Acordo de Tratamento de Dados Pessoais

Versão 1.0

Este acordo regula o tratamento de dados pessoais que o prestador efetua por conta do cliente na utilização de ContactoIA, em cumprimento do artigo 28.º do Regulamento (UE) 2016/679 (RGPD). Integra os Termos e Condições do serviço.

O acordo é aceite eletronicamente pelo titular ou administrador da conta, em nome do cliente, nos termos da secção 12.

1. Partes e contactos

Cliente / responsável pelo tratamento: a entidade identificada na conta ContactoIA cujo titular ou administrador aceita este acordo, com os dados da empresa guardados nessa conta. O correio eletrónico da conta é o contacto do cliente para instruções e comunicações de incidentes, salvo outro contacto indicado ao prestador.

Prestador / subcontratante: Wellinton Alves de Oliveira, NIF 309769728, que utiliza a marca Lyntev e presta o serviço ContactoIA, com morada comunicada em Rua Poetisa Natália Correia, R/C E, 2410-375 Leiria, Portugal. Contacto para este acordo: contacto@lyntev.com. A marca Lyntev não identifica uma pessoa coletiva distinta do prestador.

2. Âmbito e repartição das responsabilidades

O acordo abrange os dados que o cliente introduz ou faz circular em ContactoIA para atendimento, gestão de contactos, organização comercial e integrações por si ativadas. O cliente decide a finalidade do atendimento, os contactos abrangidos, as instruções da IA e os conteúdos utilizados. O prestador trata esses dados por conta do cliente.

Quando o cliente seja ele próprio subcontratante de outra entidade, deve identificar essa entidade e confirmar que tem os poderes e autorizações necessários para recorrer ao prestador como subcontratante ulterior.

São distintos os tratamentos em que o prestador determina finalidades próprias, designadamente faturação da subscrição, gestão contratual, cumprimento de obrigações legais e defesa de direitos, bem como a prova da aceitação deste acordo. Esses tratamentos não se tornam tratamentos por conta do cliente apenas por serem realizados no mesmo sistema. Os fornecedores de pagamento e as plataformas de comunicação podem igualmente ter finalidades próprias; a sua posição depende de cada operação.

Este texto é um acordo individual que concretiza o artigo 28.º do RGPD; não é uma reprodução ou adoção integral de cláusulas contratuais-tipo da Comissão Europeia. A orientação do Comité Europeu para a Proteção de Dados sobre as funções de responsável e subcontratante está em https://www.edpb.europa.eu/sme/learn-the-basics/data-controller-or-data-processor_pt.

3. Operações, titulares, dados e duração

Este acordo não autoriza a recolha intencional de categorias especiais de dados, dados penais ou dados de crianças para finalidades que não tenham sido avaliadas. Antes de um uso que inclua esses dados, as partes devem definir as instruções, o fundamento aplicável e as medidas adicionais. Se forem recebidos incidentalmente, o prestador limita o acesso e solicita instruções adequadas, sem suspender as obrigações de proteção e assistência.

4. Instruções e utilização do serviço

As instruções documentadas do cliente são constituídas por este acordo, pela configuração efetuada pelo cliente, pelas ações dos seus utilizadores autorizados e por pedidos enviados pelo contacto designado. As instruções abrangem o processamento indispensável às integrações autorizadas e as transferências que tenham sido identificadas e legitimadas.

O prestador não utiliza o conteúdo dos contactos para publicidade própria, comercialização de bases de dados ou treino de modelos próprios. Uma alteração de finalidade carece de fundamento e enquadramento próprios; não resulta de uma autorização genérica para prestar o serviço.

Se uma obrigação legal impuser tratamento além das instruções, o prestador informa previamente o cliente, salvo proibição legal. Se uma instrução aparentar infringir a legislação de proteção de dados, o prestador informa o cliente e solicita a sua correção antes de a executar.

O cliente assegura que dispõe de fundamento para os dados e comunicações submetidos, informa os titulares e configura o agente com dados necessários e corretos. As respostas de IA exigem supervisão proporcional ao risco e não substituem decisões humanas quando estas sejam exigidas.

5. Pessoas autorizadas e segurança

O acesso por colaboradores, prestadores de apoio e administradores é limitado às tarefas autorizadas e sujeito a confidencialidade. O cliente gere os membros da sua equipa e comunica a revogação de acessos; o prestador controla os acessos de administração da plataforma.

As medidas técnicas concretas constam do anexo A. O prestador avalia os riscos, corrige falhas e verifica a eficácia das medidas. Não são prometidos ausência absoluta de incidentes, certificação própria, recuperação instantânea ou um nível de serviço de disponibilidade que não tenha sido contratado.

6. IA e comunicação pelo WhatsApp

O fornecedor ativo da inferência incluída é a Anthropic, através da API Claude, com o modelo Claude Haiku 5.5 e uma conta API gerida pelo prestador. O cliente não tem de fornecer uma chave de IA. Para gerar respostas, são enviados as instruções do agente, as informações comerciais relevantes e as mensagens recentes da conversa, dentro de um limite de tamanho. O contexto pode incluir nome, telefone e outros dados pessoais presentes nas mensagens ou no resumo do contacto, pelo que deve ser limitado ao necessário.

O tratamento pela Anthropic rege-se pelos termos aplicáveis à conta API do prestador e às funcionalidades utilizadas. Este acordo não promete retenção zero, processamento exclusivamente europeu nem ausência de conservação por terceiros. O histórico mantido por ContactoIA continua sujeito às instruções do cliente e à secção 11. Fontes: DPA da Anthropic em https://www.anthropic.com/legal/data-processing-addendum e documentação de conservação da API em https://platform.claude.com/docs/en/manage-claude/api-and-data-retention.

A Cloudflare mantém as funções de alojamento, execução da aplicação e envio de emails; não é o fornecedor ativo da inferência incluída. O prestador pode selecionar manualmente outro fornecedor de inferência, sem comutação automática em caso de erro, mas só depois de atualizar o anexo B e de cumprir a secção 7 antes de transmitir dados através dele.

A ligação ao WhatsApp usa o software Evolution API com a integração técnica WHATSAPP-BAILEYS e associação por código QR. Não é a WhatsApp Cloud API oficial. O servidor Evolution é operado pelo próprio prestador, em alojamento identificado no anexo B.

As mensagens são processadas pela aplicação, pela base de dados e pelos serviços necessários depois de chegarem à integração. Não se estende uma afirmação de cifragem ponta a ponta do WhatsApp a todo esse tratamento posterior.

7. Subcontratantes ulteriores

O cliente concede ao prestador autorização geral escrita para recorrer aos subcontratantes ulteriores identificados no anexo B, apenas nas funções aí descritas. A autorização não abrange entidades não identificadas.

O prestador obtém compromissos de proteção adequados dos subcontratantes ulteriores e continua responsável perante o cliente pelo cumprimento das obrigações que lhes confie. Uma lista pública do fornecedor permite identificar intervenientes; por si só não define a relação contratual com o cliente.

Antes de adicionar ou substituir um subcontratante ulterior, o prestador comunica ao cliente a identidade, a função e as alterações relevantes, dando-lhe oportunidade efetiva de se opor, com fundamento em proteção de dados, antes do novo tratamento. A alteração do anexo B é refletida numa nova versão deste acordo, que exige nova aceitação nos termos da secção 12.

Se uma objeção fundamentada não puder ser resolvida, as partes acordam uma alternativa ou a cessação da funcionalidade afetada com saída dos dados. O acordo não autoriza a continuação de um tratamento que viole o RGPD.

8. Localização e transferências internacionais

A base de dados do projeto está configurada na Irlanda. Essa localização não implica que o alojamento da aplicação, a inferência, o apoio técnico, os serviços de comunicação e os subcontratantes ulteriores estejam todos no Espaço Económico Europeu.

Antes de uma transferência abrangida pelo capítulo V do RGPD, o prestador documenta o destinatário, o país, o fundamento aplicável e, quando exigido, a avaliação e as medidas complementares. Não basta ligar para um DPA ou presumir que uma decisão de adequação abrange qualquer entidade ou operação.

Os DPAs da Cloudflare e da Supabase incluem mecanismos contratuais para determinadas transferências. O cliente pode pedir informação sobre as garantias aplicáveis, com proteção dos segredos legítimos e dos dados de terceiros.

9. Pedidos de titulares, avaliações e autoridades

O prestador encaminha para o cliente os pedidos relativos a dados tratados por sua conta e presta a assistência técnica e organizativa necessária para o cliente responder dentro dos prazos legais. Não responde em nome do cliente sem instruções, exceto quando a lei o imponha.

A assistência inclui localizar dados, facultar informação pertinente, corrigir, exportar, limitar ou eliminar dados mediante instruções verificadas, bem como apoiar a segurança, avaliações de impacto e consultas prévias que sejam necessárias. O contacto é contacto@lyntev.com. Não se exige o envio indiscriminado de documentos de identificação ou palavras-passe.

10. Violações de dados e auditoria

O prestador comunica ao cliente uma violação de dados pessoais abrangidos pelo acordo sem demora injustificada após tomar conhecimento. A comunicação inicial não espera pelo fim de toda a investigação e é atualizada quando surgir informação relevante.

Na medida disponível, a informação inclui a natureza do incidente, os dados e titulares potencialmente afetados, as consequências prováveis, as medidas tomadas e o contacto para acompanhamento. O cliente decide as notificações à autoridade e aos titulares que lhe competirem, com assistência do prestador. O prazo de 72 horas previsto para certas notificações à autoridade não é um prazo de que o subcontratante disponha para informar o cliente. Orientações sobre notificação publicadas pela CNPD: https://www.cnpd.pt/media/vfhpxp3p/edpb_guidelines_202209_personal_data_breach_notification_v2-0_pt.pdf.

O prestador faculta a informação necessária à demonstração de cumprimento e permite auditorias e inspeções pelo cliente ou por auditor por este mandatado. As condições práticas são coordenadas para proteger os dados de outros clientes e a segurança, sem eliminar o direito de auditoria ou os poderes das autoridades.

11. Termo, exportação e eliminação

No termo do serviço, o cliente escolhe a devolução ou a eliminação dos dados tratados por sua conta, salvo conservação legalmente exigida. O prestador confirma o pedido, verifica a legitimidade e executa a devolução ou eliminação segundo a escolha documentada do cliente e as obrigações legais aplicáveis, incluindo as cópias e os intervenientes externos envolvidos.

Percurso operacional atual: pedido para contacto@lyntev.com. A aplicação disponibiliza ainda a exportação dos dados em JSON nas Configurações para utilizadores autorizados e a eliminação dos dados de um contacto através das funções de eliminação para proprietário ou administrador. A existência dessas funções não garante que todos os suportes, registos e cópias estejam incluídos; o prestador verifica o âmbito do pedido e completa a entrega quando necessário.

Este acordo não declara uma eliminação automática integral ao cancelar a subscrição. O fim de uma subscrição ou o pedido de exportação não elimina por si só dados de todos os fornecedores.

Cópias de segurança do servidor Evolution operado pelo prestador: a política aprovada é conservar as cópias 7 dias no servidor e 35 dias na cópia externa cifrada (Cloudflare R2, num bucket privado com jurisdição UE), com pelo menos duas cópias válidas e purga apenas após nova cópia externa verificada. Esta política não define a conservação das conversas em produção nem as cópias geridas pelos restantes fornecedores, que seguem a escolha documentada do cliente no termo, as obrigações legais e as condições de cada fornecedor.

Os dados conservados por obrigação legal são identificados, separados do uso corrente e limitados à finalidade e ao prazo aplicáveis. O prestador confirma a execução e as exceções justificadas. As obrigações de confidencialidade e proteção continuam enquanto existirem dados abrangidos.

12. Eficácia e aceitação

Este acordo é aceite eletronicamente pelo titular ou administrador da conta, em nome do cliente, no registo ou na aplicação, e produz efeitos a partir dessa aceitação. Integra os Termos e Condições de ContactoIA. O prestador vincula-se pela publicação da versão aceite. Nenhuma aceitação é presumida a partir do simples início de sessão.

Para prova da aceitação, o prestador regista, por cada documento aceite:

• a data e a hora do servidor;
• o utilizador e o email da conta que aceita, e a empresa;
• a versão e o hash SHA-256 do texto de cada documento aceite;
• o endereço IP e a identificação do navegador;
• a localização aproximada derivada do endereço IP (país, região e cidade fornecidos pela infraestrutura), sem recurso a GPS.

O comprovativo da aceitação em PDF fica disponível ao cliente nas Configurações da aplicação. Uma nova versão deste acordo exige nova aceitação; até lá, mantém-se em vigor a versão anteriormente aceite.

Em caso de conflito sobre dados tratados por conta do cliente, este acordo prevalece sobre disposições gerais incompatíveis, sem afastar normas imperativas, direitos dos titulares ou cláusulas de transferência que tenham prevalência própria.

Anexo A — descrição técnica e limites

Este anexo descreve medidas técnicas existentes; não equivale a uma certificação nem a uma auditoria independente.

Anexo B — subcontratantes ulteriores e outros intervenientes

PayPal: processa o pagamento da subscrição como entidade com finalidades próprias; não é um subcontratante ulterior da lista acima nem é identificado como destinatário das conversas dos contactos.

A Anthropic é o fornecedor ativo da inferência incluída. Outro fornecedor de IA só recebe conversas depois de ser selecionado pelo prestador e identificado neste anexo; não as recebe automaticamente por existir uma integração preparada nem por falha do fornecedor ativo. A Cloudflare continua a alojar e executar a aplicação sem que isso a torne o fornecedor do modelo de IA. Estes papéis não podem ser convertidos indiscriminadamente em subcontratação do mesmo conteúdo.