Acordo de tratamento de dados

DATAFIREFLY LIMITED

Acordo de Tratamento de Dados (DPA)

Artigo 28.º do RGPD: Relação Responsável / Subcontratante

Versão 1.0: Em vigor desde 18 de abril de 2026

A versão inglesa é o texto que faz fé. Esta tradução é fornecida apenas a título informativo; em caso de divergência, prevalece a versão inglesa.

O presente Acordo de Tratamento de Dados («DPA») é celebrado entre:

• DATAFIREFLY LIMITED, sociedade constituída ao abrigo do direito irlandês com o número de registo 810100, com sede em 15A Main Street, Blackrock, Dublin, Irlanda, A94T8P8, atuando na qualidade de subcontratante na aceção do RGPD (adiante o «Subcontratante» ou «Datafirefly»), representada em [email protected];
• E o Cliente profissional identificado quer no contrato principal ou na encomenda assinada, quer: para os serviços subscritos em linha: pela conta criada no momento do registo e pelas Condições aceites nessa ocasião, atuando na qualidade de responsável pelo tratamento (adiante o «Responsável» ou o «Cliente»).

Adiante individualmente a «Parte» e coletivamente as «Partes».

Preâmbulo

No âmbito dos serviços subscritos pelo Cliente junto da Datafirefly (plataformas SaaS, módulos alojados, integrações, Data Hub, consultoria, manutenção), a Datafirefly trata dados pessoais por conta do Cliente. O presente DPA enquadra esse tratamento nos termos do artigo 28.º do Regulamento (UE) 2016/679 («RGPD»), do Data Protection Act 2018 irlandês e das orientações do Comité Europeu para a Proteção de Dados (CEPD).

O presente DPA prevalece sobre qualquer cláusula relativa à proteção de dados constante das Condições Gerais em caso de contradição. Complementa essas condições sem as substituir nos demais aspetos.

Artigo 1.º, Definições

Os termos utilizados no presente DPA têm o significado que lhes é atribuído pelo RGPD, nomeadamente: «dados pessoais», «tratamento», «responsável pelo tratamento», «subcontratante», «titular dos dados», «violação de dados pessoais», «transferência», «autoridade de controlo», «países terceiros», «cláusulas contratuais-tipo».

Artigo 2.º: Objeto e âmbito do tratamento

2.1 O Responsável confia ao Subcontratante, estritamente no âmbito da execução do contrato principal, o tratamento dos dados pessoais descritos no Anexo 1 do presente DPA.

2.2 O Subcontratante trata esses dados apenas mediante instruções documentadas do Responsável. O contrato principal, os parâmetros configurados pelo Cliente nos serviços, o presente DPA e qualquer instrução escrita do Responsável constituem instruções documentadas.

2.3 Se o Subcontratante considerar que uma instrução do Responsável viola o RGPD ou qualquer outra norma de proteção de dados da União ou dos Estados-Membros, informa o Responsável sem demora.

Artigo 3.º: Duração do tratamento

3.1 O presente DPA entra em vigor na data de aceitação do contrato principal e mantém-se em vigor enquanto o Subcontratante tratar dados pessoais por conta do Responsável.

3.2 As obrigações do Subcontratante subsistem após o termo do tratamento para efeitos de devolução ou eliminação dos dados previstas no artigo 11.º

Artigo 4.º, Obrigações do Subcontratante

Nos termos do artigo 28.º do RGPD, o Subcontratante compromete-se a:

• Tratar os dados pessoais apenas mediante instruções documentadas do Responsável, incluindo quanto a transferências para fora do Espaço Económico Europeu, salvo se a tal for obrigado pelo direito da União ou dos Estados-Membros; nesse caso, o Subcontratante informa o Responsável dessa exigência legal antes do tratamento, salvo proibição legal
• Assegurar que as pessoas autorizadas a tratar os dados pessoais assumiram um compromisso de confidencialidade ou estão sujeitas a uma obrigação legal adequada de confidencialidade
• Aplicar medidas técnicas e organizativas adequadas para garantir a segurança do tratamento (artigo 32.º do RGPD), conforme descrito no Anexo 2
• Respeitar as condições para recorrer a subcontratantes ulteriores (artigo 6.º do presente DPA)
• Assistir o Responsável, através de medidas adequadas, no cumprimento da sua obrigação de dar resposta aos pedidos dos titulares dos dados (artigos 12.º a 23.º do RGPD)
• Assistir o Responsável no cumprimento das obrigações relativas à segurança do tratamento, à notificação de violações, às avaliações de impacto e à consulta prévia (artigos 32.º a 36.º do RGPD)
• No termo dos serviços, à escolha do Responsável, eliminar ou devolver todos os dados pessoais e eliminar as cópias existentes, salvo se o direito da União ou dos Estados-Membros exigir a sua conservação
• Colocar à disposição do Responsável toda a informação necessária para demonstrar o cumprimento das obrigações do artigo 28.º do RGPD e permitir auditorias, nos termos do artigo 10.º do presente DPA

Artigo 5.º, Obrigações do Responsável

O Responsável compromete-se a:

• Dispor de um fundamento jurídico válido para cada tratamento confiado ao Subcontratante (artigo 6.º do RGPD)
• Informar os titulares dos dados nos termos dos artigos 13.º e 14.º do RGPD
• Recolher e conservar a prova do consentimento sempre que necessário
• Dar instruções claras, documentadas e conformes ao RGPD
• Fornecer ao Subcontratante apenas os dados estritamente necessários à execução dos serviços (minimização)
• Não transmitir dados sensíveis na aceção do artigo 9.º do RGPD sem informar previamente o Subcontratante e, se necessário, assinar um adendo específico

Artigo 6.º: Subcontratantes ulteriores

6.1 O Responsável autoriza expressamente o Subcontratante a recorrer aos subcontratantes ulteriores enumerados no Anexo 3 do presente DPA.

6.2 O Subcontratante informa por escrito o Responsável de qualquer adição ou substituição prevista de um subcontratante ulterior, com um pré-aviso mínimo de 30 dias de calendário. O Responsável pode opor-se a essa alteração por motivos legítimos de proteção de dados. Em caso de oposição, as Partes procuram de boa-fé uma solução; na sua falta, o Responsável pode resolver o contrato principal sem penalização.

6.3 O Subcontratante mantém-se plenamente responsável perante o Responsável pelo cumprimento das obrigações pelos subcontratantes ulteriores. Celebra com cada subcontratante ulterior um contrato que imponha obrigações equivalentes em matéria de proteção de dados.

Artigo 7.º: Transferências para fora do Espaço Económico Europeu

7.1 Qualquer transferência de dados para fora do EEE é efetuada nos termos do capítulo V do RGPD. As garantias aplicáveis são descritas no Anexo 4.

7.2 O Subcontratante privilegia, sempre que possível, destinatários situados no EEE ou num país que beneficie de uma decisão de adequação da Comissão Europeia.

7.3 Para transferências para países terceiros não reconhecidos como adequados, o Subcontratante aplica as Cláusulas Contratuais-Tipo («CCT») adotadas pela Comissão Europeia, ou qualquer outro mecanismo de transferência conforme (regras vinculativas aplicáveis às empresas, códigos de conduta, certificação).

7.4 O Subcontratante realiza, sempre que necessário, uma Transfer Impact Assessment e aplica as medidas suplementares necessárias para garantir um nível de proteção substancialmente equivalente ao do EEE.

Artigo 8.º, Segurança do tratamento

8.1 O Subcontratante aplica as medidas técnicas e organizativas adequadas descritas no Anexo 2 para garantir um nível de segurança adequado ao risco, nomeadamente:

• Cifragem dos dados em trânsito e, quando relevante, em repouso
• Controlo de acessos baseado no princípio do privilégio mínimo
• Autenticação forte para administradores e operadores
• Registo e monitorização dos acessos e das operações
• Cópias de segurança regulares, testadas e isoladas
• Procedimentos de continuidade da atividade e recuperação em caso de desastre
• Sensibilização e formação do pessoal

8.2 As medidas de segurança são revistas periodicamente e podem ser reforçadas pelo Subcontratante a qualquer momento no âmbito da melhoria contínua. Não podem ser degradadas sem o acordo do Responsável.

Artigo 9.º: Violação de dados pessoais

9.1 O Subcontratante notifica o Responsável de qualquer violação de dados pessoais no prazo máximo de 48 horas após dela tomar conhecimento, por correio eletrónico enviado ao contacto de privacidade designado pelo Responsável.

9.2 A notificação inclui, na medida do possível:

• Descrição da natureza da violação, das categorias e do número aproximado de titulares e de registos afetados
• Contactos do encarregado da proteção de dados ou do ponto de contacto
• Consequências prováveis da violação
• Medidas adotadas ou propostas para sanar a violação e atenuar os seus efeitos

9.3 O Subcontratante coopera plenamente com o Responsável, nomeadamente para lhe permitir cumprir as suas obrigações de notificação à autoridade de controlo (artigo 33.º do RGPD) e, se aplicável, de comunicação aos titulares dos dados (artigo 34.º).

Artigo 10.º, Auditoria e controlo

10.1 O Subcontratante coloca à disposição do Responsável, mediante pedido escrito, toda a informação necessária para demonstrar o cumprimento das suas obrigações RGPD: políticas de segurança, certificações, relatórios recentes de auditoria externa, resultados de testes.

10.2 O Responsável pode realizar, a expensas suas e com um pré-aviso razoável de 30 dias de calendário, uma auditoria anual às medidas de segurança e às operações de tratamento. A auditoria decorre em horário de expediente, em condições que não perturbem a exploração e respeitando a confidencialidade dos demais clientes.

10.3 Em caso de suspeita legítima de incumprimento grave, pode ser realizada uma auditoria excecional com um pré-aviso de 10 dias úteis. As conclusões podem dar origem a planos de ação corretiva.

10.4 O Responsável pode designar um terceiro independente para realizar a auditoria, desde que esse terceiro esteja sujeito a uma obrigação de confidencialidade equivalente e não seja concorrente direto do Subcontratante.

Artigo 11.º: Fim do tratamento e destino dos dados

11.1 Com a resolução ou caducidade do contrato principal, o Subcontratante, mediante instrução escrita do Responsável e no prazo máximo de 30 dias de calendário, devolve os dados ao Responsável num formato eletrónico de uso corrente e legível por máquina, ou elimina-os definitivamente.

11.2 Na ausência de instrução do Responsável findo o prazo de 30 dias, o Subcontratante elimina os dados.

11.3 O Subcontratante pode conservar cópias estritamente na medida do necessário ao cumprimento de uma obrigação legal (contabilidade, litígios). Essas cópias permanecem sujeitas às mesmas obrigações de segurança e confidencialidade.

11.4 O Subcontratante fornece, mediante pedido, um certificado de eliminação.

Artigo 12.º: Responsabilidade e limitação

12.1 Cada Parte responde pelos danos causados por um tratamento não conforme ao RGPD, nas condições previstas no artigo 82.º do RGPD.

12.2 A responsabilidade do Subcontratante ao abrigo do presente DPA é limitada nos termos das Condições Gerais, salvo disposição legal imperativa em contrário, nomeadamente coimas aplicadas pela autoridade de controlo.

12.3 As Partes comprometem-se a cooperar de boa-fé em caso de processo contencioso ou administrativo em matéria de proteção de dados.

Artigo 13.º: Disposições gerais

13.1 O presente DPA rege-se pelo direito irlandês, em conformidade com as Condições Gerais. Qualquer litígio é submetido aos tribunais competentes de Dublin.

13.2 Os anexos fazem parte integrante do presente DPA. Em caso de contradição entre o corpo do DPA e os seus anexos, prevalece o corpo do DPA.

13.3 Qualquer alteração ao DPA é objeto de adenda escrita assinada por ambas as Partes. O Subcontratante pode, no entanto, atualizar unilateralmente o Anexo 3 (subcontratantes ulteriores) de acordo com o procedimento previsto no artigo 6.º

13.4 A invalidade de uma cláusula não afeta a validade das restantes cláusulas.

Anexo 1, Descrição do tratamento

Anexo 2: Medidas técnicas e organizativas de segurança

Medidas técnicas

• Cifragem TLS 1.2 no mínimo para todas as comunicações externas (HTTPS obrigatório)
• Hash das palavras-passe através de uma função criptográfica robusta (bcrypt ou equivalente)
• Autenticação forte de dois fatores para os acessos de administrador
• Segregação lógica dos ambientes (produção, staging, desenvolvimento)
• Isolamento das bases de dados dos clientes com controlos de acesso ao nível da aplicação
• Cópias de segurança diárias automatizadas, conservadas durante pelo menos 30 dias, armazenadas em infraestrutura separada
• Firewall aplicacional e proteção anti-DDoS ao nível do fornecedor de alojamento
• Atualizações de segurança aplicadas em prazo razoável após a publicação do patch
• Registo dos acessos de administrador e das operações sensíveis
• Antivírus e monitorização dos postos com acesso de administração

Medidas organizativas

• Política de gestão de acessos baseada no princípio do privilégio mínimo
• Compromisso de confidencialidade assinado por cada colaborador com acesso aos dados
• Sensibilização e formação do pessoal em proteção de dados
• Procedimento documentado de gestão de incidentes e violações
• Revisão anual das medidas de segurança e dos direitos de acesso
• Procedimentos documentados de continuidade da atividade e recuperação em caso de desastre
• Contratos com subcontratantes ulteriores que impõem obrigações equivalentes em matéria de proteção de dados

Anexo 3: Subcontratantes ulteriores autorizados

A lista de subcontratantes ulteriores é atualizada pelo Subcontratante de acordo com o procedimento do artigo 6.º A versão em vigor à data de eficácia do presente DPA é:

Anexo 4: Transferências fora do EEE e garantias

Para os destinatários situados fora do EEE e não abrangidos por uma decisão de adequação, o Subcontratante aplica as Cláusulas Contratuais-Tipo (CCT) adotadas pela Comissão Europeia através da Decisão de Execução (UE) 2021/914, de 4 de junho de 2021, complementadas, se for caso disso, por medidas adicionais (cifragem ponto a ponto, pseudonimização, restrições de acesso, avaliação do risco jurídico das legislações locais).

O Subcontratante coloca à disposição do Responsável, mediante pedido escrito, as referências das CCT assinadas com cada subcontratante ulterior em causa e os resultados das Transfer Impact Assessments realizadas.

Documento oficial

DATAFIREFLY LIMITED

N.º de registo 810100: 15A Main Street, Blackrock, Dublin, Irlanda, A94T8P8

DPA: Versão 1.0: Abril de 2026