | Envio de emails | Conforme o fornecedor |
| Amazon Web Services* | Cópias de segurança externas | Região configurada |
| Stripe*, Scalapay*, ifthenpay* | Pagamentos | UE/EUA |
| Twilio* | SMS e WhatsApp de lembretes | EUA |
| Meta (WhatsApp Cloud API)* | Conversas por WhatsApp | UE/EUA |
| Anthropic* | Inteligência artificial | EUA |
| Google* | Início de sessão, mapas, rotas, calendário | UE/EUA |
| Moloni* | Faturação externa | Portugal |
| Cloudflare* | Proteção contra robôs | UE/EUA |
| PostHog* / Plausible* | Estatísticas de utilização | EUA / UE |
| Slack*, UptimeRobot* | Avisos e monitorização | EUA / UE |
O Subcontratante informa o Responsável de qualquer novo subcontratante com 30 dias de antecedência, através da plataforma ou por email; o Responsável pode opor-se com fundamento razoável. Transferências para fora do EEE assentam no Quadro de Privacidade de Dados UE-EUA ou em cláusulas contratuais-tipo.
6. Violações de dados
O Subcontratante notifica o Responsável, sem demora injustificada e, sempre que possível, no prazo de 48 horas após ter conhecimento, de qualquer violação de dados pessoais, com a informação disponível para que o Responsável cumpra as suas obrigações de notificação.
7. Fim da prestação
Quando o Responsável encerra a conta, os dados ficam disponíveis durante 30 dias para reativação ou exportação; findo esse prazo, a base de dados e os ficheiros são eliminados. As cópias de segurança que os contenham são eliminadas no ciclo normal de rotação. Os dados de faturação da própria relação entre o Subcontratante e o Responsável são conservados pelo prazo legal.
8. Disposições finais
Em caso de conflito entre este acordo e outros termos, prevalece este acordo quanto ao tratamento de dados pessoais. Aplica-se a lei portuguesa.
