Acordo de tratamento de dados

Versão 1.6. Última atualização: 24 de outubro de 2026. Contacto da Contracko: [email protected].

O presente DPA foi redigido em inglês. Caso a Contracko disponibilize uma tradução, prevalece a versão inglesa em caso de conflito ou incoerência, salvo quando as Cláusulas Contratuais-Tipo exijam o contrário.

1. Partes, funções e relação com o contrato principal

O presente Acordo de tratamento de dados («DPA») faz parte integrante do contrato entre o Cliente («Responsável pelo tratamento» ou «Cliente») e a Velocity Ventures B.V., Mauritskade 9, 2514 HD Haia, Países Baixos (KvK 87321432) («Subcontratante» ou «Contracko»), ao abrigo do qual a Contracko presta o serviço Contracko («Serviço»), ou seja, o Common Paper Cloud Service Agreement (Standard Terms v2.1) tal como aceite pelo Cliente ou conforme estabelecido numa Folha de rosto (Cover Page) assinada (o «Contrato»), e nele se integra.

Quanto aos dados pessoais que a Contracko trata por conta do Cliente na prestação do Serviço, o Cliente é o responsável pelo tratamento e a Contracko é o subcontratante. Sempre que a Contracko trate dados para finalidades próprias (por exemplo, administração de contas, faturação e segurança), atua como responsável autónomo relativamente a esse tratamento limitado, regido pela política de privacidade da Contracko.

Em caso de conflito, a ordem de prevalência é: (1) as Cláusulas Contratuais-Tipo do Anexo 3 (na medida em que se apliquem a uma transferência restrita), (2) o presente DPA, (3) o Contrato.

2. Definições

Os termos «dados pessoais», «tratamento», «titular dos dados», «responsável pelo tratamento», «subcontratante», «subcontratante ulterior» e «autoridade de controlo» têm o significado que lhes é atribuído no Regulamento Geral sobre a Proteção de Dados da UE (Regulamento (UE) 2016/679, «RGPD»). «Direito aplicável em matéria de proteção de dados» designa o RGPD em conjunto com a lei neerlandesa de execução (UAVG) e, quando aplicável, o UK GDPR e a LPD suíça. «Transferência restrita» designa uma transferência de dados pessoais para um país fora do EEE que não esteja abrangida por uma decisão de adequação.

3. Objeto, duração, natureza e finalidade (art. 28.º, n.º 3)

• Objeto: o tratamento de dados pessoais contidos nos contratos, documentos e dados de conta que o Cliente submete ao Serviço, ou com eles relacionados.
• Duração: a vigência do Contrato, acrescida do período de eliminação/devolução previsto na Secção 11.
• Natureza e finalidade: armazenamento, organização, análise sintática, análise e extração assistidas por IA, consulta, assinatura eletrónica e gestão dos dados contratuais do Cliente, exclusivamente para prestar o Serviço.
• Os elementos completos do tratamento constam do Anexo 1.

4. Tipos de dados pessoais e categorias de titulares dos dados

• Tipos (a título exemplificativo, determinados pelo Cliente): nomes, contactos, assinaturas, condições financeiras e comerciais, informações laborais e quaisquer outros dados pessoais que o Cliente inclua nos documentos carregados e nos dados de conta.
• Categorias de titulares dos dados: os trabalhadores, clientes, fornecedores, contrapartes do Cliente e outras pessoas identificadas nos documentos do Cliente.

Compete ao Cliente assegurar que dispõe de um fundamento jurídico para os dados pessoais que submete e para as instruções que dá. O Cliente não deve submeter dados de categorias especiais, salvo quando acessórios ao conteúdo contratual, sendo responsável por quaisquer dados dessa natureza que opte por submeter.

5. Obrigações do subcontratante (art. 28.º, n.º 3, als. a) a h))

A Contracko obriga-se a:

1. tratar os dados pessoais apenas mediante instruções documentadas do Cliente (inclusive quanto a transferências), instruções que compreendem o presente DPA, o Contrato e a utilização do Serviço configurada pelo Cliente, salvo se a lei o exigir, caso em que a Contracko informa previamente o Cliente, salvo se a lei o proibir;
2. assegurar que as pessoas autorizadas a tratar dados pessoais estão sujeitas a dever de confidencialidade;
3. aplicar as medidas técnicas e organizativas do Anexo 2 (MTO) (art. 32.º);
4. respeitar as condições da Secção 6 relativas ao recurso a subcontratantes ulteriores;
5. apoiar o Cliente, através de medidas técnicas e organizativas adequadas e na medida do possível, nos pedidos dos titulares dos dados (Secção 7);
6. apoiar o Cliente em matéria de segurança, notificação de violações de dados pessoais, avaliações de impacto sobre a proteção de dados e consulta prévia (Secções 8 e 9), tendo em conta a natureza do tratamento e as informações ao dispor da Contracko;
7. à escolha do Cliente, eliminar ou devolver os dados pessoais no termo do Serviço (Secção 11);
8. disponibilizar as informações necessárias para demonstrar o cumprimento e permitir auditorias (Secção 10); e
9. não utilizar os dados pessoais do Cliente para treinar qualquer modelo de IA, e recorrer a subcontratantes ulteriores de IA apenas em condições que excluam o treino com dados do Cliente e que, quando disponibilizada, apliquem a não conservação de dados.

Instruções ilícitas. A Contracko informará o Cliente sem demora indevida se, no seu entender, uma instrução violar o Direito aplicável em matéria de proteção de dados. O Cliente disporá então de um prazo razoável (pelo menos 30 dias) para dar uma instrução revista e lícita. Enquanto a questão não for resolvida, a Contracko pode suspender o tratamento em causa e, se o Cliente não fornecer uma instrução lícita dentro desse prazo, a Contracko pode fazer cessar a parte afetada do Serviço sem incorrer em responsabilidade.

6. Subcontratantes ulteriores (art. 28.º, n.os 2 e 4)

Autorização geral. O Cliente concede autorização escrita geral para que a Contracko recorra a subcontratantes ulteriores para tratar dados pessoais na prestação do Serviço, em categorias que incluem alojamento e armazenamento, base de dados, análise assistida por IA, assinatura eletrónica, envio de e-mail, analítica, pagamentos e operações internas e alertas. A lista atual de subcontratantes ulteriores, identificados pelo nome, consta do Anexo 1.

Comunicação de alterações. A Contracko mantém uma lista atual de subcontratantes ulteriores identificados pelo nome. Com pelo menos catorze (14) dias de antecedência relativamente à autorização de um novo subcontratante ulterior para tratar dados pessoais, a Contracko atualizará a lista e notificará ativamente o Cliente por e-mail.

Oposição. O Cliente pode opor-se a um novo subcontratante ulterior com fundamentos razoáveis relacionados com a proteção de dados, mediante notificação escrita no prazo de sete (7) dias a contar da notificação. Se o Cliente não se opuser dentro desse prazo, o subcontratante ulterior considera-se aceite. O novo subcontratante ulterior não tratará os dados pessoais do Cliente antes de decorrido o prazo de pré-aviso de catorze (14) dias. Se o Cliente se opuser e a Contracko não puder disponibilizar uma alternativa comercialmente razoável num prazo razoável, a única medida de tutela ao dispor do Cliente consiste em fazer cessar a parte afetada do Serviço mediante pré-aviso escrito razoável.

Transposição de obrigações e responsabilidade. A Contracko impõe a cada subcontratante ulterior, por contrato escrito, obrigações de proteção de dados não menos protetoras do que as do presente DPA (em especial as medidas do art. 32.º), e mantém-se plenamente responsável perante o Cliente pelo cumprimento das obrigações de cada subcontratante ulterior.

7. Direitos dos titulares dos dados (art. 28.º, n.º 3, al. e))

Tendo em conta a natureza do tratamento, a Contracko apoia o Cliente através de medidas técnicas e organizativas adequadas, na medida do possível, no cumprimento da obrigação do Cliente de responder aos pedidos de exercício dos direitos dos titulares dos dados (acesso, retificação, apagamento, limitação, portabilidade, oposição), incluindo através das funcionalidades de exportação e eliminação em regime de autosserviço do Serviço. Se um titular dos dados contactar diretamente a Contracko, a Contracko remetê-lo-á para o Cliente.

8. Violação de dados pessoais (art. 33.º)

A Contracko notificará o Cliente sem demora indevida após tomar conhecimento de uma violação de dados pessoais que afete os dados pessoais do Cliente, e prestará as informações razoavelmente disponíveis para apoiar o Cliente nas suas próprias obrigações de notificação, incluindo, quando disponíveis, a natureza da violação, as categorias e o número aproximado de titulares dos dados e de registos afetados, as consequências prováveis e as medidas adotadas ou propostas. Quando as informações não puderem ser prestadas de uma só vez, poderão sê-lo por fases, sem demora indevida adicional. Na qualidade de subcontratante, a Contracko não notifica a autoridade de controlo nem os titulares dos dados; essa obrigação recai sobre o Cliente na qualidade de responsável pelo tratamento.

9. Segurança, AIPD e consulta prévia (art. 32.º, 35.º e 36.º)

A Contracko aplica e mantém as medidas do Anexo 2, tendo em conta o estado da técnica, os custos de aplicação e a natureza, o âmbito, o contexto e o risco do tratamento. A Contracko não garante que estas medidas sejam eficazes em todas as circunstâncias; em conformidade com o artigo 82.º, n.º 2, do RGPD, a Contracko só responde quando o dano resultar do incumprimento pela Contracko das obrigações especificamente dirigidas aos subcontratantes pelo Direito aplicável em matéria de proteção de dados, ou das instruções lícitas do Cliente. A Contracko apoia o Cliente, tendo em conta a natureza do tratamento e as informações ao seu dispor, nas avaliações de impacto sobre a proteção de dados e na consulta prévia à autoridade de controlo quando exigida. A Contracko pode cobrar uma quantia razoável pelo apoio previsto nas Secções 7 a 9 que exceda substancialmente a funcionalidade normal do Serviço, salvo quando esse apoio seja necessário devido a incumprimento do presente DPA pela Contracko.

10. Auditorias (art. 28.º, n.º 3, al. h))

A Contracko disponibilizará ao Cliente as informações necessárias para demonstrar o cumprimento do presente DPA. A Contracko pode satisfazer os pedidos de auditoria facultando os seus relatórios de auditoria de terceiros, certificações ou autoavaliações disponíveis (como ISO 27001, SOC 2 ou CSA STAR, na medida em que a Contracko deles disponha), bem como as suas MTO, que o Cliente aceita como satisfazendo o direito de auditoria sempre que respondam razoavelmente ao pedido. Sempre que estes não sejam razoavelmente suficientes, o Cliente (ou um auditor mandatado, sujeito a confidencialidade e que não seja concorrente da Contracko) pode realizar uma inspeção não mais do que uma vez por ano, mediante pré-aviso escrito de pelo menos 30 dias, durante o horário de expediente, sem perturbação não razoável e a expensas do Cliente.

11. Devolução e eliminação (art. 28.º, n.º 3, al. g))

Com a cessação do Serviço, a Contracko procederá, à escolha do Cliente, à eliminação ou devolução de todos os dados pessoais e eliminará as cópias existentes, salvo se a conservação for exigida por lei. A Contracko conclui a eliminação sem demora indevida e, em qualquer caso, no prazo de 90 dias a contar da cessação ou de um pedido de eliminação verificado; as cópias residuais nas cópias de segurança são expurgadas no ciclo normal de cópias de segurança.

12. Transferências internacionais (Capítulo V do RGPD)

O alojamento e o armazenamento principal da Contracko situam-se na UE. A relação entre o Cliente e a Contracko é intra-EEE e não constitui, por si só, uma transferência restrita. Sempre que a prestação do Serviço envolva uma Transferência restrita para um subcontratante ulterior fora do EEE, essa transferência é efetuada ao abrigo de um mecanismo de transferência adequado, aplicado pela seguinte ordem: (a) uma decisão de adequação ou, quando o destinatário esteja certificado, o Quadro de Privacidade de Dados UE-EUA; na sua falta (b) as Cláusulas Contratuais-Tipo da UE (Decisão de Execução (UE) 2021/914 da Comissão), Módulo Três para transferências ulteriores de subcontratante para subcontratante ulterior (e Módulo Dois quando o Cliente seja o exportador de dados), em conjunto com o Adenda do Reino Unido relativa a Transferências Internacionais de Dados e as adaptações suíças quando pertinentes, bem como quaisquer medidas suplementares exigidas na sequência de uma avaliação de impacto da transferência. A localização de cada subcontratante ulterior consta da lista de subcontratantes ulteriores (Anexo 1). As CCT são incorporadas por remissão e, quando aplicáveis, prevalecem sobre o presente DPA (o Anexo 3 regista os módulos escolhidos e os apêndices preenchidos).

13. Responsabilidade e lei aplicável

A responsabilidade de cada parte ao abrigo do presente DPA está sujeita às limitações e exclusões de responsabilidade do Contrato (Common Paper CSA Standard Terms v2.1), que se aplicam ao presente DPA. O Cliente indemnizará a Contracko por pretensões e perdas de terceiros na medida em que decorram de instruções de tratamento ilícitas do Cliente, de conteúdo ilícito do Cliente, ou do incumprimento pelo Cliente do presente DPA ou do Direito aplicável em matéria de proteção de dados. O presente DPA rege-se pela lei dos Países Baixos, sendo competentes os tribunais de Haia ou Amesterdão, em consonância com o Contrato, sem prejuízo das proteções imperativas dos titulares dos dados e de qualquer lei aplicável ou foro exigidos pelas CCT.

14. Idioma

O presente DPA foi redigido em inglês. Caso a Contracko disponibilize uma tradução, prevalece a versão inglesa em caso de conflito ou incoerência, salvo quando as Cláusulas Contratuais-Tipo exijam o contrário.

Anexos

• Anexo 1 - Elementos do tratamento e lista de subcontratantes ulteriores: os elementos do tratamento das Secções 3 e 4, juntamente com a lista de subcontratantes ulteriores indicada a seguir.
• Anexo 2 - Medidas técnicas e organizativas (MTO): as medidas de segurança técnicas e organizativas atuais da Contracko, disponibilizadas ao Cliente mediante pedido.
• Anexo 3 - Cláusulas Contratuais-Tipo: sempre que uma Transferência restrita se baseie nas CCT, aplicam-se as Cláusulas Contratuais-Tipo da UE (Decisão de Execução (UE) 2021/914 da Comissão), com os Módulos Dois e Três escolhidos conforme aplicável, sendo a autoridade de controlo competente a Autoriteit Persoonsgegevens quando a Contracko seja o exportador de dados (Módulo Três) e a autoridade de controlo competente do Cliente quando o Cliente seja o exportador de dados (Módulo Dois), servindo as medidas do Anexo 2 de apêndice relativo às medidas técnicas e organizativas.
• Anexo 4 - Divulgação sobre segurança e tratamento: uma divulgação estruturada da norma de segurança, das certificações, dos subcontratantes ulteriores e das práticas de conservação e eliminação da Contracko, disponibilizada ao Cliente mediante pedido.

Anexo 1 - Lista de subcontratantes ulteriores

Os subcontratantes ulteriores de que a Contracko se socorre para tratar dados pessoais na prestação do Serviço. As alterações são comunicadas nos termos da Secção 6. A localização da empresa é o local onde está sediada a entidade com a qual a Contracko contrata.

Subcontratante ulterior	Finalidade	Localização da empresa	Localização do alojamento
Hetzner	Alojamento	Alemanha (UE)	UE
UpCloud	Alojamento	Finlândia (UE)	UE
PlanetScale	Alojamento de bases de dados	Estados Unidos	UE
Cloudflare	Serviços de armazenamento e de rede	Estados Unidos	UE
Google	Análise com IA	Irlanda (UE)	Estados Unidos
Mistral AI	Análise com IA	França (UE)	UE
OpenAI	Análise com IA	Estados Unidos	Estados Unidos
TypeSafe	Análise com IA	Estados Unidos	Estados Unidos
Inception	Análise com IA	Estados Unidos	Estados Unidos
LlamaIndex	Processamento de documentos	Estados Unidos	UE
DocuSeal	Assinaturas eletrónicas	Estados Unidos	UE
Mailgun (Sinch)	Processamento de e-mail	Estados Unidos	UE
Bento	E-mail e apoio ao cliente	Austrália	Austrália
Stripe	Pagamentos	Irlanda (UE)	UE e Estados Unidos
PostHog	Analítica	Estados Unidos	UE
Slack	Comunicação interna	Irlanda (UE)	Estados Unidos

Atribuição

O presente Acordo de tratamento de dados foi adaptado, com alterações, pela Velocity Ventures B.V. a partir do Common Paper Data Processing Agreement, © Common Paper, licenciado ao abrigo da CC BY 4.0.