Saltar para o conteúdo
Documentos legais

Acordo de Subcontratação de Tratamento de Dados (DPA)

LucidHorizon, Lda.

O presente Acordo de Subcontratação («DPA») faz parte integrante dos Termos e Condições (crafteer.ai/legal/terms) e de qualquer outro acordo celebrado entre a LucidHorizon, Lda., pessoa coletiva n.º 518873412, com sede no Largo 3 de Fevereiro, 82, 3.º Dto., 4100-475 Porto, Portugal («LucidHorizon») e o cliente empresarial («Cliente») que a ele faça referência (o «Acordo»), regendo a utilização dos serviços da LucidHorizon, incluindo o Crafteer.ai e o Mimic Task (os «Serviços»).

Na medida em que a LucidHorizon trate Dados Pessoais por conta do Cliente no âmbito dos Serviços, este DPA estabelece as instruções do Cliente para esse tratamento e os direitos e obrigações de ambas as Partes, em conformidade com o artigo 28.º do RGPD. Salvo o expressamente previsto neste DPA, o Acordo mantém-se inalterado. Em caso de conflito entre este DPA e o Acordo, prevalece o DPA quanto ao tratamento de dados pessoais.

1. Definições

  • «RGPD» — Regulamento (UE) 2016/679. «Legislação de Proteção de Dados» — o RGPD, a Lei n.º 58/2019 e demais legislação aplicável em matéria de proteção de dados, conforme em vigor a cada momento.
  • «Dados Pessoais» — qualquer informação tratada pela LucidHorizon por conta do Cliente para prestar os Serviços que constitua «dados pessoais» na aceção da Legislação de Proteção de Dados.
  • «Cláusulas Contratuais-Tipo (CCT)» — as cláusulas contratuais-tipo aprovadas pela Decisão de Execução (UE) 2021/914 da Comissão, de 4 de junho de 2021, incluindo o Módulo 2 (responsável → subcontratante) e o Módulo 3 (subcontratante → subsubcontratante), conforme alteradas ou substituídas.
  • «País Terceiro» — país ou território fora do Espaço Económico Europeu que não beneficie de uma decisão de adequação da Comissão Europeia.
  • «Fornecedor de Modelos» — subcontratante ulterior que fornece modelos de inteligência artificial generativa utilizados nos Serviços.
  • Os termos «Responsável pelo Tratamento», «Subcontratante», «Titular dos Dados», «Tratamento» e «Violação de Dados Pessoais» têm o significado que lhes é dado pelo RGPD.

2. Papéis das Partes

Relativamente aos Dados Pessoais fornecidos pelo Cliente no âmbito dos Serviços, o Cliente é o Responsável pelo Tratamento (ou subcontratante, quando trate dados por conta de terceiro) e a LucidHorizon é o Subcontratante.

3. Obrigações do Cliente

O Cliente cumprirá a Legislação de Proteção de Dados ao fornecer Dados Pessoais à LucidHorizon, incluindo na utilização de integrações (por exemplo, caixas de email, portais de seguradoras e serviços de envio de email contratados pelo próprio Cliente). O Cliente declara e garante que: (a) os Dados Pessoais foram recolhidos e são tratados em conformidade com a Legislação de Proteção de Dados, incluindo os deveres de informação aos titulares e, quando necessária, a obtenção de consentimento; (b) dispõe de fundamento de licitude e de todos os direitos e autorizações necessários para divulgar os Dados Pessoais à LucidHorizon e permitir o seu tratamento nos termos do Acordo e deste DPA; e (c) quando os Dados Pessoais incluam categorias especiais de dados (por exemplo, dados de saúde no contexto de simulações de seguros), assegura a verificação de uma condição do artigo 9.º do RGPD.

O Cliente notificará a LucidHorizon, sem demora injustificada, se concluir que o tratamento previsto deixou de cumprir a Legislação de Proteção de Dados, caso em que a LucidHorizon não será obrigada a continuar esse tratamento.

4. Tratamento dos Dados Pessoais

Os detalhes do tratamento constam do Anexo 1. No tratamento de Dados Pessoais ao abrigo do Acordo, a LucidHorizon obriga-se a:

a) tratar os Dados Pessoais apenas mediante instruções documentadas do Cliente, para a finalidade limitada e específica descrita no Anexo 1, salvo se de outro modo exigido pelo direito da União ou de um Estado-Membro (caso em que informará o Cliente dessa exigência antes do tratamento, salvo proibição legal);

b) informar imediatamente o Cliente se, no seu entender, alguma instrução violar a Legislação de Proteção de Dados;

c) assegurar que as pessoas autorizadas a tratar os Dados Pessoais assumiram um compromisso de confidencialidade ou estão sujeitas a obrigação legal adequada de confidencialidade;

d) disponibilizar ao Cliente as informações necessárias para demonstrar o cumprimento das obrigações previstas no artigo 28.º do RGPD, nos termos da secção 9.

5. Proibições

A LucidHorizon não irá: (a) vender ou partilhar Dados Pessoais; (b) conservar, utilizar ou divulgar os Dados Pessoais fora da relação contratual com o Cliente ou para finalidade diferente da prestação dos Serviços; ou (c) combinar os Dados Pessoais recebidos do Cliente com dados pessoais obtidos de outras fontes ou de interações próprias da LucidHorizon com os titulares.

Para que não subsistam dúvidas: os Dados Pessoais, incluindo o conteúdo de email, as credenciais de portais de terceiros e os dados de clientes finais do Cliente, não são utilizados para treinar ou melhorar modelos de inteligência artificial, sejam da LucidHorizon ou de terceiros.

Se a LucidHorizon receber (i) um pedido juridicamente vinculativo de divulgação de Dados Pessoais por autoridade competente, (ii) uma notificação, inquérito ou investigação de uma autoridade de controlo, ou (iii) um pedido ou reclamação de um titular dos dados, em cada caso relativos ao tratamento efetuado por conta do Cliente, notificará o Cliente sem demora injustificada, na medida legalmente permitida.

6. Subcontratantes ulteriores

6.1 Autorização geral. O Cliente autoriza, de forma geral e por escrito, o recurso aos subcontratantes ulteriores constantes da Lista de Subprocessadores publicada em crafteer.ai/legal/subprocessors (que constitui o Anexo 2 deste DPA), sujeita aos requisitos desta secção.

6.2 Alterações. Se a LucidHorizon pretender contratar ou substituir um subcontratante ulterior que não seja um Fornecedor de Modelos, notificará o Cliente com 10 dias úteis de antecedência (bastando email), durante os quais o Cliente pode opor-se com fundamentos razoáveis e documentados relacionados com a confidencialidade, a segurança ou a conformidade legal. Havendo oposição no prazo de 5 dias úteis, as Partes procurarão de boa-fé uma solução (por exemplo, restrição do tratamento ou não utilização da funcionalidade em causa). Não sendo possível, o Cliente pode, como única solução, resolver o Acordo, com reembolso proporcional de valores pré-pagos não utilizados.

6.3 Fornecedores de Modelos. Se a LucidHorizon adicionar ou substituir um Fornecedor de Modelos, notificará o Cliente (bastando email) e atualizará a Lista de Subprocessadores. Se o Cliente se opuser, a sua única solução é deixar de utilizar as funcionalidades que dependem do modelo em causa, o que pode fazer a qualquer momento.

6.4 Obrigações equivalentes. A LucidHorizon contratará subcontratantes ulteriores apenas mediante contrato escrito que lhes imponha obrigações de proteção de dados não menos exigentes do que as previstas neste DPA. Em caso de incumprimento do subcontratante ulterior, a LucidHorizon permanece plenamente responsável perante o Cliente pelo cumprimento das obrigações desse subcontratante.

7. Assistência ao Cliente

Tendo em conta a natureza do tratamento, a LucidHorizon prestará assistência ao Cliente, através de medidas técnicas e organizativas adequadas e na medida do possível:

a) Direitos dos titulares — notificando o Cliente, sem demora injustificada, de pedidos de exercício de direitos recebidos diretamente de titulares, e facultando os meios para o Cliente aceder, retificar, apagar, exportar ou restringir os Dados Pessoais em causa;

b) Avaliações de impacto — colaborando, na medida exigida pela Legislação de Proteção de Dados, na realização de avaliações de impacto sobre a proteção de dados (AIPD) e em eventuais consultas prévias à autoridade de controlo;

c) Violações de dados — notificando o Cliente, sem demora injustificada após tomar conhecimento, de qualquer Violação de Dados Pessoais que afete os Dados Pessoais tratados por conta do Cliente, com a informação razoavelmente disponível sobre a natureza da violação, as categorias e o número aproximado de titulares e registos afetados, as consequências prováveis e as medidas adotadas ou propostas.

8. Medidas de segurança

A LucidHorizon implementa e mantém, tendo em conta as técnicas mais avançadas, os custos de aplicação e a natureza, o âmbito, o contexto e as finalidades do tratamento, medidas técnicas e organizativas adequadas ao risco, conforme descritas no Anexo 3, e assegura formação em proteção de dados e segurança às pessoas autorizadas a tratar Dados Pessoais.

9. Auditorias

Mediante pedido escrito razoável do Cliente, a LucidHorizon facultará a informação necessária para demonstrar o cumprimento deste DPA e permitirá e contribuirá para auditorias, incluindo inspeções, realizadas pelo Cliente ou por auditor independente por este mandatado e sujeito a dever de confidencialidade. As auditorias podem ser solicitadas no máximo uma vez em cada 12 meses, com 30 dias de aviso prévio escrito e mediante acordo prévio sobre o âmbito, e não podem implicar acesso a informação de outros clientes da LucidHorizon nem violar as suas obrigações legais ou de confidencialidade. Quando disponível, a LucidHorizon poderá satisfazer o pedido através de relatórios de certificação ou de auditoria independentes (por exemplo, no âmbito da certificação ISO/IEC 27001, em curso).

10. Devolução e eliminação dos Dados Pessoais

Cessada a prestação dos Serviços, a LucidHorizon, consoante a opção do Cliente, devolverá ou eliminará todos os Dados Pessoais no prazo de 90 dias, salvo se a conservação for exigida pelo direito da União ou de um Estado-Membro — caso em que informará o Cliente e eliminará (ou devolverá) os dados no termo dessa obrigação. Durante esse prazo, o Cliente pode exportar o Conteúdo do Cliente nos termos do Acordo. As cópias em backups são eliminadas no ciclo normal de rotação (até 90 dias).

11. Transferências internacionais

Na medida em que a LucidHorizon (ou um subcontratante ulterior) trate Dados Pessoais num País Terceiro, a LucidHorizon assegura garantias adequadas nos termos do Capítulo V do RGPD, designadamente:

a) a celebração das Cláusulas Contratuais-Tipo aplicáveis (Módulo 2 ou Módulo 3), que se consideram incorporadas neste DPA quanto às transferências em que a LucidHorizon atue como exportadora, aplicando-se: os detalhes das partes e do tratamento constantes do Acordo e do Anexo 1; as medidas de segurança do Anexo 3; a lista de subcontratantes do Anexo 2; a opção de «autorização geral por escrito» na Cláusula 9 (com os prazos da secção 6); a autoridade de controlo competente e a lei e foro portugueses, nas cláusulas 13, 17 e 18; e/ou

b) uma decisão de adequação da Comissão Europeia aplicável ao destinatário (incluindo, quando aplicável, o EU-US Data Privacy Framework relativamente a destinatários certificados nos EUA).

A pedido do Cliente, a LucidHorizon disponibiliza informação sobre os mecanismos de transferência utilizados.

12. Responsabilidade e vigência

A responsabilidade de cada Parte ao abrigo deste DPA está sujeita às exclusões e limitações de responsabilidade previstas no Acordo, sem prejuízo das normas imperativas da Legislação de Proteção de Dados. Este DPA vigora enquanto a LucidHorizon tratar Dados Pessoais por conta do Cliente.

ANEXO 1 — Detalhes do tratamento

Elemento Descrição
Objeto e natureza do tratamento Prestação dos Serviços (alojamento, armazenamento, organização, análise, geração de conteúdos com IA, automação de tarefas administrativas via RPA e agentes de IA, comunicação por email/chat/WhatsApp, integrações com ERP e portais de terceiros), conforme o Acordo.
Finalidade A prestação dos Serviços ao Cliente, conforme o Acordo e as instruções do Cliente.
Duração Vigência do Acordo, acrescida do período de devolução/eliminação (90 dias).
Categorias de titulares Utilizadores autorizados do Cliente; clientes finais, leads e contactos do Cliente; outros terceiros cujos dados o Cliente introduza nos Serviços.
Categorias de Dados Pessoais Dados de identificação e contacto; dados profissionais; conteúdo de comunicações (email, chat, WhatsApp) geridas na plataforma; dados comerciais e contratuais de clientes finais; credenciais de acesso a portais de terceiros fornecidas pelo Cliente; dados introduzidos em simulações e automações; metadados de utilização.
Categorias especiais de dados Não se destina ao tratamento de categorias especiais, exceto quando o Cliente as introduza no âmbito das funcionalidades (por exemplo, dados de saúde em simulações de seguros de vida/saúde) — cabendo ao Cliente assegurar uma condição do art. 9.º RGPD.
Frequência Contínua, durante a vigência do Acordo.

ANEXO 2 — Subcontratantes ulteriores autorizados

A lista atualizada de subcontratantes ulteriores, com funções e localizações, é publicada e mantida em: crafteer.ai/legal/subprocessors. À data da última atualização deste DPA, inclui: AWS (cloud, UE-Irlanda), Cloudflare (rede/CDN), EUrouter (gateway de IA, UE), OpenAI (modelos de IA, EUA), Anthropic (modelos de IA, EUA), Microsoft (email) e Stripe (pagamentos).

Serviços contratados pelo próprio Cliente (por exemplo, caixas de email Outlook/Gmail, serviços de envio de email como Mailgun ou Brevo que o Cliente contrate e ligue à plataforma) atuam como subcontratantes do Cliente, não da LucidHorizon, e não integram o Anexo 2.

ANEXO 3 — Medidas técnicas e organizativas de segurança

A LucidHorizon mantém, no âmbito do seu Sistema de Gestão de Segurança da Informação (em processo de certificação ISO/IEC 27001, com monitorização contínua de conformidade), pelo menos as seguintes medidas:

  1. Cifragem — cifragem em trânsito (TLS) e em repouso na infraestrutura de produção.
  2. Controlo de acessos — autenticação multifator (MFA) nos acessos internos; controlo de acessos baseado em funções (RBAC) e princípio do menor privilégio; revisões periódicas de acessos e revogação imediata na cessação de funções.
  3. Segregação — separação entre ambientes de produção e de teste/desenvolvimento; os ambientes de teste não utilizam dados pessoais reais de clientes.
  4. Disponibilidade e resiliência — cópias de segurança regulares, com rotação até 90 dias; infraestrutura de produção em região da União Europeia (AWS eu-west-1).
  5. Registo e monitorização — logging de eventos de segurança e de acessos, conservado por 12 meses; monitorização de anomalias.
  6. Gestão de incidentes — processo documentado de deteção, resposta e notificação de incidentes (canal: support@lucidhorizon.tech).
  7. Pessoal — compromissos de confidencialidade; formação em segurança e proteção de dados.
  8. Fornecedores — avaliação e contratação de subcontratantes com garantias equivalentes (secção 6.4).