Acordo de Tratamento de Dados

Anexo aos Termos e Condições · em vigor a partir de 2026-10-06 · Tradução portuguesa; prevalece a versão checa

O presente acordo, celebrado nos termos do artigo 28.º do Regulamento (UE) 2016/679 («RGPD»), é celebrado entre a Organização que utiliza a plataforma Negotiq (o «Responsável pelo Tratamento») e SynQflows, s.r.o., n.º de identificação 23685450, Příčná 1892/4, Nové Město, 110 00 Praha 1 (o «Subcontratante»), e faz parte integrante dos Termos e Condições. É celebrado mediante a aceitação dos Termos e Condições e vigora durante a vigência do Contrato. Os termos com inicial maiúscula têm o significado que lhes é atribuído nos Termos e Condições.

1. Objeto e âmbito do tratamento

2. Instruções do Responsável pelo Tratamento

1. O Subcontratante trata os dados pessoais apenas mediante instruções documentadas do Responsável pelo Tratamento, incluindo no que respeita às transferências para países terceiros. As instruções são dadas pelos Termos e Condições, pelo presente acordo e pelas definições da Plataforma; ao configurar uma Integração (Endereço de Receção, ligação a ERP, Webhook, Chave API para um agente de terceiros), o Responsável pelo Tratamento dá instruções de tratamento na medida exigida pela Integração. Outras instruções são dadas pelo Administrador da Organização em forma de texto.
2. Se o Subcontratante considerar que uma instrução viola o RGPD ou outras normas de proteção de dados, informa imediatamente o Responsável pelo Tratamento e não é obrigado a executar a instrução até que este se pronuncie.
3. Se o direito da União ou de um Estado-Membro impuser ao Subcontratante o tratamento dos dados, este informa previamente o Responsável pelo Tratamento, salvo se esse direito o proibir (artigo 28.º, n.º 3, alínea a), do RGPD).
4. O Subcontratante não trata os dados pessoais do Responsável pelo Tratamento para fins próprios. As estatísticas anonimizadas e agregadas (artigo 11.º, n.º 2, dos Termos e Condições) não contêm dados pessoais. Os registos da Cadeia de Auditoria, os Comprovativos e os Registos AP2 são tratados pelo Subcontratante na qualidade de responsável pelo tratamento autónomo, nos termos da Política de Privacidade, e não nos termos do presente acordo.
5. O Responsável pelo Tratamento é responsável pela licitude do tratamento, pela prestação de informações aos titulares dos dados e por estar habilitado a colocar os dados pessoais na Plataforma e a conceder acesso aos sistemas ligados.

3. Obrigações do Subcontratante

1. O Subcontratante assegura que as pessoas autorizadas a tratar os dados pessoais assumiram um compromisso de confidencialidade ou estão sujeitas a uma obrigação legal de confidencialidade.
2. O Subcontratante aplica as medidas técnicas e organizativas previstas no artigo 32.º do RGPD e enumeradas no Anexo 1. Pode alterá-las, desde que o nível global de segurança não seja reduzido.
3. O Subcontratante presta assistência ao Responsável pelo Tratamento na resposta aos pedidos dos titulares dos dados, sobretudo através das ferramentas da Plataforma (exportação de dados em formato JSON, retificação, eliminação da conta de um Utilizador ou da Organização). Reencaminha ao Responsável pelo Tratamento, sem demora injustificada, qualquer pedido que receba diretamente de um titular dos dados e não lhe responde ele próprio quanto ao mérito.
4. O Subcontratante presta assistência ao Responsável pelo Tratamento no cumprimento das obrigações previstas nos artigos 32.º a 36.º do RGPD (segurança, notificação de violações, avaliação de impacto e consulta prévia), tendo em conta a natureza do tratamento e as informações ao seu dispor.

4. Subcontratantes ulteriores

1. O Responsável pelo Tratamento concede ao Subcontratante uma autorização geral para contratar subcontratantes ulteriores. Lista atual:

   Subcontratante ulterior	Atividade	Localização, garantias
   Railway Corporation	alojamento da aplicação e da base de dados, cópias de segurança	EUA / UE; cláusulas contratuais-tipo (módulo 3) ou Quadro de Privacidade de Dados UE-EUA
   Anthropic, PBC	conversão de tabelas de preços não estruturadas em tabelas (apenas quando a funcionalidade é utilizada)	EUA; cláusulas contratuais-tipo (módulo 3); sem treino de modelos com os dados
   prestador do serviço de receção de correio eletrónico (o prestador concreto será aditado a esta lista antes do lançamento da funcionalidade)	receção das mensagens enviadas para os Endereços de Receção e respetiva transmissão à Plataforma	a indicar juntamente com o prestador; transferências para fora do EEE apenas com as garantias previstas no artigo 7.º
   prestador do serviço de correio eletrónico (SMTP)	entrega de faturas, lembretes e mensagens de serviço (endereço do destinatário e conteúdo da mensagem)	UE

2. O Subcontratante informa o Responsável pelo Tratamento de qualquer intenção de aditar ou substituir um subcontratante ulterior com, pelo menos, 14 dias de antecedência, na Plataforma ou por correio eletrónico dirigido ao Administrador da Organização. Nesse prazo, o Responsável pelo Tratamento pode opor-se com fundamento em motivos razoáveis relacionados com a proteção de dados. As partes procurarão encontrar uma solução; não o conseguindo, o Responsável pelo Tratamento pode denunciar o Contrato sem penalização, com efeitos anteriores à contratação do subcontratante ulterior.
3. O Subcontratante impõe contratualmente aos subcontratantes ulteriores as mesmas obrigações em matéria de proteção de dados que lhe incumbem por força do presente acordo, incluindo garantias suficientes de execução de medidas técnicas e organizativas, e continua a ser responsável perante o Responsável pelo Tratamento pelo cumprimento das obrigações daqueles (artigo 28.º, n.º 4, do RGPD).
4. Os sistemas escolhidos pelo próprio Responsável pelo Tratamento (sistemas ERP ligados, feeds de produtos, pontos de destino de Webhooks e agentes de terceiros) não são subcontratantes ulteriores do Subcontratante; o Subcontratante transmite-lhes dados por instrução do Responsável pelo Tratamento.

5. Violação de dados pessoais

1. O Subcontratante notifica o Responsável pelo Tratamento de uma violação de dados pessoais sem demora injustificada e, o mais tardar, no prazo de 48 horas após ter tido conhecimento da mesma, por correio eletrónico dirigido ao Administrador da Organização e na Plataforma.
2. A notificação contém as informações previstas no artigo 33.º, n.º 3, do RGPD de que o Subcontratante disponha (natureza da violação, categorias e número aproximado de titulares dos dados e de registos, ponto de contacto, consequências prováveis e medidas adotadas ou propostas); as informações ainda não conhecidas são fornecidas por fases.
3. O Subcontratante adota prontamente medidas para pôr termo à violação e atenuar os seus efeitos, coopera com o Responsável pelo Tratamento e documenta a violação. A notificação não constitui reconhecimento de responsabilidade.

6. Informações e auditorias

1. O Subcontratante disponibiliza ao Responsável pelo Tratamento as informações necessárias para demonstrar o cumprimento das obrigações previstas no artigo 28.º do RGPD, sobretudo através do documento Segurança e Confiança e das respostas a um questionário de segurança razoável.
2. Se essas informações não forem suficientes, o Subcontratante permite uma auditoria pelo Responsável pelo Tratamento ou por um auditor independente vinculado a confidencialidade que não seja concorrente do Subcontratante, mediante aviso prévio de, pelo menos, 30 dias, no máximo uma vez por ano civil (exceto em caso de violação de dados ou a pedido de uma autoridade de controlo), a expensas do Responsável pelo Tratamento, sem acesso aos dados de outros clientes e sem comprometer a segurança destes.
3. Os poderes de investigação das autoridades de controlo não são afetados.

7. Transferências para fora do EEE

1. As transferências para países terceiros só se realizam com as garantias previstas no capítulo V do RGPD.
2. Se o Subcontratante transferir dados pessoais para um subcontratante ulterior estabelecido num país terceiro relativamente ao qual não exista uma decisão de adequação (ou se o destinatário não estiver certificado ao abrigo do Quadro de Privacidade de Dados UE-EUA), celebra com este as cláusulas contratuais-tipo previstas na Decisão de Execução (UE) 2021/914 da Comissão, módulo 3 (transferência de subcontratante para subcontratante), avalia o enquadramento jurídico do país do destinatário e adota medidas complementares (em especial, cifragem em trânsito e em repouso e minimização dos dados).
3. O Responsável pelo Tratamento autoriza, pelo presente, essas transferências. O Subcontratante fornece, a pedido, uma cópia das garantias; as condições comerciais podem ser expurgadas.

8. Apagamento e devolução dos dados

1. Durante a vigência do Contrato, o Responsável pelo Tratamento pode, a qualquer momento, exportar os dados da Organização em formato JSON e apagar ele próprio os dados.
2. Após a cessação do Contrato, o Subcontratante, consoante a escolha do Responsável pelo Tratamento, devolve (exportação) ou apaga os dados pessoais no prazo de 30 dias, incluindo as cópias, salvo se a lei exigir a sua conservação. As cópias de segurança são substituídas no ciclo normal, o mais tardar no prazo de 90 dias; até lá, são protegidas e não são utilizadas.
3. As mensagens recebidas no Endereço de Receção são apagadas automaticamente decorridos 90 dias. O Subcontratante deixa de utilizar as credenciais de acesso a um sistema ligado imediatamente após a remoção da ligação e apaga-as, o mais tardar, nos termos do n.º 2.
4. O presente artigo não se aplica aos registos referidos no artigo 2.º, n.º 4, segundo e terceiro períodos.

9. Responsabilidade, prevalência e lei aplicável

A responsabilidade rege-se pelo artigo 82.º do RGPD e pelos Termos e Condições, incluindo as limitações neles previstas na medida em que a lei o permita. Em matéria de proteção de dados pessoais, o presente acordo prevalece sobre os Termos e Condições. O presente acordo rege-se pelo direito checo.

Anexo 1 — Medidas técnicas e organizativas

• Cifragem e pseudonimização: cifragem de todas as comunicações (TLS) e cifragem dos dados armazenados junto do prestador de alojamento; credenciais de acesso a sistemas ligados e segredos de assinatura de Webhooks cifrados com AES-256-GCM; palavras-passe sob a forma de hash Argon2id; códigos de recuperação, sessões iniciadas e chaves API armazenados apenas sob a forma de hash; pseudonimização dos registos da Cadeia de Auditoria após a eliminação de uma conta.
• Controlo de acesso: acesso baseado em funções, gerido pelo Administrador da Organização; separação dos dados das Organizações imposta ao nível da aplicação; anexos apenas para pessoas autorizadas e sempre para descarregamento; acesso ao ambiente de produção apenas para pessoal autorizado do Subcontratante vinculado a confidencialidade.
• Proteção de contas e sessões: cookies HttpOnly, Secure e SameSite; verificação da origem (Origin) nos pedidos que alteram dados; bloqueio temporário da conta após tentativas repetidas e falhadas de início de sessão; a alteração da palavra-passe termina todas as sessões; limites de pedidos na API.
• Integridade e verificabilidade: Cadeia de Auditoria com registos ligados criptograficamente, cuja alteração ou apagamento é bloqueado por um trigger da base de dados; assinaturas Ed25519 dos Mandatos, Comprovativos e Registos AP2; Webhooks assinados com HMAC-SHA256.
• Disponibilidade e recuperação: cópias de segurança regulares da base de dados; cópias de segurança substituídas, o mais tardar, no prazo de 90 dias.
• Minimização e apagamento: mensagens no Endereço de Receção, 90 dias; registos operacionais, no máximo 90 dias; relativamente a potenciais fornecedores, apenas contactos genéricos da empresa; importação automática de correio eletrónico apenas a partir de Remetentes Verificados.
• Desenvolvimento seguro: testes automatizados de invariantes de segurança (separação das Organizações, limites dos Agentes, confidencialidade dos limites) a cada alteração; dependências fixadas em versões exatas; os Agentes não tratam o conteúdo de ficheiros como instruções.
• Incidentes e revisão: tratamento e notificação de incidentes nos termos do artigo 5.º; canal para comunicação de vulnerabilidades; revisão regular da eficácia das medidas.

Uma descrição mais pormenorizada consta do documento Segurança e Confiança.