Termos do serviço

1. Partes, papéis e contacto

São partes a entidade cliente, identificada pelo nome e NIF na contratação e representada pelo administrador com poderes para o efeito, e a Neanderthal Digital, Unipessoal Lda., identificada no ponto 1 destes termos. Para os conteúdos tratados por conta do cliente, este atua como responsável pelo tratamento e a Neanderthal Digital como subcontratante. Se o cliente atuar por conta de outra entidade, deve estar autorizado a recorrer ao Trovão, aplicando-se este acordo à cadeia de subcontratação correspondente.

As instruções e os pedidos relativos a este acordo são dirigidos a geral@neanderthaldigital.pt ou pelo suporte autenticado. O cliente mantém atualizado o contacto do administrador para comunicações de segurança e proteção de dados. Os dados tratados pelo prestador para gerir a sua própria relação contratual, faturação e obrigações legais regem-se pela política de privacidade, não sendo todos os tratamentos do prestador automaticamente subcontratação.

2. Objeto, operações e duração

O tratamento tem por objeto a prestação das funcionalidades de gestão administrativa e documental contratadas, incluindo o período experimental. Consoante as funcionalidades utilizadas, compreende receção e carregamento, armazenamento, organização, extração de texto e códigos QR, consulta, pesquisa, correção de registos, gestão de permissões, partilha ordenada pelo cliente, exportação, cópias de segurança e eliminação. O acesso técnico para suporte, manutenção e resolução de incidentes limita-se ao necessário à prestação do serviço.

O acordo vigora durante a prestação do serviço e, após a sua cessação, apenas pelo tempo necessário à restituição ou eliminação dos dados nos termos do ponto 10. A manutenção transitória de dados não autoriza novas finalidades.

3. Dados e categorias de titulares

• Titulares: utilizadores autorizados pelo cliente, trabalhadores e colaboradores, clientes, fornecedores, representantes, contactos e outras pessoas cujos dados o cliente esteja legitimado a introduzir nos seus documentos e registos.
• Dados: identificação e contactos, NIF e outros identificadores constantes dos documentos, dados profissionais e laborais, remunerações e pagamentos, dados bancários e financeiros, documentos e anexos, texto e metadados extraídos, permissões, instruções e registos das operações realizadas por conta do cliente.
• Dados de maior sensibilidade: o serviço não exige, por defeito, dados das categorias especiais do artigo 9.º nem dados relativos a condenações ou infrações do artigo 10.º. Se os documentos do cliente os incluírem, o cliente deve assegurar o fundamento específico, minimizar o conteúdo e acordar previamente com o prestador as medidas adicionais necessárias. A aceitação destes termos, por si só, não legitima esse tratamento.

4. Instruções e obrigações do cliente

Constituem instruções documentadas este acordo, a configuração e as operações realizadas por utilizadores autorizados, bem como os pedidos escritos confirmados através do suporte. O cliente determina as finalidades, a legitimidade da recolha, a informação aos titulares, os destinatários, os prazos de conservação e as permissões dos seus utilizadores. Deve introduzir apenas os dados necessários, rever acessos e não ordenar a eliminação da única cópia de documentos sujeitos a conservação obrigatória.

O prestador trata os dados apenas segundo essas instruções, incluindo quanto a comunicações a terceiros, salvo obrigação de direito da União Europeia ou de um Estado-Membro. Nesse caso informa o cliente antes do tratamento, salvo proibição legal por razões de interesse público. Se considerar que uma instrução viola o RGPD ou outras disposições de proteção de dados aplicáveis, informa imediatamente o cliente e suspende a execução dessa instrução até esclarecimento ou correção, sem eliminar os dados por esse motivo.

Os conteúdos do cliente não são vendidos nem utilizados pelo prestador para publicidade, criação de perfis comerciais ou treino de modelos de inteligência artificial por sua iniciativa.

5. Confidencialidade e segurança

O prestador limita o acesso às pessoas que dele necessitem para as tarefas autorizadas e assegura que estão vinculadas a dever de confidencialidade contratual ou legal, também após o fim das suas funções. Mantém medidas técnicas e organizativas adequadas ao risco, ao estado da técnica e à natureza dos dados, incluindo:

• autenticação individual, proteção das palavras-passe por hash, controlo de sessões e verificação de permissões e da conta a que pertencem os dados;
• acesso à aplicação por HTTPS e utilização de TLS com validação do certificado na ligação do Trovão ao seu servidor SMTP; esta última medida não é uma garantia de cifragem ponta a ponta até à caixa de correio do destinatário;
• registos de operações relevantes e verificação de integridade dos ficheiros de documentos abrangidos pelo verificador, com alerta de anomalias, sem substituir automaticamente os hashes de referência; o hash não verifica, por si só, a legibilidade ou a validade de assinaturas;
• cópias diárias dos ficheiros locais e da base de dados, num disco separado do mesmo servidor, com retenção de 7 dias e acesso limitado; os conteúdos de Google Drive, Dropbox e Microsoft OneDrive não são incluídos automaticamente nestas cópias;
• manutenção de segurança, gestão de acessos técnicos, tratamento de incidentes e avaliação regular da adequação e eficácia das medidas, incluindo a capacidade de recuperação.

As medidas devem ser revistas quando o risco ou o serviço se alterem, sem reduzir o nível de proteção necessário. Não é prometida cifragem integral dos dados em repouso, ausência absoluta de incidentes, recuperação de qualquer versão histórica ou certificação específica que não tenha sido expressamente demonstrada.

6. Localização e integrações opcionais

O alojamento principal do Trovão, a base de dados, o serviço SMTP e as cópias de segurança geridas pelo prestador estão em Portugal. O SMTP e os backups funcionam no mesmo servidor sob controlo do prestador, sem um fornecedor autónomo adicional para estas duas funções.

Google Drive, Dropbox e Microsoft OneDrive são as únicas integrações externas disponibilizadas, são opcionais e só são utilizadas nas contas em que o cliente as autorize. A localização dos dados nessas contas externas depende do serviço e das condições escolhidas pelo cliente; o alojamento do Trovão em Portugal não garante que esses fornecedores guardem todos os dados em Portugal.

A ativação documenta a instrução para executar as operações escolhidas nessa integração, não uma autorização ilimitada para outras finalidades, destinatários ou países. Antes de uma transferência para fora do Espaço Económico Europeu, devem estar documentadas a instrução do cliente e as condições e garantias aplicáveis nos termos do capítulo V do RGPD. A qualificação e as obrigações de cada fornecedor dependem da relação efetiva e dos contratos aplicáveis; a escolha pelo cliente não afasta as obrigações próprias do prestador.

7. Subcontratantes ulteriores

Para o serviço de base, é identificado o seguinte subcontratante ulterior:

• DMNS – DOMINIOS, S.A. (Dominios.pt), NIF 505 304 775, Parque Multiusos, Areal Gordo, Lote 3A, 8005-409 Faro, Portugal: alojamento e infraestrutura do servidor do Trovão em Portugal. O âmbito inclui o suporte de infraestrutura estritamente necessário e os dados alojados que possam ser acedidos para essa prestação. Referência do fornecedor: acordo de tratamento de dados da Dominios.pt.

Ao aceitar este acordo, o cliente concede autorização escrita geral para o recurso aos subcontratantes identificados e para alterações sujeitas ao procedimento seguinte. O prestador comunica previamente ao administrador da conta a identidade, localização, funções e garantias de qualquer adição ou substituição, com antecedência mínima de 30 dias, permitindo oposição fundamentada em motivos de proteção de dados antes do início do novo tratamento. Esta autorização não abrange prestadores não identificados sem essa comunicação.

Se houver oposição, as partes procuram uma solução que proteja os dados, como uma alternativa ou a desativação da função afetada. Não sendo possível, o cliente pode cessar a parte afetada do serviço antes de o novo subcontratante tratar os seus dados, com restituição ou eliminação nos termos deste acordo. O prestador impõe por escrito obrigações de proteção de dados equivalentes a cada subcontratante ulterior, verifica as garantias relevantes, mantém disponível a informação da cadeia aplicável e permanece responsável perante o cliente pelo cumprimento dessas obrigações.

8. Direitos dos titulares e assistência

O prestador auxilia o cliente, tendo em conta a natureza do tratamento e a informação disponível, a responder a pedidos de acesso, retificação, apagamento, limitação, portabilidade e oposição. Os pedidos recebidos diretamente de titulares relativos aos conteúdos do cliente são-lhe transmitidos sem demora injustificada; o prestador não decide nem responde em seu nome, salvo instrução ou obrigação legal.

O prestador coopera na segurança do tratamento, investigação e comunicação de incidentes, avaliações de impacto e consultas prévias à autoridade de controlo, nos termos dos artigos 32.º a 36.º do RGPD. O cliente decide os fundamentos, o conteúdo das respostas e as notificações que lhe incumbam. A assistência é organizada através do contacto do ponto 1, sem prejudicar os prazos legais aplicáveis.

9. Violações de dados pessoais

Logo que tenha conhecimento de uma violação de dados pessoais que afete os dados tratados por conta do cliente, o prestador comunica-a ao contacto do administrador sem demora injustificada, sem esperar por uma investigação concluída. A comunicação inclui, na medida em que sejam conhecidas, a natureza do incidente, categorias e número aproximado de titulares e registos afetados, consequências prováveis, medidas adotadas ou propostas e contacto para acompanhamento. A informação em falta é fornecida progressivamente, sem demora injustificada.

O prestador adota medidas de contenção, preserva os elementos necessários à investigação e coopera com o cliente. O prazo de 72 horas previsto no artigo 33.º para determinadas notificações do responsável à autoridade de controlo não constitui um prazo concedido ao prestador para adiar a comunicação ao cliente.

10. Restituição, eliminação e backups

No fim do serviço, o cliente escolhe a restituição dos dados e a subsequente eliminação das cópias do prestador, ou a eliminação sem restituição, salvo conservação imposta ao prestador por direito da União Europeia ou nacional. O cliente deve solicitar a restituição antes de confirmar uma operação irreversível de remoção. A escolha, a data de execução e eventuais exceções legais são documentadas através da plataforma ou do suporte; o prestador confirma a execução a pedido do cliente.

A funcionalidade de exportação da conta disponibiliza os dados em CSV, os ficheiros existentes no servidor e as referências dos ficheiros cloud. Não descarrega em massa os conteúdos do Google Drive, Dropbox ou Microsoft OneDrive: estes permanecem na conta do respetivo fornecedor e devem ser obtidos aí pelo cliente. Se a restituição necessária não ficar satisfeita pela exportação disponível, o prestador coopera pelo suporte para a completar de forma segura. Uma referência cloud não é apresentada como cópia do respetivo documento.

Executada a eliminação nos sistemas operacionais, eventuais dados remanescentes nas cópias de segurança geridas pelo prestador deixam de estar disponíveis para utilização corrente e são eliminados pela rotação dessas cópias no prazo máximo de 7 dias. Durante esse período continuam protegidos, não são usados para outras finalidades e, se um restauro os reintroduzir, as instruções de eliminação são novamente aplicadas. As cópias que o cliente tenha obtido ou mantenha nas suas contas externas são geridas por este.

Uma obrigação fiscal do cliente de conservar os seus documentos não autoriza, por si só, o prestador a reter indefinidamente uma conta eliminada. Se o prestador estiver sujeito a uma obrigação legal própria de conservação, limita os dados e o acesso ao estritamente exigido, informa o cliente salvo proibição legal e elimina-os quando termine esse fundamento. A mera inatividade ou expiração de uma conta não justifica conservação ilimitada; a duração de qualquer manutenção após cessação deve ser documentada com o cliente.

11. Demonstração do cumprimento e auditorias

O prestador disponibiliza as informações necessárias para demonstrar o cumprimento deste acordo e do artigo 28.º do RGPD e permite e contribui para auditorias, incluindo inspeções, pelo cliente ou auditor por este mandatado. As partes coordenam previamente o âmbito, a segurança, a confidencialidade e a proteção dos dados de outros clientes. A coordenação não pode impedir o exercício destes direitos nem atrasar intervenções urgentes ou de uma autoridade competente.

As partes conservam as instruções, comunicações e elementos de aceitação pertinentes. A aplicação deste acordo a clientes existentes deve ser comunicada e documentada; não se presume aceitação de uma nova versão apenas por ter sido publicada nesta página.