Tratamento de dados e subcontratantes

1. Partes e âmbito do acordo

A entidade fornecedora é identificada nos termos publicados da GENWINIT como Genwinit unipessoal, Lda, com contacto publicado em Rua Serpa Pinto nº 74, 1º, 2350-552 Torres Novas, Portugal, e geral@genwinit.pt. A identificação contratual completa, os representantes e os contactos de ambas as partes devem constar do anexo assinado.

No âmbito delimitado neste acordo, o cliente determina as finalidades e atua como responsável pelo tratamento; a GenwinIT atua como subcontratante. Se o cliente atuar por conta de outra entidade, o anexo deve identificar essa cadeia, a autorização para contratar a GenwinIT e as instruções aplicáveis. O acordo não abrange automaticamente os tratamentos próprios da GenwinIT descritos nos avisos de privacidade do site e da aplicação.

2. Objeto, operações, dados e duração

O objeto proposto é a prestação dos módulos SAV contratados: recolha e carregamento, armazenamento, organização, pesquisa, consulta e partilha autorizada de informação financeira e documental, extração de texto e metadados, integrações autorizadas e eliminação. A duração acompanha o serviço contratado e o período de devolução ou eliminação acordado. OCR local e extração por um serviço externo de IA são operações distintas; a segunda exige inclusão expressa no âmbito e nos prestadores autorizados.

Conforme os módulos selecionados, os dados podem incluir identificação e contactos profissionais, identificadores fiscais e bancários, faturas, movimentos e saldos, dados de remuneração, férias, despesas, deslocações e matrículas, ficheiros SAF-T, metadados e registos de utilização. Os titulares podem ser utilizadores autorizados, trabalhadores, representantes, clientes, fornecedores e outras pessoas mencionadas nos documentos. O anexo deve restringir estas categorias ao uso real, identificar eventuais dados dos artigos 9.º ou 10.º do RGPD e definir as salvaguardas correspondentes; não existe autorização genérica para carregar dados excessivos.

3. Instruções documentadas e limites

A GenwinIT tratará os dados apenas segundo as instruções documentadas do cliente, incluindo sobre transferências internacionais. O contrato e os pedidos dos representantes autorizados, registados no canal acordado, constituirão essas instruções. O cliente assegurará a legitimidade da recolha, a informação aos titulares, os fundamentos aplicáveis e as permissões de acesso. A ativação de uma integração não dispensa a avaliação da sua licitude.

A GenwinIT informará imediatamente o cliente se considerar que uma instrução viola a legislação de proteção de dados; a operação afetada ficará suspensa até esclarecimento lícito. Se a lei da União ou de um Estado-Membro exigir um tratamento, informará previamente o cliente, salvo proibição legal. Os documentos não ficam autorizados para publicidade, reutilização independente ou treino de modelos pela simples contratação do SAV; qualquer finalidade distinta exige análise própria e não decorre desta minuta.

4. Pessoas autorizadas e confidencialidade

A GenwinIT limitará o acesso às pessoas que necessitem dos dados para executar o serviço e que estejam sujeitas a compromisso de confidencialidade ou obrigação legal equivalente. Os acessos serão concedidos segundo as funções e revistos quando estas terminem ou se alterem.

O cliente identificará os administradores, contabilistas e restantes utilizadores autorizados, comunicará alterações e assegurará a proteção das credenciais sob o seu controlo. Os contactos operacionais e as regras para acesso de suporte deverão constar do anexo, incluindo a autorização e o registo dos acessos necessários a documentos do cliente.

5. Medidas técnicas e organizativas

O anexo de segurança deverá descrever as medidas efetivamente aplicadas e adequadas aos riscos: controlo de acessos e separação de clientes, proteção de comunicações e armazenamento, gestão de credenciais, atualizações, registos, recuperação e avaliação periódica. A GenwinIT manterá as medidas acordadas e documentará alterações relevantes. Esta enumeração define matérias a concretizar; não certifica mecanismos, encriptação ou níveis de disponibilidade que não foram verificados.

O anexo deverá também abranger instalações do plugin, diretórios locais, cópias de ficheiros com erro, relatórios e permissões, quando utilizados. Cada parte manterá as medidas atribuídas à infraestrutura que controla. Os procedimentos de teste e recuperação serão definidos com critérios verificáveis, sem uma promessa de segurança absoluta.

6. Autorização de subcontratantes posteriores

A contratação de um subcontratante posterior dependerá de autorização prévia por escrito do cliente. As partes escolherão no anexo entre autorização específica e autorização geral. Na modalidade geral, a GenwinIT comunicará antecipadamente adições ou substituições, identificando a entidade, o serviço, os dados, os países e as garantias, para permitir ao cliente opor-se antes do início do tratamento.

O canal, a antecedência e o prazo de oposição serão acordados no anexo; esta minuta não presume um prazo já aceite. Uma objeção fundamentada será tratada antes da ativação, mediante alternativa adequada ou suspensão da operação afetada e solução contratual acordada. A GenwinIT imporá ao prestador obrigações equivalentes e continuará responsável perante o cliente pelo cumprimento das obrigações desse subcontratante.

7. Inventário de prestadores a confirmar

Este inventário distingue capacidades encontradas no código de serviços confirmados em produção; não é uma lista de subcontratantes aprovados. O código inclui armazenamento de documentos em Amazon S3 e extração de texto de faturas e extratos através de uma API compatível com OpenAI. Antes de os incluir no anexo, é necessário verificar a utilização efetiva, a entidade contratada, a região, os acessos internacionais, os dados transmitidos e as condições de conservação e de utilização para treino.

As mensagens da aplicação podem utilizar SMTP configurado por cliente ou um serviço predefinido. O chat Tawk é configurável. A identificação do prestador e a atribuição de responsabilidades dependem da configuração e de quem o contrata. O alojamento, a base de dados, as cópias de segurança e eventuais serviços de monitorização que recebam dados do cliente também devem integrar o inventário confirmado.

Cloudflare Turnstile, AWS API Gateway/Lambda e Resend foram verificados no formulário público de contacto. Essa utilização não os torna automaticamente subcontratantes do arquivo ou das notificações SAV. A região Paris do serviço de contacto também não demonstra a localização dos documentos dos clientes.

8. Localizações e transferências

O anexo identificará os países de armazenamento, cópias de segurança e acesso de suporte de cada prestador autorizado. As instruções do cliente e uma garantia válida nos termos do capítulo V do RGPD serão necessárias quando uma operação constituir transferência internacional; uma região europeia de alojamento não basta para excluir outros acessos.

A GenwinIT disponibilizará a identificação do mecanismo aplicável e a documentação pertinente, incluindo avaliações e medidas complementares quando necessárias. Esta minuta não confirma decisões de adequação, cláusulas contratuais ou ausência de transferências para qualquer fornecedor ainda não verificado.

9. Direitos, avaliações e cooperação

A GenwinIT comunicará ao cliente os pedidos de titulares relativos aos dados tratados por sua conta e prestará assistência adequada para acesso, retificação, apagamento, limitação, portabilidade e oposição, tendo em conta a natureza do tratamento. Não decidirá o pedido em substituição do cliente nem responderá em seu nome sem autorização, salvo obrigação legal.

A GenwinIT prestará a informação e a cooperação necessárias à segurança, avaliações de impacto, consulta prévia e demais obrigações dos artigos 32.º a 36.º do RGPD, considerando a informação disponível. Os contactos, o encaminhamento e os tempos operacionais de resposta serão definidos no anexo de modo a permitir o cumprimento dos prazos legais do cliente.

10. Violação de dados pessoais

Ao tomar conhecimento de uma violação de dados pessoais abrangidos pelo acordo, a GenwinIT notificará o cliente sem demora injustificada através do contacto de incidente acordado. A comunicação indicará a natureza, os dados e titulares afetados na medida conhecida, as consequências prováveis, as medidas tomadas ou propostas e o ponto de contacto; a informação em falta será completada progressivamente.

A GenwinIT cooperará na contenção, investigação e documentação do incidente. O cliente avaliará as suas obrigações perante a autoridade e os titulares. O prazo legal de 72 horas que pode aplicar-se à comunicação do responsável à autoridade não é um prazo de espera concedido à GenwinIT para informar o cliente.

11. Conservação, devolução e eliminação

No fim dos serviços de tratamento, a GenwinIT devolverá ou eliminará os dados, à escolha do cliente, e eliminará as cópias existentes, salvo conservação exigida por lei da União ou de um Estado-Membro. O anexo definirá formato de exportação, janela de recolha, prazos de execução e confirmação, incluindo dados derivados, filas de email, ficheiros locais e cópias de segurança.

Os ciclos de expiração das cópias de segurança, as restrições de acesso e o tratamento de dados reintroduzidos por uma recuperação devem ser acordados e tecnicamente confirmados. Uma retenção legal será identificada e limitada à finalidade que a exige. Não se promete eliminação instantânea de todas as cópias, nem se aplica aos documentos o prazo de 14 dias dos registos do formulário público.

12. Evidência e auditorias

A GenwinIT disponibilizará a informação necessária para demonstrar o cumprimento deste acordo e permitirá e apoiará auditorias, incluindo inspeções, pelo cliente ou auditor por este mandatado. A evidência poderá incluir medidas de segurança, registos de instruções, prestadores, localizações e execução da eliminação.

As partes acordarão a organização prática, a confidencialidade e a proteção dos dados de outros clientes, sem impedir a verificação exigida pelo RGPD. A disponibilização de um relatório não elimina por si só o direito a uma auditoria necessária. Deficiências identificadas deverão ter medidas corretivas e acompanhamento documentados.

13. Elementos a completar antes da assinatura

O anexo do cliente deve fixar: identidade, qualidade e representantes das partes; contrato e duração; módulos e operações autorizados; titulares e categorias de dados; instruções e contactos; medidas de segurança; prestadores com entidade jurídica, função, países, dados e garantias; modalidade de autorização e procedimento de alteração; assistência e incidentes; conservação, exportação, eliminação e cópias de segurança; organização de auditorias.

Os factos operacionais e os termos ainda abertos devem ser preenchidos e revistos antes da aceitação pelas partes. Esta página pode apoiar essa preparação, mas a sua consulta ou a utilização do site não equivale à assinatura. Os direitos legais dos titulares e as responsabilidades legais das partes não são afastados por esta minuta.