← Voltar aos termos

Anexo de tratamento de dados pessoais (art. 28.º do RGPD)

Partes. O Cliente, identificado na subscrição, é o Responsável pelo tratamento. A Rafael Queiroz Pereira LTDA (Midas Touch), CNPJ 67.506.780/0001-17, é o Subcontratante. Este anexo faz parte dos Termos de Serviço do Assistente de WhatsApp (os «Termos») e prevalece sobre eles em matéria de dados pessoais.

1. Objeto, natureza e finalidade

O Subcontratante trata dados pessoais por conta do Responsável só para prestar o Serviço descrito no ponto 1 dos Termos. O tratamento consiste em:

• responder por WhatsApp a pessoas que fizeram um pedido de contacto ao Responsável;
• esclarecer dúvidas com a informação aprovada pelo Responsável;
• marcar no calendário do Responsável ou recolher o pedido de marcação;
• avisar a equipa do Responsável;
• guardar o histórico no portal.

2. Duração

Enquanto a subscrição estiver activa. Depois disso, aplica-se o ponto 10 deste anexo.

Direitos e obrigações do Responsável. O Responsável decide as finalidades e os meios do tratamento. É responsável pela licitude da recolha dos dados, incluindo informar os titulares e garantir o consentimento para o contacto por WhatsApp, pela exactidão da ficha do negócio e pelas instruções que dá. Tem os direitos de dar instruções, de se opor a novos subcontratantes ulteriores, de escolher entre devolução e eliminação dos dados e de auditoria previstos neste anexo.

3. Categorias de titulares e de dados

• Titulares: pessoas que fizeram um pedido de contacto ao Responsável (leads) e membros da equipa do Responsável indicados na ficha.
• Dados:
  • nome, telemóvel e email;
  • conteúdo, data e hora das mensagens de WhatsApp;
  • dados da marcação (data, hora, serviço, morada quando o serviço é no local);
  • registo do consentimento dado na página de pedido.
• Dados sensíveis (art. 9.º): não são pedidos. A assistente está instruída a não responder a perguntas clínicas ou de saúde e a passá-las à equipa do Responsável. O Responsável compromete-se a não configurar o Serviço para recolher categorias especiais de dados.

4. Instruções

O Subcontratante trata os dados só segundo instruções documentadas do Responsável, incluindo no que respeita às transferências de dados para países terceiros ou organizações internacionais, a menos que seja obrigado a fazê-lo pelo direito da União ou do Estado-Membro a que está sujeito, caso em que informa o Responsável desse requisito antes do tratamento, salvo se a lei proibir essa informação por motivos importantes de interesse público. Ao subscrever, o Responsável instrui o Subcontratante a recorrer aos subcontratantes ulteriores do ponto 7 e às transferências do ponto 8. Contam como instruções:

• estes Termos;
• a ficha do negócio aprovada pelo Responsável;
• pedidos escritos para [email protected].

O Subcontratante informa imediatamente o Responsável se, no seu entender, uma instrução violar o RGPD ou outras disposições de proteção de dados da União ou de um Estado-Membro.

5. Confidencialidade

O Subcontratante assegura que as pessoas autorizadas a tratar os dados assumiram um compromisso de confidencialidade ou estão sujeitas a adequadas obrigações legais de confidencialidade. Só acede aos dados quem precisa para prestar o Serviço.

6. Medidas de segurança (art. 32.º)

• cifra em trânsito (HTTPS/TLS) em todas as ligações;
• dados alojados em infraestrutura Cloudflare (D1/Workers);
• acesso ao portal do Responsável protegido por palavra-passe, separado por cliente;
• chaves e segredos guardados como segredos do fornecedor de alojamento, nunca no código;
• acções sensíveis protegidas por assinatura (HMAC) e confirmação por POST;
• as conversas não são usadas para treinar modelos;
• registos técnicos sem conteúdo das conversas sempre que possível.

7. Subcontratantes ulteriores

O Responsável dá autorização geral para os subcontratantes ulteriores identificados na tabela abaixo, que são os listados no ponto 9.4 da Política de Privacidade.

O Subcontratante avisa o Responsável, por email e com pelo menos 30 dias de antecedência, antes de acrescentar ou substituir um subcontratante, indicando o nome, a morada, o contacto e a função do novo subcontratante. O Responsável pode opor-se, por escrito e com fundamento razoável, nos 15 dias seguintes ao aviso; sem oposição nesse prazo, a alteração considera-se autorizada. Se houver oposição e as partes não chegarem a acordo em 15 dias, o Responsável pode cancelar o Serviço sem penalização e com reembolso proporcional do período já pago e não usado.

O Subcontratante impõe a cada subcontratante ulterior, por contrato, as mesmas obrigações de proteção de dados deste anexo, em particular as garantias suficientes de medidas técnicas e organizativas adequadas, e continua plenamente responsável perante o Responsável pelo cumprimento das obrigações desse subcontratante ulterior (art. 28.º, n.º 4 do RGPD).

Identificação dos subcontratantes ulteriores (nome, morada, país, contacto e função):

8. Transferências para fora do EEE

O Subcontratante trata os dados a partir do Brasil, e alguns subcontratantes ulteriores estão nos EUA. As transferências assentam nos mecanismos seguintes:

• Brasil (Responsável para Subcontratante): a transferência, pelo Responsável, de dados do EEE para o Subcontratante no Brasil assenta na decisão de adequação da Comissão Europeia, Decisão de Execução (UE) 2026/179, de 26 de janeiro de 2026 (art. 45.º do RGPD), que abrange as transferências para responsáveis e subcontratantes no Brasil sujeitos à Lei Geral de Proteção de Dados (LGPD), como o Subcontratante. O Subcontratante mantém-se sujeito à LGPD e informa o Responsável sem demora se deixar de o estar ou se a decisão for revogada, suspensa ou anulada;
• Reserva: se a decisão deixar de se aplicar a esta transferência, aplicam-se automaticamente, a partir desse momento, as Cláusulas Contratuais-Tipo do anexo da Decisão de Execução (UE) 2021/914, Módulo Dois (responsável pelo tratamento para subcontratante), sendo o Responsável o exportador e o Subcontratante o importador, com as opções seguintes: cláusula 7 (cláusula de adesão), não utilizada; cláusula 9, alínea a), Opção 2 (autorização escrita geral), com antecedência mínima de 30 dias; cláusula 11, alínea a), sem organismo independente de resolução de litígios; cláusula 13, a autoridade de controlo do Estado-Membro em que o Responsável está estabelecido (a CNPD, se for em Portugal); cláusula 17, Opção 1, direito português; cláusula 18, alínea b), tribunais de Portugal. Os anexos I, II e III são preenchidos de acordo com os pontos 1, 3, 6 e 7 deste anexo;
• EUA: EU-US Data Privacy Framework, para os fornecedores certificados, e Cláusulas Contratuais-Tipo da Comissão (Decisão de Execução (UE) 2021/914) nos restantes casos ou se aquele quadro deixar de se aplicar;
• Transferências ulteriores a partir do Brasil: o Subcontratante só transfere os dados do Responsável para os subcontratantes ulteriores do ponto 7 e só ao abrigo dos instrumentos do capítulo V da LGPD e do regulamento de transferências internacionais da ANPD (cláusulas contratuais, cláusulas-padrão ou outro mecanismo admitido), em paralelo com as garantias referidas na linha anterior. Não faz outras transferências sem instrução do Responsável.

9. Apoio ao Responsável

O Subcontratante ajuda o Responsável a responder a pedidos de titulares (acesso, retificação, apagamento, oposição, portabilidade) e a cumprir os arts. 32.º a 36.º. Concretamente:

• reencaminha ao Responsável, sem demora injustificada, qualquer pedido que receba directamente. Se o pedido for de eliminação feito pelo endereço de eliminação de dados da Política de Privacidade, o Subcontratante informa o Responsável e, salvo oposição fundamentada deste no prazo de 7 dias, elimina os dados desse titular, para que o pedido possa ser respondido no prazo de um mês (art. 12.º, n.º 3 do RGPD);
• fornece ao Responsável a informação de que disponha para as avaliações de impacto e as consultas prévias (arts. 35.º e 36.º do RGPD);
• notifica o Responsável de qualquer violação de dados pessoais, incluindo as ocorridas nos seus subcontratantes ulteriores, sem demora injustificada e, em qualquer caso, no prazo máximo de 48 horas depois de ter conhecimento dela, por email para o contacto indicado pelo Responsável na ficha do negócio. Envia a informação de que disponha e completa-a por fases: natureza da violação, categorias e número aproximado de titulares e de registos, contacto para obter mais informação, consequências prováveis e medidas tomadas ou propostas. A decisão de notificar a CNPD e os titulares é do Responsável.

10. Fim do tratamento

Quando o Serviço cessar, o Responsável escolhe entre a devolução dos dados (export das conversas e marcações) e a eliminação, e pode alterar a escolha até ao fim da prestação. Se não escolher em 30 dias, os dados são eliminados, salvo obrigação legal de conservação, que cada parte comunica à outra assim que a conheça. O Subcontratante elimina também as cópias existentes, confirma por escrito ao Responsável que a eliminação foi concluída e elimina as cópias de segurança no ciclo normal de rotação, que não excede 30 dias.

11. Auditoria

O Subcontratante disponibiliza ao Responsável todas as informações necessárias para demonstrar o cumprimento deste anexo. Permite e contribui para auditorias, incluindo inspeções, conduzidas pelo Responsável ou por outro auditor por este mandatado (sujeito a confidencialidade), com aviso prévio de 30 dias, no máximo uma vez por ano. Esse limite e esse prazo não se aplicam em caso de violação de dados pessoais ou de pedido de uma autoridade de controlo, em que o aviso é de 5 dias úteis. O Responsável decide o tipo de auditoria (documental, remota ou presencial) e pode contestar o âmbito, a metodologia e os resultados de qualquer auditoria proposta pelo Subcontratante. Começa-se, por defeito, por questionário e documentação, sem prejuízo de o Responsável pedir verificação adicional se esses elementos não bastarem. Cada parte suporta os seus custos, e o Subcontratante não cobra custos desproporcionados por auditorias.

12. Outras obrigações do Subcontratante

• não trata os dados para fins próprios nem os comunica a terceiros, salvo os subcontratantes ulteriores do ponto 7 (art. 28.º, n.º 10 do RGPD);
• mantém um registo das atividades de tratamento que realiza por conta do Responsável (art. 30.º, n.º 2 do RGPD);
• coopera, a pedido, com a autoridade de controlo (art. 31.º do RGPD).

13. Responsabilidade

Aplica-se o art. 82.º do RGPD. O ponto 11 dos Termos aplica-se à responsabilidade entre as partes, com as exceções que ele próprio prevê, mas não limita os direitos dos titulares dos dados nem a responsabilidade perante eles prevista no art. 82.º do RGPD.