Acordo de Tratamento de Dados

Este Acordo de Tratamento de Dados é celebrado entre o cliente que aceita os Termos do Serviço do MyPIF (o cliente) e a Aeternus Progressus, Lda. (nós). Somos uma sociedade por quotas com sede na Rua dos 3 Lagares, N.º 1, Incubadora Fablab, 6230-421 Fundão, Portugal, matriculada na Conservatória do Registo Comercial de Lisboa sob o número 518337952, que é também o nosso número de identificação de pessoa coletiva (NIPC). Capital social: 2.500 €. Número de IVA: PT518337952. Contacto: geral@mypif.eu.

Este acordo faz parte dos Termos do Serviço publicados em mypif.eu/pt/service-terms e é aceite com eles. Produz efeitos quando o cliente aceita os Termos do Serviço e aplica-se enquanto tratarmos dados pessoais por conta do cliente, incluindo os períodos de saída previstos na secção sobre apagamento e devolução.

Em caso de conflito entre este acordo e os Termos do Serviço quanto à proteção de dados pessoais, prevalece este acordo. Em caso de conflito entre este acordo e as Cláusulas Contratuais-Tipo referidas na secção sobre transferências internacionais, prevalecem essas Cláusulas.

Este acordo cumpre os requisitos do artigo 28.º do Regulamento (UE) 2016/679, o Regulamento Geral sobre a Proteção de Dados (RGPD), e da Lei n.º 58/2019.

Aplica-se aos dados pessoais contidos no conteúdo do cliente, quando é o cliente que decide para que fins e de que forma esses dados são tratados (o cliente é o responsável pelo tratamento) ou quando o cliente atua por conta de outro responsável pelo tratamento. Chamamos a estes dados Dados Pessoais do Cliente. O conteúdo do cliente são os ficheiros que carrega, os dados extraídos desses ficheiros, as suas edições, as versões, traduções, pontuações, sugestões da IA e páginas que o serviço produz a partir deles, e as suas definições de partilha e listas de destinatários.

Não abrange os dados pessoais que tratamos para os nossos próprios fins, como responsáveis pelo tratamento, por exemplo os dados da conta, os registos de faturação, a correspondência de apoio e os registos de segurança. A nossa Política de Privacidade, em mypif.eu/pt/privacy, descreve esse tratamento.

Se o cliente for um consumidor que utiliza o MyPIF para fins exclusivamente pessoais ou domésticos, o RGPD não se aplica ao seu próprio tratamento (artigo 2.º, n.º 2, alínea c)). Nesse caso, tratamos os dados pessoais contidos no seu conteúdo como descreve a nossa Política de Privacidade, com as mesmas medidas de segurança e os mesmos prestadores que este acordo indica.

O tratamento que realizamos por conta do cliente é o seguinte (artigo 28.º, n.º 3, do RGPD).

Enquanto responsável pelo tratamento, o cliente responde por ter fundamento jurídico para os dados pessoais que introduz no MyPIF, para os publicar ou partilhar, e por informar as pessoas em causa, incluindo as pessoas referidas nos seus PIF (artigos 13.º e 14.º do RGPD). As instruções que nos dá têm de cumprir a legislação de proteção de dados.

Tratamos os Dados Pessoais do Cliente apenas mediante instruções documentadas do cliente, incluindo no que respeita a transferências para países fora do Espaço Económico Europeu (EEE). As instruções do cliente são os Termos do Serviço, este acordo e as escolhas que faz no serviço: carregar, editar, traduzir, pontuar, publicar, partilhar, exportar e apagar. O cliente pode dar outras instruções por escrito para geral@mypif.eu. Se uma instrução exigir trabalho que o serviço não oferece, podemos recusá-la e o cliente pode, nesse caso, pôr termo ao contrato.

Se o direito da União ou o direito português nos obrigar a tratar os Dados Pessoais do Cliente de outra forma, informamos o cliente antes de o fazer, salvo se esse direito o proibir por motivos importantes de interesse público.

Informamos imediatamente o cliente se, no nosso entender, uma instrução violar o RGPD ou outras disposições de proteção de dados da União ou dos Estados-Membros. Podemos suspender essa instrução até que o cliente a confirme ou altere.

Não vendemos os Dados Pessoais do Cliente, não os utilizamos para fins próprios nem para treinar modelos de inteligência artificial. O nosso prestador de inteligência artificial também não pode treinar os seus modelos com eles.

Só têm acesso aos Dados Pessoais do Cliente os membros da nossa equipa que dele precisam para prestar o serviço, e cada um está sujeito a um dever de confidencialidade, contratual ou legal. Esse dever mantém-se depois de deixarem de trabalhar connosco.

Só consultamos o conteúdo de um PIF quando é necessário para prestar o serviço, para responder a um pedido que o cliente nos faça, para tratar uma denúncia de conteúdo ilegal, para investigar um problema de segurança ou quando a lei o exige.

Aplicamos as medidas técnicas e organizativas exigidas pelo artigo 32.º do RGPD, adequadas ao risco do tratamento. O Anexo 1 descreve-as. Podemos alterá-las ao longo do tempo, desde que o nível global de proteção não diminua.

O cliente dá-nos autorização geral por escrito para recorrer aos subcontratantes ulteriores indicados no Anexo 2.

Pelo menos 30 dias antes de acrescentarmos ou substituirmos um subcontratante ulterior, enviamos um email ao titular da conta do cliente e atualizamos o Anexo 2. Dentro desse prazo, o cliente pode opor-se por escrito, para geral@mypif.eu, com fundamento razoável relacionado com a proteção de dados. Procuraremos então atender à oposição, por exemplo não utilizando o novo subcontratante ulterior para os dados do cliente. Se não for possível, o cliente pode pôr termo ao contrato antes de a alteração produzir efeitos. Se o cliente tiver um plano anual, reembolsamos os meses completos não utilizados.

Cada subcontratante ulterior atua ao abrigo de um contrato escrito connosco, indicado no Anexo 2, que contém obrigações de proteção de dados. Continuamos plenamente responsáveis perante o cliente pelo cumprimento das obrigações de cada subcontratante ulterior (artigo 28.º, n.º 4, do RGPD).

Os Dados Pessoais do Cliente são conservados na Irlanda, na União Europeia. Alguns dos nossos subcontratantes ulteriores estão estabelecidos fora do EEE, ou podem aceder aos dados a partir de fora dele, nos Estados Unidos e em Singapura. O Anexo 2 indica onde cada um conserva e trata os dados.

Só transferimos Dados Pessoais do Cliente para fora do EEE de uma destas formas: para uma organização certificada ao abrigo do Quadro de Privacidade de Dados UE-EUA, que a Comissão Europeia considerou adequado na Decisão de Execução (UE) 2023/1795; ou ao abrigo das Cláusulas Contratuais-Tipo adotadas pela Comissão na Decisão de Execução (UE) 2021/914, com o Módulo Dois (responsável pelo tratamento para subcontratante) ou o Módulo Três (subcontratante para subcontratante), conforme aplicável, tal como incorporadas nos termos do prestador em causa. O Anexo 2 indica a garantia aplicável a cada prestador. O cliente pode pedir-nos uma cópia das garantias através de geral@mypif.eu.

Se uma autoridade pública nos pedir Dados Pessoais do Cliente, pedimos-lhe que se dirija ao cliente sempre que possível. Informamos o cliente do pedido com prontidão, salvo se a lei o proibir. Verificamos se o pedido é lícito e contestamo-lo quando houver fundamento razoável para isso. Se tivermos de divulgar dados, divulgamos apenas o mínimo que o pedido legalmente exige.

O serviço permite ao cliente consultar, corrigir, exportar e apagar o seu conteúdo, o que cobre a maior parte dos pedidos dos titulares dos dados ao abrigo dos artigos 15.º a 22.º do RGPD.

Se uma pessoa nos contactar sobre dados contidos no conteúdo do cliente, reencaminhamos o pedido ao cliente sem demora injustificada e não lhe respondemos nós, exceto para informar que o reencaminhámos, salvo se a lei exigir outra coisa. Quando o cliente não puder responder a um pedido com as ferramentas do serviço, prestamos-lhe assistência através de medidas técnicas e organizativas adequadas, na medida do possível.

Tendo em conta a natureza do tratamento e a informação ao nosso dispor, prestamos assistência ao cliente no cumprimento das obrigações previstas nos artigos 32.º a 36.º do RGPD: segurança, notificação de violações de dados pessoais, avaliações de impacto sobre a proteção de dados e consulta prévia da autoridade de controlo. A pedido, damos ao cliente a informação sobre o nosso tratamento e as nossas medidas de que necessite para esse efeito.

Se tivermos conhecimento de uma violação de dados pessoais que afete os Dados Pessoais do Cliente, notificamos o cliente sem demora injustificada e, em qualquer caso, no prazo de 48 horas após dela termos conhecimento. Enviamos a notificação para o endereço de email do titular da conta do cliente.

A notificação descreve, na medida do que soubermos nesse momento: a natureza da violação, incluindo as categorias e o número aproximado de pessoas e de registos afetados; as suas consequências prováveis; as medidas que adotámos ou propomos adotar, incluindo para atenuar os seus efeitos; e um ponto de contacto para mais informações. Quando não for possível dar toda esta informação ao mesmo tempo, damo-la por fases, sem demora injustificada adicional.

Tomamos medidas razoáveis para conter e investigar a violação e ajudamos o cliente a notificar a autoridade de controlo e as pessoas afetadas, quando o cliente o deva fazer. Não as notificamos em nome do cliente, salvo se ele o pedir ou a lei o exigir. A notificação ao cliente não constitui reconhecimento de culpa.

Enquanto o contrato vigorar, o cliente pode apagar qualquer PIF ou ficheiro no serviço. Nesse caso, apagamo-lo dos nossos sistemas no prazo de 30 dias.

Quando o contrato cessa, incluindo quando o cliente muda para outro prestador, o cliente dispõe de um período de recuperação de dados de 30 dias para exportar o seu conteúdo nos formatos descritos em mypif.eu/pt/data. Se o cliente mudar de prestador nos termos dos Termos do Serviço, o período de recuperação começa quando termina o período de transição. No fim do período de recuperação, apagamos todos os Dados Pessoais do Cliente no prazo de 30 dias e, a pedido, confirmamos o apagamento por escrito.

Só conservamos Dados Pessoais do Cliente depois disso se o direito da União ou o direito português o exigir. Nesse caso, informamos o cliente do que conservamos e porquê, e continuamos a protegê-los nos termos deste acordo.

As cópias existentes nos registos e cópias de segurança dos nossos prestadores são apagadas à medida que terminam os respetivos prazos de conservação. A Anthropic apaga as entradas e os resultados no prazo de 30 dias, exceto o conteúdo sinalizado por violação da sua política de utilização, que pode conservar até 2 anos.

A pedido, damos ao cliente a informação de que necessite para verificar que cumprimos este acordo e o artigo 28.º do RGPD: uma descrição do nosso tratamento e das medidas do Anexo 1, a lista de subcontratantes ulteriores e os contratos ao abrigo dos quais atuam, e respostas razoáveis a perguntas escritas. Respondemos no prazo de 30 dias.

Se essa informação não for suficiente, ou se uma autoridade de controlo o exigir, o cliente pode auditar o nosso cumprimento, incluindo através de inspeções, diretamente ou através de um auditor independente sujeito a confidencialidade. Os custos são suportados pelo cliente. O cliente deve avisar-nos por escrito com pelo menos 30 dias de antecedência, e a auditoria decorre em horário de expediente, não dá acesso a dados de outros clientes e realiza-se no máximo uma vez em cada período de 12 meses, exceto após uma violação de dados pessoais ou a pedido de uma autoridade de controlo.

As instalações dos nossos prestadores são auditadas através dos relatórios e dos direitos de auditoria previstos nos contratos que celebraram connosco.

A responsabilidade de cada parte ao abrigo deste acordo rege-se pela secção sobre responsabilidade dos Termos do Serviço. Nada neste acordo limita a responsabilidade que a lei não permite limitar, nem os direitos dos titulares dos dados previstos no artigo 82.º do RGPD.

As alterações à lista de subcontratantes ulteriores seguem a secção sobre subcontratantes ulteriores. As demais alterações seguem o procedimento de alteração dos Termos do Serviço. Não alteramos este acordo de forma que reduza a proteção dos Dados Pessoais do Cliente.

Este acordo rege-se pela lei portuguesa. Os litígios são submetidos aos tribunais indicados nos Termos do Serviço.

Este acordo é publicado em inglês e em português. Para os clientes estabelecidos em Portugal, prevalece a versão portuguesa.

São estas as medidas que aplicamos hoje aos Dados Pessoais do Cliente.

• Cifragem em trânsito. As ligações ao sítio web e à aplicação utilizam HTTPS (TLS). As nossas comunicações com o prestador de inteligência artificial e com os outros prestadores também são cifradas em trânsito.
• Cifragem em repouso. Os dados são cifrados em repouso pelos nossos prestadores. A Supabase declara que cifra os seus discos e cópias de segurança com AES-256.
• Regras de acesso na base de dados. Regras de segurança ao nível da linha limitam a leitura e a alteração de cada PIF, e das páginas produzidas a partir dele, ao seu titular e às pessoas com quem o titular o partilhou. Os ficheiros carregados são guardados num armazenamento de ficheiros privado e só são abertos através de ligações assinadas que expiram. Só o titular pode listar, carregar, substituir ou apagar os ficheiros da sua própria pasta. Os utilizadores não podem alterar a sua própria função nem o seu plano.
• Início de sessão. As contas são geridas pelo serviço de autenticação da Supabase.
• Acesso da equipa. Só os membros da nossa equipa que dele precisam para o seu trabalho têm acesso às nossas contas nos prestadores e à base de dados, e estão sujeitos a confidencialidade.
• Cópias de segurança. O nosso prestador de base de dados faz cópias de segurança nos termos do plano que temos contratado.
• Tratamento por inteligência artificial. O conteúdo enviado à Anthropic para extração e pontuação (e, quando estiver disponível, tradução) circula cifrado. A Anthropic não pode treinar os seus modelos com ele e apaga-o no prazo de 30 dias, exceto o conteúdo sinalizado por violação da sua política de utilização, que pode conservar até 2 anos.
• Registos. Os nossos prestadores conservam registos de servidor por períodos curtos, para segurança e resolução de problemas.
• Incidentes. Tratamos os incidentes de segurança como descreve a secção sobre violações de dados pessoais.

Recorremos a estes subcontratantes ulteriores. Avisamos com 30 dias de antecedência de qualquer alteração, como descreve a secção sobre subcontratantes ulteriores.