Acordo de tratamento de dados

1. Objeto, duração, natureza e finalidade

Objeto: fornecer o serviço nos termos de serviço. Duração: a subscrição, mais o tempo necessário para devolver e eliminar os dados. Natureza e finalidade: alojar, pesquisar e transmitir o conteúdo do cliente para que os seus membros possam pesquisar o direito com um modelo de IA escolhido pelo responsável pelo tratamento.

Categorias de titulares dos dados: os membros do responsável pelo tratamento e qualquer pessoa mencionada no conteúdo que introduzem. Tipos de dados pessoais: o que os membros introduzem; o serviço não foi concebido para categorias especiais (art. 9.º) nem para dados relativos a infrações penais (art. 10.º), e o responsável pelo tratamento decide se os introduz.

2. Instruções

Só tratamos os dados pessoais do cliente mediante instruções documentadas do responsável pelo tratamento — os termos, este acordo e as definições que o responsável escolhe na aplicação —, salvo se o direito da União ou de um Estado-Membro exigir outra coisa; nesse caso, informamo-lo previamente, salvo se a lei o proibir. Avisamo-lo se considerarmos que uma instrução viola a legislação de proteção de dados.

3. Confidencialidade

Todas as pessoas autorizadas a tratar dados pessoais do cliente estão sujeitas a confidencialidade.

4. Medidas de segurança

• Alojamento na UE (Hetzner, Nuremberga, Alemanha); cifragem em trânsito. As cópias de segurança são guardadas no nosso servidor; a cópia externa, quando existir, é cifrada.
• O texto das perguntas e respostas não é guardado, salvo se o responsável pelo tratamento ativar as transcrições; as transcrições são cifradas com uma chave própria da organização.
• As chaves dos fornecedores de IA são seladas quando são guardadas; depois, a aplicação mostra apenas os seus últimos quatro caracteres.
• Acesso por funções dentro da organização; chaves de acesso e segundos fatores suportados; autenticação única ao nível da organização através do próprio fornecedor de identidade da organização (Microsoft Entra ID, Google, Okta ou qualquer fornecedor OpenID Connect), depois de a organização provar que detém o seu domínio de correio.
• Registo de auditoria só de acréscimo com exportação assinada.
• A nossa equipa trabalha através da consola interna. Esta exige uma conta de equipa com segundo fator e um início de sessão com menos de 12 horas. Cada alteração que um membro da equipa faça a uma organização exige um motivo e fica registada no registo de auditoria dessa organização. A concessão ou retirada de um acesso de equipa fica registada no nosso próprio registo de auditoria. Alterar um preço, emitir ou pagar uma fatura, registar uma verificação de número de IVA ou alterar um prazo de conservação a partir da linha de comandos do servidor exige também o nome do operador e um motivo. O apoio pode ver uma organização como membro, só de leitura, durante 30 minutos no máximo; também isto fica registado no registo da organização. As violações de dados pessoais são tratadas como indicado em Assistência.

5. Subcontratantes ulteriores

O responsável pelo tratamento dá autorização geral para os subcontratantes ulteriores da lista de subcontratantes. Avisamos com pelo menos 30 dias de antecedência de qualquer acréscimo ou substituição, por e-mail e nessa página; o responsável pode opor-se por motivos razoáveis de proteção de dados e, se não resolvermos a objeção, pode pôr fim ao serviço afetado com reembolso proporcional. Cada subcontratante ulterior está sujeito a obrigações de proteção de dados equivalentes a estas, e continuamos responsáveis por ele.

O fornecedor de IA que o responsável pelo tratamento liga é contratado por este, ao abrigo do seu próprio acordo com esse fornecedor, e não é nosso subcontratante ulterior.

6. Assistência

Ajudamos o responsável pelo tratamento a responder aos pedidos dos titulares dos dados — as funções de exportação e eliminação da aplicação cobrem a maioria —, bem como em matéria de segurança, notificação de violações, avaliações de impacto e consulta prévia, tendo em conta a informação de que dispomos. Notificamos o responsável pelo tratamento de uma violação de dados pessoais sem demora injustificada, e procuramos fazê-lo no prazo de 48 horas após dela termos conhecimento.

7. Devolução e eliminação

Enquanto a sua organização estiver aberta, o responsável pelo tratamento pode exportar os seus dados a qualquer momento. Quando for encerrada, eliminamos os dados pessoais do cliente que detemos 30 dias depois, incluindo das cópias de segurança à medida que rodam, salvo se a lei nos obrigar a conservá-los.

8. Informações e auditorias

Disponibilizamos a informação necessária para demonstrar o cumprimento do artigo 28.º e permitimos auditorias pelo responsável pelo tratamento ou por um auditor por ele designado, com pré-aviso razoável e no máximo uma vez por ano, salvo se uma violação ou uma autoridade exigir outra coisa. Ainda não detemos nenhuma certificação de segurança nem teste de intrusão independente; quando os tivermos, serão indicados aqui com a respetiva data.