Acordo de Tratamento de Dados

1. Partes e qualidades

O presente acordo é celebrado entre a Alto Perfis Pultrudidos Lda, registada sob o NIF 503609013, com sede em Zona Industrial da Maia I, Sector I, R. de Raimundo Durães Magalhães lote 20, 4475-189 Maia (Portugal) — o Subcontratante — e a empresa titular de uma conta Tenderloop — o Responsável pelo Tratamento.

É o Responsável pelo Tratamento de tudo o que chega à caixa de correio que liga: os e-mails que os seus clientes lhe enviam, os dados pessoais neles contidos e os orçamentos deles resultantes. É o senhor que determina as finalidades desse tratamento. Nós tratamos esses dados apenas para operar o serviço para si.

Somos responsáveis pelo tratamento autónomo quanto aos seus próprios dados de conta — os dados da sua empresa, as credenciais de acesso dos seus utilizadores e os registos de faturação. Esse tratamento rege-se pela nossa Política de Privacidade e não por este acordo.

Este acordo faz parte integrante dos Termos de Serviço. Em caso de conflito quanto ao tratamento de dados pessoais, prevalece este acordo.

2. Objeto, duração, natureza e finalidade

Objeto: os dados pessoais contidos nos pedidos de orçamento recebidos numa caixa de correio que ligue, e nos orçamentos gerados em resposta.

Duração: enquanto for titular de uma conta, acrescida dos prazos de conservação da secção 9.

Natureza e finalidade: receber e classificar correio recebido; extrair os produtos e quantidades pedidos; associá-los a uma lista de preços por si fornecida; calcular preços a partir dessa lista; gerar um documento de orçamento; e enviá-lo como resposta a partir da sua caixa de correio.

O Anexo I identifica integralmente as categorias de titulares e de dados pessoais.

3. As nossas instruções vêm de si

Tratamos dados pessoais apenas mediante as suas instruções documentadas, incluindo quanto a transferências para países terceiros. A sua utilização do serviço — ligar uma caixa de correio, carregar uma lista de preços, ativar o envio automático — constitui essas instruções, em conjunto com este acordo e os Termos de Serviço.

Se considerarmos que uma instrução viola o RGPD ou outra disposição de direito da União ou de um Estado-Membro em matéria de proteção de dados, informá-lo-emos e poderemos suspender esse tratamento até à sua resolução.

Não utilizaremos os dados pessoais que nos confia para qualquer finalidade própria. Em especial, não os vendemos, não os usamos para criar perfis e não os usamos para treinar modelos de aprendizagem automática — ver a secção 5.

4. Confidencialidade

Todas as pessoas que autorizamos a tratar dados pessoais ao abrigo deste acordo estão sujeitas a dever de confidencialidade, contratual ou legal, que subsiste após o termo das suas funções.

O acesso a dados de produção está limitado ao pessoal que dele necessita para operar e apoiar o serviço.

5. Tratamento automatizado e aprendizagem automática

A leitura de um pedido exige um modelo de linguagem. O assunto e o corpo de cada e-mail recebido, juntamente com o seu catálogo de produtos, são enviados para o Azure OpenAI Service a correr dentro do nosso próprio recurso Azure, na União Europeia.

Os seus dados não são usados para treinar qualquer modelo. Nos termos do Azure OpenAI Service, os pedidos e as respostas não são disponibilizados a outros clientes, não são disponibilizados à OpenAI e não são usados para treinar, retreinar ou melhorar qualquer modelo da Microsoft ou da OpenAI. Não usamos a API pública da OpenAI e não enviamos estes dados a qualquer outro fornecedor de modelos.

Nenhum preço provém do modelo. O preço de cada linha é recalculado nos nossos servidores a partir da sua lista de preços validada; tudo o que não for associado com confiança é sinalizado para revisão humana em vez de ser orçamentado. Trata-se de um controlo de integridade dos dados, além de comercial.

O serviço não realiza decisões automatizadas que produzam efeitos jurídicos ou afetem significativamente de forma similar um titular de dados, na aceção do art. 22.º.

6. Segurança

Aplicamos as medidas técnicas e organizativas descritas no Anexo II, adequadas ao risco nos termos do art. 32.º. Podemos alterá-las, desde que o nível de proteção não seja reduzido.

7. Subcontratantes ulteriores

Concede autorização geral para recorrermos aos subcontratantes ulteriores enumerados no Anexo III.

Antes de acrescentar ou substituir um subcontratante ulterior, avisaremos com, pelo menos, 30 dias de antecedência, por e-mail para o endereço da conta. Se se opuser, com fundamento razoável em proteção de dados, dentro desse prazo, procuraremos consigo uma solução; não sendo encontrada, poderá cessar a parte afetada do serviço e receber o reembolso proporcional das quantias pagas antecipadamente por ela.

Todos os subcontratantes ulteriores estão vinculados por escrito a obrigações de proteção de dados não menos protetoras do que as deste acordo. Mantemo-nos integralmente responsáveis perante si pelo seu desempenho.

8. Assistência no exercício dos direitos dos titulares

Tendo em conta a natureza do tratamento, prestamos-lhe assistência através de medidas técnicas e organizativas adequadas ao cumprimento da sua obrigação de responder a pedidos ao abrigo do Capítulo III do RGPD.

Duas destas medidas estão integradas no produto, pelo que pode agir sem sequer nos contactar: o portal produz uma exportação completa e legível por máquina de tudo o que guardamos por sua conta, e apaga tudo o que um remetente identificado escreveu em todos os seus orçamentos.

Se um titular de dados nos contactar diretamente sobre dados que tratamos por sua conta, não responderemos substantivamente em seu nome. Indicar-lhe-emos que o contacte e transmitir-lhe-emos o pedido sem demora injustificada.

9. Conservação, eliminação e devolução

O texto dos e-mails de pedido recebidos — assunto, corpo, endereço do remetente e o nome e empresa do remetente — é automaticamente eliminado 24 meses após a criação do orçamento. O processo é agendado e regista a data em que atuou.

O que sobrevive a essa eliminação é o registo comercial: a referência do orçamento, as suas linhas, totais e estado. São os seus registos de negócio. O registo do orçamento é também o que impede que o mesmo e-mail seja orçamentado e respondido uma segunda vez, razão pela qual o conteúdo é anonimizado em vez de o registo ser eliminado.

Cessado o contrato, e à sua escolha, eliminamos ou devolvemos todos os dados pessoais tratados por sua conta. O encerramento da conta a partir do portal elimina-os — registos de base de dados e ficheiros armazenados — de forma irreversível; exporte previamente o que necessitar. Só conservamos dados quando o direito da União ou de um Estado-Membro o exija, e apenas pelo período exigido.

10. Violações de dados pessoais

Notificá-lo-emos sem demora injustificada e, em qualquer caso, no prazo de 48 horas após tomarmos conhecimento de uma violação de dados pessoais que afete dados tratados por sua conta.

A notificação descreve a natureza da violação, as categorias e o número aproximado de titulares e de registos em causa, as consequências prováveis, as medidas adotadas ou propostas e um ponto de contacto. Quando não for possível prestar toda a informação de uma só vez, fá-lo-emos por fases, sem demora injustificada adicional.

Continua a ser responsável por notificar a sua autoridade de controlo e, quando exigido, os titulares afetados. Prestamos-lhe assistência para o efeito.

11. Avaliações de impacto e consulta prévia

Tendo em conta a natureza do tratamento e a informação ao nosso dispor, prestamos-lhe assistência na realização de avaliações de impacto sobre a proteção de dados nos termos do art. 35.º e na consulta prévia à autoridade de controlo nos termos do art. 36.º.

12. Auditorias e informação

Disponibilizamos-lhe toda a informação necessária para demonstrar o cumprimento do art. 28.º e facilitamos e contribuímos para auditorias, incluindo inspeções, conduzidas por si ou por auditor por si mandatado.

Na prática, começaremos por disponibilizar a nossa documentação — este acordo, os seus anexos e a nossa documentação de segurança — normalmente suficiente. Não o sendo, poderá realizar-se uma auditoria presencial com periodicidade razoável (em regra, não mais de uma vez em cada doze meses, salvo exigência de autoridade de controlo ou na sequência de uma violação), mediante aviso escrito de, pelo menos, 30 dias, em horário laboral, sem perturbação injustificada do serviço e sob obrigação de confidencialidade. Podemos cobrar os custos razoáveis de uma auditoria que exceda a nossa documentação.

13. Transferências internacionais

O tratamento decorre na União Europeia. A base de dados, o armazenamento de ficheiros, os servidores aplicacionais, a geração de documentos e a inferência dos modelos situam-se na UE.

Alguns subcontratantes ulteriores identificados no Anexo III podem tratar dados fora do EEE no âmbito das suas próprias operações. Essas transferências estão cobertas pelas Cláusulas Contratuais-Tipo da Comissão Europeia e, quando aplicável, pelo Quadro de Privacidade de Dados UE–EUA. Não efetuamos quaisquer outras transferências de dados pessoais para fora do EEE sem um mecanismo de transferência válido.

14. Responsabilidade, vigência e lei aplicável

Este acordo produz efeitos com a abertura da conta e vigora até deixarmos de tratar dados pessoais por sua conta. As secções 4, 9, 10 e 12 subsistem após a sua cessação na medida do necessário.

A responsabilidade ao abrigo deste acordo está sujeita às limitações previstas nos Termos de Serviço, salvo quando o RGPD não permita essa limitação.

Este acordo rege-se pela lei de Portugal, sendo exclusivamente competentes os tribunais de Portugal. Nada nele limita os direitos dos titulares ao abrigo do RGPD.

Para um exemplar assinado, ou para qualquer questão sobre este acordo, escreva para hello@tender-loop.com.

Anexo I — Detalhes do tratamento

Categorias de titulares: as pessoas que enviam pedidos de orçamento para a sua caixa de correio ligada — em regra, colaboradores de clientes ou potenciais clientes da sua empresa — e qualquer pessoa singular identificada no corpo desses e-mails.

Categorias de dados pessoais: endereço de e-mail; nome; entidade empregadora ou denominação social; contactos profissionais quando indicados no e-mail; assunto e texto integral do corpo do e-mail; produtos e quantidades pedidos; e o orçamento resultante, as suas linhas e o seu total.

Categorias especiais de dados (art. 9.º): não são necessárias ao serviço e não são tratadas conscientemente. O serviço lê o que um terceiro decidir escrever num e-mail, pelo que não deve ativá-lo numa caixa de correio que receba habitualmente dados de categorias especiais.

Frequência: contínua, enquanto uma caixa de correio estiver ligada.

Relatórios de problemas. Se um dos seus utilizadores reportar um problema a partir do portal, pode anexar uma captura de ecrã da página em que estava, a qual pode conter os dados pessoais acima indicados tal como apareciam no ecrã. Essa captura chega à nossa caixa de apoio e é usada apenas para diagnosticar o problema relatado. É mostrada ao utilizador antes de qualquer envio e pode ser removida por ele.

Anexos, em alguns planos. Durante o período de avaliação gratuito e nos planos Pro e Enterprise, o serviço lê também o texto dos anexos em PDF, Word (.docx) e Excel (.xlsx); no plano Starter, e para qualquer outro tipo de ficheiro (incluindo imagens e documentos digitalizados), os anexos não são lidos. O texto extraído é tratado como o corpo do e-mail: é conservado com o pedido e eliminado com ele ao fim de 24 meses (secção 9), e os ficheiros em si não são guardados.

Anexo II — Medidas técnicas e organizativas

Encontram-se implementadas as medidas seguintes, nos termos do art. 32.º.

Anexo III — Subcontratantes ulteriores autorizados

À data indicada no topo deste documento.