Contrato de Tratamento de Dados

1. Introdução

Este Contrato de Tratamento de Dados ("DPA") faz parte do acordo entre o cliente ("Responsável pelo Tratamento") e a Bonalogic, que opera a Nolorem ("Subcontratante"), para a prestação dos serviços da plataforma Nolorem.

Este DPA aplica-se a todos os dados pessoais tratados pelos subcontratantes da Nolorem em nome do Responsável pelo Tratamento no âmbito da utilização do Serviço.

2. Definições

• Responsável pelo Tratamento: O cliente que determina as finalidades e os meios do tratamento de dados pessoais através do Serviço.
• Subcontratante: A Bonalogic (Nolorem), que trata dados pessoais em nome do Responsável pelo Tratamento.
• Subcontratante ulterior: Um serviço terceiro contratado pelo Subcontratante para auxiliar no tratamento de dados pessoais.
• Dados pessoais: Qualquer informação relativa a uma pessoa singular identificada ou identificável.
• Tratamento: Qualquer operação efetuada sobre dados pessoais, incluindo a recolha, o armazenamento, a utilização, a transmissão e a eliminação.

3. Detalhes do Tratamento

O Subcontratante trata as seguintes categorias de dados pessoais em nome do Responsável pelo Tratamento:

• Dados da conta: Nome, endereço de email, nome da organização e credenciais de autenticação para a gestão da conta de utilizador.
• Dados de conteúdo: Artigos de blog, conteúdo de redes sociais, pesquisas de investigação, estruturas de temas e texto e imagens gerados.
• Reações a publicações de redes sociais: Quando alguém reage a uma publicação que o Responsável pelo Tratamento publicou através do Serviço, o Subcontratante obtém essa reação junto da plataforma (através do bundle.social) e conserva-a. Trata-se do identificador do autor na plataforma, do nome de apresentação quando a plataforma o fornece, da ligação para o perfil, da ligação para a fotografia de perfil (uma ligação que expira; a imagem em si não é conservada), do texto da reação, da hora, do número de gostos e de respostas e da posição no fio da conversa. Finalidade: permitir ao Responsável pelo Tratamento ler as reações e responder-lhes. Estas pessoas não são clientes do Subcontratante; os seus dados provêm da plataforma.
• Dados de faturação: Nível de subscrição, referências do método de pagamento e registos de faturas tratados através do Stripe.
• Dados de utilização: Utilização de funcionalidades, visualizações de página e registos de interação para melhoria do serviço.
• Texto antes e depois da edição: O texto tal como o Subcontratante o gerou e tal como o Responsável pelo Tratamento o enviou ou agendou, com o canal, o perfil de voz, o idioma, o tipo de conteúdo e o identificador do utilizador que iniciou o último passo. Finalidade: poder melhorar as próprias gerações do Responsável pelo Tratamento. O Subcontratante não utiliza estes dados para outros clientes nem para treinar um modelo. Qualquer análise é feita apenas sobre números sem nome de cliente. O identificador do utilizador é conservado até ao fim do prazo de conservação e, depois de essa conta ser eliminada, já não remete para ninguém.

Os dados são tratados durante o período de utilização do Serviço pelo Responsável pelo Tratamento e eliminados no prazo de 30 dias após a cessação da conta.

O texto antes e depois da edição é conservado durante 12 meses ou eliminado mais cedo juntamente com a publicação ou o artigo, e quando a organização do Responsável pelo Tratamento é eliminada. Uma publicação ou um artigo na reciclagem conta até ser eliminado definitivamente ou até passarem os 12 meses.

As reações de terceiros são conservadas enquanto a publicação em que se encontram existir no Serviço. O Subcontratante obtém reações até cerca de 30 dias após a publicação. Uma reação eliminada na plataforma antes desse momento desaparece também do Serviço na recolha seguinte. Uma reação eliminada na plataforma depois desse momento permanece no Serviço até o Responsável pelo Tratamento eliminar definitivamente a publicação (também da reciclagem); as reações desaparecem então com ela. As respostas enviadas a partir do Serviço são conservadas como parte da publicação.

4. Subcontratantes

Os seguintes subcontratantes são contratados para prestar o Serviço. Cada subcontratante está vinculado por contratos de tratamento de dados em conformidade com os requisitos do RGPD.

O Responsável pelo Tratamento será notificado de quaisquer alterações aos subcontratantes. Podem ser apresentadas objeções a novos subcontratantes no prazo de 30 dias após a notificação.

O bundle.social obtém ainda junto da plataforma as reações às publicações do Responsável pelo Tratamento e envia as respostas que o Responsável pelo Tratamento dá a partir do Serviço. A Anthropic (e, como alternativa, a OpenAI) recebe o texto de uma reação e o nome do autor exclusivamente quando o Responsável pelo Tratamento prime o botão «Sugerir uma resposta», para redigir uma proposta. Sem essa ação, nenhuma reação segue para um fornecedor de IA. A proposta nunca é enviada sem que uma pessoa prima enviar.

5. Segurança dos Dados

O Subcontratante implementa medidas técnicas e organizativas adequadas para proteger os dados pessoais, incluindo:

• Encriptação em trânsito: Todos os dados transmitidos entre a plataforma e os utilizadores são encriptados com TLS 1.2 ou superior.
• Encriptação em repouso: Os dados pessoais armazenados na base de dados são encriptados em repouso com AES-256.
• Controlos de acesso: Controlos de acesso baseados em funções e políticas de Row Level Security (RLS) delimitadas por organização asseguram o isolamento dos dados entre clientes.
• Revisões regulares: As práticas de segurança e os contratos com subcontratantes são revistos regularmente.

6. Direitos dos Titulares dos Dados

O Subcontratante auxiliará o Responsável pelo Tratamento no cumprimento dos pedidos de exercício de direitos dos titulares dos dados ao abrigo do RGPD, incluindo:

• Acesso aos dados pessoais
• Retificação de dados inexatos
• Apagamento de dados pessoais
• Portabilidade dos dados em formato de leitura automática
• Limitação do tratamento
• Oposição ao tratamento

O Subcontratante responderá aos pedidos do Responsável pelo Tratamento no prazo de 15 dias úteis.

Para as reações de terceiros: a pedido do Responsável pelo Tratamento, um administrador do Subcontratante apaga todas as reações de uma pessoa no espaço de trabalho desse Responsável pelo Tratamento. São também apagadas as respostas que o Responsável pelo Tratamento deu a essa pessoa no Serviço, porque podem conter o nome dela. A resposta na própria plataforma permanece; o Responsável pelo Tratamento gere-a aí. Em seguida, o Subcontratante regista exclusivamente o identificador dessa pessoa na plataforma e a data numa lista de exclusão desse espaço de trabalho, para que a recolha seguinte não a traga de volta. Essa lista aplica-se por organização e não contém mais nada. Fundamento jurídico: o interesse legítimo em tornar duradouro um apagamento.

7. Notificação de Violação de Dados

Em caso de violação de dados pessoais, o Subcontratante notificará o Responsável pelo Tratamento sem demora injustificada e o mais tardar 72 horas após ter tido conhecimento da violação. A notificação incluirá:

• A natureza da violação
• As categorias e o número aproximado de titulares dos dados afetados
• As consequências prováveis da violação
• As medidas tomadas ou propostas para fazer face à violação

8. Direitos de Auditoria

O Responsável pelo Tratamento pode solicitar as informações necessárias para demonstrar o cumprimento das obrigações decorrentes do RGPD. O Subcontratante disponibilizará todas as informações necessárias e permitirá auditorias, incluindo inspeções, realizadas pelo Responsável pelo Tratamento ou por um auditor por este mandatado, mediante aviso prévio razoável e sujeito a obrigações de confidencialidade.

9. Cessação

Após a cessação do DPA ou do contrato de serviço subjacente, o Subcontratante, à escolha do Responsável pelo Tratamento:

• Devolverá todos os dados pessoais ao Responsável pelo Tratamento num formato estruturado e de uso corrente, ou
• Eliminará todos os dados pessoais no prazo de 30 dias, salvo se a conservação for exigida pela lei aplicável.

O Subcontratante fornecerá confirmação escrita da eliminação dos dados, mediante pedido.

10. Contacto

Para questões sobre este Contrato de Tratamento de Dados, para solicitar uma auditoria ou para comunicar uma preocupação relativa a dados, contacte-nos através de:

• Email: info@nolorem.io
• Empresa: Bonalogic