Acordo de Tratamento de Dados (artigo 28.º do RGPD)

Anexo à Política de Privacidade e parte integrante dos Termos e Condições de Utilização — Versão 1.0 — 19 de outubro de 2026

Partes:

• Responsável pelo tratamento: a Organização cliente identificada na conta (o Cliente).
• Subcontratante: POLIEDRO SALGADO UNIPESSOAL, LDA., NIPC 517622459, Rua do Porto Novo, Bloco 26, r/c esq., 7500-160 Vila Nova de Santo André (o Prestador).

Este Acordo aplica-se aos dados pessoais que os Utilizadores do Cliente registam no serviço M8BOT - FISC (os Dados do Cliente). É celebrado por via eletrónica, com a aceitação dos Termos (artigo 28.º, n.º 9, do RGPD), e vigora enquanto o Prestador tratar Dados do Cliente. A pedido, o Prestador disponibiliza uma cópia assinada. Os termos com maiúscula inicial não definidos aqui têm o sentido dos Termos.

Cláusula 1.ª — Objeto e duração

O Prestador trata os Dados do Cliente por conta deste, apenas para prestar o Serviço. Esse tratamento inclui:

• alojamento, cifra, sincronização e conversão de ficheiros;
• funcionalidades de IA acionadas pelos Utilizadores;
• envio de notificações por email;
• cópia de segurança, exportação, eliminação e suporte.

O tratamento dura enquanto vigorar o contrato e durante o prazo da cláusula 10.ª.

Cláusula 2.ª — Instruções

1. O Prestador trata os Dados do Cliente apenas segundo instruções documentadas do Cliente, incluindo quanto a transferências internacionais. São instruções:
   • os Termos;
   • este Acordo;
   • as configurações e ações feitas pelos Utilizadores na app.
2. Se o direito da União ou de Portugal o obrigar a outro tratamento, o Prestador informa o Cliente antes de o fazer, salvo se esse direito o proibir por motivos importantes de interesse público (artigo 28.º, n.º 3, alínea a), do RGPD).
3. Se considerar que uma instrução viola o RGPD ou outra norma de proteção de dados, o Prestador informa de imediato o Cliente (artigo 28.º, n.º 3, último parágrafo).
4. O Cliente garante que tem fundamento legal para os tratamentos que ordena e que informou os titulares, nomeadamente:
   • os trabalhadores fotografados (tendo em conta, quando aplicável, o artigo 28.º da Lei n.º 58/2019 e o Código do Trabalho);
   • os intervenientes na obra.

Cláusula 3.ª — Confidencialidade

As pessoas autorizadas pelo Prestador a tratar Dados do Cliente estão sujeitas a dever de confidencialidade. A equipa do Prestador não acede ao conteúdo dos Dados do Cliente, exceto quando:

• um administrador do Cliente ativa o acesso de suporte, por tempo limitado e com registo na auditoria; ou
• a lei o exija.

Cláusula 4.ª — Segurança (artigo 32.º)

O Prestador aplica as medidas técnicas e organizativas do Anexo II e pode atualizá-las, desde que o nível de segurança não diminua.

Cláusula 5.ª — Subcontratantes ulteriores

1. O Cliente dá autorização geral ao recurso a subcontratantes ulteriores e autoriza os identificados no Anexo III, publicado e mantido atualizado em https://app.poliedrosalgado.com/subcontratacao/.
2. O Prestador avisa o Cliente, com pelo menos 30 dias de antecedência, de qualquer adição ou substituição. O aviso é feito por email aos administradores e na app.
3. O Cliente pode opor-se, com fundamento razoável, dentro desse prazo. Nesse caso, o Prestador procura uma alternativa razoável. Se não houver, o Cliente pode resolver o contrato antes da entrada em funções do novo subcontratante, sem penalização e com reembolso da parte do preço paga e correspondente ao período não prestado.
4. O Prestador impõe aos subcontratantes ulteriores, por contrato, obrigações de proteção de dados equivalentes às deste Acordo. Continua responsável perante o Cliente pelo cumprimento dessas obrigações.

Cláusula 6.ª — Transferências internacionais

1. Os Dados do Cliente são alojados na UE, em Nuremberga, Alemanha.
2. Quando um Utilizador usa as funcionalidades de IA, os dados desse pedido são tratados pela OpenAI, que pode tratá-los nos EUA. Essa transferência faz-se com as garantias do capítulo V do RGPD:
   • EU-U.S. Data Privacy Framework, quando aplicável; ou
   • cláusulas contratuais-tipo da Comissão Europeia.
3. Qualquer outra transferência para fora do EEE só ocorre com essas garantias e com o aviso da cláusula 5.ª.

Cláusula 7.ª — Pedidos de autoridades

Se receber um pedido de uma autoridade para aceder a Dados do Cliente, o Prestador verifica a sua legalidade, limita a resposta ao estritamente exigido e informa o Cliente antes de responder, salvo se a lei o proibir. Os pedidos de autoridades de países terceiros só são satisfeitos com fundamento no direito da União ou de Portugal.

Cláusula 8.ª — Assistência ao Cliente

O Prestador ajuda o Cliente, sem custos adicionais salvo em pedidos manifestamente excessivos:

1. a responder aos pedidos dos titulares (artigos 12.º a 22.º), através das funcionalidades de exportação, retificação e eliminação e, se necessário, por pedido escrito;
2. a cumprir os artigos 32.º a 36.º (segurança, notificação de violações, avaliações de impacto, consulta prévia), tendo em conta a natureza do tratamento e a informação de que dispõe.

Cláusula 9.ª — Violações de dados

O Prestador notifica o Cliente sem demora injustificada e, se possível, no prazo de 48 horas depois de ter conhecimento de uma violação de Dados do Cliente. A notificação inclui a informação do artigo 33.º, n.º 3, de que disponha, e é completada à medida que houver mais informação.

Cláusula 10.ª — Fim do tratamento

1. No fim do contrato, o Cliente pode exportar os Dados do Cliente durante 90 dias (devolução, nos termos do artigo 28.º, n.º 3, alínea g), do RGPD).
2. O Prestador avisa os administradores por email pelo menos 14 dias antes. Depois desse prazo, o Prestador elimina-os, destruindo a chave de cifra da Organização e os ficheiros. As cópias de segurança são eliminadas pela rotação de 14 dias.
3. Ficam ressalvados os dados que o direito da União ou de Portugal obrigue a conservar.
4. A pedido do Cliente, o Prestador confirma a eliminação por escrito.

Cláusula 11.ª — Demonstração do cumprimento e auditorias

1. O Prestador disponibiliza ao Cliente a informação necessária para demonstrar o cumprimento do artigo 28.º e mantém o registo das atividades de tratamento do artigo 30.º, n.º 2.
2. O Prestador aceita auditorias e inspeções razoáveis, pelo Cliente ou por auditor por ele mandatado, nas seguintes condições:
   • pré-aviso de 30 dias;
   • no máximo uma por ano, salvo violação de dados ou exigência de autoridade;
   • a cargo do Cliente;
   • com dever de confidencialidade.
3. O Prestador coopera com a autoridade de controlo (artigo 31.º do RGPD).

Cláusula 12.ª — Responsabilidade

1. A responsabilidade das partes perante os titulares dos dados rege-se pelo artigo 82.º do RGPD.
2. Entre as partes, aplicam-se as regras de responsabilidade dos Termos, com as ressalvas aí previstas.
3. Em caso de contradição entre este Acordo e os Termos quanto à proteção de dados, prevalece este Acordo.

Anexo I — Descrição do tratamento

• Titulares:
  • Utilizadores do Cliente;
  • representantes e técnicos do dono de obra, do empreiteiro, dos projetistas e de outras entidades;
  • trabalhadores e outras pessoas que apareçam em fotografias, registos, notas de voz ou documentos.
• Categorias de dados:
  • identificação e contacto (nome, função, entidade, email, telefone);
  • registos profissionais (visitas, ocorrências, não conformidades, autos, correspondência, decisões);
  • imagens (fotografias de obra, que podem mostrar pessoas e matrículas);
  • voz (notas de voz para transcrição);
  • documentos e desenhos.
• Categorias especiais: o Serviço não se destina a categorias especiais de dados (artigo 9.º) nem a dados de condenações penais (artigo 10.º). O Cliente não os deve registar, salvo se for estritamente necessário e houver fundamento legal (por exemplo, registo de um acidente de trabalho).
• Natureza e finalidade: armazenamento cifrado, sincronização entre dispositivos e utilizadores da Organização, conversão de ficheiros, funcionalidades de IA acionadas pelos Utilizadores, notificações por email, cópia de segurança, exportação, eliminação e suporte.
• Duração: a do contrato, mais o prazo da cláusula 10.ª.

Anexo II — Medidas técnicas e organizativas

1. Cifra em trânsito (HTTPS/TLS, HSTS) e em repouso (AES-256-GCM). Cada organização tem uma chave de dados, protegida por uma chave mestra guardada fora da base de dados.
2. Isolamento lógico entre organizações, verificado em cada pedido e por testes automáticos.
3. Controlo de acessos por papel (Administrador, Fiscal, Consulta, Dono de obra) e por obra.
4. Senhas com hash scrypt, requisitos mínimos, limites de tentativas e bloqueio temporário.
5. Sessões em cookie HttpOnly/Secure/SameSite=Strict, com expiração. Proteção CSRF e Content-Security-Policy restritiva.
6. Registo de auditoria das ações relevantes, com IP truncado.
7. Cópias de segurança cifradas diárias, com verificação de integridade, conservadas 14 dias.
8. Serviço executado com utilizador de sistema dedicado e isolamento systemd, conversões de ficheiros em processos com limites de memória e tempo, e atualizações de segurança.
9. Menor privilégio: a administração da plataforma vê apenas metadados (nome da organização, plano, utilização).
10. Medidas previstas: autenticação de dois fatores, cópia de segurança fora do servidor principal e plano de resposta a incidentes documentado.

Anexo III — Subcontratantes ulteriores autorizados

Os prestadores de pagamentos e de faturação (Stripe, Google Play, InvoiceXpress) não tratam Dados do Cliente; tratam apenas dados de faturação, de que o Prestador é responsável (Política de Privacidade, secção 5).