Condições de Subcontratação

1.Partes e enquadramento

Estas condições regulam o tratamento de dados pessoais feito pela Wemdi por conta do cliente, nos termos do artigo 28.º do Regulamento (UE) 2016/679 (RGPD). Fazem parte integrante dos Termos e Condições e valem como contrato escrito entre as partes, sem necessidade de assinatura separada — sendo, no entanto, assinadas em documento próprio sempre que o cliente o solicite.

• Responsável pelo tratamento: o cliente — o negócio que usa a Wemdi para atender e marcar os seus próprios clientes.
• Subcontratante: Raphael Armendro, pessoa singular, empresário em nome individual, que explora o serviço sob a marca EMDI; NIF [NIF a preencher]; morada [Morada a preencher]; contacto [Endereço de e-mail a preencher].

2.Objeto e duração

O objeto é o tratamento de dados pessoais necessário à prestação do serviço Wemdi: receber e enviar mensagens de WhatsApp em nome do cliente, registar contactos, marcar e gerir a agenda, enviar lembretes e, nos planos que a incluam, gerar respostas assistidas por inteligência artificial.

O tratamento dura enquanto durar o contrato de prestação de serviço e termina com ele, sem prejuízo do disposto na cláusula sobre devolução e apagamento.

3.Natureza e finalidade do tratamento

As operações de tratamento realizadas são: recolha, registo, organização, conservação, consulta, utilização, transmissão a destinatários necessários à prestação do serviço, apagamento e destruição.

A finalidade é exclusivamente a prestação do serviço ao cliente. Os dados tratados por conta do cliente não são usados para finalidades próprias da Wemdi: não são vendidos, não são cedidos para publicidade e não são usados para treinar modelos de inteligência artificial.

4.Tipos de dados e categorias de titulares

• Categorias de titulares
  Clientes finais e potenciais clientes do negócio; utilizadores da conta (o cliente e as pessoas da sua equipa que ele convidar).
• Tipos de dados dos clientes finais
  Nome, número de telefone, e-mail quando fornecido, conteúdo das conversas de WhatsApp, marcações e histórico de marcações, notas internas escritas pela equipa do cliente, e registo dos lembretes e mensagens enviados.
• Tipos de dados dos utilizadores da conta
  Nome, e-mail, palavra-passe cifrada, função atribuída, preferências de interface e registos de acesso.
• Categorias especiais de dadosNão previstas
  O serviço não foi concebido para tratar dados de saúde ou outras categorias especiais do artigo 9.º do RGPD. Se o cliente, pela natureza da sua atividade, os introduzir — por exemplo, numa nota de consulta —, cabe-lhe a ele assegurar o fundamento de licitude e as medidas adicionais que a lei exija.

5.Instruções do responsável

A Wemdi trata os dados pessoais apenas de acordo com as instruções documentadas do cliente. Constituem instruções documentadas: estas condições, os Termos e Condições, as configurações que o cliente faz na aplicação e os pedidos que dirija por escrito ao contacto indicado.

Se uma instrução do cliente for, no nosso entender, violadora do RGPD ou de outra disposição de proteção de dados, informamo-lo de imediato e podemos suspender a sua execução até esclarecimento.

Se formos obrigados por direito da União ou de um Estado-Membro a tratar dados fora das instruções do cliente, informamo-lo dessa exigência legal antes do tratamento, salvo se a lei o proibir por motivos de interesse público.

6.Confidencialidade

Quem tem acesso aos dados pessoais tratados por conta do cliente está vinculado a dever de confidencialidade, por contrato ou por obrigação legal, que se mantém depois de terminada a relação. O acesso é limitado às pessoas que dele precisam para prestar o serviço, e apenas na medida necessária. Hoje, do lado do subcontratante, esse universo é a pessoa singular identificada na cláusula 1 e quem ela venha a contratar sob idêntico dever.

7.Medidas de segurança

Nos termos do artigo 32.º do RGPD, aplicamos as seguintes medidas técnicas e organizativas:

• Cifra dos dados em trânsito (HTTPS) entre o navegador, a aplicação e os fornecedores.
• Palavras-passe guardadas cifradas e credenciais de serviços externos guardadas cifradas, nunca em texto legível.
• Controlo de acessos por função, com isolamento entre contas: os dados de um cliente não são acessíveis a outro.
• Registo de acessos e de operações sensíveis, que permite reconstituir o que foi feito e por quem.
• Cópias de segurança da base de dados, ao abrigo do serviço de base de dados utilizado.
• Princípio da minimização: só é recolhido e conservado o que o serviço precisa para funcionar.

8.Subcontratantes ulteriores

O cliente autoriza, de forma geral, o recurso aos subcontratantes ulteriores indicados na Política de Privacidade, que à data desta versão são:

• Meta Platforms Ireland LimitedIrlanda
  WhatsApp Business Cloud API — transporte das mensagens.
• SupabaseEstados Unidos / União Europeia
  Base de dados e autenticação.
• Contabo GmbHAlemanha
  Alojamento aplicacional. Região contratada: [Região do alojamento a confirmar].
• CloudflareEstados Unidos / rede global
  Rede, domínio e proteção contra ataques.
• Fornecedor do modelo de inteligência artificialAnthropic ou OpenAI, conforme a chave configurada na conta
  Apenas quando o cliente usa as respostas assistidas por inteligência artificial, e apenas com o texto necessário para gerar a resposta.

Impomos a cada subcontratante ulterior, por contrato, obrigações de proteção de dados equivalentes às que aqui assumimos, e respondemos perante o cliente pelo incumprimento delas.

Alterações e direito de oposição

Comunicamos ao cliente, com pelo menos 30 dias de antecedência, qualquer intenção de acrescentar ou substituir um subcontratante ulterior. O cliente pode opor-se, fundamentadamente e por escrito, dentro desse prazo; não havendo solução que satisfaça ambas as partes, o cliente pode resolver o contrato sem penalização, com efeito à data da alteração.

Transferências internacionais

Alguns destes fornecedores podem tratar dados fora do Espaço Económico Europeu, designadamente nos Estados Unidos. Nesses casos, a transferência assenta nas cláusulas contratuais-tipo aprovadas pela Comissão Europeia, nos termos do artigo 46.º, n.º 2, alínea c) do RGPD, e nas medidas suplementares documentadas por cada fornecedor. Não declaramos que a totalidade dos dados permanece na União Europeia, porque não o podemos garantir hoje para todos os fornecedores.

9.Assistência ao responsável

Tendo em conta a natureza do tratamento e a informação de que dispomos, prestamos ao cliente a assistência que os artigos 28.º, 32.º a 36.º do RGPD exigem:

• Direitos dos titulares: a aplicação permite ao cliente consultar, corrigir, exportar e apagar os dados dos seus clientes finais por si próprio. Quando não for possível, damos apoio no prazo necessário para o cliente responder dentro do prazo legal de um mês.
• Pedidos que nos cheguem diretamente de um titular: não lhes respondemos em nome do cliente; encaminhamo-los para ele sem demora.
• Avaliações de impacto sobre a proteção de dados e consulta prévia à autoridade de controlo: fornecemos a informação técnica que tivermos sobre o serviço.
• Segurança: colaboramos na avaliação das medidas aplicadas sempre que o cliente o solicite.

10.Violações de dados pessoais

Se ocorrer uma violação de dados pessoais que afete dados tratados por conta do cliente, notificamo-lo sem demora injustificada após dela tomarmos conhecimento, para o contacto de faturação e de administração da conta.

A notificação inclui, na medida do que soubermos:

1. a descrição da natureza da violação e, quando possível, as categorias e o número aproximado de titulares e de registos afetados;
2. as consequências prováveis;
3. as medidas já tomadas ou propostas para lhe dar resposta e para mitigar os efeitos;
4. o ponto de contacto para obter mais informação.

A notificação à autoridade de controlo e, quando devida, a comunicação aos titulares competem ao cliente, enquanto responsável pelo tratamento; prestamos-lhe a informação e a colaboração necessárias para o fazer dentro do prazo de 72 horas previsto no artigo 33.º do RGPD.

11.Devolução ou apagamento no fim

Terminado o contrato, e conforme a escolha do cliente, devolvemos ou apagamos os dados pessoais tratados por sua conta.

• O cliente dispõe de 30 dias após o encerramento da conta para pedir a exportação dos contactos, das marcações e do histórico de conversas, que entregamos em formato estruturado e de uso corrente.
• Findo esse prazo, e não havendo pedido em contrário, os dados são apagados dos sistemas em produção. As cópias de segurança existentes são substituídas no ciclo normal de rotação e não são usadas para outro fim entretanto.
• Mantemos apenas o que a lei obrigue a conservar — designadamente documentos de faturação — e apenas para esse efeito.

12.Auditoria e demonstração de conformidade

Disponibilizamos ao cliente a informação necessária para demonstrar o cumprimento das obrigações do artigo 28.º do RGPD e permitimos auditorias, incluindo inspeções, conduzidas pelo cliente ou por auditor por ele mandatado.

• A auditoria é pedida por escrito com pelo menos 30 dias de antecedência e realiza-se em horário laboral, sem perturbar o funcionamento do serviço.
• Salvo na sequência de uma violação de dados ou de imposição de autoridade competente, admite-se uma auditoria por ano.
• O auditor fica vinculado a dever de confidencialidade e não pode aceder a dados de outros clientes.
• Respondemos por escrito a questionários de conformidade, que em regra dispensam a deslocação.
• Os custos da auditoria são do cliente, salvo se dela resultar incumprimento nosso relevante.

13.Contacto e alterações

Para qualquer assunto relativo a estas condições — pedido de assinatura em documento próprio, questionário de conformidade, exercício de direitos, comunicação de incidente — o contacto é [Endereço de e-mail a preencher].

Estas condições podem ser alteradas para acompanhar o serviço ou a lei. Alterações relevantes são comunicadas ao cliente com pelo menos 30 dias de antecedência, aplicando-se o direito de oposição previsto na cláusula sobre subcontratantes ulteriores sempre que a alteração respeite a esses.