ACORDO DE TRATAMENTO DE DADOS PESSOAIS

1. Partes e objeto

1.1. O presente Acordo de Tratamento de Dados Pessoais («DPA») é celebrado entre a QuantumData Strategy, Lda., NIPC 517874571, com sede na Rua do Lago de Prata, n.º 16, C5, 2605-299 Belas, adiante «QDS» ou «Subcontratante», e a organização cliente identificada na proposta comercial ou subscrição da plataforma QDS Routes, adiante «Cliente» ou «Responsável pelo Tratamento».

1.2. O DPA integra o contrato de prestação de serviços e regula exclusivamente o tratamento de dados pessoais pela QDS por conta do Cliente, em cumprimento do artigo 28.º, n.ºs 2 a 4, do Regulamento (UE) 2016/679 («RGPD»).

1.3. Não abrange os tratamentos em que a QDS atua como responsável autónoma, nomeadamente para gestão comercial, faturação e segurança dos seus próprios serviços, descritos na sua Política de Privacidade.

1.4. A descrição das operações e dos titulares encontra-se no Anexo I; os subcontratantes ulteriores constam do Anexo II e as medidas de segurança do Anexo III.

2. Obrigações e instruções

2.1. O Cliente determina as finalidades e os meios essenciais dos tratamentos. É responsável pela sua licitude, pela informação aos titulares e pelo cumprimento das normas de proteção de dados e, quando aplicável, do Código do Trabalho.

2.2. A QDS só trata os dados pessoais por instruções documentadas do Cliente, incluindo quanto a transferências internacionais, exceto quando o tratamento lhe seja imposto pela legislação aplicável. Nesta hipótese, informará previamente o Cliente, salvo proibição legal.

2.3. As instruções incluem o contrato, este DPA, as configurações efetuadas por utilizadores autorizados e as instruções escritas adicionais aceites pela QDS.

2.4. Se considerar que uma instrução infringe o RGPD ou outra norma de proteção de dados, a QDS informará imediatamente o Cliente, podendo suspender a sua execução enquanto for apreciada a questão.

2.5. A QDS não venderá dados operacionais dos Clientes, nem os utilizará para publicidade própria ou treino de modelos de IA para finalidades autónomas.

3. Confidencialidade e segurança

3.1. A QDS garantirá que os seus colaboradores e demais pessoas autorizadas a tratar dados estão vinculados a deveres legais ou contratuais de confidencialidade.

3.2. A QDS aplicará medidas técnicas e organizativas adequadas ao risco, nos termos do artigo 32.º do RGPD, incluindo proteção das comunicações, controlo de acessos, separação lógica por organização e mecanismos de recuperação e gestão de incidentes, conforme Anexo III.

3.3. As medidas poderão evoluir com a tecnologia, desde que não reduzam materialmente a proteção dos dados tratados por conta do Cliente.

4. Subcontratantes ulteriores

4.1. O Cliente concede autorização geral para a QDS recorrer aos subcontratantes ulteriores indicados no Anexo II, na medida necessária à prestação do serviço.

4.2. A QDS informará por escrito o Cliente sobre adições ou substituições de subcontratantes com, em regra, 30 dias de antecedência, permitindo oposição fundamentada por razões de proteção de dados num prazo de 15 dias. Alterações urgentes justificadas por segurança poderão ter comunicação mais curta.

4.3. Se a oposição for fundamentada, as Partes procurarão uma alternativa proporcional; não sendo possível, o Cliente poderá cessar os serviços afetados, com acerto proporcional das prestações pagas por serviços não disponibilizados.

4.4. A QDS imporá aos subcontratantes ulteriores obrigações de proteção de dados substancialmente equivalentes às deste Acordo, nos termos do artigo 28.º, n.º 4, do RGPD, permanecendo responsável perante o Cliente pelo respetivo cumprimento.

5. Direitos dos titulares e cooperação

5.1. A QDS assistirá o Cliente, por medidas técnicas e organizativas adequadas, na resposta aos pedidos de acesso, retificação, apagamento, limitação, oposição e portabilidade, tendo em conta a natureza do tratamento e a informação de que dispõe.

5.2. Os pedidos que receba diretamente relativos a dados tratados por conta do Cliente serão encaminhados para este sem demora injustificada, salvo obrigação legal em contrário.

5.3. A QDS prestará a assistência razoavelmente necessária ao cumprimento dos artigos 32.º a 36.º do RGPD, incluindo avaliações de impacto, medidas de segurança e consultas prévias à autoridade de controlo, na medida exigida pelo artigo 28.º, n.º 3, alínea f).

6. Incidentes e violação de dados

6.1. A QDS notificará o Cliente sem demora injustificada após tomar conhecimento de uma violação de dados pessoais que afete os dados por este confiados.

6.2. Fornecerá, logo que disponíveis, a natureza do incidente, categorias e números aproximados de pessoas ou registos afetados, potenciais consequências, medidas de contenção e contacto operacional, complementando a informação se necessário.

6.3. A QDS colaborará na investigação e mitigação. O Cliente, enquanto responsável pelo tratamento, determinará as notificações à autoridade e aos titulares que lhe sejam exigíveis, sem prejuízo das obrigações próprias da QDS.

7. Localização e transferências internacionais

7.1. A infraestrutura principal identificada funciona no Espaço Económico Europeu, nos locais descritos no Anexo II. A localização física no EEE não exclui, por si só, a possibilidade de transferências internacionais ou acessos a partir de países terceiros.

7.2. A QDS só efetuará transferências internacionais em conformidade com instruções documentadas do Cliente e com o capítulo V do RGPD, com recurso, conforme aplicável, a decisão de adequação, cláusulas contratuais-tipo e medidas complementares apropriadas.

7.3. A QDS disponibilizará informação sobre destinatários e garantias aplicáveis mediante pedido.

8. Geolocalização e dados laborais

8.1. O Cliente é responsável por verificar a licitude da geolocalização de veículos ou motoristas, a prestação de informação aos trabalhadores, a proporcionalidade do tratamento e as obrigações previstas no Código do Trabalho, incluindo a proibição de utilização de meios de vigilância à distância para controlar o desempenho profissional.

8.2. A QDS disponibilizará informação sobre as funcionalidades, categorias de localização, perfis de acesso e controlos de privacidade que efetivamente disponibilize, prestando a assistência necessária às avaliações de impacto legalmente exigíveis.

8.3. As funcionalidades técnicas não conferem ao Cliente autorização para tratamentos proibidos. A QDS não deve disponibilizar recolha de localização em modo privado ou através de canais alternativos que neutralizem a desativação escolhida pelo trabalhador, sem fundamento jurídico específico.

9. Auditorias e informação

9.1. A QDS disponibilizará as informações necessárias para demonstrar o cumprimento do artigo 28.º do RGPD e permitirá e contribuirá para auditorias e inspeções realizadas pelo Cliente ou auditor independente mandatado.

9.2. Salvo urgência justificada, as auditorias serão programadas com aviso prévio razoável, respeitando a segurança da plataforma, a confidencialidade e os dados de outros clientes. Poderão ser utilizados relatórios, questionários e comprovativos equivalentes quando adequados, sem prejuízo do direito de auditoria.

9.3. As Partes colaborarão na correção de incumprimentos identificados.

10. Conservação, devolução e eliminação

10.1. A QDS conservará os dados por conta do Cliente enquanto necessário à execução do contrato, de acordo com as instruções documentadas e os prazos legalmente impostos.

10.2. Terminado o serviço, o Cliente escolherá entre devolução e eliminação dos dados pessoais, nos termos do artigo 28.º, n.º 3, alínea g), do RGPD, salvo conservação legal obrigatória.

10.3. A QDS disponibilizará os meios de exportação ou devolução legalmente exigíveis, incluindo os previstos no Data Act quando aplicável, antes da eliminação definitiva.

10.4. As cópias de segurança serão protegidas e eliminadas mediante os ciclos técnicos documentados, sem reutilização para finalidades operacionais, exceto recuperação justificada e sujeita às instruções aplicáveis.

10.5. Quando a prestação se encontre abrangida pelo capítulo VI do Regulamento (UE) 2023/2854 (Data Act), a mudança de prestador segue os prazos do artigo 25.º: aviso prévio não superior a dois meses; transição concluída no prazo máximo de 30 dias de calendário, sem prejuízo da prorrogação legalmente admitida; período de recuperação de dados de, pelo menos, 30 dias de calendário. Expirado esse período, a QDS elimina os dados e ativos digitais exportáveis do Cliente, salvo conservação legalmente obrigatória. Nos restantes casos, e salvo instrução diferente do Cliente, a QDS elimina os dados pessoais tratados por conta do Cliente após o termo do contrato ou a instrução de eliminação, num prazo razoável e de acordo com os ciclos técnicos definidos pela QDS.

11. Responsabilidade e vigência

11.1. Cada Parte responde pelas obrigações que lhe são legalmente aplicáveis. O DPA não prejudica os direitos dos titulares nem a responsabilidade imperativa prevista nos artigos 82.º e seguintes do RGPD.

11.2. Este Acordo entra em vigor com a contratação ou a primeira disponibilização de dados pessoais à QDS, conforme o que ocorrer primeiro, e mantém-se enquanto a QDS tratar dados pessoais por conta do Cliente.

11.3. É aceite através da assinatura do contrato individual ou de mecanismo eletrónico de aceitação expressa documentada. Em caso de incompatibilidade com os Termos e Condições, prevalece nas matérias de proteção de dados que regula.

11.4. Em caso de divergência entre versões linguísticas, prevalece a versão portuguesa, sem prejuízo de direitos imperativos aplicáveis. A versão em inglês é disponibilizada para facilitar a leitura.

ANEXO I - DESCRIÇÃO DOS TRATAMENTOS

Objeto e duração: alojamento e processamento, durante o contrato e a fase de restituição/eliminação, dos dados necessários à gestão digital de rotas, veículos, tarefas e entregas.

Finalidades: otimização de itinerários, organização de recursos, atribuição de entregas, acompanhamento operacional e prestação de funcionalidades efetivamente contratadas.

Operações: recolha por conta do Cliente, registo, organização, consulta, armazenamento, cálculo, atualização, comunicação aos utilizadores autorizados, exportação e eliminação.

Titulares: colaboradores e motoristas do Cliente; destinatários de entregas; contactos profissionais e outras pessoas identificadas nos registos operacionais.

Dados: nomes e contactos profissionais; moradas e instruções de entrega; horários e estados; identificação de veículos e motoristas; rotas, perfis e registos operacionais; quando efetivamente ativados, GPS, fotografias e metadados de prova de entrega; conteúdo de pedidos ao assistente de IA.

Categorias especiais: o serviço não se destina ao tratamento sistemático dos dados previstos no artigo 9.º do RGPD; a sua utilização para esse fim exige apreciação e acordo específicos.

ANEXO II - SUBCONTRATANTES ULTERIORES

Hetzner Online GmbH - alojamento da infraestrutura principal QDS e serviços associados; servidores em Helsínquia, Finlândia.

Amazon Web Services - autenticação Cognito, envio de emails SES, armazenamento S3, réplica de base de dados RDS para recuperação de desastres, distribuição de conteúdos CloudFront (servidor de mapas, página de estado e página de manutenção) e, quando ativado o assistente, Amazon Bedrock; infraestrutura identificada na região Irlanda (eu-west-1); o processamento no Amazon Bedrock utiliza um perfil de inferência da União Europeia e pode ocorrer noutras regiões da UE. Os pontos de presença do CloudFront incluem a América do Norte.

ANEXO III - MEDIDAS TÉCNICAS E ORGANIZATIVAS

A. Controlo de acesso por utilizador e função, aplicação do princípio do menor privilégio, autenticação multifator obrigatória (TOTP) e gestão de credenciais.

B. Separação lógica dos dados das diferentes organizações clientes (isolamento por organização ao nível da base de dados nas tabelas aplicáveis) e controlos adequados de autorização.

C. Comunicações: acesso público protegido por TLS; tráfego entre componentes da infraestrutura protegido por canais cifrados. Cifragem em repouso nos componentes de armazenamento e nas cópias de segurança, e cifragem adicional ao nível da aplicação em dados pessoais selecionados, com gestão controlada de chaves.

D. Registo e resposta a incidentes; atualizações e gestão de vulnerabilidades; limitação de pedidos, proteção contra endereços IP maliciosos e monitorização de segurança.

E. Cópias de segurança, continuidade e recuperação, com políticas documentadas de acesso, rotação e eliminação.

F. Confidencialidade de colaboradores e prestadores e contratos adequados com subcontratantes ulteriores.

G. Revisão periódica das medidas em função dos riscos e das alterações tecnológicas.

As cópias de segurança são conservadas por períodos limitados e expiram segundo ciclos definidos pela QDS. A eliminação dos dados do Cliente segue a cláusula 10.5.