Contrato de Subcontratação de Dados Pessoais
1. Partes
Responsável pelo tratamento: o cliente identificado na conta Recato (adiante «Cliente»).
Subcontratante: Forsnaps AI - Soluções Tecnológicas, Unipessoal Lda, NIF 518932494, com sede em Rua da Igreja Nº99, Varziela, 4650-722 Felgueiras (adiante «Prestador»).
Este contrato faz parte integrante dos Termos de Utilização e aplica-se a todo o tratamento de dados pessoais que o Prestador faça por conta do Cliente na prestação do serviço Recato.
2. Objeto, natureza e finalidade
Alojamento, processamento e disponibilização de um assistente de inteligência artificial para os utilizadores do Cliente, incluindo o armazenamento de conversas e ficheiros submetidos, a geração de respostas por modelos de linguagem e a gestão de contas e de consumo.
3. Categorias de dados e de titulares
Titulares: utilizadores do Cliente (colaboradores) e quaisquer pessoas referidas nos conteúdos submetidos (clientes, fornecedores, doentes, partes em processos, entre outros), conforme o uso que o Cliente faça do serviço.
Dados: dados de identificação e contacto dos utilizadores; o conteúdo das conversas e ficheiros, que pode incluir qualquer categoria de dados, incluindo categorias especiais, sob responsabilidade do Cliente.
4. Obrigações do Prestador
- Tratar os dados apenas mediante instruções documentadas do Cliente, que são as configurações da conta e o uso do serviço, salvo obrigação legal.
- Garantir que as pessoas autorizadas a tratar os dados estão vinculadas a confidencialidade.
- Aplicar as medidas técnicas e organizativas do anexo II.
- Não recorrer a outros subcontratantes sem informar o Cliente com 30 dias de antecedência, dando-lhe a possibilidade de se opor; a lista atual consta do anexo I.
- Auxiliar o Cliente no cumprimento das obrigações de resposta aos titulares, de segurança, de notificação de violações e de avaliação de impacto.
- Notificar o Cliente de qualquer violação de dados pessoais sem demora injustificada e no máximo em 48 horas após dela ter conhecimento.
- Apagar ou devolver todos os dados no fim da prestação do serviço, conforme escolha do Cliente, e apagar as cópias existentes no prazo máximo de 90 dias, salvo obrigação legal de conservação.
- Disponibilizar a informação necessária para demonstrar o cumprimento destas obrigações e permitir auditorias, com aviso prévio de 30 dias e no máximo uma vez por ano, salvo incidente.
5. Localização e transferências
Todo o tratamento ocorre na União Europeia. O Prestador não transfere dados pessoais para fora do Espaço Económico Europeu nem recorre a subcontratantes que o façam.
6. Não utilização para treino
O Prestador e os seus subcontratantes não utilizam os dados do Cliente para treinar, afinar ou avaliar modelos de inteligência artificial. Os pedidos enviados ao subcontratante de inferência não são por este retidos depois de respondidos.
7. Retenção
O Cliente controla o prazo de retenção das conversas, ficheiros e memórias através das definições da conta. O Prestador executa o apagamento automático conforme configurado e regista a execução.
8. Duração
Vigora enquanto durar a prestação do serviço. As obrigações de confidencialidade mantêm-se após o termo.
Anexo I: subcontratantes
O Prestador recorre a subcontratantes das categorias seguintes, todos na União Europeia e vinculados por contrato às mesmas obrigações. A lista nominal, com a entidade e o país de cada um, é disponibilizada ao Cliente mediante pedido e comunicada com 30 dias de antecedência sempre que mudar.
| Categoria | Serviço | Localização |
|---|---|---|
| Inferência de modelos de linguagem | Geração das respostas, sem retenção dos pedidos e sem treino | União Europeia |
| Alojamento | Servidores da aplicação, base de dados e ficheiros | União Europeia |
| Cópias de segurança | Guarda cifrada das cópias diárias | União Europeia |
| Email transacional | Envio de emails de conta e de notificação | União Europeia |
| Pagamentos | Processamento de cartões, MB Way e Multibanco | União Europeia |
Anexo II: medidas técnicas e organizativas
- Cifra em trânsito (TLS 1.2 ou superior) e em repouso (disco cifrado).
- Isolamento lógico por cliente: uma base de dados e um espaço de ficheiros por conta.
- Autenticação com palavra-passe forte, autenticação de dois fatores opcional, bloqueio após tentativas falhadas.
- Controlo de acessos por perfis; acesso administrativo do Prestador limitado, registado e só para suporte.
- Cópias de segurança diárias cifradas, guardadas na União Europeia, com testes de restauro periódicos.
- Registo de eventos de segurança conservado 90 dias; monitorização de erros sem dados pessoais.
- Endurecimento dos servidores: acesso remoto só por chave, firewall, atualizações de segurança automáticas.
- Gestão de incidentes com procedimento escrito e notificação em 48 horas.
Assinado eletronicamente pela aceitação dos Termos de Utilização na criação da conta. Para um exemplar assinado em papel, escreva para info@forsnaps.com.