Acordo de Tratamento de Dados Pessoais (Subcontratação)

Este Acordo dá cumprimento ao artigo 28.º do Regulamento Geral sobre a Proteção de Dados e aplica-se sempre que o Cliente carregue no pAInel dados pessoais de terceiros.

1. Partes

Responsável pelo tratamento (adiante "Cliente") A pessoa singular ou coletiva que subscreve o pAInel e que, ao carregar dados pessoais de terceiros, determina as finalidades e os meios do seu tratamento.

Subcontratante (adiante "S2 Studio")

2. Objeto e integração

Este Acordo regula o tratamento de dados pessoais efetuado pelo S2 Studio por conta do Cliente no âmbito da prestação do Serviço.

Faz parte integrante dos Termos e Condições de Serviço e considera-se aceite com a aceitação destes. Em caso de divergência quanto ao tratamento de dados pessoais, prevalece este Acordo.

Não regula o tratamento em que o S2 Studio atua como responsável — nomeadamente os dados da conta, faturação e utilização do próprio Cliente. Esse tratamento rege-se pela Política de Privacidade.

3. Definições

Os termos dados pessoais, tratamento, responsável pelo tratamento, subcontratante, titular dos dados, violação de dados pessoais e autoridade de controlo têm o significado que lhes é dado pelo artigo 4.º do RGPD.

RGPD — Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016.

Subcontratante ulterior — terceiro contratado pelo S2 Studio para tratar dados pessoais por conta do Cliente.

4. Papéis das partes

O Cliente é o responsável pelo tratamento. Determina as finalidades e os meios, e garante que dispõe de fundamento de licitude para o tratamento e que cumpriu os deveres de informação perante os titulares.

O S2 Studio é o subcontratante. Trata os dados exclusivamente por conta do Cliente e de acordo com as suas instruções.

O Cliente é responsável pela exatidão, qualidade e licitude dos dados pessoais que carrega no Serviço, bem como pela legitimidade da sua obtenção.

5. Descrição do tratamento

Em cumprimento do artigo 28.º, n.º 3, do RGPD:

6. Instruções documentadas

O S2 Studio trata os dados pessoais apenas mediante instruções documentadas do Cliente, incluindo quanto a transferências internacionais, salvo se obrigado a fazê-lo por força do direito da União ou do Estado-Membro.

Nesse caso, informa o Cliente dessa exigência legal antes do tratamento, salvo se tal for proibido por razões de interesse público.

Constituem instruções documentadas do Cliente:

• Estes Termos e este Acordo
• As configurações e ações realizadas pelo Cliente na aplicação
• As instruções escritas adicionais que o Cliente comunique e o S2 Studio aceite

O S2 Studio informa imediatamente o Cliente se, na sua opinião, uma instrução violar o RGPD ou outra disposição de proteção de dados, podendo suspender a execução dessa instrução até esclarecimento.

7. Confidencialidade

O S2 Studio assegura que as pessoas autorizadas a tratar os dados pessoais:

• Assumiram um compromisso de confidencialidade ou estão sujeitas a obrigação legal de sigilo
• Acedem aos dados apenas na medida necessária ao desempenho das suas funções
• Recebem informação adequada sobre as suas obrigações em matéria de proteção de dados

Esta obrigação subsiste após a cessação do contrato e das funções.

8. Acesso da equipa de suporte à conta do Cliente

8.1 Autorização do Cliente

A equipa de suporte do S2 Studio só entra na conta do Cliente com a sua autorização expressa, dada na aplicação: na configuração inicial da conta ou, a qualquer momento, em Definições. Só o proprietário da conta a pode dar ou retirar.

A autorização está desativada por defeito. Ativá-la constitui uma instrução documentada do Cliente, nos termos da secção 6 e do artigo 28.º, n.º 3, alínea a), do RGPD.

8.2 Duração e revogação

Cada autorização vale por 30 dias a contar da ativação e termina automaticamente no fim desse prazo. O Cliente pode voltar a ativá-la sempre que precisar, por novos períodos de 30 dias.

O Cliente pode revogá-la a qualquer momento, em Definições, com efeito imediato.

Cada entrada da equipa de suporte na conta dura, no máximo, 8 horas. Revogada ou terminada a autorização, ou esgotado esse prazo, o acesso cessa de imediato.

8.3 Finalidade e limites

O acesso destina-se exclusivamente a prestar assistência ao Cliente na utilização do Serviço: diagnosticar e resolver problemas, corrigir configurações e executar, a pedido do Cliente, operações na sua conta em seu nome.

Durante o acesso, a equipa de suporte:

• Não trata os dados para qualquer outra finalidade
• Não altera o plano, a subscrição ou a forma de pagamento, e não convida nem remove utilizadores da conta
• Não pode prolongar nem renovar a autorização
• Não conserva cópias de dados fora do Serviço, salvo na medida estritamente necessária à resolução do pedido, e elimina-as quando este estiver resolvido

Só acedem as pessoas da equipa do S2 Studio autorizadas para o efeito, sujeitas ao dever de confidencialidade da secção 7, cada uma com conta pessoal protegida por segundo fator de autenticação.

8.4 Registo e transparência

Cada acesso fica registado: quem acedeu, quando e que pedidos efetuou na conta, sem o conteúdo dos dados tratados. O registo é conservado durante 12 meses e eliminado findo esse prazo.

Em Definições, o Cliente vê quem ativou a autorização, quando termina e a data do último acesso da equipa de suporte. Mediante pedido, o S2 Studio disponibiliza-lhe o registo dos acessos à sua conta.

8.5 Acesso sem autorização

Sem a autorização desta secção, o S2 Studio só acede ao conteúdo da conta do Cliente quando tal seja estritamente necessário para responder a um incidente de segurança ou para cumprir uma obrigação legal, nos termos da secção 6. Nesse caso, informa o Cliente logo que possível, salvo se a lei o proibir.

9. Segurança do tratamento

O S2 Studio aplica as medidas técnicas e organizativas adequadas para assegurar um nível de segurança adequado ao risco, nos termos do artigo 32.º do RGPD.

As medidas encontram-se descritas no Anexo II.

O S2 Studio pode atualizar estas medidas ao longo do tempo, desde que o nível de segurança não seja reduzido.

10. Subcontratantes ulteriores

10.1 Autorização

O Cliente concede ao S2 Studio autorização geral prévia para recorrer aos subcontratantes ulteriores identificados no Anexo III.

10.2 Obrigações impostas

O S2 Studio obriga-se a impor a cada subcontratante ulterior, por contrato escrito, as mesmas obrigações de proteção de dados que constam deste Acordo, nos termos do artigo 28.º, n.º 4, do RGPD.

O S2 Studio continua plenamente responsável perante o Cliente pelo cumprimento das obrigações por parte dos subcontratantes ulteriores.

10.3 Alterações

O S2 Studio informa o Cliente de qualquer intenção de acrescentar ou substituir subcontratantes ulteriores com pré-aviso mínimo de 30 dias, por correio eletrónico e através da atualização do Anexo III.

O Cliente pode opor-se fundadamente à alteração, dentro desse prazo, com fundamento em risco concreto para a proteção dos dados. Se a oposição não puder ser acomodada, o Cliente pode resolver o contrato sem qualquer penalização, com direito ao reembolso proporcional do período pago e não usufruído.

11. Transferências internacionais

Os dados são tratados, por regra, no território da União Europeia: a infraestrutura está na Irlanda e o modelo de inteligência artificial primário em França.

À data, nenhum subcontratante ulterior identificado no Anexo III trata dados fora da União Europeia. Qualquer transferência futura para país terceiro só ocorre ao abrigo de mecanismo válido (por exemplo, Cláusulas Contratuais-Tipo aprovadas pela Comissão Europeia, nos termos do artigo 46.º, n.º 2, alínea c), do RGPD), com o pré-aviso da secção 10.3.

O S2 Studio não transfere dados pessoais para fora da União Europeia sem um mecanismo de transferência válido e disponibiliza ao Cliente, mediante pedido, informação sobre as salvaguardas aplicadas.

12. Assistência ao Cliente

O S2 Studio presta ao Cliente assistência razoável, tendo em conta a natureza do tratamento e a informação de que dispõe, para que este possa cumprir as suas obrigações.

12.1 Direitos dos titulares

O S2 Studio disponibiliza ao Cliente as funcionalidades necessárias para responder a pedidos de exercício de direitos — acesso, retificação, apagamento, limitação, portabilidade e oposição — relativamente aos dados que constam da sua conta.

Se um titular dirigir um pedido diretamente ao S2 Studio, este não lhe responderá quanto ao mérito, encaminhando-o para o Cliente e informando-o disso sem demora.

12.2 Avaliações de impacto

O S2 Studio presta ao Cliente a informação de que dispõe, quando necessária à realização de avaliações de impacto sobre a proteção de dados ou a consultas prévias à autoridade de controlo, nos termos dos artigos 35.º e 36.º do RGPD.

12.3 Violações de dados pessoais

Em caso de violação de dados pessoais tratados por conta do Cliente, o S2 Studio notifica o Cliente sem demora injustificada a contar do momento em que dela tomou conhecimento, em tempo útil para que o Cliente possa cumprir as obrigações que sobre si impendem nos termos dos artigos 33.º e 34.º do RGPD.

A notificação inclui, na medida do disponível:

• A natureza da violação, incluindo as categorias e o número aproximado de titulares e de registos afetados
• O nome e contacto do ponto de contacto para mais informações
• As consequências prováveis da violação
• As medidas adotadas ou propostas para lhe dar resposta e mitigar os efeitos

Quando não seja possível prestar toda a informação de uma vez, esta é comunicada faseadamente, sem demora injustificada.

A notificação à autoridade de controlo e aos titulares, quando devida, compete ao Cliente enquanto responsável pelo tratamento.

13. Cessação: devolução e eliminação

Cessando a prestação do Serviço, e por sua opção manifestada até ao fim do período de recuperação:

a) Exportação. O Cliente pode exportar todos os dados pessoais, através de funcionalidade disponível na aplicação, em formato estruturado, de uso corrente e de leitura automática, durante um período não inferior a 30 dias após a cessação, nos termos do Capítulo VI do Regulamento (UE) 2023/2854.

b) Eliminação. Findo o período de 30 dias, o S2 Studio elimina definitivamente todos os dados pessoais tratados por conta do Cliente, incluindo das cópias de segurança nos ciclos de rotação subsequentes.

A eliminação não abrange os dados que o S2 Studio deva conservar por força do direito da União ou nacional, caso em que continuam sujeitos às obrigações de confidencialidade e segurança deste Acordo, sendo tratados apenas na medida e pelo período exigidos por essa obrigação.

O S2 Studio confirma a eliminação por escrito, mediante pedido do Cliente.

14. Informação e auditorias

O S2 Studio disponibiliza ao Cliente toda a informação necessária para demonstrar o cumprimento das obrigações do artigo 28.º do RGPD.

O Cliente pode realizar auditorias, incluindo inspeções, por si ou por auditor independente por si mandatado e sujeito a dever de confidencialidade, nas seguintes condições:

• Mediante pré-aviso escrito de 30 dias
• No máximo uma vez por ano civil, salvo em caso de violação de dados comprovada ou de exigência de autoridade de controlo
• Em horário laboral e sem perturbação desproporcionada da atividade
• Sem acesso a dados de outros clientes nem a informação confidencial de terceiros
• Suportando o Cliente os custos da auditoria, salvo se desta resultar incumprimento relevante imputável ao S2 Studio

O S2 Studio pode satisfazer pedidos de auditoria através da disponibilização de documentação, relatórios ou certificações existentes, sempre que estes respondam adequadamente ao pedido.

15. Responsabilidade

A responsabilidade das partes rege-se pelo artigo 82.º do RGPD e pela secção 17 dos Termos e Condições de Serviço.

O Cliente responde perante o S2 Studio por danos decorrentes da falta de fundamento de licitude para o tratamento, do incumprimento dos deveres de informação perante os titulares ou de instruções contrárias à lei.

16. Vigência

Este Acordo vigora enquanto o S2 Studio tratar dados pessoais por conta do Cliente e cessa com o cumprimento integral das obrigações da secção 13.

As obrigações de confidencialidade subsistem após a cessação.

17. Lei aplicável

Este Acordo rege-se pela lei portuguesa e pelo RGPD.

A autoridade de controlo competente é a Comissão Nacional de Proteção de Dados (CNPD) — Av. D. Carlos I, 134 — 1.º, 1200-651 Lisboa, www.cnpd.pt.

Anexo I — Descrição do tratamento

Objeto: prestação do serviço pAInel de orçamentação assistida por inteligência artificial.

Duração: vigência do contrato, acrescida do período de conservação de 30 dias.

Natureza e finalidade: tratamento automatizado destinado exclusivamente à prestação do Serviço ao Cliente, incluindo a extração de informação de documentos carregados, a geração de sugestões de orçamento e a gestão de clientes, projetos e planeamento.

Categorias de titulares:

• Clientes finais do Cliente, incluindo donos de obra
• Fornecedores e subempreiteiros do Cliente
• Trabalhadores e colaboradores do Cliente
• Outros contactos comerciais introduzidos pelo Cliente

Categorias de dados pessoais:

Categorias especiais de dados: nenhuma. O tratamento de dados na aceção do artigo 9.º do RGPD não é permitido no Serviço.

Dados relativos a condenações penais: nenhum.

Frequência do tratamento: contínua, durante a vigência do contrato.

Anexo II — Medidas técnicas e organizativas

Controlo de acesso. Autenticação individual de utilizadores, com palavras-passe armazenadas sob a forma de resumo criptográfico. Atribuição de permissões limitada ao necessário ao desempenho das funções. Revogação de acessos na cessação de funções.

Isolamento. Isolamento lógico dos dados de cada cliente, impedindo o acesso cruzado entre contas. Segregação entre ambientes de produção e de desenvolvimento.

Cifra. Cifra em trânsito através de TLS em todas as comunicações. Cifra em repouso dos dados armazenados.

Disponibilidade. Cópias de segurança regulares e cifradas. Infraestrutura alojada em datacenters com certificações de segurança reconhecidas.

Acesso de suporte. Acesso da equipa de suporte ao conteúdo da conta apenas com autorização ativa do Cliente, limitada a 30 dias por autorização e a 8 horas por entrada, nos termos da secção 8. Contas de administração pessoais, protegidas por segundo fator de autenticação.

Registo. Registo dos acessos administrativos, incluindo cada pedido efetuado na conta de um Cliente no âmbito do suporte, conservado durante 12 meses e eliminado findo esse prazo.

Atualizações. Aplicação regular de atualizações de segurança.

Organização. Compromisso de confidencialidade das pessoas com acesso a dados. Procedimento de gestão de incidentes de segurança.

Minimização. Recolha limitada aos dados necessários à prestação do Serviço. Envio aos fornecedores de modelos de inteligência artificial apenas do necessário à operação solicitada.

Anexo III — Subcontratantes ulteriores

Lista em vigor à data indicada no cabeçalho. Alterações comunicadas com pré-aviso mínimo de 30 dias, nos termos da secção 10.3.

Ordem de acionamento dos modelos. Os modelos de inteligência artificial são acionados sempre pela mesma ordem — 1.º Mistral AI, 2.º Amazon Bedrock — e um pedido só desce ao nível seguinte quando o anterior está indisponível ou não consegue responder.

O segundo nível corre no Amazon Bedrock, dentro da conta AWS do S2 Studio, na região eu-west-1. Não acrescenta subcontratante ulterior: a Amazon Web Services EMEA SARL já consta da tabela acima, o processamento ocorre na mesma infraestrutura que aloja o Serviço, os dados não são comunicados a mais nenhuma entidade e não saem da União Europeia. Aplica-se qualquer que seja o modelo utilizado nesse nível.

Documentos relacionados

• Termos e Condições de Serviço
• Política de Privacidade
• Transparência e Utilização de Inteligência Artificial