Acordo de tratamento de dados para um piloto.

1. Partes e objeto

Responsável pelo tratamento: [entidade, NIPC, sede, representante e contacto do encarregado de proteção de dados].

Subcontratante: Fernando Saldanha Solheiro, Unipessoal, Lda., NIPC 517723816, Rua Vale da Moira, n.º 60, Vendas de Podentes, 3230-536 Podentes — Penela; [representante com poderes e contacto operacional].

O subcontratante disponibiliza o SRIS para o piloto [identificação], tratando exclusivamente os dados definidos no Anexo A por conta do responsável, durante [período]. O responsável determina as finalidades, base de licitude, informação aos titulares e instruções.

2. Instruções e confidencialidade

O subcontratante só tratará os dados segundo instruções documentadas, incluindo as relativas a transferências, salvo obrigação legal, da qual informará previamente o responsável quando permitido. Se considerar que uma instrução viola as regras de proteção de dados, informará imediatamente o responsável e solicitará a sua clarificação.

As pessoas autorizadas ficam vinculadas à confidencialidade e recebem acesso limitado às funções necessárias. O conteúdo das missões não poderá ser utilizado para fins próprios incompatíveis, publicidade ou treino de modelos por iniciativa do subcontratante.

3. Medidas de segurança

Antes do início, as partes aprovam no Anexo B medidas proporcionais ao risco: autenticação e permissões, segregação entre organizações, proteção das comunicações e do armazenamento, revisão de acessos, rastreabilidade, correções, continuidade, cópias de segurança e recuperação testada.

As medidas aprovadas serão mantidas e revistas perante mudanças relevantes. O anexo deve distinguir controlos efetivamente verificados de melhorias pendentes; não se presume uma certificação ou garantia inexistente.

4. Outros subcontratantes e transferências

O Anexo C identifica cada fornecedor, função, dados, país ou região e fundamento de transferência. A modalidade de autorização será [específica / geral por escrito]. Em caso de autorização geral, o subcontratante notificará propostas de adição ou substituição com a antecedência de [prazo acordado], permitindo oposição fundamentada antes da mudança.

Serão impostas aos fornecedores obrigações de proteção equivalentes às aplicáveis, permanecendo o subcontratante responsável pelo cumprimento das suas obrigações perante o responsável. Nenhuma transferência será iniciada sem instrução, fundamento aplicável e medidas documentadas.

A lista técnica inicial inclui Railway, OpenAI API e Resend. A aplicação, o site e a base de dados ativa da aplicação, incluindo o respetivo volume, utilizam EU West Metal — Amesterdão, Países Baixos (europe-west4-drams3a), verificado após a migração de 6 de outubro de 2026. Permanecem ambientes históricos e uma cópia técnica de recuperação nos Estados Unidos; a localização e retenção das cópias de segurança anteriores têm de ser documentadas no Anexo C. A residência europeia da IA não está confirmada. Os documentos dos fornecedores e as respetivas condições da conta precisam de ser verificados e anexados; esta minuta não certifica a sua aceitação.

5. Direitos, incidentes e avaliação de impacto

O subcontratante assistirá o responsável no cumprimento de pedidos dos titulares, atendendo à natureza do tratamento. Encaminhará os pedidos recebidos sem responder sobre dados de missões por iniciativa própria, salvo instrução ou obrigação aplicável.

Comunicará violações de dados ao responsável sem demora injustificada após delas ter conhecimento, pelo contacto [canal de incidente]. A primeira comunicação indicará o que for conhecido e será complementada: natureza, categorias e volume aproximado, consequências prováveis, medidas tomadas e ponto de contacto. O prazo operacional a acordar não limita a obrigação legal de comunicar sem demora injustificada.

Prestará assistência à avaliação de impacto, consulta prévia e restantes obrigações de segurança do responsável, considerando a informação de que dispõe. O responsável avalia a necessidade de avaliação de impacto para o piloto concreto.

6. Transparência e auditoria

O subcontratante disponibilizará informação necessária para demonstrar o cumprimento e permitirá e contribuirá para auditorias e inspeções do responsável ou auditor mandatado, com procedimentos proporcionais que protejam os dados de outras entidades. Manterá registo das instruções e alterações relevantes.

7. Termo, devolução e eliminação

No termo, por escolha do responsável, os dados serão devolvidos em [formato e procedimento] ou eliminados em [prazo], incluindo cópias existentes, salvo conservação legalmente exigida. O Anexo D define a expiração de cópias de segurança, restrições de utilização durante esse período e forma de comprovar a operação.

Arquivar uma missão não satisfaz, por si só, uma instrução de eliminação. Os registos sujeitos a conservação legal serão segregados e limitados à finalidade que a justifica.

8. Entrada em vigor

O acordo só entra em vigor após preenchimento dos anexos, confirmação dos poderes dos representantes e aceitação pelas partes através do procedimento contratual aplicável. Contactos, duração, responsabilidades e condições comerciais constam do contrato principal [referência].

Anexo A — Âmbito e instruções

Preencher: missões incluídas; finalidades; operações; categorias de titulares; tipos de dados; campos proibidos; fontes; destinatários; responsáveis de acesso; autorização ou exclusão da IA; contexto que pode ser enviado; base de licitude determinada pela entidade; início e fim.

Anexo B — Medidas verificadas

Registar evidência e responsável por cada controlo: acessos; segregação; cifragem; gestão de chaves; auditoria; vulnerabilidades; cópias e recuperação; resposta a incidentes; exportação e eliminação. Definir o tratamento dos pontos pendentes antes de admitir dados reais.

Anexo C — Fornecedores e transferências

Para Railway, OpenAI API, Resend e qualquer outro fornecedor efetivamente utilizado: entidade contratante; serviço; dados transmitidos; localização; fornecedores subsequentes; documento contratual aplicável; mecanismo de transferência e avaliação; retenção; configuração da conta; evidência de autorização.

Anexo D — Conservação e saída

Fixar prazos para contas, documentos e excertos, missões e revisões, pedidos e respostas da IA, auditoria, logs, mensagens e cópias de segurança. Definir exportação, devolução, eliminação, prova da operação e exceções legais.

Referências para revisão: RGPD, em especial artigos 28.º, 32.º e 44.º e seguintes; cláusulas contratuais-tipo entre responsáveis e subcontratantes — Decisão 2021/915. As cláusulas para transferências internacionais são uma matéria distinta e devem ser avaliadas quando aplicáveis.