Acordo de Tratamento de Dados

1. Partes e âmbito

Este acordo faz parte dos Termos de Serviço e aplica-se entre o Cliente (responsável pelo tratamento) e Turquesaoluar Unipessoal Lda (subcontratante) sempre que tratamos dados pessoais por conta do Cliente ao prestar o Serviço.

2. Objeto, duração, natureza e finalidade

Alojar e disponibilizar as apps de membros do Cliente e as funcionalidades associadas (acessos, conteúdos, comunidade, mensagens, notificações, automações, análise, IA, integrações de pagamento e marketing), durante a vigência do contrato e até à eliminação dos dados.

3. Titulares e categorias de dados

• Titulares: alunos e visitantes das apps, contactos (leads), afiliados do Cliente e membros da equipa do Cliente.
• Dados: identificação e contacto (nome, email, telefone se fornecido), compras e acessos, progresso, respostas a quizzes e tarefas, mensagens e publicações na comunidade, perguntas ao tutor de IA, preferências e consentimentos, dados técnicos (dispositivo, subscrições de notificações, origem da visita).
• O Serviço não se destina a categorias especiais de dados; se o Cliente as tratar (por exemplo, em programas de saúde), é responsável por garantir uma base legal adequada.

4. Obrigações do subcontratante

• Tratar os dados apenas segundo as instruções documentadas do Cliente, que são as configurações e ações feitas no Serviço, salvo obrigação legal.
• Garantir que as pessoas autorizadas a tratar os dados estão vinculadas a confidencialidade.
• Aplicar as medidas técnicas e organizativas do Anexo.
• Ajudar o Cliente a responder a pedidos dos titulares (o painel permite exportar e eliminar os dados de cada aluno) e a cumprir as obrigações de segurança, avaliações de impacto e consultas prévias.
• Notificar o Cliente sem demora injustificada, e no máximo em 48 horas, depois de ter conhecimento de uma violação de dados que o afete.
• No fim do contrato, permitir a exportação durante 30 dias e depois eliminar os dados, salvo obrigação legal de conservação.
• Disponibilizar a informação necessária para demonstrar o cumprimento e permitir auditorias razoáveis, com aviso prévio de 30 dias e a expensas do Cliente.

5. Subcontratantes ulteriores

O Cliente autoriza em geral o recurso aos subcontratantes listados na página Subcontratantes. Avisamos com pelo menos 30 dias de antecedência antes de acrescentar ou substituir um; o Cliente pode opor-se por motivos razoáveis e, se não houver solução, cancelar o contrato. Impomos a cada um obrigações de proteção de dados equivalentes às deste acordo.

As integrações que o próprio Cliente liga (plataformas de pagamento, CRM, email, WhatsApp, a sua chave de IA) são escolhas suas e funcionam sob os seus contratos com esses fornecedores.

6. Transferências internacionais

Só transferimos dados para fora do Espaço Económico Europeu com garantias adequadas: decisões de adequação ou cláusulas contratuais-tipo da Comissão Europeia, complementadas por medidas adicionais quando necessário.

Anexo — Medidas de segurança

• Isolamento entre clientes ao nível da base de dados (Row Level Security), testado automaticamente.
• Cifra em trânsito (TLS) e em repouso; segredos e chaves de integrações cifrados com AES-256-GCM.
• Conteúdos pagos e ficheiros protegidos servidos apenas com ligações temporárias a quem tem acesso.
• Autenticação de dois fatores para a equipa do Cliente e obrigatória para dados sensíveis; terminar sessão em todos os dispositivos.
• Registo de auditoria das alterações feitas no painel; monitorização de erros e alertas.
• Pagamentos aceites só depois de verificados junto da plataforma de pagamento; processamento idempotente.
• Cópias de segurança diárias do fornecedor de base de dados; acessos internos com privilégio mínimo; testes automáticos em cada alteração.