Acordo de Tratamento de Dados (DPA)

Rascunho para revisão jurídica. Este texto ainda não foi validado e pode mudar.

Versão: 2026-10-rascunho-1 · Última atualização: 14 de outubro de 2026

1. Partes e aceitação

1.1. O presente Acordo de Tratamento de Dados ("Acordo") é celebrado entre:

• o Cliente que cria uma Organização no My Apollotec ("Portal"), na qualidade de responsável pelo tratamento ("Responsável"); e
• a Apollotec Unipessoal, Lda., NIPC 515769070, com sede no Complexo Tecnológico de Coimbra, Rua Coronel Júlio Veiga Simão, 3025-307 Coimbra, na qualidade de subcontratante ("Subcontratante").

1.2. O Acordo dá cumprimento ao artigo 28.º do Regulamento (UE) 2016/679 (Regulamento Geral sobre a Proteção de Dados, "RGPD") e à Lei n.º 58/2019, de 8 de agosto, e faz parte integrante dos Termos e Condições do My Apollotec ("Termos"), cujas definições se aplicam a este Acordo.

1.3. O Acordo é aceite eletronicamente no registo, através de caixa de aceitação própria, por quem tem poderes para vincular o Responsável. A Subcontratante regista a data, a versão aceite e o resumo criptográfico (hash) do texto.

1.4. O Acordo não abrange os dados dos Utilizadores, que a Apollotec trata como responsável pelo tratamento, nos termos da Política de Privacidade.

2. Objeto e duração

2.1. O Acordo regula o tratamento de dados pessoais que a Subcontratante realiza por conta do Responsável para lhe prestar os serviços do Portal.

2.2. O Acordo vigora enquanto vigorar o contrato regido pelos Termos e, depois disso, até ao apagamento dos dados nos termos da secção 12.

3. Natureza e finalidade do tratamento

3.1. O tratamento consiste em recolher, alojar, conservar, consultar, agregar, transmitir e apagar dados pessoais, de forma automatizada, com a única finalidade de prestar os serviços que o Responsável usa no Portal: páginas de link-in-bio, sites, links curtos e códigos QR, estatísticas de visitas e cliques, reencaminhamento de e-mail, formulários, integrações com serviços de terceiros, assistente de inteligência artificial e suporte.

3.2. A Subcontratante não trata os dados para fins próprios. Os dados usados pelo assistente não servem para treinar modelos de inteligência artificial [CONFIRMAR com o fornecedor].

4. Titulares e categorias de dados

4.1. Categorias de titulares:

• visitantes das páginas de link-in-bio e dos sites do Responsável e pessoas que usam os seus links curtos e códigos QR;
• remetentes e destinatários de e-mails reencaminhados;
• pessoas que submetem formulários nos sites do Responsável;
• clientes, fornecedores, trabalhadores e outras pessoas cujos dados o Responsável inclua em pedidos de suporte ou em perguntas ao assistente, ou que constem dos serviços ligados por integração.

4.2. Categorias de dados:

• dados técnicos de visitas e cliques, como data e hora, página ou link visitado, origem do acesso, tipo de dispositivo e navegador [CONFIRMAR campos]; as estatísticas não guardam o endereço IP dos visitantes;
• endereços de correio eletrónico, cabeçalhos e conteúdo das mensagens reencaminhadas, tratados em trânsito [CONFIRMAR se existe armazenamento];
• dados introduzidos pelos titulares nos formulários definidos pelo Responsável;
• dados incluídos pelo Responsável em pedidos de suporte ou perguntas ao assistente, ou sincronizados das integrações, como nomes, contactos, NIF e dados de faturação.

4.3. O Responsável não deve introduzir no Portal categorias especiais de dados nem dados relativos a condenações penais e infrações (artigos 9.º e 10.º do RGPD) sem acordo prévio da Subcontratante.

5. Instruções do Responsável

5.1. A Subcontratante trata os dados apenas mediante instruções documentadas do Responsável. Constituem instruções documentadas os Termos, este Acordo e as ações dos Utilizadores do Responsável no Portal, na API ou no MCP.

5.2. Outras instruções devem ser dadas por escrito para info@apollotec.pt. As que excedam o funcionamento normal do Portal podem ficar sujeitas a orçamento prévio.

5.3. A Subcontratante informa de imediato o Responsável se considerar que uma instrução viola o RGPD ou outra legislação de proteção de dados. Se o direito da União ou de um Estado-Membro a obrigar a tratar os dados para outros fins, informa o Responsável antes do tratamento, salvo se a lei o proibir.

5.4. O Responsável garante que dispõe de fundamento de licitude para o tratamento e que informa os titulares nos termos dos artigos 13.º e 14.º do RGPD.

6. Confidencialidade

A Subcontratante assegura que as pessoas autorizadas a tratar os dados assumiram um compromisso de confidencialidade ou estão sujeitas a uma obrigação legal de confidencialidade. O pessoal da Apollotec só acede aos dados do Responsável quando necessário para prestar o serviço, por exemplo em pedidos de suporte, aprovações de alterações de DNS ou incidentes.

7. Medidas de segurança

7.1. Nos termos do artigo 32.º do RGPD, a Subcontratante aplica, pelo menos, as seguintes medidas:

• cifragem dos dados em trânsito;
• controlo de acessos por papéis;
• autenticação de dois fatores, que pode ser tornada obrigatória em cada Organização;
• registo de auditoria das ações efetuadas no Portal;
• cópias de segurança [CONFIRMAR periodicidade e localização];
• práticas de segurança da informação alinhadas com a norma ISO/IEC 27001 [CONFIRMAR certificação].

7.2. A Subcontratante pode atualizar estas medidas, desde que não reduza o nível de segurança. Cabe ao Responsável gerir os papéis, as chaves de API e a obrigatoriedade da autenticação de dois fatores na sua Organização.

8. Subcontratantes ulteriores

8.1. O Responsável concede à Subcontratante autorização geral para recorrer a subcontratantes ulteriores. À data desta versão, são os seguintes:

• Supabase: base de dados, autenticação e armazenamento; região da UE (Irlanda, eu-west-1).
• Vercel: alojamento do Portal; região da UE (Dublin); empresa com sede nos EUA [CONFIRMAR mecanismo de transferência].
• Cloudflare: DNS, reencaminhamento de e-mail e proteção contra bots (Turnstile); rede global.
• Resend: envio de e-mails transacionais; empresa com sede nos EUA [CONFIRMAR região].
• Fornecedor de inteligência artificial, através do Vercel AI Gateway: respostas do assistente [CONFIRMAR fornecedor e localização].

8.2. Para a sua faturação, os pagamentos e o registo de domínios, a Apollotec recorre ainda ao Moloni (Portugal), a um prestador de serviços de pagamento [CONFIRMAR qual] e a um agente de registo acreditado [CONFIRMAR qual], que tratam sobretudo dados do próprio Cliente, nos termos da Política de Privacidade [CONFIRMAR se tratam dados abrangidos por este Acordo].

8.3. Os serviços de terceiros ligados pelo Responsável através das integrações são por ele contratados e não são subcontratantes ulteriores.

8.4. A Subcontratante informa o Responsável, por correio eletrónico e no Portal, de qualquer alteração pretendida à lista, com a antecedência mínima de 30 dias [CONFIRMAR prazo]. Dentro desse prazo, o Responsável pode opor-se à alteração por motivos fundados de proteção de dados. Na falta de acordo, o Responsável pode denunciar o contrato sem penalização.

8.5. A Subcontratante impõe a cada subcontratante ulterior, por contrato, obrigações de proteção de dados equivalentes às deste Acordo e continua plenamente responsável perante o Responsável pelo seu cumprimento.

9. Transferências internacionais

Os dados são alojados principalmente na União Europeia. Quando um subcontratante ulterior aceda aos dados ou os trate fora do Espaço Económico Europeu, a transferência só ocorre com as garantias previstas no capítulo V do RGPD, como uma decisão de adequação, incluindo o Quadro de Privacidade de Dados UE-EUA para entidades certificadas, ou cláusulas contratuais-tipo aprovadas pela Comissão Europeia, com medidas complementares quando necessário [CONFIRMAR mecanismo de cada fornecedor].

10. Assistência ao Responsável

10.1. Tendo em conta a natureza do tratamento, a Subcontratante presta assistência ao Responsável, através de medidas técnicas e organizativas adequadas, para responder aos pedidos de exercício dos direitos previstos nos artigos 15.º a 22.º do RGPD.

10.2. Se receber diretamente um pedido de um titular, a Subcontratante encaminha-o para o Responsável sem demora injustificada e não lhe responde sem instruções deste, salvo para indicar que se deve dirigir ao Responsável.

10.3. A Subcontratante presta ainda ao Responsável a informação de que dispõe para o cumprimento das obrigações previstas nos artigos 32.º a 36.º do RGPD, podendo a assistência que exceda o funcionamento normal do Portal ficar sujeita a orçamento prévio [CONFIRMAR].

11. Violações de dados pessoais

11.1. A Subcontratante notifica o Responsável de qualquer violação de dados pessoais sem demora injustificada e, no máximo, 48 horas após ter tido conhecimento dela [CONFIRMAR prazo], por correio eletrónico para o Dono e por aviso no Portal.

11.2. A notificação inclui, na medida em que a informação esteja disponível, a natureza da violação, as categorias e o número aproximado de titulares e de registos afetados, as consequências prováveis, as medidas adotadas ou propostas e um ponto de contacto. A informação pode ser prestada por fases.

11.3. Cabe ao Responsável notificar, se for caso disso, a Comissão Nacional de Proteção de Dados e os titulares.

12. Conservação, devolução e apagamento

12.1. Durante a vigência do contrato, os prazos de conservação são:

• dados em bruto de cliques e visitas: 13 meses, sendo depois agregados;
• conversas com o assistente de inteligência artificial: 90 dias;
• restantes dados: enquanto o Responsável os mantiver no Portal [CONFIRMAR].

12.2. Antes da eliminação da Organização, o Dono ou um Administrador pode exportar todos os dados em formato CSV ou JSON, o que constitui a devolução dos dados.

12.3. Confirmada a eliminação da Organização, a Subcontratante apaga os dados tratados por conta do Responsável no prazo de [CONFIRMAR] dias, e as cópias de segurança no fim do respetivo ciclo de conservação [CONFIRMAR], salvo se o direito da União ou de um Estado-Membro exigir a sua conservação.

13. Demonstração de cumprimento e auditorias

13.1. A Subcontratante disponibiliza ao Responsável a informação necessária para demonstrar o cumprimento do artigo 28.º do RGPD, incluindo a descrição das medidas de segurança, a lista de subcontratantes ulteriores e respostas a questionários razoáveis.

13.2. O Responsável pode realizar, ou mandar realizar por auditor independente sujeito a sigilo, auditorias e inspeções, com aviso prévio de 30 dias [CONFIRMAR], em horário de expediente e, em regra, no máximo uma vez por ano, salvo após uma violação de dados ou por exigência de uma autoridade de controlo. Os custos são suportados pelo Responsável [CONFIRMAR]. Quanto aos subcontratantes ulteriores, este dever pode ser cumprido através dos relatórios e certificações por eles emitidos.

14. Responsabilidade

Cada parte responde pelos danos que cause, nos termos do artigo 82.º do RGPD. As limitações de responsabilidade previstas nos Termos aplicam-se a este Acordo na medida permitida por lei, sem prejuízo dos direitos dos titulares dos dados.

15. Disposições finais

15.1. Em caso de conflito entre este Acordo e os Termos quanto ao tratamento de dados pessoais, prevalece este Acordo.

15.2. A Subcontratante pode alterar este Acordo nos termos previstos nos Termos para a alteração destes, ficando registada a versão aceite.

15.3. O Acordo rege-se pela lei portuguesa, sendo competente o foro da comarca de Coimbra [CONFIRMAR].

15.4. Contacto para questões de proteção de dados: info@apollotec.pt. A Apollotec não designou encarregado da proteção de dados [CONFIRMAR se continua assim].