Contrato de tratamento de dados (DPA)
Versão 1 · em vigor desde 15/10/2026
⚠️ Rascunho para revisão jurídica. Os campos assinalados têm de ser preenchidos antes de haver clientes pagantes.
O contrato exigido pelo RGPD (art. 28.º) entre a organização cliente (responsável) e [NOME DA EMPRESA] (subcontratante) para o conteúdo que a organização põe no Bolas Planner.
1. Partes e objeto
A organização cliente, representada pelo seu dono, é a responsável pelo tratamento. [NOME DA EMPRESA], NIF [NIF], com sede em [MORADA], é a subcontratante. O objeto é o tratamento dos dados pessoais incluídos no conteúdo da organização, para prestar o serviço Bolas Planner.
2. Natureza, finalidade, duração, dados e titulares
| Item | Descrição |
|---|---|
| Natureza e finalidade | Guardar, organizar, mostrar, pesquisar, exportar e apagar o conteúdo, segundo as funções que a organização usa |
| Duração | Enquanto durar o serviço, mais 30 dias para exportação |
| Tipos de dados | Nomes, emails, fotos e funções da equipa; o que a organização escrever nos tickets, comentários, páginas e anexos; registos de atividade |
| Titulares | Membros da equipa e convidados; pessoas mencionadas no conteúdo (por exemplo, clientes da organização) |
3. Obrigações da subcontratante
- Tratar os dados só segundo as instruções documentadas do responsável, incluindo estas condições e as definições da organização.
- Garantir que quem tem acesso está obrigado à confidencialidade.
- Aplicar as medidas de segurança do anexo (art. 32.º).
- Só recorrer a subcontratantes ulteriores da lista publicada, com contratos com as mesmas obrigações, e avisar com 30 dias de antecedência antes de juntar um novo, para o responsável se poder opor.
- Ajudar o responsável a responder aos pedidos dos titulares, com ferramentas na aplicação (exportar, corrigir, anonimizar, apagar).
- Avisar o responsável sem demora injustificada de qualquer violação de dados que afete a organização, com a informação necessária para as notificações dele.
- Ajudar nas avaliações de impacto e nas consultas à autoridade de controlo, quando aplicável.
- No fim do serviço, permitir exportar os dados durante 30 dias e depois apagá-los, salvo obrigação legal de os guardar.
- Disponibilizar a informação necessária para demonstrar o cumprimento e permitir auditorias razoáveis.
4. Transferências para fora da UE
Os dados ficam guardados na Irlanda (UE). Quando um subcontratante ulterior os trata fora da UE, aplicam-se as garantias do RGPD (EU-US Data Privacy Framework ou cláusulas contratuais-tipo), indicadas na lista de subcontratantes.
Anexo: medidas de segurança
- Cifra das ligações (TLS) e do armazenamento.
- Isolamento de cada organização na base de dados (segurança por linha), com testes automáticos.
- Permissões por projeto, níveis de segurança e grupos; verificação em dois passos, que a organização pode tornar obrigatória.
- Palavras-passe fortes, verificadas contra fugas de dados; avisos de entradas em dispositivos novos.
- Registo de atividade e registo de erros; alertas.
- Cópias de segurança diárias cifradas e ensaios de reposição.
- Atualização das dependências e revisão de segurança em cada versão.