Acordo de Tratamento de Dados (DPA)

Os termos «dados pessoais», «tratamento», «responsável pelo tratamento», «subcontratante», «titular dos dados», «violação de dados» e «autoridade de controlo» têm o significado definido no artigo 4.º do RGPD.

O Subcontratante está autorizado a tratar, por conta do Responsável, os dados pessoais necessários à execução dos seguintes serviços:

• alojamento das contas de utilizador (clientes, colaboradores, convidados);
• gestão de projetos, briefings, planos de sessão, entregas;
• faturação e cobrança do lado do tenant (subfaturação ao cliente final);
• assistência de IA Leeza — Nível 1 (memória da conta) e Nível 2 (aprendizagem anonimizada opt-in, k-anonimato ≥ 5);
• análise de produto (PostHog EU Cloud) sujeita ao consentimento dos utilizadores finais;
• assinatura eletrónica de documentos através da Yousign;
• notificações de email transacionais (Resend).

A finalidade global consiste na disponibilização do serviço SaaS SYNAPTIIK em conformidade com os Termos de Venda. O Subcontratante trata os dados apenas segundo instruções documentadas do Responsável.

O Acordo produz efeitos a partir da data de subscrição do serviço e mantém-se em vigor durante toda a duração da subscrição.

Categorias de titulares dos dados:

• utilizadores profissionais (fotógrafos, videastas, operadores de drones, administradores do tenant);
• colaboradores internos dos tenants (pessoal assalariado, convidados freelancers);
• clientes finais (pessoas coletivas e/ou singulares destinatárias das prestações);
• convidados pontuais (portal de convidados, ligações mágicas).

Categorias de dados:

• identificação (nome, email, telefone);
• dados profissionais (número de registo comercial, função, empresa, portefólio);
• conteúdos produzidos (fotos, vídeos, documentos, metadados EXIF);
• dados de faturação (prestações, montantes, meios de pagamento tokenizados via Stripe);
• dados técnicos (registos, endereços IP, user-agent, ID do dispositivo);
• interações com a IA Leeza (pedidos, respostas, feedback).

O Responsável autoriza o Subcontratante a recorrer aos subcontratantes ulteriores listados na Política de Privacidade §4 (Vercel, Supabase, Stripe, Backblaze, Anthropic, Resend, PostHog, Better Stack, Yousign, Brevo, Cloudflare, Google Workspace, reCAPTCHA/hCaptcha).

Qualquer alteração de subcontratante ulterior é notificada ao Responsável com pelo menos 30 dias de antecedência da sua implementação efetiva, mediante publicação na página de privacidade e por email para os planos Agence e Agence Scale. O Responsável pode apresentar uma objeção fundamentada dentro desse prazo; caso contrário, a alteração considera-se aceite.

O Subcontratante compromete-se a:

• tratar os dados unicamente segundo as instruções documentadas do Responsável (constituindo os presentes Termos e o uso normal da plataforma essas instruções);
• assegurar que as pessoas autorizadas a tratar os dados se comprometem à confidencialidade (compromisso de confidencialidade assinado pelos colaboradores da SYNAPTIIK);
• adotar todas as medidas técnicas e organizativas apropriadas (art. 32.º RGPD), detalhadas no artigo 7.º do presente Acordo;
• assistir o Responsável no cumprimento das suas obrigações (respostas aos direitos dos titulares, avaliações de impacto, consulta prévia à autoridade, notificação de violações);
• disponibilizar ao Responsável as informações necessárias para demonstrar a conformidade com as obrigações do art. 28.º;
• aplicar uma regra de k-anonimato ≥ 5 a quaisquer dados agregados potencialmente transmitidos a um subcontratante ulterior para melhoria do produto, adicionalmente às operações padrão de pseudonimização.

• encriptação TLS 1.2+ em trânsito;
• encriptação AES-256 em repouso (base de dados, armazenamento de objetos, cópias de segurança);
• autenticação multifator opcional em Solo/Studio, obrigatória em Agence;
• controlo de acesso RBAC, Row-Level Security Supabase por tenant;
• registo dos acessos de administração com retenção de 12 meses;
• cópias de segurança automáticas com restauração testada trimestralmente;
• testes de intrusão periódicos (mínimo anual);
• monitorização de vulnerabilidades CVE e gestão de patches com SLA interno de 72h (crítico) / 7 dias (alto).

O Subcontratante presta assistência técnica e organizativa ao Responsável para responder aos pedidos de exercício de direitos (art. 15.º a 22.º RGPD). Um endpoint /api/legal/export-rgpd permite a exportação estruturada dos dados (JSON + CSV + media binários).

Quando o Subcontratante recebe diretamente um pedido de um titular dos dados, transmite-o ao Responsável sem demora (48 horas no máximo).

Na resolução da subscrição, o Subcontratante conserva os dados durante 90 dias a título de prazo de segurança (possibilidade de reativação, recurso). Decorrido este prazo, os dados são eliminados, salvo obrigação legal (faturas conservadas 10 anos pelo contabilista / fisco).

O Responsável dispõe de um direito de exportação completa dos dados a qualquer momento e durante os 90 dias seguintes à resolução, num formato estruturado legível por máquina.

Em caso de violação de dados pessoais, o Subcontratante notifica o Responsável no prazo de 48 horas após ter conhecimento da mesma, a fim de lhe permitir notificar a autoridade de controlo no prazo de 72 horas exigido pelo art. 33.º RGPD.

A notificação inclui: natureza da violação, categorias e número aproximado de titulares afetados, categorias e volume aproximado de dados, consequências prováveis, medidas tomadas ou propostas.

O Subcontratante implementou um plano de continuidade documentado que abrange, nomeadamente:

• a indisponibilidade temporária ou definitiva do seu dirigente (mandato de proteção futura notarial, art. 477.º do Código Civil francês);
• a salvaguarda e restauração dos acessos críticos através de depósito notarial (segredos de infraestrutura, código-fonte, cópias de segurança);
• a designação de uma pessoa de confiança habilitada a prosseguir a exploração ou a organizar a cessão a um sucessor.

Em caso de evento grave que comprometa a continuidade do serviço por mais de 30 dias consecutivos, o Subcontratante compromete-se a:

• notificar o Responsável no prazo de 72 horas;
• permitir a exportação completa dos dados no prazo de 15 dias úteis;
• assegurar a eliminação segura dos dados em conformidade com o artigo 9.º caso o serviço não possa ser retomado.

O Responsável dispõe de um direito de resolução sem aviso prévio nem penalização em caso de incapacidade confirmada do Subcontratante para manter o serviço.

Síntese pública do plano: /legal/continuity.

O Responsável dispõe de um direito de auditoria ao cumprimento do Acordo pelo Subcontratante. A auditoria é exercida no máximo uma vez por ano, por um auditor independente, mediante aviso prévio de 30 dias, a expensas suas, e de forma a não perturbar a exploração.

Os relatórios de certificações de terceiros existentes (SOC 2 dos subcontratantes-chave, certificações RGPD, pentests recentes) podem ser fornecidos em substituição de uma auditoria on-site, à apreciação do Responsável.

As transferências para fora da União Europeia são enquadradas pelas cláusulas contratuais-tipo (decisão 2021/914) e, quando o subcontratante estiver certificado, pelo Data Privacy Framework UE-EUA (decisão 2023/1795). São sistematicamente aplicadas medidas adicionais (encriptação, pseudonimização).

O presente Acordo rege-se pelo direito francês. Qualquer litígio relativo à sua interpretação ou execução é da competência exclusiva, na falta de resolução amigável, dos tribunais de Bourg-en-Bresse (França).