Acordo de tratamento de dados

1. Quem celebra o acordo e para quê

1.1. Responsável pelo tratamento: a empresa ou o profissional que contrata Aipiter, identificado no registo («a empresa»).

1.2. Subcontratante: Adrián Puig de la Morena, empresário em nome individual com o nome comercial Meypi Developers, titular de Aipiter, NIF espanhol 49322385N, com a morada que consta do aviso legal. Contacto: hola@aipiter.com («Aipiter»).

1.3. Este acordo faz parte do contrato de Aipiter e é aceite pela empresa ao registar-se. Em matéria de proteção de dados prevalece sobre as condições se alguma disposição disser outra coisa.

1.4. Objeto: Aipiter trata dados pessoais por conta da empresa apenas para prestar o serviço que esta contrata. O anexo I especifica o objeto, a natureza, a finalidade, a duração, os tipos de dados e as pessoas abrangidas (artigo 28.º, n.º 3, do RGPD).

1.5. Este acordo não abrange o que Aipiter trata enquanto responsável: o seu sítio web, os pedidos de adesão e de demonstração, as contas das pessoas que utilizam o painel, o apoio e a faturação de Aipiter. A política de privacidade explica esses tratamentos.

2. Instruções (artigo 28.º, n.º 3, alínea a))

2.1. Aipiter só trata os dados mediante instruções documentadas da empresa. Constituem instruções:

• este acordo e as condições;
• o que a empresa configura no painel: módulos, canais, regras, assistente, agenda, prazos e permissões;
• o que for pedido por escrito por uma pessoa com permissões de administração da empresa.

2.2. Aipiter não utiliza os dados para fins próprios, não os vende nem os cede, e não os utiliza nem permite a sua utilização para treinar modelos de inteligência artificial.

2.3. Se uma lei da UE ou de Espanha obrigar Aipiter a tratar os dados de outra forma, informará previamente a empresa, salvo se essa lei o proibir por motivos importantes de interesse público.

2.4. Se Aipiter considerar que uma instrução infringe a legislação de proteção de dados, informará imediatamente a empresa (parte final do artigo 28.º, n.º 3, do RGPD).

3. Confidencialidade (artigo 28.º, n.º 3, alínea b))

3.1. As pessoas que trabalham para Aipiter com acesso aos dados estão obrigadas a guardar sigilo, por contrato ou por lei, mesmo depois de terminar a relação (artigo 5.º da LOPDGDD espanhola).

3.2. Aipiter só acede aos dados de uma empresa em três casos:

• para prestar o serviço;
• para resolver um incidente a pedido da empresa;
• para proteger a segurança do serviço.

Em cada caso acede apenas ao necessário.

4. Segurança (artigos 28.º, n.º 3, alínea c), e 32.º)

4.1. Aipiter aplica as medidas do anexo IV, adequadas ao risco, e revê-as quando o serviço ou os riscos mudam.

5. Outros subcontratantes (artigos 28.º, n.os 2, 3, alínea d), e 4)

5.1. A empresa autoriza, de forma geral, que Aipiter recorra aos outros subcontratantes do anexo III. A lista em vigor encontra-se em subcontratantes.

5.2. Antes de acrescentar ou substituir outro subcontratante, Aipiter avisa com pelo menos 10 dias de antecedência. O aviso é enviado por correio eletrónico às pessoas com permissões de administração e publicado nessa página. A empresa pode opor-se dentro desse prazo por motivos razoáveis de proteção de dados. Se não houver outra solução, pode resolver o contrato sem penalização antes da alteração.

5.3. Cada outro subcontratante fica vinculado por contrato às mesmas obrigações de proteção de dados deste acordo. Aipiter responde perante a empresa pelo que fizer cada outro subcontratante.

5.4. Os serviços que a empresa liga com as suas próprias contas não são outros subcontratantes de Aipiter (anexo III, parte B). A empresa contrata-os diretamente e aceita as suas condições; Aipiter envia-lhes ou recebe deles dados por instrução sua.

6. Direitos das pessoas (artigo 28.º, n.º 3, alínea e))

6.1. O painel permite à empresa consultar, corrigir, exportar e apagar os dados dos seus contactos e conversas.

6.2. Se uma pessoa escrever ao Aipiter para exercer os seus direitos sobre dados de uma empresa, Aipiter não lhe responde em nome desta. Encaminha o pedido para a empresa no prazo máximo de 5 dias úteis e ajuda-a a responder.

7. Ajuda com a segurança, as violações e as avaliações (artigo 28.º, n.º 3, alínea f))

7.1. Violações de dados: Aipiter avisa a empresa sem demora injustificada e, no máximo, 48 horas após ter conhecimento. Fornece as informações do artigo 33.º, n.º 3, do RGPD de que disponha, completando-as por fases se necessário. Assim a empresa pode notificar a autoridade no seu prazo de 72 horas e, se necessário, as pessoas afetadas (artigos 33.º e 34.º).

7.2. Aipiter fornece à empresa as informações de que disponha para a avaliação de impacto e para uma consulta prévia à autoridade (artigos 35.º e 36.º).

8. No fim do serviço (artigo 28.º, n.º 3, alínea g))

8.1. Enquanto o serviço estiver ativo, a empresa pode exportar os seus dados a partir do painel.

8.2. No fim do contrato, por cancelamento ou falta de pagamento, a conta fica em pausa. Durante 60 dias a empresa pode consultar e descarregar os seus dados.

8.3. Decorridos esses 60 dias, Aipiter encerra a empresa e destrói os seus dados, ficheiros, conversas e caixa de entrada, e as pessoas que utilizavam o painel perdem o acesso.

8.4. Só se conserva o que a lei obriga: as faturas emitidas com Aipiter e os respetivos registos de faturação. São conservados bloqueados e utilizados apenas para essa obrigação (Real Decreto espanhol 1007/2023, artigo 30.º do Código de Comércio espanhol e artigo 66.º da Lei Geral Tributária espanhola). As pessoas que neles constam deixam de ter ficha e são substituídas por «Pessoa removida», exceto no documento emitido.

8.5. As cópias de segurança desaparecem quando caducam, no prazo máximo de 30 dias.

8.6. Se a empresa o pedir, Aipiter confirma por escrito que apagou os dados.

9. Informação e auditorias (artigo 28.º, n.º 3, alínea h))

9.1. Aipiter disponibiliza à empresa as informações necessárias para demonstrar o cumprimento deste acordo: medidas, outros subcontratantes e registo das atividades de tratamento como subcontratante (artigo 30.º, n.º 2, do RGPD).

9.2. A empresa pode auditar o cumprimento nas seguintes condições:

• a auditoria é feita pela empresa ou por um auditor independente obrigado a guardar sigilo;
• avisa com 30 dias de antecedência;
• uma vez por ano, salvo se houver uma violação ou se uma autoridade o pedir;
• primeiro são revistos os documentos e, só se não forem suficientes, é feita uma inspeção.

O custo é suportado pela empresa, salvo se a auditoria detetar um incumprimento grave de Aipiter.

10. Dados fora da UE

10.1. Os dados são alojados na União Europeia. Quando outro subcontratante os trata ou consulta a partir de fora, Aipiter só o faz com as garantias do capítulo V do RGPD, indicadas no anexo III: uma decisão de adequação, incluindo o Quadro de Privacidade de Dados UE-EUA para as entidades certificadas, ou as cláusulas contratuais-tipo da Decisão (UE) 2021/914.

11. Responsabilidades da empresa

11.1. A empresa decide para que são utilizados os dados. Compete-lhe:

• dispor de uma base jurídica para cada tratamento;
• informar as pessoas (artigos 13.º e 14.º do RGPD);
• não fornecer mais dados do que os necessários;
• ter as permissões exigidas por cada canal (por exemplo, das pessoas a quem escreve por WhatsApp fora da janela de 24 horas);
• cumprir as condições dos serviços que liga.

11.2. Categorias especiais de dados: o serviço não necessita de dados de saúde nem de outras categorias especiais (artigo 9.º do RGPD). Se a empresa os tratar, por exemplo uma clínica que organiza as suas marcações, é responsável por dispor da exceção aplicável do artigo 9.º, n.º 2. Aipiter trata-os com as mesmas medidas e apenas para prestar o serviço.

12. Duração, alterações e lei

12.1. Este acordo dura enquanto durar o contrato e, depois, durante o tempo necessário para cumprir o ponto 8. O dever de sigilo não termina.

12.2. Aipiter publica cada nova versão com o respetivo número e data, e avisa das alterações importantes com 30 dias de antecedência. Fica registado que versão cada empresa aceitou e quando.

12.3. Aplica-se a lei espanhola. Para qualquer litígio são competentes os tribunais indicados nas condições. Cada parte responde nos termos do artigo 82.º do RGPD.

13. Anexo I · Detalhes do tratamento

Operações

Alojar, organizar, consultar e conservar os dados. Receber e enviar mensagens pelos canais que a empresa liga. Aplicar as suas regras e automatizações. Responder com o assistente que configura. Gerir agenda e reservas, contactos, vendas e, se os contratar, faturação e lojas. Exportar e apagar os dados.

Finalidade

Prestar à empresa o serviço que contrata.

Duração

A duração do contrato, acrescida dos 60 dias de saída do ponto 8.

Pessoas abrangidas

Clientes e potenciais clientes da empresa. Pessoas que lhe escrevem por WhatsApp, Instagram, chat do seu sítio web ou correio eletrónico. Pessoas que fazem marcações. Contactos dos seus clientes e fornecedores. Pessoas que constam dos seus orçamentos e faturas. A equipa da empresa que utiliza o painel.

Tipos de dados

Nome e dados de contacto. Telefone de WhatsApp, nome de utilizador do Instagram e correio eletrónico. Conteúdo de conversas, comentários e anexos. Marcações e reservas. Oportunidades, orçamentos, encomendas da loja e faturas. Notas e etiquetas. Permissões e cancelamentos de comunicações. Dados técnicos: endereço IP e sinais do navegador na verificação anti-robôs, e registos técnicos. Com o módulo de Voz, que atualmente não pode ser contratado: áudio e transcrição das chamadas.

Categorias especiais

Não são necessárias. Podem surgir se a empresa as incluir ou se uma pessoa as escrever por sua iniciativa (ponto 11.2).

Frequência

De forma contínua enquanto o serviço estiver ativo.

Conservação

O prazo definido pela empresa. Além disso, Aipiter apaga o que já não é necessário, por exemplo: importações por concluir após 7 dias; dados temporários de quem comenta no Instagram após 24 horas; notificações da equipa após 90 dias; histórico de WhatsApp não associado a nenhuma ficha após 180 dias.

14. Anexo II · Localização dos dados

• Base de dados: Paris (França).
• Servidores, caixa de conversas e filas: França e Bélgica.
• Inteligência artificial: Gemini, no Vertex AI, com o seu ponto de acesso europeu.
• Só saem da UE os casos do anexo III, cada um com a respetiva garantia.

15. Anexo III · Outros subcontratantes e serviços da empresa

Parte A · Outros subcontratantes de Aipiter

Parte B · Serviços ligados pela empresa (não são outros subcontratantes de Aipiter)

A empresa contrata-os diretamente e aceita as suas condições; Aipiter só lhes envia ou deles recebe dados por instrução sua:

• Meta (WhatsApp Business e Instagram);
• Microsoft 365 e Gmail;
• o seu próprio fornecedor de correio eletrónico (IMAP e SMTP);
• Shopify e WooCommerce;
• Holded;
• a sua conta Stripe;
• Redsys e o seu banco.

Com o módulo de faturação, Aipiter envia os registos de faturação à Agência Tributária espanhola em nome da empresa, por exigência do Real Decreto 1007/2023.

16. Anexo IV · Medidas de segurança (artigo 32.º)

• 1. Cada empresa vê apenas os seus dados: a base de dados aplica segurança por linha às tabelas com dados das empresas.
• 2. Entrada com código por correio eletrónico e segundo fator; permissões por pessoa e função; registo de atividade.
• 3. Cifragem em trânsito (HTTPS e TLS) e em repouso. As credenciais dos canais e ligações que Aipiter guarda são cifradas com AES-256-GCM, e as chaves do serviço são guardadas num gestor de segredos.
• 4. Alojamento na União Europeia (anexo II).
• 5. Verificação anti-robôs e limites de utilização nos formulários e ligações públicas.
• 6. Cópias de segurança da base de dados, que caducam no prazo máximo de 30 dias.
• 7. Alertas de disponibilidade e de erros.
• 8. Testes automáticos e revisão independente antes de publicar cada alteração.
• 9. Dever de sigilo das pessoas com acesso e acesso limitado ao necessário.
• 10. Procedimento de violações: detetar, conter, avisar a empresa no prazo máximo de 48 horas e documentar.