Contrato de Subcontratação de Dados Pessoais

Nos termos do artigo 28.º do RGPD · Versão 1.12 (setembro de 2026)

1. Partes

Responsável pelo tratamento: o cliente identificado na conta Recato (adiante «Cliente»).
Subcontratante: Forsnaps AI - Soluções Tecnológicas, Unipessoal Lda, NIF 518932494, com sede em Rua da Igreja Nº99, Varziela, 4650-722 Felgueiras (adiante «Prestador»).

Este contrato faz parte integrante dos Termos de Utilização e aplica-se a todo o tratamento de dados pessoais que o Prestador faça por conta do Cliente na prestação do serviço Recato, quando o Cliente é uma empresa, uma entidade ou um profissional. Não se aplica ao particular que usa o serviço para fins exclusivamente pessoais ou domésticos: nesse caso o Prestador é o responsável pelo tratamento dos dados da conta, nos termos da Política de Privacidade, e mantém os mesmos compromissos de localização, de não utilização para treino, de retenção e de segurança aqui descritos.

2. Objeto, natureza e finalidade

Alojamento, processamento e disponibilização de um assistente de inteligência artificial para os utilizadores do Cliente, incluindo o armazenamento de conversas e ficheiros submetidos, a geração de respostas por modelos de linguagem e a gestão de contas e de consumo e, quando o utilizador a ligar, o acesso à sua caixa de correio para leitura e envio em seu nome.

3. Categorias de dados e de titulares

Titulares: utilizadores do Cliente (colaboradores e outras pessoas que este convide) e quaisquer pessoas referidas nos conteúdos submetidos (clientes, fornecedores, doentes, partes em processos, entre outros), conforme o uso que o Cliente faça do serviço; remetentes e destinatários dos emails da caixa de correio ligada.
Dados: dados de identificação e contacto dos utilizadores; o conteúdo das conversas e ficheiros, que pode incluir qualquer categoria de dados, incluindo categorias especiais, sob responsabilidade do Cliente; credenciais de acesso à caixa de correio ligada e conteúdo dos emails tratados.

4. Obrigações do Prestador

1. Tratar os dados apenas mediante instruções documentadas do Cliente, que são as configurações da conta e o uso do serviço, salvo obrigação legal.
2. Garantir que as pessoas autorizadas a tratar os dados estão vinculadas a confidencialidade.
3. Aplicar as medidas técnicas e organizativas do anexo II.
4. Não recorrer a outros subcontratantes sem informar o Cliente com 30 dias de antecedência, dando-lhe a possibilidade de se opor; a lista atual consta do anexo I.
5. Auxiliar o Cliente no cumprimento das obrigações de resposta aos titulares, de segurança, de notificação de violações e de avaliação de impacto.
6. Notificar o Cliente de qualquer violação de dados pessoais sem demora injustificada e no máximo em 48 horas após dela ter conhecimento.
7. Apagar ou devolver todos os dados no fim da prestação do serviço, conforme escolha do Cliente, e apagar as cópias existentes no prazo máximo de 90 dias, salvo obrigação legal de conservação.
8. Disponibilizar a informação necessária para demonstrar o cumprimento destas obrigações e permitir auditorias, com aviso prévio de 30 dias e no máximo uma vez por ano, salvo incidente.

5. Localização e transferências

Todo o tratamento feito pelo Prestador ocorre na União Europeia e o Prestador não recorre a subcontratantes fora do Espaço Económico Europeu. Quando um utilizador liga a sua caixa de correio, o Prestador comunica com o fornecedor de correio do Cliente por instrução deste; esse fornecedor é contratado pelo Cliente e não é subcontratante do Prestador.

6. Não utilização para treino

O Prestador e os seus subcontratantes não utilizam os dados do Cliente para treinar, afinar ou avaliar modelos de inteligência artificial. Os pedidos enviados ao subcontratante de inferência não são por este retidos depois de respondidos.

7. Medição da utilização

O Prestador mede a utilização do serviço, incluindo no espaço do Cliente, para perceber em que passo os utilizadores deixam de conseguir usá-lo e corrigir o que o impede. Dessa medição constam apenas o passo, o plano, a data e a hora, o país e o tipo de browser, e um identificador técnico do espaço; não constam o conteúdo das conversas, os ficheiros, os nomes, os endereços de email nem qualquer texto escrito pelos utilizadores do Cliente. A medição é feita em infraestrutura própria do Prestador, na União Europeia, sem recurso a serviços de análise de terceiros e sem cookies. Este tratamento é feito pelo Prestador enquanto responsável, para administração e melhoria do serviço, nos termos do considerando 49 e do artigo 6.º, n.º 1, alínea f), do RGPD, e não constitui utilização dos dados do Cliente para finalidades próprias na aceção do artigo 28.º, n.º 10.

8. Retenção

O Cliente controla o prazo de retenção das conversas, ficheiros e memórias através das definições da conta. O Prestador executa o apagamento automático conforme configurado e regista a execução. O Prestador não submete as conversas a classificadores de abuso nem conserva, por esse motivo, conteúdos, pontuações ou registos de sinalização para além do prazo de retenção definido pelo Cliente.

9. Duração, devolução e eliminação

Vigora enquanto durar a prestação do serviço. As obrigações de confidencialidade mantêm-se após o termo.

Terminada a prestação do serviço, o Prestador apaga ou devolve ao Cliente todos os dados pessoais tratados por sua conta, à escolha do Cliente, nos termos do artigo 28.º, n.º 3, alínea g), do RGPD. A devolução faz-se pela exportação disponível na própria conta, que o Cliente executa por si, a qualquer momento e sem custo, incluindo a do espaço inteiro, com uma pasta por utilizador; se o acesso já não for possível, o Prestador entrega a mesma exportação a pedido. Os dados ficam disponíveis para exportação durante 30 dias após o termo e são depois eliminados, incluindo das cópias de segurança no prazo máximo de 90 dias, salvo obrigação legal de conservação.

Anexo I: subcontratantes

O Prestador recorre a subcontratantes das categorias seguintes, todos na União Europeia e vinculados por contrato às mesmas obrigações. A lista nominal, com a entidade e o país de cada um, é disponibilizada ao Cliente mediante pedido e comunicada com 30 dias de antecedência sempre que mudar.

Anexo II: medidas técnicas e organizativas

• Cifra em trânsito (TLS 1.2 ou superior) e em repouso (disco cifrado).
• Isolamento lógico por cliente: uma base de dados e um espaço de ficheiros por conta.
• Autenticação com palavra-passe forte, autenticação de dois fatores opcional, bloqueio após tentativas falhadas.
• Controlo de acessos por perfis; acesso administrativo do Prestador limitado, registado e só para suporte.
• Cópias de segurança diárias cifradas, guardadas na União Europeia, com testes de restauro periódicos.
• Registo de eventos de segurança conservado 90 dias; monitorização de erros sem dados pessoais.
• Endurecimento dos servidores: acesso remoto só por chave, firewall, atualizações de segurança automáticas.
• Gestão de incidentes com procedimento escrito e notificação em 48 horas.

Assinado eletronicamente pela aceitação dos Termos de Utilização na criação da conta. Para um exemplar assinado em papel, escreva para info@recato.pt.