Descobre a Nexa: IA agêntica por trás de cada ação!

Experimenta agoraContacta-nos

Acordo sobre o Tratamento de Dados Pessoais

Descarregar o PDF

(nos termos do Artigo 28.º, n.ºs 3 e 4 do RGPD)

Baseado nas cláusulas contratuais-tipo adotadas pela Decisão de Execução (UE) 2021/915 da Comissão Europeia, com as adaptações e disposições adicionais constantes do presente Acordo

Entre:

VISOR.AI PORTUGAL, S.A., pessoa coletiva n.º 513 889 213, com sede social em Rua João Saraiva, 38, 4.º andar, 1700-106 Lisboa, Portugal, neste ato representada por quem tem poderes para o efeito, doravante designada por "Subcontratante" ou "Visor.ai";

e

[DENOMINAÇÃO SOCIAL DO CLIENTE], pessoa coletiva n.º [___], com sede social em [morada completa], neste ato representada por [nome e cargo do representante legal] (ou a entidade identificada no Order Form, quando o presente Acordo for aceite através deste), doravante designada por "Responsável pelo Tratamento" ou "Cliente";

Conjuntamente designadas por "Partes" e, individualmente, por "Parte".

É celebrado e reciprocamente aceite o presente Acordo sobre o Tratamento de Dados Pessoais (doravante, o "Acordo"), que se rege pelas cláusulas seguintes:

CLÁUSULA PRELIMINAR – DEFINIÇÕES

Para efeitos do presente Acordo, e salvo quando do contexto resulte sentido diverso, os termos a seguir indicados, iniciados em letra maiúscula, têm o significado seguinte. Os termos não definidos no presente Acordo que correspondam a termos definidos no RGPD têm o significado que lhes é atribuído pelo RGPD, nos termos da Cláusula 3.ª das presentes Cláusulas.

  1. "Acordo" ou "DPA": o presente Acordo sobre o Tratamento de Dados Pessoais, incluindo todos os seus Apêndices, que dele fazem parte integrante;

  2. "Apêndices": os Apêndices I a V ao presente Acordo, conforme aplicável;

  3. "Cláusulas": as cláusulas constantes do presente Acordo, baseadas nas cláusulas contratuais-tipo adotadas pela Decisão de Execução (UE) 2021/915 da Comissão Europeia;

  4. "Cliente": a entidade identificada no Apêndice I como Responsável pelo Tratamento, contraparte da Visor.ai no Contrato Principal;

  5. "Contrato Principal": o Contrato de Prestação de Serviços celebrado entre as Partes, incluindo eventuais aditamentos, addenda e Order Forms, ao abrigo do qual são prestados os Serviços ou, na falta de Contrato de Prestação de Serviços assinado, o Order Form assinado pelo Cliente e os Termos de Serviço (Terms of Service) da Visor.ai para que este remete;

  6. "EEE": o Espaço Económico Europeu, composto pelos Estados-Membros da União Europeia, Islândia, Liechtenstein e Noruega;

  7. "Encarregado da Proteção de Dados" ou "EPD": a pessoa designada para exercer as funções previstas nos Artigos 37.º a 39.º do RGPD;

  8. "Medidas Técnicas e Organizativas" ou "TOMs": o conjunto de medidas técnicas e organizativas de segurança implementadas pela Visor.ai para proteger os Dados Pessoais, descritas no Apêndice IV ao presente Acordo;

  9. "Order Form": o documento contratual, elaborado segundo o modelo da Visor.ai e assinado pelo Cliente, que materializa a contratação específica de Serviços, incluindo, designadamente, o âmbito, os módulos contratados, as condições comerciais e os parâmetros de prestação. O Order Form pode ser anexo a um Contrato de Prestação de Serviços ou, na falta deste, constituir, juntamente com os Termos de Serviço da Visor.ai, o Contrato Principal;

  10. "Partes": a Visor.ai e o Cliente, conjuntamente; e "Parte", qualquer uma delas individualmente;

  11. "RGPD": o Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados, e que revoga a Diretiva 95/46/CE;

  12. "Serviços": os serviços prestados pela Visor.ai ao Cliente ao abrigo do Contrato Principal, conforme descritos no Contrato Principal e respetivo Anexo I (Proposta) ou no Order Form;

  13. "Subcontratante Ulterior": qualquer terceiro contratado pela Visor.ai para realizar atividades de tratamento de Dados Pessoais em nome do Cliente, conforme listados no Apêndice V ao presente Acordo;

  14. "Termos de Serviço": os Terms of Service da Visor.ai, disponíveis em https://visor.ai/legal, na versão identificada no Order Form ou, na falta de indicação, na versão em vigor à data da assinatura do Order Form;

  15. "Trust Center": a plataforma online da Visor.ai, acessível em https://visor.ai/trust, onde é mantida e atualizada informação relativa à conformidade, segurança e tratamento de dados pessoais, incluindo a lista de Subcontratantes Ulteriores;

  16. "Visor.ai": a Visor.ai Portugal, S.A., enquanto Subcontratante para efeitos do presente Acordo, identificada no Apêndice I.

SECÇÃO I – DISPOSIÇÕES GERAIS

Cláusula 1.ª – Finalidade e âmbito de aplicação

  1. As presentes cláusulas (doravante, as "Cláusulas") visam assegurar a conformidade com o Artigo 28.º, n.ºs 3 e 4, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016 (doravante, o "RGPD").

  2. O Responsável pelo Tratamento e o Subcontratante identificados no Apêndice I acordaram nas presentes Cláusulas a fim de assegurar o cumprimento do disposto no Artigo 28.º, n.ºs 3 e 4, do RGPD.

  3. As presentes Cláusulas são aplicáveis ao tratamento de Dados Pessoais conforme especificado no Apêndice II.

  4. Os Apêndices I a V são parte integrante do presente Acordo.

  5. As presentes Cláusulas não prejudicam as obrigações a que o Responsável pelo Tratamento está sujeito por força do RGPD.

  6. As presentes Cláusulas não garantem, por si só, o cumprimento das obrigações relacionadas com as transferências internacionais em conformidade com o Capítulo V do RGPD.

Cláusula 2.ª – Invariabilidade das Cláusulas

  1. As Partes comprometem-se a não alterar as Cláusulas, exceto para acrescentar informações nos Apêndices ou atualizar as informações neles contidas.

  2. Tal não impede as Partes de incluírem as cláusulas contratuais-tipo estabelecidas nas presentes Cláusulas num contrato mais abrangente ou de acrescentarem outras cláusulas ou garantias adicionais, desde que não colidam, direta ou indiretamente, com as Cláusulas, e sem prejuízo dos direitos ou das liberdades fundamentais dos Titulares dos Dados.

Cláusula 3.ª – Interpretação

  1. Os termos usados nas presentes Cláusulas e que correspondam a termos definidos no RGPD têm o mesmo significado que lhes é atribuído no RGPD.

  2. As presentes Cláusulas devem ser lidas e interpretadas à luz das disposições do RGPD.

  3. As presentes Cláusulas não devem ser interpretadas de forma contrária aos direitos e obrigações previstos no RGPD, sem prejuízo dos direitos e das liberdades fundamentais dos Titulares dos Dados.

Cláusula 4.ª – Hierarquia

Em caso de contradição entre as presentes Cláusulas e as disposições de acordos conexos celebrados entre as Partes que se encontrem em vigor no momento em que as presentes Cláusulas sejam acordadas, ou que sejam celebrados posteriormente, prevalecem as presentes Cláusulas.

Cláusula 5.ª – Cláusula de adesão

  1. Qualquer entidade que não seja Parte nas presentes Cláusulas pode, com o acordo de todas as Partes, aderir, em qualquer momento, às presentes Cláusulas, como Responsável pelo Tratamento ou como Subcontratante, preenchendo os Apêndices e assinando o Apêndice I.

  2. Uma vez preenchidos e assinados os Apêndices referidos na alínea a), a entidade aderente é tratada como Parte nas presentes Cláusulas e tem os direitos e as obrigações de um Responsável pelo Tratamento ou Subcontratante, em conformidade com a sua designação no Apêndice I.

  3. A entidade aderente não tem quaisquer direitos ou obrigações decorrentes das presentes Cláusulas em relação ao período anterior a se ter tornado Parte.

SECÇÃO II – OBRIGAÇÕES DAS PARTES

Cláusula 6.ª – Descrição do(s) tratamento(s)

Os pormenores das operações de tratamento, em particular as categorias de Dados Pessoais e as finalidades do tratamento para as quais os Dados Pessoais são tratados por conta do Responsável pelo Tratamento, são especificados no Apêndice II.

Cláusula 7.ª – Obrigações das Partes

7.1. Instruções

  1. O Subcontratante procede ao tratamento de Dados Pessoais apenas mediante instruções documentadas do Responsável pelo Tratamento, salvo se for obrigado a fazê-lo pelo direito da União ou pelo direito do Estado-Membro a que esteja sujeito. Neste caso, o Subcontratante informa o Responsável pelo Tratamento desse requisito jurídico antes do tratamento, salvo se a lei o proibir por motivos importantes de interesse público. O Responsável pelo Tratamento pode dar instruções subsequentes ao longo de toda a duração do tratamento de Dados Pessoais. Estas instruções devem ser sempre documentadas.

  2. O Subcontratante informa imediatamente o Responsável pelo Tratamento se, no seu entender, as instruções dadas pelo Responsável pelo Tratamento violarem o RGPD ou as disposições aplicáveis do direito da União ou do direito dos Estados-Membros em matéria de proteção de dados.

7.2. Limitação das finalidades

O Subcontratante procede ao tratamento dos Dados Pessoais apenas para as finalidades específicas do tratamento, conforme estabelecido no Apêndice II, salvo se receber instruções adicionais do Responsável pelo Tratamento.

7.3. Duração do tratamento de dados pessoais

O tratamento pelo Subcontratante só pode ocorrer durante o período especificado no Apêndice III.

7.4. Apagamento ou devolução dos dados pessoais

  1. Após o termo do período de tratamento especificado no Apêndice III, o Subcontratante deve, consoante a escolha do Responsável pelo Tratamento: (i) apagar todos os Dados Pessoais tratados por conta deste último e certificar ao Responsável pelo Tratamento que o fez; ou (ii) devolver todos os Dados Pessoais ao Responsável pelo Tratamento e apagar as cópias existentes, salvo se a conservação dos Dados Pessoais for exigida ao abrigo do direito da União ou do direito dos Estados-Membros. O Subcontratante continua a assegurar o cumprimento das presentes Cláusulas até que os dados sejam apagados ou devolvidos.

  2. O Responsável pelo Tratamento tem o direito de verificar se o Subcontratante concluiu a devolução ou eliminação dos Dados Pessoais tratados de forma apropriada, incluindo se necessário através de auditoria junto do Subcontratante. O Responsável pelo Tratamento pode fazer essa verificação através de perito independente por si designado, contanto que o perito não esteja numa relação concorrencial com o Subcontratante.

  3. O Subcontratante mantém a confidencialidade de quaisquer Dados Pessoais a que tenha tido acesso ou de que tenha tomado conhecimento no âmbito do tratamento a que respeitam as Cláusulas, mesmo após o termo do período de duração do tratamento especificado no Apêndice III. O presente Acordo permanece válido para além do termo do Contrato Principal, enquanto o Subcontratante mantiver à sua disposição dados tratados por conta do Responsável pelo Tratamento.

7.5. Segurança do tratamento

  1. O Subcontratante aplica, no mínimo, as medidas técnicas e organizativas especificadas no Apêndice IV para garantir a segurança dos Dados Pessoais. Tal inclui a proteção dos dados contra uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso não autorizado aos dados (violação de Dados Pessoais). Ao avaliar o nível de segurança adequado, as Partes têm em devida conta as técnicas mais avançadas, os custos de aplicação, a natureza, o âmbito, o contexto e as finalidades do tratamento e os riscos para os Titulares dos Dados.

  2. O Subcontratante só concede acesso aos Dados Pessoais objeto de tratamento aos membros do seu pessoal na medida estritamente necessária para a execução, a gestão e o acompanhamento do contrato. O Subcontratante assegura que as pessoas autorizadas a tratar os Dados Pessoais assumiram um compromisso de confidencialidade ou estão sujeitas às obrigações legais de confidencialidade adequadas.

7.6. Dados sensíveis

Se o tratamento envolver Dados Pessoais que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas ou a filiação sindical, dados genéticos ou biométricos destinados a identificar uma pessoa singular de forma inequívoca, dados relativos à saúde, à vida sexual ou à orientação sexual de uma pessoa ou dados relacionados com condenações penais e infrações ("dados sensíveis"), o Subcontratante aplica limitações específicas e/ou garantias adicionais, conforme indicado no Apêndice III.

7.7. Documentação e cumprimento

  1. As Partes devem poder demonstrar o cumprimento das presentes Cláusulas.

  2. O Subcontratante responde, rápida e adequadamente, aos pedidos de informação do Responsável pelo Tratamento sobre o tratamento de dados, em conformidade com as presentes Cláusulas.

  3. O Subcontratante disponibiliza ao Responsável pelo Tratamento todas as informações necessárias para demonstrar o cumprimento das obrigações previstas nas presentes Cláusulas decorrentes diretamente do RGPD. A pedido do Responsável pelo Tratamento, o Subcontratante facilita e contribui para as auditorias das operações de tratamento abrangidas pelas presentes Cláusulas, a intervalos razoáveis ou se houver indícios de incumprimento. Ao decidir sobre uma revisão ou uma auditoria, o Responsável pelo Tratamento pode ter em conta as certificações pertinentes detidas pelo Subcontratante, nomeadamente a certificação ISO/IEC 27001:2022.

    1. O Responsável pelo Tratamento pode optar por realizar, ele próprio, a auditoria ou mandatar um auditor independente. As auditorias podem igualmente incluir inspeções nos edifícios ou nas instalações físicas do Subcontratante, a decorrer dentro do horário normal de expediente.

    2. As auditorias são comunicadas, por escrito, ao Subcontratante com uma antecedência de 30 (trinta) dias corridos, devendo o Subcontratante prestar ao Responsável pelo Tratamento, dentro de prazo adequado nunca inferior a 5 (cinco) dias corridos, todas as informações necessárias para a execução adequada da auditoria.

  4. As Partes disponibilizam as informações referidas na presente cláusula, incluindo os resultados de quaisquer auditorias, à(s) autoridade(s) de controlo competente(s), mediante pedido.

7.8. Recurso a Subcontratantes Ulteriores

  1. O Subcontratante tem autorização geral do Responsável pelo Tratamento para o recurso aos Subcontratantes Ulteriores listados no Apêndice V. O Subcontratante informa especificamente, por escrito, o Responsável pelo Tratamento de qualquer alteração prevista a essa lista com uma antecedência mínima de 30 (trinta) dias, dando assim ao Responsável pelo Tratamento tempo suficiente para opor-se a essas alterações antes do recurso ao Subcontratante Ulterior em causa. O Subcontratante fornece ao Responsável pelo Tratamento as informações necessárias para permitir a este último exercer o direito de oposição.

  2. Caso o Subcontratante contrate um Subcontratante Ulterior para realizar operações específicas de tratamento (por conta do Responsável pelo Tratamento), deve fazê-lo através de um contrato que imponha ao Subcontratante Ulterior, do ponto de vista material, as mesmas obrigações em matéria de proteção de dados que as impostas ao Subcontratante em conformidade com as presentes Cláusulas. O Subcontratante assegura o cumprimento, pelo Subcontratante Ulterior, das obrigações a que está sujeito nos termos das presentes Cláusulas e do RGPD.

  3. O Subcontratante faculta ao Responsável pelo Tratamento, a pedido do mesmo, uma cópia do referido acordo de subcontratação e de quaisquer alterações subsequentes. Na medida do necessário para proteger segredos comerciais ou outras informações confidenciais, incluindo Dados Pessoais, o Subcontratante pode editar o texto do acordo antes de partilhar a cópia.

  4. O Subcontratante continua a ser inteiramente responsável, perante o Responsável pelo Tratamento, pelo cumprimento das obrigações que incumbem ao Subcontratante Ulterior em conformidade com o seu contrato com o Subcontratante. O Subcontratante notifica o Responsável pelo Tratamento de qualquer incumprimento, pelo Subcontratante Ulterior, das obrigações contratuais que lhe incumbem.

7.9. Transferências internacionais

  1. Qualquer transferência de dados para um país terceiro ou para uma organização internacional pelo Subcontratante só pode ser efetuada com base em instruções documentadas do Responsável pelo Tratamento ou a fim de cumprir um requisito específico ao abrigo do direito da União ou do direito do Estado-Membro a que o Subcontratante esteja sujeito e deve ter lugar em conformidade com o Capítulo V do RGPD.

  2. O Responsável pelo Tratamento concorda que, caso o Subcontratante contrate um Subcontratante Ulterior, em conformidade com a Cláusula 7.8, para realizar operações específicas de tratamento (por conta do Responsável pelo Tratamento) e essas operações envolvam uma transferência de Dados Pessoais na aceção do Capítulo V do RGPD, o Subcontratante e o Subcontratante Ulterior asseguram o cumprimento do Capítulo V do RGPD recorrendo às Cláusulas Contratuais-Tipo adotadas pela Comissão em conformidade com o Artigo 46.º, n.º 2 do RGPD, desde que as condições para o recurso a essas cláusulas sejam cumpridas.

Cláusula 8.ª – Assistência ao Responsável pelo Tratamento

  1. O Subcontratante notifica imediatamente o Responsável pelo Tratamento de qualquer pedido que tenha recebido do Titular dos Dados. Não pode responder ele próprio a esse pedido, salvo se autorizado a fazê-lo pelo Responsável pelo Tratamento.

  2. O Subcontratante presta assistência ao Responsável pelo Tratamento no cumprimento das suas obrigações de resposta aos pedidos de exercício de direitos apresentados pelos Titulares dos Dados, tendo em conta a natureza do tratamento. No cumprimento das obrigações que lhe incumbem por força das alíneas a) e b), o Subcontratante cumpre as instruções do Responsável pelo Tratamento.

  3. Para além da obrigação de prestar assistência ao Responsável pelo Tratamento nos termos da alínea b), o Subcontratante presta também assistência ao Responsável pelo Tratamento para assegurar o cumprimento das seguintes obrigações, tendo em conta a natureza do tratamento e as informações ao seu dispor:

    1. a obrigação de proceder a uma avaliação do impacto das operações de tratamento previstas na proteção de Dados Pessoais (Avaliação de Impacto sobre a Proteção de Dados – AIPD/DPIA), caso um tipo de tratamento seja suscetível de constituir um elevado risco para os direitos e as liberdades das pessoas singulares;

    2. a obrigação de consultar a(s) autoridade(s) de controlo competente(s) antes de proceder ao tratamento quando a AIPD indicar que o tratamento resultaria num elevado risco na ausência das medidas tomadas pelo Responsável pelo Tratamento para atenuar o risco;

    3. a obrigação de assegurar que os Dados Pessoais sejam exatos e atualizados, informando sem demora o Responsável pelo Tratamento se o Subcontratante tomar conhecimento de que os Dados Pessoais que está a tratar são inexatos ou estão desatualizados;

    4. as obrigações previstas no Artigo 32.º do RGPD.

  4. As Partes estabelecem, no Apêndice IV, as medidas técnicas e organizativas adequadas através das quais o Subcontratante presta assistência ao Responsável pelo Tratamento na aplicação da presente cláusula, bem como o âmbito e amplitude da assistência necessária.

  5. Disposição adicional: sem prejuízo das alíneas anteriores, o Subcontratante informa o Responsável pelo Tratamento, sem demora injustificada, em caso de perturbações, suspeita de violação de dados, violação de obrigações contratuais por parte do Subcontratante, suspeita de incidentes de segurança ou quaisquer outras irregularidades relativas ao tratamento de Dados Pessoais.

Cláusula 9.ª – Notificação de violação de Dados Pessoais

Em caso de violação de Dados Pessoais, o Subcontratante coopera com o Responsável pelo Tratamento e presta-lhe assistência para que este cumpra as obrigações que lhe incumbem por força dos Artigos 33.º e 34.º do RGPD, se aplicável, tendo em conta a natureza do tratamento e as informações ao seu dispor.

9.1. Violação de dados relativa a dados tratados pelo Responsável pelo Tratamento

Em caso de violação de Dados Pessoais relativa a dados tratados pelo Responsável pelo Tratamento, o Subcontratante presta-lhe assistência:

  1. Na notificação da violação de Dados Pessoais à(s) autoridade(s) de controlo competente(s), sem demora injustificada, após o Responsável pelo Tratamento ter tomado conhecimento da violação, quando pertinente, salvo se a violação não for suscetível de constituir um risco para os direitos e as liberdades das pessoas singulares;

  2. Na obtenção das informações que, nos termos do Artigo 33.º, n.º 3 do RGPD, devem ser indicadas na notificação do Responsável pelo Tratamento, incluindo pelo menos:

  • A natureza dos Dados Pessoais, incluindo, se possível, as categorias e o número aproximado de Titulares de Dados afetados, e as categorias e o número aproximado de registos de Dados Pessoais em causa;

  • As consequências prováveis da violação de Dados Pessoais;

  • As medidas adotadas ou propostas pelo Responsável pelo Tratamento para reparar a violação de Dados Pessoais, incluindo, se for caso disso, medidas para atenuar os seus eventuais efeitos negativos.

  1. No cumprimento, nos termos do Artigo 34.º do RGPD, da obrigação de comunicar, sem demora injustificada, a violação de Dados Pessoais ao Titular dos Dados, caso a violação seja suscetível de constituir um elevado risco para os direitos e liberdades das pessoas singulares.

9.2. Violação de dados relativa a dados tratados pelo Subcontratante

Em caso de violação de Dados Pessoais relativa a dados tratados pelo Subcontratante, este notifica o Responsável pelo Tratamento, sem demora injustificada e no prazo máximo de 48 (quarenta e oito) horas após ter tomado conhecimento da violação. A notificação é efetuada através do endereço securityoffice@visor.ai para o endereço de correio eletrónico designado pelo Responsável pelo Tratamento, com a indicação no assunto "VISOR.AI - NOTIFICAÇÃO DE SEGURANÇA", e contém, pelo menos, os seguintes elementos:

  • Uma descrição da natureza da violação (incluindo, se possível, as categorias e o número aproximado de Titulares de Dados afetados e de registos de Dados em causa);

  • Os dados de um ponto de contacto onde possam ser obtidas mais informações relativas à violação;

  • As consequências prováveis da violação e as medidas adotadas ou propostas para a reparar, incluindo para atenuar os seus eventuais efeitos negativos.

Caso, e na medida em que, não seja possível comunicar todas estas informações ao mesmo tempo, a notificação inicial contém as informações então disponíveis, devendo outras informações, à medida que fiquem disponíveis, ser fornecidas posteriormente sem demora injustificada.

As Partes estabelecem, no Apêndice IV, todos os outros elementos a fornecer pelo Subcontratante aquando da prestação de assistência ao Responsável pelo Tratamento no cumprimento das obrigações que lhe incumbem por força dos Artigos 33.º e 34.º do RGPD.

SECÇÃO III – DISPOSIÇÕES FINAIS

Cláusula 10.ª – Incumprimento das Cláusulas e rescisão

  1. Sem prejuízo de quaisquer disposições do RGPD, caso o Subcontratante viole as obrigações que lhe incumbem por força das presentes Cláusulas, o Responsável pelo Tratamento pode dar instruções ao Subcontratante para suspender o tratamento de Dados Pessoais até que este último cumpra as presentes Cláusulas ou até que o contrato seja rescindido. O Subcontratante informa imediatamente o Responsável pelo Tratamento caso, por qualquer motivo, não possa cumprir as presentes Cláusulas.

  2. O Responsável pelo Tratamento tem o direito de rescindir o contrato, na medida em que este diga respeito ao tratamento de Dados Pessoais em conformidade com as presentes Cláusulas, se:

    1. o tratamento de Dados Pessoais pelo Subcontratante tiver sido suspenso pelo Responsável pelo Tratamento nos termos da alínea a) e o cumprimento das presentes Cláusulas não for restabelecido num prazo razoável e, em todo o caso, no prazo de 1 (um) mês após a suspensão;

    2. o Subcontratante violar, de forma substancial ou persistente, as presentes Cláusulas ou as obrigações que lhe incumbem por força do RGPD;

    3. o Subcontratante não cumprir uma decisão vinculativa de um tribunal competente ou da(s) autoridade(s) de controlo competente(s) relativamente às obrigações que lhe incumbem nos termos das presentes Cláusulas ou do RGPD.

  3. O Subcontratante tem o direito de rescindir o contrato, na medida em que este diga respeito ao tratamento de Dados Pessoais ao abrigo das presentes Cláusulas, caso, após ter informado o Responsável pelo Tratamento de que as suas instruções violam os requisitos legais aplicáveis nos termos da Cláusula 7.1, alínea b), o Responsável pelo Tratamento insista no cumprimento das instruções.

  4. Na sequência da rescisão do contrato, o Subcontratante deve, consoante a escolha do Responsável pelo Tratamento, apagar todos os Dados Pessoais tratados por conta deste último e certificar ao Responsável pelo Tratamento que o fez, ou devolver todos os Dados Pessoais ao Responsável pelo Tratamento e apagar as cópias existentes, salvo se a conservação dos Dados Pessoais for exigida ao abrigo do direito da União ou do direito dos Estados-Membros. Até que os dados sejam apagados ou devolvidos, o Subcontratante continua a assegurar o cumprimento das presentes Cláusulas.

Cláusula 11.ª – Versões Linguísticas

O presente Acordo é celebrado em português e inglês. Em caso de divergência entre as versões, prevalece a versão portuguesa.

ASSINATURAS

As Partes declaram ter lido, compreendido e aceite o presente Acordo sobre o Tratamento de Dados Pessoais, obrigando-se ao seu integral cumprimento.

Quando o Contrato Principal for constituído pelo Order Form e pelos Termos de Serviço da Visor.ai, o presente Acordo considera-se celebrado e aceite pelas Partes com a assinatura do Order Form que para ele remete, com identificação da versão e da data do presente Acordo, dispensando a assinatura do quadro seguinte. Nesse caso, os dados do Responsável pelo Tratamento constantes do Apêndice I são os indicados no Order Form.

Pela VISOR.AI PORTUGAL, S.A.

Pelo Responsável pelo Tratamento

Nome: _______________________________

Cargo: _______________________________

Data: ________________________________

Assinatura:

Nome: _______________________________

Cargo: _______________________________

Data: ________________________________

Assinatura:

APÊNDICE I – LISTA DAS PARTES

Responsável pelo Tratamento

Denominação Social [a preencher ou conforme Order Form]
NIF / NIPC [a preencher ou conforme Order Form]
Sede Social [a preencher ou conforme Order Form]
Representante Legal [Nome e cargo, ou conforme Order Form]
Contacto para matérias de Proteção de Dados / EPD [Nome, email, telefone, ou conforme Order Form]
Endereço para notificações de violação de dados [a preencher ou conforme Order Form]

Subcontratante

Denominação Social Visor.ai Portugal, S.A.
NIPC 513 889 213
Sede Social Rua João Saraiva, 38, 4.º andar, 1700-106 Lisboa, Portugal
Contacto para matérias de Proteção de Dados privacy@visor.ai
Notificações de violação de dados securityoffice@visor.ai
Trust Center https://visor.ai/trust
Certificações ISO/IEC 27001:2022

APÊNDICE II – DESCRIÇÃO DO TRATAMENTO

Os pormenores das operações de tratamento, em particular as categorias de Dados Pessoais e as finalidades para as quais são tratados por conta do Responsável pelo Tratamento, são descritos na tabela seguinte. A tabela contém a descrição-padrão dos Serviços, que se aplica salvo se o Responsável pelo Tratamento indicar outra na Proposta ou no Order Form. Compete ao Responsável pelo Tratamento, com o apoio do Subcontratante quando necessário, completar ou ajustar esta descrição às configurações concretas dos Serviços contratados.

Categorias de titulares de dados cujos dados pessoais são tratados Utilizadores finais que interagem com os Agentes de IA do Cliente através dos canais contratados (chamadas telefónicas, chat e mensagens), nomeadamente clientes e potenciais clientes do Responsável pelo Tratamento; utilizadores da plataforma autorizados pelo Cliente (colaboradores e prestadores de serviços do Cliente).
Categorias de dados pessoais tratados Dados de identificação e contacto fornecidos durante a interação (por exemplo, nome, número de telefone, email, número de cliente); voz e gravações de áudio; transcrições e conteúdo das conversas; metadados das interações (data, hora, duração, canal e identificadores técnicos); dados de conta e registos de atividade dos utilizadores da plataforma.
Categorias especiais de dados (Art. 9.º RGPD) Nenhuma, salvo indicação expressa do Responsável pelo Tratamento na Proposta ou no Order Form, caso em que se aplicam as garantias da Cláusula 7.6 e do Apêndice III.
Natureza do tratamento Recolha, registo, organização, estruturação, conservação/armazenamento, recuperação, consulta, utilização, eventual divulgação por transmissão ao Responsável pelo Tratamento e eliminação de Dados Pessoais, no âmbito dos Serviços contratados.
Finalidade(s) para a(s) qual(ais) os dados pessoais são tratados por conta do Responsável pelo Tratamento Prestação dos Serviços contratados, designadamente atendimento automatizado através de Agentes de IA de voz e chat, transcrição, encaminhamento para agentes humanos, análise de qualidade e produção de métricas de serviço para o Responsável pelo Tratamento; suporte técnico, manutenção e segurança da plataforma.
Duração do tratamento

O tratamento de Dados Pessoais de utilizadores finais inicia-se apenas após a assinatura do Contrato de Prestação de Serviços ou, na falta deste, do Order Form.

Durante a vigência do Contrato Principal e pelo período estritamente necessário à prestação dos Serviços.

A duração da conservação é definida por categoria de dados, de acordo com a finalidade de cada tratamento, nos termos da tabela disposta no Apêndice III, preenchida pela Visor.ai em função dos termos comerciais acordados entre as Partes previamente à celebração do presente Acordo. Na ausência de indicação específica para uma categoria, aplica-se o prazo-padrão indicado no Apêndice III. Os prazos contam-se a partir da data de cada interação ou do fecho do respetivo processo, consoante a categoria de dado.

Após cessação do Contrato Principal, os dados remanescentes são eliminados no prazo de 90 (noventa) dias, salvo (i) obrigação legal de conservação por período superior, ou (ii) prazo diferente constante de anexo específico imposto pelo Responsável pelo Tratamento, que prevalece sobre o presente número.
Localização do tratamento
  • Espaço Económico Europeu (EEE), Amazon Web Services (AWS) – regiões europeias (eu-west-1 Irlanda, eu-central-1 Frankfurt, entre outras conforme requisitos do Cliente).
  • Os Dados Pessoais são armazenados e tratados em regiões do EEE, e a Visor.ai não efetua, por sua iniciativa, transferências de Dados Pessoais para fora do EEE. Alguns Subcontratantes Ulteriores integram grupos empresariais com sede fora do EEE. Caso ocorra um acesso pontual a partir de um país terceiro, designadamente para suporte técnico, segurança, prevenção de utilização abusiva ou em resposta a pedido de uma autoridade, esse acesso é limitado ao estritamente necessário e assenta num dos mecanismos previstos no Capítulo V do RGPD, designadamente uma decisão de adequação (incluindo o EU-US Data Privacy Framework, para as entidades certificadas) ou as Cláusulas Contratuais-Tipo adotadas pela Decisão de Execução (UE) 2021/914, nos termos da Cláusula 7.9.

APÊNDICE III – RETENÇÃO DE DADOS

Categoria de Dados Aplicável Prazo de Conservação Critério/Base

Registo de Interação

(AI Voice / AI Chat Agent)

 Conforme Serviços contratados Padrão: 90 dias (opções: 12 ou 24 meses) Finalidade de prestação do serviço

Gravação de Áudio

(AI Voice Agent)

 Conforme Serviços contratados 30 dias Monitorização de qualidade da chamada

Áudio de Qualidade & Insights

(AI Quality Agent)

 Conforme Serviços contratados 24 horas Finalidade de prestação do serviço

Transcrição-fonte para Auditoria

(AI Quality Agent)

 Conforme Serviços contratados 30 dias Finalidade de prestação do serviço
Resultados de Auditoria (AI Quality Agent) Conforme Serviços contratados Padrão: 6 meses (opção: 12 meses) Finalidade de prestação do serviço e Análise de qualidade e tendência
Logs de Atividade da Plataforma Conforme Serviços contratados Padrão: 90 dias (opção: 12 meses) Rastreabilidade de ações e identificação dos utilizadores da plataforma. Inclui dados de conta dos utilizadores do Cliente. Cf. Deliberação CNPD n.º 1638/2013
Logs de Segurança e Infraestrutura Sim 12 meses Segurança do tratamento, deteção e investigação de incidentes (Art. 32.º RGPD). Inclui identificadores técnicos dos utilizadores da plataforma e dos titulares (por exemplo, IDs de utilizador e endereços IP). Prazo fixo, não sujeito a extensão.
Eliminação pós-cessação Sim 90 dias Devolução ou destruição após o termo do Contrato Principal, salvo anexo específico imposto pelo Responsável pelo Tratamento
Dados pessoais dos Titulares Sim Segue o prazo da categoria operacional onde o dado se insere Não constitui categoria autónoma; a retenção segue as categorias acima

Dados Sensíveis

(Art. 9.º RGPD)

 Conforme Serviços contratados Segue a categoria operacional aplicável – sem extensão automática de prazo Aplicável apenas se o caso de uso do Cliente o envolver. As garantias adicionais são acordadas por escrito antes do início do tratamento, designadamente: avaliação de impacto (AIPD) pelo Cliente com o apoio da Visor.ai, acesso restrito a pessoal autorizado e minimização.

APÊNDICE IV – MEDIDAS TÉCNICAS E ORGANIZATIVAS

O presente Apêndice descreve as medidas técnicas e organizativas implementadas pelo Subcontratante para garantir a segurança dos Dados Pessoais tratados no âmbito do presente Acordo, em conformidade com o Artigo 32.º do RGPD e com a norma ISO/IEC 27001:2022, certificação detida pelo Subcontratante.

  1. Controlo de acessos físicos

O Subcontratante implementa medidas para impedir que pessoas não autorizadas acedam às instalações onde são tratados Dados Pessoais, designadamente:

  • Acesso às instalações com identificação obrigatória e registo de entradas/saídas;

  • Áreas com tratamento de Dados Pessoais sujeitas a controlo de acesso adicional;

  • Infraestrutura cloud em datacenters AWS com certificações reconhecidas (ISO/IEC 27001, SOC 2, entre outras), com controlos físicos geridos pelo prestador cloud.

  1. Controlo de acesso a sistemas

O Subcontratante implementa medidas para impedir o acesso não autorizado aos sistemas de tratamento, designadamente:

  • Autenticação multifator (MFA) obrigatória para acessos a sistemas críticos e ambientes de produção;

  • Políticas de palavra-passe robusta com requisitos mínimos de complexidade e rotação;

  • Bloqueio automático de sessões inativas;

  • Princípio do mínimo privilégio aplicado a todas as contas de utilizador (ISO/IEC 27001:2022 Anexo A.5.15, A.8.2).

  1. Controlo de acesso a dados

O Subcontratante implementa medidas para garantir que apenas pessoas autorizadas acedem aos Dados Pessoais e apenas na medida estritamente necessária, designadamente:

  • Controlo de acessos baseado em funções (RBAC) com perfis e permissões diferenciados;

  • Cifra de dados em repouso (AES-256) e em trânsito (TLS 1.2 ou superior);

  • Anonimização e minimização de dados sempre que tecnicamente viável e adequado à finalidade;

  • Registo de acessos (logging) com identificação do utilizador, data, hora e operações efetuadas (ISO/IEC 27001:2022 Anexo A.8.15).

  1. Controlo de transferência

O Subcontratante implementa medidas para proteger Dados Pessoais durante a transmissão e o armazenamento fora dos sistemas controlados, designadamente:

  • Cifra de dados em trânsito com TLS 1.2 ou superior em todas as comunicações;

  • Cifra de dados em repouso com AES-256 em sistemas de armazenamento;

  • Mecanismos de transmissão segura entre Subcontratante e Subcontratantes Ulteriores, com endpoints dedicados ao EEE;

  • Verificação e registo das entidades destinatárias de transferências de dados.

  1. Controlo de operação

O Subcontratante implementa medidas para garantir o controlo e rastreabilidade das operações sobre Dados Pessoais, designadamente:

  • Logging centralizado das operações sobre Dados Pessoais (criação, modificação, eliminação);

  • Restrição de operações de modificação a pessoal autorizado;

  • Segregação de ambientes de produção, desenvolvimento e teste;

  • Monitorização contínua de sistemas e processos com alertas automáticos;

  • Plano formal de gestão de incidentes de segurança da informação com equipa dedicada (ISO/IEC 27001:2022 Anexo A.5.24 a A.5.28).

  1. Controlo de conformidade com instruções

O Subcontratante implementa medidas para garantir que o tratamento é executado em conformidade com as instruções documentadas do Responsável pelo Tratamento, designadamente:

  • Sistema de Gestão de Segurança da Informação (SGSI) certificado em conformidade com a norma ISO/IEC 27001:2022;

  • Conjunto documentado de políticas e procedimentos internos sujeito a revisão periódica;

  • Formação inicial e contínua dos colaboradores em segurança da informação e proteção de dados, com acordos de confidencialidade obrigatórios;

  • Procedimento documentado de avaliação e onboarding de fornecedores (Subcontratantes Ulteriores) com cláusulas contratuais de proteção de dados;

  • Auditorias internas anuais e auditorias externas de certificação ISO/IEC 27001.

  1. Controlo de disponibilidade

O Subcontratante implementa medidas para garantir a disponibilidade dos Dados Pessoais e a sua proteção contra destruição ou perda acidental, designadamente:

  • Backups cifrados com planos de recuperação testados, com objetivos de RTO e RPO definidos por nível de criticidade;

  • Plano de Continuidade de Negócio (BCP) e Plano de Recuperação de Desastres (DRP) documentados, com testes periódicos e revisão anual;

  • Infraestrutura cloud com arquitetura redundante (multi-AZ) ao nível das camadas de computação;

  • Monitorização contínua de disponibilidade dos serviços com alertas e procedimentos de escalonamento (ISO/IEC 27001:2022 Anexo A.5.29, A.5.30, A.8.13, A.8.14).

  1. Controlo de separação multi-entidades

O Subcontratante implementa medidas para garantir a separação entre os Dados Pessoais de diferentes Responsáveis pelo Tratamento, designadamente:

  • Separação lógica estrita entre os ambientes e dados de diferentes clientes (multi-tenancy);

  • Identificação inequívoca do Responsável pelo Tratamento associado a cada operação de tratamento;

  • Controlos de acesso e cifra dedicados por cliente sempre que tecnicamente aplicável (incluindo modelo de VPC dedicada quando contratada);

  • Auditoria de operações que possam envolver dados de múltiplos clientes.

  1. Medidas adicionais de proteção da camada de Inteligência Artificial

Considerando a natureza dos Serviços, o Subcontratante implementa medidas adicionais especificamente direcionadas para a proteção da camada de IA, designadamente:

  • Aplicação de guardrails nativos dos modelos LLM utilizados (Amazon Bedrock, Azure OpenAI Content Safety, Vertex AI Safety Filters);

  • Aplicação de guardrails customizados pelo Subcontratante para deteção e bloqueio de tentativas de prompt injection e cross-context access;

  • Hospedagem dos modelos LLM em endpoints UE dedicados, alinhando residência dos dados com o EEE;

  • Os dados transmitidos aos fornecedores de modelos de IA através das respetivas APIs não são utilizados para o treino ou melhoria dos seus modelos. Tais dados podem ser objeto de retenção temporária e limitada pelos fornecedores, exclusivamente para finalidades de segurança e prevenção de utilização abusiva, pelos períodos definidos nas políticas dos respetivos fornecedores, não sendo utilizados para qualquer outra finalidade.

  • O Subcontratante não utiliza os Dados Pessoais tratados por conta do Responsável pelo Tratamento para treinar modelos de IA de uso geral.

APÊNDICE V – LISTA DE SUBCONTRATANTES ULTERIORES

O Responsável pelo Tratamento autoriza o recurso aos Subcontratantes Ulteriores listados na tabela seguinte. A lista atualizada está permanentemente disponível no Trust Center da Visor.ai em https://visor.ai/trust. Qualquer alteração à lista é comunicada ao Responsável pelo Tratamento com antecedência mínima de 30 (trinta) dias, nos termos da Cláusula 7.8 do presente Acordo.

Subcontratante Ulterior Finalidade Localização Armazenamento fora do EEE
Amazon Web Services (AWS) Infraestrutura cloud, armazenamento e computação; modelos LLM através do Amazon Bedrock Regiões AWS UE (Irlanda / Frankfurt; outras mediante pedido formal) Não
Out.Cloud Gestão e operação da infraestrutura cloud (AWS), incluindo acesso administrativo aos ambientes onde são tratados os Dados Pessoais Portugal, com acesso aos ambientes AWS nas regiões da UE Não
Microsoft Azure (Speech Services e Azure OpenAI) Speech-to-Text (STT) e Text-to-Speech (TTS) através do Azure Speech Services; modelos LLM e TTS através do Azure OpenAI Regiões Azure UE (West Europe, Sweden Central, Germany West Central, France Central) Não
Google Cloud / Vertex AI (Gemini) Modelos LLM Gemini para processamento de linguagem natural Regiões Google Cloud UE (europe-west8, Milão) Não
Deepgram Speech-to-Text (STT) Regiões AWS UE/EEE1 Não
AssemblyAI Speech-to-Text (STT) Regiões AWS UE/EEE (eu-west-1, Dublin, Irlanda)2 Não
ElevenLabs Text-to-Speech (TTS) Regiões UE/EEE, infraestrutura Google Cloud Platform3 Não
Vonage B.V. Serviços de telecomunicações: números de telefone, encaminhamento de chamadas e mensagens Região AWS UE/EEE (eu-west-1, Dublin, Irlanda) Não
Google Workspace Email, armazenamento de documentos e colaboração interna, quando contenham Dados Pessoais do Cliente, designadamente no tratamento de pedidos de suporte e incidentes Regiões UE/EEE Não
Atlassian (Jira/Confluence) Gestão de pedidos de suporte e incidentes e documentação técnica, quando incluam Dados Pessoais do Cliente Regiões UE/EEE Não

  1. UE/EEE – endpoint dedicado na UE (api.eu.deepgram.com), regiões AWS na UE, sujeito à política do fornecedor; a região específica pode variar, mantendo-se dentro do EEE.

  2. UE/EEE – endpoint dedicado na UE (streaming.eu.assembly.ai).

  3. UE/EEE – contrato Enterprise com residência de dados ativa na UE (eu.residency.elevenlabs.io) e Zero Retention Mode ativado via API, sujeito à política do fornecedor; a região específica pode variar, mantendo-se dentro do EEE.

Escolhe o que permites. Podes mudar a qualquer momento.

Ainda não guardaste nenhuma escolha. Política de Cookies