Contrato de Subcontratação de Dados (DPA)
1. Partes contratantes
A(o) LLC "DataPrime", sociedade registada na Ucrânia, é a sociedade que explora o serviço Lingverra. «Lingverra» é a designação comercial sob a qual a sociedade presta o serviço e não constitui uma pessoa coletiva autónoma; neste documento, «Lingverra» ou «nós» designa LLC "DataPrime".
O presente Contrato de Subcontratação («DPA») é celebrado entre:
Subcontratante:
LLC "DataPrime"
vul. Yakubenkivska, bud. 1, kab. 6
04107 Kyiv
Ucrânia
Número de registo: 46215708
Correio eletrónico: support@lingverra.com
(adiante o «Subcontratante»)
Responsável pelo tratamento:
O tradutor ajuramentado/habilitado ou a empresa de tradução que aceita as
Condições Gerais e registou uma conta de
utilizador na plataforma Lingverra (adiante o «Cliente» ou «Responsável»). O
serviço destina-se exclusivamente a empresas (B2B); não se destina a consumidores.
O presente DPA faz parte integrante das Condições Gerais e nelas se incorpora. Ao aceitar as Condições Gerais, o Responsável aceita igualmente o presente DPA. O DPA entra em vigor no momento em que o Responsável aceita as Condições Gerais.
2. Repartição de funções (responsável pelo tratamento / subcontratante)
Quanto aos dados pessoais contidos nos documentos carregados pelo Cliente (os clientes do Cliente, pessoas mencionadas em registos, terceiros), o Cliente é o responsável pelo tratamento na aceção do art. 4.º, n.º 7, do RGPD e a Lingverra é o subcontratante na aceção do art. 4.º, n.º 8, do RGPD. O Cliente determina as finalidades e os meios do tratamento destes dados; a Lingverra trata-os exclusivamente para prestar o serviço de tradução por conta dele.
2.1 Instrução documentada mediante o carregamento de um documento
A utilização da plataforma é voluntária e é sempre iniciada pelo Cliente. Antes de qualquer documento ser tratado, o Cliente tem de se registar, aceitar as Condições Gerais, incluindo o presente DPA, e dar o seu consentimento na plataforma; só então é tornada acessível a área de trabalho do serviço. Cada carregamento de um documento para tradução constitui uma instrução autónoma, consciente e documentada do Responsável ao Subcontratante na aceção do art. 28.º, n.º 3, alínea a), do RGPD, dada com conhecimento prévio dos meios técnicos descritos na secção 2.2 e na lista de subcontratantes. O Subcontratante não trata qualquer conteúdo documental enquanto o Responsável não emitir tal instrução através do carregamento do documento.
2.2 O Subcontratante determina apenas os meios técnicos de execução
O Responsável determina a finalidade do tratamento (se, porquê e qual o documento a traduzir) e mantém o controlo sobre o conteúdo e sobre os titulares dos dados em causa. O Subcontratante determina apenas os meios técnicos não essenciais de execução dessa instrução, a saber: o modelo de IA de tradução utilizado («Claude») e o canal e a região na UE através dos quais é acedido (ver a lista de subcontratantes), o período de conservação findo o qual o conteúdo é automaticamente eliminado, o esquema de cifragem (uma chave distinta para cada documento) e a infraestrutura de alojamento. Em conformidade com a distinção consolidada entre meios essenciais e não essenciais (ver as Orientações 07/2020 do CEPD sobre os conceitos de responsável pelo tratamento e de subcontratante), a determinação de tais meios técnicos por um subcontratante não transforma o subcontratante em responsável pelo tratamento.
O serviço é prestado através de uma configuração técnica única e normalizada; o Subcontratante não oferece, e o Cliente não seleciona, meios alternativos (modelo, região, conservação ou cifragem). Ao aceitar o presente DPA e ao carregar um documento, o Responsável instrui o Subcontratante a efetuar o tratamento utilizando precisamente estes meios técnicos. A ausência de escolha entre meios individuais reflete a natureza normalizada e instrumental do serviço e não confere ao Subcontratante qualquer poder de decisão sobre as finalidades do tratamento. A decisão de recorrer ou não aos meios técnicos oferecidos pelo Subcontratante cabe inteiramente ao Responsável: o Responsável decide livremente se utiliza ou não o conjunto de meios do Subcontratante para tratar um dado documento e pode, a qualquer momento, abster-se de utilizar o serviço. Os meios são assim postos à disposição do Responsável, e é decisão voluntária do próprio Responsável aplicá-los ao tratamento; é esta escolha voluntária do Responsável, e não qualquer determinação unilateral do Subcontratante, que rege a realização do tratamento.
2.3 Ausência de utilização própria do conteúdo
O Subcontratante trata o conteúdo dos documentos exclusivamente para executar a tradução instruída pelo Responsável. O Subcontratante não utiliza o conteúdo dos documentos para quaisquer finalidades próprias, não o analisa nem define perfis a partir dele, não o divulga a terceiros que não sejam os subcontratantes necessários à prestação do serviço (secção 6), e o conteúdo não é utilizado para treinar, afinar ou melhorar qualquer modelo de inteligência artificial. O Subcontratante não retira do conteúdo qualquer benefício próprio para além da prestação do serviço contratado.
O Cliente exerce a sua profissão sob a sua própria responsabilidade e decide sozinho se, e com que fundamento jurídico, carrega o documento de um cliente na plataforma para tradução. A Lingverra não verifica, nem responde por, se o Cliente está habilitado a transmitir os respetivos dados; essa responsabilidade cabe exclusivamente ao Cliente enquanto responsável pelo tratamento (ver a secção 13).
A Lingverra atua como subcontratante apenas enquanto detiver o conteúdo em causa. Depois de o conteúdo ser eliminado nos termos da secção 11 (72 horas após a entrega, por defeito), ou antes, se o Responsável o eliminar na sua conta, a Lingverra deixa de tratar esse conteúdo e cessa de atuar como subcontratante quanto a ele.
3. Objeto e finalidade do tratamento
A Lingverra explora uma plataforma de software como serviço baseada na nuvem para a tradução assistida por IA de documentos oficiais e outros, destinada a tradutores ajuramentados ou habilitados. O Subcontratante trata dados pessoais por conta do Responsável apenas na medida necessária à prestação deste serviço.
Orçamentos (estimativas de custo). O mesmo se aplica quando o Responsável carrega um documento para que o respetivo volume seja estimado e seja produzida uma proposta com preço no papel timbrado do próprio Responsável. Uma diferença é material e fica aqui registada para evitar dúvidas: nenhum modelo de inteligência artificial intervém nesta função e nenhum dado é transferido para qualquer fornecedor de modelos. O texto é lido do documento por software de reconhecimento de texto executado na infraestrutura do próprio Subcontratante dentro da UE/EEE. O ficheiro carregado é eliminado logo que a estimativa tenha sido produzida; o PDF gerado é cifrado em repouso e eliminado ao fim de 72 horas (secção 11).
Faturas ao cliente do próprio Responsável. O mesmo se aplica quando o Responsável gera uma fatura a partir de um orçamento guardado. O nome e a morada do cliente do Responsável, introduzidos por este para esse efeito, são tratados pelo Subcontratante unicamente para os reproduzir na fatura; a morada é armazenada cifrada. A fatura é emitida no papel timbrado do Responsável e em nome deste: o Subcontratante não é o seu emitente nem parte nela, não atribui números de fatura e não transmite a fatura ao destinatário. O PDF gerado e a morada do cliente são eliminados ao fim de 72 horas; antes disso, o Responsável pode eliminar o orçamento ou a fatura a qualquer momento na sua conta; conservar a fatura durante os prazos legais aplicáveis ao Responsável é obrigação própria deste.
Fora do presente Contrato: pedidos de potenciais clientes. O Subcontratante explora separadamente um formulário no seu sítio web público através do qual uma pessoa que procura uma tradução certificada pode pedir para ser posta em contacto com um tradutor. Quanto a esses dados de contacto, o Subcontratante atua como responsável autónomo pelo tratamento com base no consentimento dessa pessoa, e não como subcontratante do Responsável, não lhes sendo aplicável o presente Contrato. Quando o Responsável aceita tal pedido, o Responsável torna-se igualmente responsável autónomo pelo tratamento dos dados de contacto recebidos e decide sozinho o que fazer com eles; o Subcontratante não dá instruções a esse respeito e não recebe qualquer participação no trabalho que daí resulte. Este tratamento é descrito na Política de Privacidade, secção 3.5.
O Subcontratante trata dados pessoais apenas mediante instruções documentadas do Responsável, salvo se for obrigado a tratá-los pelo direito da União ou de um Estado-Membro. Nesse caso, o Subcontratante informa o Responsável desses requisitos legais antes do tratamento, salvo se tal direito proibir essa informação por motivos importantes de interesse público (art. 28.º, n.º 3, alínea a), do RGPD).
4. Natureza, âmbito e categorias de dados
4.1 Natureza e finalidade do tratamento
O Subcontratante trata dados pessoais por conta do Responsável para as seguintes finalidades:
- armazenamento e gestão dos documentos e ficheiros carregados pelo Responsável;
- tradução assistida por IA do conteúdo dos documentos. Para prestar o serviço de tradução, o conteúdo dos documentos é tratado pelo modelo de linguagem «Claude» através de um canal na UE que consta da lista de subcontratantes; o fornecedor desse canal atua como subcontratante ulterior nos termos da secção 6. O tratamento permanece dentro do EEE, qualquer que seja o canal da lista que processe o pedido. Este tratamento é parte integrante e necessária do serviço; sem ele não pode ser prestada qualquer tradução. Ao carregar um documento para tradução, o Responsável emite uma instrução documentada (art. 28.º, n.º 3, alínea a), do RGPD) que abrange esta subcontratação. O conteúdo dos documentos permanece dentro do EEE, é tratado apenas temporariamente para a tradução e não é utilizado para treinar quaisquer modelos;
- disponibilização do documento traduzido e de um editor de comparação/pós-edição em duas colunas para revisão pelo Responsável;
- armazenamento temporário do documento de origem e da tradução durante o período de conservação (ver a secção 11), para que o Responsável possa reabrir o resultado;
- manutenção de registos (registos de auditoria) dos eventos relevantes para a segurança na conta do Responsável;
- estimativa do volume de um documento e geração de um orçamento com preço no papel timbrado do Responsável. O texto é lido do documento por software de reconhecimento de texto na infraestrutura do próprio Subcontratante dentro da UE/EEE; não intervém qualquer modelo de IA nem qualquer fornecedor de modelos, ao contrário da função de tradução acima;
- geração de uma fatura a partir de um orçamento guardado, no papel timbrado do Responsável e em nome deste, utilizando o nome e a morada do cliente do Responsável introduzidos por este para esse efeito; o Subcontratante reproduz esses dados na fatura e nada mais faz com eles.
4.2 Categorias de dados pessoais
Os dados contidos nos documentos carregados são determinados pelo Responsável e podem, pela sua natureza, compreender categorias especiais de dados pessoais nos termos do art. 9.º do RGPD (p. ex., dados de saúde em atestados médicos, dados que revelem convicções religiosas ou filosóficas, dados biométricos em documentos de identificação), bem como dados pessoais relacionados com condenações penais e infrações nos termos do art. 10.º do RGPD (p. ex., certificados de registo criminal). A Lingverra não tem conhecimento do conteúdo concreto dos documentos e não faz qualquer apreciação do seu conteúdo.
| Categoria | Elementos de dados |
|---|---|
| Dados documentais (conteúdo) | Ficheiros carregados (PDF, imagens), texto extraído e traduzido por IA, metadados do documento. Podem conter categorias especiais de dados (art. 9.º do RGPD): dados de saúde, dados religiosos/filosóficos, dados biométricos de documentos de identificação; e dados relacionados com condenações penais e infrações (art. 10.º do RGPD): p. ex., certificados de registo criminal. |
| Dados de identificação dos titulares dos dados | Nomes, datas de nascimento, moradas, números de registo e de processo, assinaturas mencionados nos documentos |
| Dados de conta e de perfil do Cliente | Endereço de correio eletrónico, nome, dados profissionais (nomeação, línguas, nota de certificação) |
| Dados técnicos | Endereços IP, agente de utilizador, identificadores de sessão, entradas do registo de auditoria |
| Dados de faturação | Número de páginas-padrão traduzidas, saldo, histórico de pagamentos |
Nota: os dados de conta, de perfil, técnicos e de faturação do próprio Cliente são tratados pela Lingverra como responsável pelo tratamento (execução de um contrato, art. 6.º, n.º 1, alínea b), do RGPD); a este respeito aplica-se a Política de Privacidade. O objeto do presente DPA são os dados de terceiros contidos nos documentos, relativamente aos quais o Cliente é o responsável pelo tratamento.
4.3 Categorias de titulares dos dados
- os clientes do Cliente (pessoas singulares);
- terceiros mencionados nos documentos (p. ex., pessoas indicadas em registos, signatários, pessoas emitentes);
- o próprio Cliente, na medida em que os seus documentos contenham dados pessoais.
4.4 Duração do tratamento
O tratamento ocorre durante a vigência da relação contratual. Além disso, o conteúdo do documento de origem e da tradução é automaticamente eliminado findo o período de conservação (ver a secção 11). Com a cessação do Contrato, os dados pessoais são eliminados ou anonimizados nos termos da secção 11.
5. Obrigações do Subcontratante
O Subcontratante compromete-se:
- a tratar dados pessoais apenas mediante instruções documentadas do Responsável;
- a assegurar que as pessoas autorizadas a tratar os dados assumiram um compromisso de confidencialidade ou estão sujeitas a adequadas obrigações legais de confidencialidade (art. 28.º, n.º 3, alínea b), do RGPD);
- a adotar medidas técnicas e organizativas adequadas nos termos do art. 32.º do RGPD (ver a secção 7);
- a respeitar as condições para recorrer a subcontratantes nos termos da secção 6;
- a assistir o Responsável, através de medidas técnicas e organizativas adequadas, no cumprimento das suas obrigações nos termos dos arts. 32.º a 36.º do RGPD;
- a eliminar ou devolver, à escolha do Responsável, todos os dados pessoais após o termo do tratamento (ver a secção 11);
- a disponibilizar ao Responsável todas as informações necessárias para demonstrar o cumprimento do art. 28.º do RGPD;
- a informar sem demora o Responsável se, no entender do Subcontratante, uma instrução violar o RGPD ou outras disposições de proteção de dados.
6. Subcontratantes
O Responsável concede pelo presente ao Subcontratante autorização geral por escrito para recorrer a subcontratantes. O Subcontratante informa com, pelo menos, 30 dias de antecedência, por escrito, de qualquer aditamento ou substituição prevista de um subcontratante. O Responsável pode opor-se no prazo de 30 dias a contar da informação. Se o Subcontratante não puder sanar a oposição, o Responsável tem o direito de fazer cessar o Contrato com pré-aviso de 30 dias, sem qualquer desvantagem.
A lista atual de subcontratantes — incluindo o fornecedor do canal de tradução por IA e o fornecedor de infraestrutura/alojamento — está publicamente disponível em /legal/subprocessors.
Ao recorrer a subcontratantes, o Subcontratante impõe-lhes, por contrato, obrigações equivalentes em matéria de proteção de dados (art. 28.º, n.º 4, do RGPD). O Subcontratante responde perante o Responsável pelo cumprimento das obrigações por parte do subcontratante ulterior.
7. Medidas técnicas e organizativas (MTO)
O Subcontratante adota as seguintes medidas técnicas e organizativas nos termos do art. 32.º do RGPD:
| Medida | Implementação |
|---|---|
| Cifragem em trânsito | TLS 1.2+ para cada transferência de dados; HTTPS imposto em todos os pontos de acesso |
| Cifragem em repouso | Uma chave AES-256-GCM distinta para cada documento e orçamento individual (e não apenas uma chave por utilizador), de modo que nenhuma chave abre mais do que o elemento a que pertence. A mesma chave abrange o ficheiro carregado, o texto traduzido guardado na base de dados e o PDF do orçamento; armazenamento cifrado das sessões; cópias de segurança cifradas |
| Apagamento criptográfico | Findo o período de conservação, e em caso de eliminação pelo Responsável, a chave desse documento é destruída na mesma transação que a eliminação. Qualquer cópia do texto cifrado fora do alcance da aplicação — uma cópia de segurança de curta duração, um instantâneo de alojamento, células flash retiradas de uso pelo disco — torna-se assim permanentemente indecifrável, tanto pelo Subcontratante como por qualquer outra pessoa. As chaves por documento são excluídas do despejo da base de dados: o despejo é conservado por mais tempo do que a cópia de segurança dos ficheiros, e uma chave que sobrevivesse ao documento que abre tornaria a medida meramente nominal |
| Gestão de chaves | A chave-mestra que envolve as chaves por utilizador (as quais, por sua vez, envolvem a chave de cada documento) é detida num serviço gerido de chaves dentro da UE (AWS KMS), e não no servidor da aplicação ou na base de dados; cada decifragem é uma chamada explícita ao serviço de chaves registada num trilho de auditoria (CloudTrail). O comprometimento da base de dados ou do disco não divulga, por si só, o conteúdo, e o acesso ao conteúdo não pode ocorrer sem deixar um registo |
| Sem acesso corrente (acesso apenas a título excecional, sempre registado) | O Subcontratante não tem necessidade funcional de ler o conteúdo dos documentos e não o faz no funcionamento normal; a decifragem está tecnicamente condicionada pelo serviço de chaves e organizativamente não é utilizada (o desenvolvimento nunca utiliza documentos de clientes). Os administradores não leem o conteúdo; com privilégios totais no servidor o acesso seria tecnicamente possível, mas decifrar um documento exige uma chamada ao serviço de chaves, que a regista no seu registo de auditoria; um programador não pode decifrar um documento sem deixar um registo de auditoria |
| Decifragem vinculada à sessão do titular | O acesso aos documentos está vinculado no código ao titular dos dados (cada rota de documento filtra pelo id de utilizador do titular); uma chave por utilizador é desbloqueada, no funcionamento normal, apenas dentro da sessão autenticada do titular. Cada desbloqueio de chave é registado com o titular dos dados e com o ator que o inicia. Qualquer desbloqueio iniciado por quem não é o titular (p. ex., pessoal) é assinalado como exceção e gera um alerta interno; o único acesso previsto por quem não é titular é uma exportação de dados pedida pelo próprio titular, que fica registada com a respetiva justificação. Isto torna demonstrável que, no curso normal, a chave é pedida pelo titular dos dados e não pelo pessoal |
| Pseudonimização / anonimização | Os dados pessoais são anonimizados com a eliminação da conta; o conteúdo dos documentos é automaticamente eliminado findo o período de conservação (permanece no histórico uma entrada datada, sem o documento nem qualquer parte do seu texto) |
| Controlo de acessos | Controlo de acessos baseado em funções (tradutor / administrador / contabilista); separação estrita de inquilinos ao nível do utilizador; princípio do mínimo privilégio |
| Autenticação | Hash das palavras-passe; autenticação de dois fatores (TOTP); tokens de dispositivo fidedigno; expiração da sessão |
| Proteção contra software malicioso | Análise antivírus dos ficheiros carregados; verificação do tipo e da assinatura do ficheiro antes do tratamento |
| Proteção CSRF | Token CSRF em todos os pedidos que alteram o estado |
| Política de segurança de conteúdos | Content-Security-Policy estrita sem unsafe-inline (script-src e style-src limitados a 'self' mais um nonce por pedido); sem scripts nem estilos em linha, mitigando cross-site scripting (XSS) e injeção no frontend |
| Registo | Registos de auditoria protegidos em modo WORM (os triggers da base de dados impedem a modificação e a eliminação); separação dos registos de acesso e de negócio |
| Cópias de segurança e recuperação | Cópias de segurança automáticas periódicas; armazenamento cifrado das cópias; procedimento de recuperação documentado |
| Resiliência | Funcionamento em servidor dedicado com limites de recursos por serviço; tratamento de erros e monitorização ao nível da aplicação |
| Gestão de vulnerabilidades | Atualizações de segurança periódicas do sistema operativo, das dependências e da aplicação |
| Pessoal e formação | Todas as pessoas com acesso a dados pessoais estão vinculadas à confidencialidade; os direitos de acesso são revistos periodicamente |
| Eliminação segura | Os dados pessoais são eliminados por anonimização ou sobrescrita segura; a conservação das cópias de segurança está alinhada com a política de eliminação |
| Separação de ambientes | Os ambientes de produção e de teste/desenvolvimento estão estritamente separados; não são usados dados pessoais reais em ambientes de teste |
| Resposta a incidentes | Procedimentos de deteção, escalamento e comunicação de violações de dados pessoais; notificação do Responsável sem demora injustificada após tomar conhecimento (art. 33.º, n.º 2, do RGPD) |
8. Direitos de auditoria e de inspeção
O Responsável tem o direito de verificar o cumprimento do presente DPA e do art. 28.º do RGPD através de auditorias, nas seguintes condições:
- Periodicidade: no máximo uma vez por ano civil, salvo se houver motivo justificado (p. ex., uma violação de dados ou uma investigação oficial);
- Pré-aviso: com, pelo menos, 30 dias de antecedência, por escrito, indicando o âmbito e a finalidade;
- Custos: a expensas do Responsável, salvo se a auditoria revelar um incumprimento material do Subcontratante;
- Confidencialidade: o auditor deve assinar um acordo de confidencialidade antes de aceder a sistemas ou dados;
- Prova: o Subcontratante pode cumprir a obrigação de auditoria fornecendo certificados ou relatórios de auditoria atuais (p. ex., ao abrigo de normas reconhecidas); uma auditoria no local continua a ser possível na medida em que preocupações concretas não sejam dissipadas pelos relatórios.
9. Direitos dos titulares dos dados
O Subcontratante assiste o Responsável, através de medidas técnicas adequadas, no cumprimento dos direitos dos titulares dos dados nos termos do capítulo III do RGPD (arts. 15.º a 22.º). O Responsável é responsável por responder aos pedidos dos titulares dos dados. Se um titular contactar o Subcontratante diretamente, este reencaminha o pedido para o Responsável sem demora injustificada.
10. Notificação de violações de dados
O Subcontratante notifica o Responsável de qualquer violação de dados pessoais sem demora injustificada após dela tomar conhecimento (art. 33.º, n.º 2, do RGPD) e, em todo o caso, no prazo de 24 horas. Este prazo fica deliberadamente aquém do prazo de 72 horas que impende sobre o Responsável perante a autoridade de controlo (art. 33.º, n.º 1): esse prazo corre desde o momento em que o Responsável toma conhecimento, pelo que uma notificação que chegasse à hora 72 não deixaria ao Responsável qualquer tempo para agir. Quando o quadro completo ainda não estiver estabelecido, o Subcontratante notifica com base nos factos disponíveis e complementa-os à medida que forem surgindo, em vez de atrasar a primeira notificação. A notificação contém, na medida em que seja do conhecimento do Subcontratante:
- a natureza da violação, incluindo as categorias e o número aproximado de titulares dos dados e de registos em causa;
- o nome e os contactos do ponto de contacto do Subcontratante em matéria de proteção de dados;
- as consequências prováveis da violação;
- as medidas adotadas ou propostas para a sanar.
A notificação à autoridade de controlo competente e a comunicação aos titulares dos dados nos termos dos arts. 33.º e 34.º do RGPD cabem ao Responsável.
11. Eliminação e devolução dos dados
O conteúdo do documento de origem e da tradução é armazenado apenas temporariamente e é automática e definitivamente eliminado findo o período de conservação (72 horas após a entrega, por defeito), ou antes, se o Responsável o eliminar na sua conta; no histórico fica apenas uma entrada datada que regista o facto de um documento ter sido tratado — sem o documento nem qualquer parte do seu texto. O período de conservação exato está indicado na Política de Privacidade. Uma vez eliminado o conteúdo, o Subcontratante deixa de o deter, controlar ou ter acesso a ele, e o tratamento desse conteúdo pelo Subcontratante termina; as obrigações do Subcontratante ao abrigo do presente DPA quanto ao conteúdo eliminado ficam assim cumpridas (art. 28.º, n.º 3, alínea g), do RGPD).
A eliminação é criptográfica além de física: os bytes são sobrescritos onde a aplicação os consegue alcançar, e a chave pertencente a esse documento é destruída. A afirmação acima — de que o Subcontratante já não tem acesso ao conteúdo eliminado — não assenta, por conseguinte, na completude da sobrescrita ao longo de cópias de segurança, instantâneos e hardware de armazenamento, mas na inexistência de qualquer chave com a qual o conteúdo pudesse ser lido.
Orçamentos. O documento carregado para uma estimativa é eliminado logo que a estimativa tenha sido produzida — não é conservado durante a janela de 72 horas aplicável às traduções, porque nada no fluxo de trabalho o exige depois disso. O PDF do orçamento gerado é cifrado em repouso e eliminado ao fim de 72 horas, ficando o registo comercial do próprio Responsável sobre a proposta (número, destinatário, totais), que já não contém o documento do cliente. O Responsável pode eliminar um orçamento a qualquer momento antes disso.
Com a cessação do Contrato aplica-se o seguinte:
- Eliminação (regra): os dados pessoais são anonimizados ou eliminados de forma segura. Antes da cessação, o Responsável pode utilizar as funções de exportação em autosserviço da plataforma para recuperar os seus dados;
- Devolução (a pedido): devolução formal de todos os dados pessoais num formato legível por máquina, mediante pedido escrito apresentado antes da cessação.
O Subcontratante conserva um registo mínimo da eliminação (data, facto desencadeador, confirmações) como prova de uma eliminação conforme ao RGPD nos termos do art. 28.º, n.º 3, alínea g), do RGPD; este registo não contém dados pessoais dos titulares de dados do Responsável.
12. Transferências para países terceiros
O tratamento do conteúdo dos documentos (os dados que o Subcontratante trata por conta do Responsável, incluindo a fase de tradução assistida por IA) ocorre em servidores situados na UE/EEE e não é transferido para qualquer país terceiro. Está cifrado em repouso com uma chave detida dentro da UE, pelo que a administração da infraestrutura não divulga, em si mesma, o conteúdo. A tradução por IA é executada através de um canal na UE que consta de /legal/subprocessors; o pedido é dirigido a uma rota do modelo dentro da UE/EEE e não é encaminhado para os Estados Unidos. A escolha do canal e da rota é validada em modo fail-closed: uma região, ponto de acesso ou rota fora da UE é rejeitado em vez de servido.
- Prestadores de serviços de pagamento: transferência apenas de dados de pagamento (nunca do conteúdo dos documentos). Os pagamentos com cartão são processados pelo adquirente ucraniano ПУМБ (hutko), responsável autónomo pelo tratamento; apenas o montante e uma referência de encomenda são transmitidos, com fundamento no art. 49.º, n.º 1, alínea b), do RGPD.
O Subcontratante está estabelecido na Ucrânia, país terceiro sem decisão de adequação da UE. Tal não afeta o conteúdo dos documentos, que permanece cifrado na UE conforme acima descrito. Os dados de conta e de faturação do Cliente são acessíveis a partir da Ucrânia ao próprio pessoal do Subcontratante, segundo o princípio da necessidade de conhecer. O conteúdo dos documentos não é acessível a partir da Ucrânia de forma habitual. O acesso a ele só é possível num caso excecional e por um motivo documentado (em particular, a pedido do próprio Cliente, p. ex., um pedido de apoio relativo a um documento concreto); cada acesso deste tipo exige a utilização da chave de cifragem detida na UE e é registado pelo serviço de gestão de chaves (AWS CloudTrail). Os dados de faturação trata-os o Subcontratante para efeitos de contabilidade legal com fundamento no art. 6.º, n.º 1, alíneas b) e f), do RGPD (execução do contrato e interesse legítimo no cumprimento das suas obrigações contabilísticas legais). A escrituração legal do Subcontratante é realizada pela sua gerência ou por um prestador externo de serviços de contabilidade estabelecido na Ucrânia. Caso se recorra a esse prestador, são-lhe fornecidos registos contabilísticos expurgados de identificadores diretos — um código de referência não descritivo em vez do nome do cliente, sem nome, endereço de correio eletrónico ou morada — e ele não detém nem a base de dados do Subcontratante nem a chave a partir da qual os códigos são derivados. Por conseguinte, não recebe quaisquer dados pessoais, não é subcontratante na aceção do art. 28.º do RGPD, e desta solução não resulta qualquer transferência de dados pessoais. O acesso aos dados de faturação subjacentes nos sistemas do Subcontratante é apenas de leitura e fica registado. De resto, o Subcontratante não transfere dados pessoais para países terceiros sem assegurar um nível adequado de proteção nos termos do capítulo V do RGPD.
13. Obrigações do Responsável
O Responsável garante e compromete-se a que:
- dispõe de fundamento jurídico válido nos termos do art. 6.º do RGPD para todos os dados pessoais carregados na plataforma;
- na medida em que sejam tratadas categorias especiais de dados pessoais nos termos do art. 9.º do RGPD (em especial dados de saúde, dados religiosos/filosóficos, dados biométricos de documentos de identificação), dispõe de fundamento jurídico válido nos termos do art. 9.º, n.º 2, do RGPD e implementou as garantias adequadas;
- na medida em que sejam tratados dados pessoais relacionados com condenações penais e infrações nos termos do art. 10.º do RGPD (em especial certificados de registo criminal), tal tratamento é efetuado sob o controlo de uma autoridade pública ou é autorizado pelo direito da União ou de um Estado-Membro que preveja garantias adequadas;
- é o único responsável pela licitude das instruções de tratamento dadas ao Subcontratante;
- cumpriu os seus deveres de informação perante os seus próprios titulares de dados nos termos dos arts. 13.º e 14.º do RGPD;
- utiliza a plataforma apenas para fins lícitos e em conformidade com a legislação de proteção de dados aplicável;
- é o único responsável pela gestão dos acessos na sua conta;
- informa sem demora o Subcontratante de alterações que afetem o cumprimento do presente DPA.
14. Responsabilidade
Cada parte responde pelas violações da legislação de proteção de dados aplicável que lhe sejam imputáveis. Se o Subcontratante for responsabilizado por uma violação assente numa instrução ou na conduta do Responsável, o Responsável indemnizá-lo-á na medida em que o Subcontratante não tenha culpa.
A responsabilidade contratual do Subcontratante ao abrigo do presente DPA está sujeita à limitação de responsabilidade acordada nas Condições Gerais. A responsabilidade legal do Subcontratante perante os titulares dos dados nos termos do art. 82.º do RGPD não é afetada. As coimas nos termos do art. 83.º do RGPD são suportadas pela parte à qual sejam aplicadas pela autoridade de controlo; não podem ser transferidas por contrato.
15. Lei aplicável e foro
O presente DPA rege-se pela lei do país em que o subcontratante está registado (Ucrânia). Os tribunais desse país são competentes para os litígios emergentes do presente DPA, salvo se disposições imperativas do lugar do Responsável dispuserem de outro modo. Esta cláusula de competência não prejudica o direito dos titulares dos dados de intentarem ações perante os tribunais referidos no art. 79.º, n.º 2, do RGPD.
Direito nacional de proteção de dados do Subcontratante. Para além do RGPD, a Lei ucraniana da Proteção de Dados Pessoais (n.º 2297-VI) aplica-se às atividades de tratamento do Subcontratante na Ucrânia.
16. Contacto
LLC "DataPrime"vul. Yakubenkivska, bud. 1, kab. 6
04107 Kyiv
Ucrânia
Correio eletrónico: support@lingverra.com
EN · CS · DE · ES · FR · HU · IT · NL · PL · PT · RO · SK · UK
Esta tradução é disponibilizada apenas para facilitar a leitura. Em caso de divergência, prevalece a versão em EN: EN
Version: v1.2 · As of: 2026-10-15 · PT