Acordo de Tratamento de Dados (DPA)

O presente Acordo de Tratamento de Dados («DPA») faz parte dos Termos de Serviço celebrados entre si («Cliente», o responsável pelo tratamento) e o DocuTract («DocuTract», o subcontratante). Rege o tratamento, pelo DocuTract, dos dados pessoais contidos nos documentos, digitalizações e modelos que carrega («Dados Pessoais do Cliente») e reflete os requisitos do artigo 28.º do Regulamento Geral sobre a Proteção de Dados da UE (RGPD).

Funções das partes

O Cliente é o responsável pelo tratamento e determina as finalidades e os meios de tratamento dos Dados Pessoais do Cliente. O DocuTract é o subcontratante e trata os Dados Pessoais do Cliente apenas mediante instruções documentadas do Cliente, incluindo as dadas através da utilização normal do serviço. Quando o DocuTract atua como responsável pelo tratamento relativamente aos dados de conta e de faturação, aplica-se antes a Política de Privacidade.

Objeto e duração

O objeto é o tratamento necessário para prestar o DocuTract – extrair campos das digitalizações carregadas e gerar documentos preenchidos. O tratamento dura enquanto vigorarem os Termos de Serviço e até que os Dados Pessoais do Cliente sejam eliminados nos termos do presente DPA.

Natureza e finalidade do tratamento

O DocuTract trata os Dados Pessoais do Cliente para receber os ficheiros carregados, efetuar a extração automatizada, preencher modelos, gerar documentos de saída e armazenar esses documentos e digitalizações por conta do Cliente.

Categorias de dados e de titulares dos dados

O Cliente controla o que carrega. Os Dados Pessoais do Cliente podem incluir dados de identidade, de contacto, de documentos de identificação, financeiros e outros contidos nos ficheiros de origem do Cliente. Os titulares dos dados podem incluir os clientes, os trabalhadores e as contrapartes do Cliente, bem como quaisquer pessoas singulares mencionadas nos documentos do Cliente.

Categorias especiais de dados

O DocuTract não foi concebido para categorias especiais de dados pessoais (artigo 9.º do RGPD, como os dados relativos à saúde) nem para dados relacionados com condenações penais e infrações (artigo 10.º do RGPD). O Cliente não carregará tais dados, a menos que disponha de um fundamento jurídico válido para esse tratamento e tenha informado previamente o DocuTract por escrito, para que as partes possam acordar eventuais garantias adicionais.

Obrigações do DocuTract

O DocuTract compromete-se a:

tratar os Dados Pessoais do Cliente apenas mediante instruções documentadas do Cliente;
assegurar que as pessoas autorizadas a tratar os dados estão sujeitas a obrigações de confidencialidade;
aplicar as medidas técnicas e organizativas descritas abaixo;
não utilizar os Dados Pessoais do Cliente para treinar modelos de aprendizagem automática nem para qualquer finalidade que não seja a prestação do serviço;
prestar assistência ao Cliente, tendo em conta a natureza do tratamento, no que respeita aos pedidos dos titulares dos dados e às suas obrigações em matéria de segurança, notificação de violações e avaliação de impacto.

Medidas de segurança

O DocuTract mantém medidas técnicas e organizativas adequadas, incluindo encriptação em trânsito (TLS) e em repouso (a base de dados e o armazenamento de ficheiros são encriptados pelos respetivos fornecedores), controlos de acesso com privilégio mínimo e autenticação, autenticação de dois fatores para os utilizadores (que o proprietário de um espaço de trabalho pode tornar obrigatória) e autenticação de dois fatores obrigatória para os administradores do DocuTract, armazenamento privado de ficheiros que nunca é acessível publicamente e só é exposto através de URL assinados, de curta duração e limitados a um espaço de trabalho, separação lógica dos dados de cada espaço de trabalho, um registo de acessos só de acréscimo das alterações e leituras dos Dados Pessoais do Cliente e de todos os acessos de administradores, renderização de PDF nos próprios servidores do DocuTract e revisão regular destas medidas.

Subcontratantes ulteriores

O Cliente autoriza o DocuTract a recorrer a subcontratantes ulteriores para prestar o serviço. O DocuTract impõe a cada subcontratante ulterior obrigações de proteção de dados que não sejam menos protetoras do que as previstas no presente DPA, e continua a ser responsável pelo seu desempenho. Os subcontratantes ulteriores atuais são:

Anthropic Ireland, Limited (Irlanda) – reconhecimento por IA de texto e campos nas digitalizações carregadas e análise dos modelos carregados. Recebe apenas o conteúdo dos ficheiros – nem nomes de ficheiros nem identificadores de conta. A Anthropic armazena os dados nos Estados Unidos, pode tratá-los noutros países onde opera, conserva as entradas e saídas durante um máximo de 30 dias e não as utiliza para treinar modelos.
Hetzner Online GmbH (Alemanha) – alojamento de servidores num centro de dados em Falkenstein, Alemanha: a aplicação, as filas de tarefas e a renderização de PDF.
Supabase, Inc. (Estados Unidos) – base de dados, início de sessão dos utilizadores e armazenamento privado de ficheiros (modelos, digitalizações e documentos gerados), alojados na Irlanda (UE) e encriptados em repouso.
Stripe (Stripe, Inc. e as suas afiliadas, incluindo a Stripe Payments Europe, Limited) – faturação de subscrições e pagamentos únicos (apenas dados de conta e de faturação, nunca o conteúdo dos documentos).
Zone Media OÜ (Zone.eu, Estónia) – o alojamento de correio eletrónico através do qual o DocuTract envia e-mails, incluindo o e-mail com as ligações para um documento pago (o endereço do destinatário, o assunto e o corpo da mensagem; o próprio documento não é anexado).
PostHog, Inc. (análise de produto) – análise do website respeitadora da privacidade, alojada na UE e ativa apenas com o consentimento do visitante, com todos os textos e campos introduzidos ocultados. Não trata o conteúdo dos documentos ou digitalizações carregados.

O DocuTract avisará previamente de qualquer intenção de acrescentar ou substituir um subcontratante ulterior, para que o Cliente possa opor-se por motivos razoáveis relacionados com a proteção de dados.

Transferências internacionais

Alguns subcontratantes ulteriores tratam Dados Pessoais do Cliente fora do EEE – em particular a Anthropic, que armazena dados nos Estados Unidos, e a Stripe, que está estabelecida nos Estados Unidos. A Supabase aloja os nossos dados na Irlanda, mas está estabelecida nos Estados Unidos, pelo que o acesso remoto a partir desse país é tratado como uma transferência. Para cada uma dessas transferências, o DocuTract baseia-se nas Cláusulas Contratuais-Tipo da Comissão Europeia incorporadas nos termos de tratamento de dados do subcontratante ulterior ou, quando disponível, numa decisão de adequação (como o Quadro de Privacidade de Dados UE-EUA), em conjunto com as medidas técnicas acima descritas.

Violação de dados pessoais

O DocuTract notificará o Cliente sem demora injustificada após tomar conhecimento de uma violação de dados pessoais que afete os Dados Pessoais do Cliente, com as informações de que o Cliente razoavelmente necessite para cumprir as suas próprias obrigações de notificação.

Devolução e eliminação

Em caso de cessação do serviço, ou mediante pedido escrito do Cliente para legal@docutract.online, o DocuTract eliminará ou devolverá os Dados Pessoais do Cliente e eliminará as cópias existentes no prazo de 30 dias, salvo quando a conservação for exigida por lei. As cópias detidas pelos subcontratantes ulteriores são eliminadas nos respetivos prazos de conservação (no caso da Anthropic, até 30 dias após o tratamento).

Auditorias

O DocuTract disponibiliza as informações necessárias para demonstrar o cumprimento do presente DPA e contribuirá para as auditorias, incluindo inspeções, realizadas pelo Cliente ou por um auditor por ele mandatado, mediante aviso prévio razoável e sob reserva de confidencialidade.

Responsabilidade e prevalência

Em caso de conflito entre o presente DPA e os Termos de Serviço em matéria de tratamento de dados pessoais, prevalece o presente DPA. Tem perguntas sobre este DPA? Escreva para legal@docutract.online.