Proteção de Dados · Acordo de Tratamento (DPA)

1. Objeto, vínculo contratual e identidade

Este DPA regula o tratamento de dados pessoais realizado por conta do cliente (responsável) para prestar o serviço: importação e gestão de avaliações, geração assistida de respostas, análise de padrões, elaboração de recomendações e relatórios, e entrega através dos canais configurados.

Vínculo contratual

Quando a RepuOrbit trate dados pessoais por conta do cliente, este DPA (versão 1.0), baseado no artigo 28.º do RGPD, faz parte integrante das condições contratuais aplicáveis ao serviço e dos Termos e Condições, e vincula as partes a partir da aceitação dessas condições.

Identidade do subcontratante

RepuOrbit é um produto da IATASKIA S.L., NIF B05703038 (Espanha), que atua como subcontratante quando trata dados pessoais por conta do cliente.

Natureza

Operações de recolha, armazenamento, consulta, análise, geração assistida por IA, comunicação aos canais configurados e supressão, por meios automatizados.

2. Duração

O tratamento mantém-se enquanto estiver em vigor a relação de serviço. No seu termo aplicar-se-á o previsto na cláusula de devolução ou supressão.

3. Categorias de titulares e tipos de dados

Categorias de titulares

• Clientes finais e autores de avaliações da empresa.
• Pessoal e utilizadores autorizados da empresa cliente.

Tipos de dados

• Dados identificativos e de contacto contidos nas avaliações e nas respostas.
• Conteúdo das opiniões e das comunicações associadas.
• Dados de configuração e metadados técnicos necessários para o serviço.

Categorias especiais de dados

A RepuOrbit não solicita categorias especiais de dados pessoais para a prestação ordinária do serviço. Não obstante, o conteúdo das avaliações ou comunicações tratadas pode incluir incidentalmente informação desta natureza introduzida pelos seus próprios autores. O cliente, na sua condição de responsável pelo tratamento, deverá garantir a existência de uma base jurídica adequada quando aplicável e configurar e utilizar o serviço nos termos da regulamentação de proteção de dados.

4. Instruções documentadas e confidencialidade

A RepuOrbit tratará os dados unicamente seguindo as instruções documentadas do cliente, incluindo as deste DPA e as derivadas da utilização da plataforma, salvo obrigação legal. Se uma instrução infringir a regulamentação, a RepuOrbit informará o cliente.

As pessoas autorizadas a tratar os dados comprometem-se a respeitar a confidencialidade ou estão sujeitas a um dever de confidencialidade de natureza equivalente.

5. Medidas técnicas e organizativas

A RepuOrbit aplica medidas técnicas e organizativas apropriadas ao risco. As medidas efetivamente implementadas estão descritas no Anexo I deste DPA.

6. Assistência ao responsável e exercício de direitos

A RepuOrbit assistirá razoavelmente o cliente para: atender aos pedidos de exercício de direitos dos titulares; cumprir as obrigações de segurança, notificação de violações e, quando adequado, avaliações de impacto e consultas prévias.

7. Incidentes e violações de segurança

A RepuOrbit notificará o cliente sem demora indevida quando tiver conhecimento de uma violação da segurança que afete dados tratados por conta do cliente.

Na medida em que esteja disponível, facultará:

• a natureza do incidente;
• as categorias de dados e de titulares afetados;
• as consequências prováveis;
• as medidas adotadas ou propostas;
• a informação necessária para que o responsável possa cumprir as suas obrigações de notificação.

8. Subcontratantes

• O cliente concede uma autorização geral para o recurso a subcontratantes na prestação do serviço.
• A RepuOrbit informará das incorporações ou substituições de subcontratantes que afetem o tratamento de dados.
• O cliente poderá formular objeções justificadas nos termos deste DPA.
• Os subcontratantes ficarão sujeitos a obrigações de proteção de dados equivalentes às aplicáveis à RepuOrbit.

9. Subcontratantes e fornecedores de tratamento

Consoante as funcionalidades utilizadas, o serviço poderá apoiar-se nos seguintes tipos de fornecedores. A lista está preparada para ser atualizada com os fornecedores reais; não se apresenta como contratado qualquer fornecedor que ainda não o esteja:

• Google Business Profile / Google — avaliações e publicação.
• Meta / WhatsApp Business Platform e Telegram — entrega e aprovação de respostas.
• Fornecedores de IA configurados pelo cliente — OpenAI, Anthropic, Google Gemini.
• Fornecedor de pagamentos — quando for implementado o sistema de cobrança.
• Fornecedor de alojamento / base de dados — infraestrutura do serviço.
• Fornecedor de email — comunicações do serviço.
• Serviços técnicos necessários para operar a plataforma.

Fornecedores de IA e credenciais (API Key)

• O cliente pode configurar o seu próprio fornecedor de IA e utilizar as suas próprias credenciais/API Key.
• Isso não significa que os dados nunca passem pela infraestrutura da RepuOrbit.
• A RepuOrbit pode precisar de receber, tratar e transmitir determinados dados para executar a funcionalidade solicitada.
• Os dados necessários poderão ser enviados ao fornecedor de IA selecionado ou configurado pelo cliente.
• As credenciais são tratadas de forma segura nos termos das medidas efetivamente implementadas (ver Anexo I): são armazenadas cifradas e ocultadas nos registos.

10. Transferências internacionais

Quando um fornecedor ou subcontratante implique uma transferência internacional de dados, utilizar-se-á o mecanismo jurídico que corresponda nos termos do Capítulo V do RGPD, por exemplo: uma decisão de adequação, cláusulas contratuais-tipo ou outras garantias legalmente válidas.

Não se afirma que a totalidade dos dados permaneça sempre em Espanha ou no EEE.

Quando confirmada, a informação será detalhada por fornecedor real, com a seguinte estrutura:

• fornecedor;
• país ou região de tratamento;
• serviço prestado;
• mecanismo de transferência aplicável.

11. Auditoria e informação de conformidade

Sem prejuízo do direito do cliente a auditar nos termos do art. 28.º RGPD, esse direito será exercido em termos razoáveis:

• A RepuOrbit disponibilizará ao cliente a informação razoavelmente necessária para demonstrar o cumprimento das suas obrigações.
• As auditorias serão realizadas com um pré-aviso razoável.
• Serão respeitadas a confidencialidade e a segurança da informação própria e de terceiros.
• Serão evitadas interferências desproporcionadas na continuidade do serviço.
• O direito poderá ser satisfeito mediante documentação, evidências ou auditorias de terceiros quando estas sejam suficientes.

12. Devolução ou supressão de dados

Finda a prestação, e à escolha do responsável, a RepuOrbit devolverá ou suprimirá os dados pessoais tratados por conta do cliente. Para estes efeitos distingue-se:

• Dados ativos: são devolvidos ou suprimidos após o fim do serviço, consoante a escolha do responsável.
• Dados conservados por obrigação legal: são conservados bloqueados durante os prazos legalmente exigíveis e suprimidos no seu termo.
• Cópias de segurança (backups): os dados contidos em cópias de segurança são eliminados nos termos do ciclo de retenção tecnicamente estabelecido e permanecem bloqueados e não acessíveis para exploração ordinária durante esse período, quando aplicável.
• Fim do serviço: uma vez concluídos os passos anteriores, a informação é eliminada salvo a que deva ser legalmente conservada.

Anexo I — Medidas técnicas e organizativas

Medidas efetivamente implementadas no serviço à data desta versão do DPA:

• Cifragem de segredos em repouso: as credenciais e integrações sensíveis (API Keys dos fornecedores de IA e tokens de acesso da Google, WhatsApp e Telegram) são armazenadas cifradas mediante AES-256-GCM.
• Proteção de palavras-passe: as palavras-passe dos utilizadores são armazenadas com hash mediante bcrypt; nunca em claro.
• Autenticação: acesso mediante tokens assinados (JWT) verificados em cada pedido.
• Controlo de acessos baseado em funções: permissões por função dentro de cada organização e separação da função de administração da plataforma.
• Isolamento lógico multi-tenant: os dados são segmentados por organização e negócio; o acesso é resolvido consoante a pertença do utilizador.
• Validação e saneamento de entradas: os pedidos são validados com esquemas estritos antes de serem tratados.
• Registos de auditoria: são registados eventos relevantes (por exemplo, autenticação e alterações de credenciais) para a sua rastreabilidade.
• Cabeçalhos de segurança HTTP e CORS restrito: são aplicados cabeçalhos de segurança e uma política de CORS controlada.
• Limitação de taxa (rate limiting): limita-se a frequência de pedidos, com limites mais estritos na autenticação, para mitigar abusos e ataques de força bruta.
• Gestão segura de segredos: a configuração sensível é validada e carregada a partir do ambiente (não incorporada no código) e os dados sensíveis são ocultados nos registos.
• Comunicações cifradas: as comunicações com os serviços externos realizam-se sobre HTTPS/TLS; a aplicação está preparada para operar atrás de um proxy que gere a terminação TLS.
• Verificação em tempo constante: a verificação de determinados tokens sensíveis emprega comparações em tempo constante.
• Mecanismos de eliminação: é possível revogar e eliminar credenciais e integrações armazenadas, bem como eliminar negócios e os seus dados associados. Minimização de dados: são tratados os dados necessários para prestar a funcionalidade solicitada.