Acordo de tratamento de dados (DPA)

Esta é uma tradução. Em caso de divergência, prevalece a versão em espanhol.

1. PartesCopy Anchor Link

1.1. Responsável pelo tratamento: o cliente que aceita os Termos do serviço da Constaia ou assina um contrato Empresa («Responsável»).

1.2. Subcontratante: Add On Dev Solutions S.L., NIF B22654610, com sede em Calle Espronceda, nº 2, planta 1, puerta C, 21001 Huelva (Huelva), Espanha, inscrita no Registo Comercial (Registro Mercantil) de Huelva, folha H-00029947, fólio eletrónico IRUS 1000453930356, que presta o serviço Constaia («Subcontratante»).

1.3. Este acordo faz parte dos Termos do serviço e considera-se aceite com eles. Se o Responsável precisar de uma versão assinada, pode pedi-la através de contacto@addon-sport.com.

2. ObjetoCopy Anchor Link

O Subcontratante trata dados pessoais por conta do Responsável para lhe prestar o serviço Constaia: receber documentos, reconhecer o seu texto (OCR), classificá-los, extrair campos, aplicar verificações, emitir um veredicto e, se o Responsável o pedir, gerar exportações e enviar notificações por webhook para os URL configurados pelo Responsável.

3. DuraçãoCopy Anchor Link

Enquanto o Responsável utilizar o serviço. Na cessação aplica-se a secção 13.

4. Natureza e finalidadeCopy Anchor Link

4.1. Natureza: receção, armazenamento temporário ou persistente conforme as instruções, reconhecimento de texto, análise com modelos de IA, extração, validação, consulta, exportação, comunicação ao Responsável e apagamento.

4.2. Finalidade: a determinada pelo Responsável (por exemplo, verificar a documentação de uma inscrição ou de uma licença desportiva). O Subcontratante não trata os dados para fins próprios.

5. Tipos de dados e categorias de titularesCopy Anchor Link

5.1. Tipos de dados, consoante os documentos enviados pelo Responsável:

• Dados de identificação e contacto: nome, apelidos, número de documento, data e local de nascimento, sexo, nacionalidade, morada, assinatura, fotografia impressa no documento.
• Documentos de identidade e de residência (DNI espanhol, NIE/TIE, passaportes, cartões de identidade da UE, cartas de condução).
• Dados económicos: IBAN, montantes, descritivos de pagamento, faturas.
• Dados académicos e profissionais: habilitações, licenças federativas, número de cédula profissional do médico signatário.
• Categorias especiais (art. 9.º do RGPD): dados de saúde contidos em atestados médicos ou certificados de incapacidade.
• Dados relativos a condenações penais e infrações (art. 10.º do RGPD): certificados de crimes de natureza sexual e certificados de registo criminal.

5.2. O Responsável deve enviar apenas os documentos necessários e, sempre que possível, pedir apenas os campos imprescindíveis (por exemplo, apto, data e número de cédula num atestado médico, sem diagnósticos).

5.3. Categorias de titulares: as pessoas cujos dados constam dos documentos (por exemplo, atletas, sócios, alunos, trabalhadores, clientes, fornecedores, menores representados pelos seus tutores, médicos ou signatários).

6. Instruções documentadasCopy Anchor Link

6.1. O Subcontratante trata os dados apenas mediante instruções documentadas do Responsável. São instruções do Responsável, entre outras:

• as opções de cada pedido à API: storage (none, temporary ou persistent), ttl_hours, keep_results, extract, checks, export e metadata;
• os pedidos de apagamento (DELETE /v1/analyses/{id});
• a configuração da conta (conservação por defeito, webhooks, membros).

6.2. Efeito das opções de conservação:

• storage: "none" (por defeito): o ficheiro é apagado logo que termina a análise.
• storage: "temporary": o ficheiro é apagado ao fim de ttl_hours horas (de 1 a 720; 24 por defeito).
• storage: "persistent": o ficheiro é conservado até o Responsável o apagar.
• keep_results: false: também não são guardados os campos extraídos; conservam-se apenas os dados necessários à faturação.

6.3. Se o Subcontratante considerar que uma instrução viola a legislação de proteção de dados, informará imediatamente o Responsável.

6.4. Se o direito da UE ou de um Estado-Membro obrigar o Subcontratante a tratar os dados de outro modo, informará o Responsável antes do tratamento, salvo se a lei o proibir.

7. ConfidencialidadeCopy Anchor Link

O Subcontratante garante que as pessoas autorizadas a tratar os dados assumiram um compromisso de confidencialidade ou estão sujeitas a uma obrigação legal de confidencialidade, e que só lhes acedem quando necessário para prestar o serviço, dar suporte a pedido do Responsável ou resolver incidentes.

8. Medidas de segurança (art. 32.º do RGPD)Copy Anchor Link

• Alojamento e tratamento na União Europeia.
• Cifragem em trânsito com TLS.
• Cifragem de ficheiros em repouso na aplicação com AES-256-GCM e uma chave distinta por conta.
• Chaves de API e palavras-passe guardadas apenas como hash; chaves de API revogáveis.
• Controlo de acesso por funções no painel e acesso interno restrito segundo a necessidade.
• Registo de auditoria das ações (quem, IP, ação e alterações).
• Apagamento automático de ficheiros conforme a opção storage.
• URL de exportação assinados e com caducidade.
• [COMPLETAR: cópias de segurança (cifragem, localização e prazo de rotação), gestão de vulnerabilidades, plano de continuidade]

A Constaia não utiliza os documentos nem os resultados para treinar modelos.

9. Subcontratantes ulterioresCopy Anchor Link

9.1. O Responsável autoriza de forma geral o Subcontratante a recorrer a subcontratantes ulteriores. Os atuais são:

[COMPLETAR: confirmar com a Mistral AI o plano contratado e as suas condições de conservação de dados (retenção zero)]

9.2. O Subcontratante impõe a cada subcontratante ulterior, por contrato, obrigações de proteção de dados equivalentes às deste acordo e responde perante o Responsável pelo seu cumprimento.

9.3. Alterações. O Subcontratante avisará de qualquer inclusão ou substituição de subcontratantes ulteriores com pelo menos 30 dias de antecedência, por email para o endereço da conta e nesta página. O Responsável pode opor-se por motivos razoáveis relacionados com a proteção de dados dentro desse prazo. Se não se chegar a uma solução, o Responsável pode deixar de utilizar o serviço e encerrar a sua conta antes de a alteração ser aplicada. [COMPLETAR: confirmar consequências económicas da oposição (p. ex. reembolso proporcional de créditos não utilizados)]

10. Transferências internacionaisCopy Anchor Link

Os documentos e resultados são tratados na UE. O Subcontratante não transferirá esses dados para fora do Espaço Económico Europeu sem instrução do Responsável e sem as garantias do capítulo V do RGPD.

11. Assistência ao ResponsávelCopy Anchor Link

11.1. Direitos dos titulares. O Subcontratante ajudará o Responsável a responder aos pedidos de acesso, retificação, apagamento, oposição, limitação e portabilidade. A API permite consultar (GET /v1/analyses/{id}) e apagar (DELETE /v1/analyses/{id}) análises. Se um titular se dirigir diretamente ao Subcontratante, este reencaminhará o pedido ao Responsável sem demora e não lhe responderá por sua iniciativa.

11.2. Avaliações de impacto e consultas prévias. O Subcontratante facultará a informação disponível sobre o tratamento e as medidas de segurança para que o Responsável realize avaliações de impacto (art. 35.º do RGPD) e, se for o caso, consultas prévias à autoridade de controlo (art. 36.º do RGPD).

12. Violações de dados pessoaisCopy Anchor Link

12.1. O Subcontratante notificará o Responsável, sem demora injustificada e no prazo máximo de 48 horas após ter conhecimento, de qualquer violação de segurança que afete os seus dados. [COMPLETAR: confirmar prazo]

12.2. A notificação incluirá, na medida do conhecido: natureza da violação, categorias e número aproximado de titulares e registos afetados, consequências prováveis, medidas adotadas ou propostas e um ponto de contacto. A informação ainda não disponível será fornecida por fases.

12.3. Cabe ao Responsável notificar, se for o caso, a autoridade de controlo e os titulares.

13. Fim do tratamentoCopy Anchor Link

Na cessação do serviço, o Subcontratante apagará os documentos e resultados do Responsável no prazo de [COMPLETAR: 30 dias], salvo se o Responsável pedir antes a sua devolução (por exemplo, através das exportações da API) ou se uma norma exigir a sua conservação. As cópias de segurança serão eliminadas no seu ciclo normal de rotação [COMPLETAR: prazo]. Conservar-se-ão bloqueados apenas os dados de faturação necessários ao cumprimento de obrigações legais.

14. AuditoriasCopy Anchor Link

O Subcontratante disponibilizará ao Responsável a informação necessária para demonstrar o cumprimento do art. 28.º do RGPD e permitirá auditorias, incluindo inspeções, pelo Responsável ou por um auditor por ele mandatado e sujeito a confidencialidade, com um pré-aviso razoável de [COMPLETAR: 30 dias], em horário laboral e sem prejudicar outros clientes. [COMPLETAR: repartição dos custos da auditoria e frequência máxima]

15. Inteligência artificialCopy Anchor Link

15.1. A Constaia não realiza identificação nem verificação biométrica, não compara rostos e não trata a fotografia do documento para fins biométricos.

15.2. Os resultados são indícios automatizados. Cabe ao Responsável garantir a supervisão humana quando a lei o exija (em especial, art. 22.º do RGPD) e cumprir as obrigações que lhe cabem como responsável pela implantação de um sistema de IA.

16. Obrigações do ResponsávelCopy Anchor Link

O Responsável garante que dispõe de fundamento jurídico para o tratamento (e, para os dados dos arts. 9.º e 10.º do RGPD, da habilitação correspondente), que informou os titulares e que as suas instruções cumprem a lei.

17. Lei aplicávelCopy Anchor Link

Este acordo rege-se pela lei espanhola e pelo RGPD. Aos litígios aplica-se a jurisdição acordada nos Termos do serviço.

18. AssinaturaCopy Anchor Link

Para a versão assinada deste acordo: