Acordo de subcontratação
Última atualização: 4 de novembro de 2026 · O Hevia é um produto da evioe studio.
Esta versão foi verificada face à arquitetura técnica real do Hevia. A revisão por um advogado ainda está pendente.
1. Partes e aplicação
Este acordo regula o tratamento de dados pessoais por evioe · Web & IT Studio, titular Mahsum Kavak, Schwarzwaldstr. 61, 79539 Lörrach, Alemanha (“subcontratante”), por conta do cliente (“responsável pelo tratamento”), nos termos do art. 28 RGPD. Faz parte integrante dos termos e condições e aplica-se a partir da sua aceitação na inscrição. Mediante pedido para hey@evioe.de, enviamos uma versão assinada.
2. Objeto, natureza e finalidade
| Objeto | Funcionamento do chat de IA Hevia no site do responsável pelo tratamento e do Dashboard associado |
|---|---|
| Natureza do tratamento | Recolha, armazenamento, consulta, transmissão ao modelo de IA para formular a resposta, apresentação no Dashboard, exportação, eliminação |
| Finalidade | Responder às perguntas dos visitantes, receber e encaminhar pedidos, estatísticas para o responsável pelo tratamento |
| Titulares dos dados | Visitantes do site do responsável pelo tratamento que utilizam o chat; colaboradores do responsável pelo tratamento com acesso ao Dashboard, na medida em que surjam nos conteúdos |
| Tipos de dados | Mensagens do chat e respostas com data, hora e idioma; endereço da página; dados de formulários (p. ex. nome, e-mail, telefone, data pretendida, assunto); cliques em links de reserva; entradas de conhecimento, na medida em que digam respeito a pessoas |
| Categorias especiais | Não previstas; o responsável pelo tratamento não as solicita e, antes do chat, pede-se aos visitantes que não as introduzam |
| Duração | Vigência do contrato principal e, depois, até que os dados sejam eliminados nos termos do ponto 9 |
3. Instruções
Tratamos os dados apenas mediante instruções documentadas do responsável pelo tratamento, incluindo no que diz respeito a transferências para países terceiros, salvo se formos obrigados a fazê-lo por lei; nesse caso, comunicamo-lo previamente, na medida em que a lei o permita. Constituem instruções as definições no Dashboard (por exemplo, prazo de conservação, pausa, eliminação) e as instruções em forma de texto. Se considerarmos que uma instrução é ilícita, avisamos sem demora.
O responsável pelo tratamento instrui-nos a elaborar, a partir dos dados tratados por sua conta, indicadores anonimizados e agregados, na medida em que tal seja necessário para a estatística anónima prevista nos termos e condições. A anonimização é efetuada de forma a que a ligação a uma pessoa não possa ser restabelecida. Os indicadores assim obtidos não são dados pessoais e não estão sujeitos às obrigações de eliminação e devolução deste contrato.
4. Obrigações do subcontratante
- Todas as pessoas com acesso aos dados estão obrigadas à confidencialidade.
- Adotamos as medidas previstas no art. 32 RGPD descritas no anexo 1 e adaptamo-las ao estado da técnica, sem reduzir o nível de proteção.
- Não utilizamos os dados para fins próprios nem treinamos modelos de IA com eles.
- Apoiamos o responsável pelo tratamento nas avaliações de impacto sobre a proteção de dados e nas consultas prévias (arts. 35 e 36 RGPD).
5. Subcontratantes ulteriores
O responsável pelo tratamento autoriza o recurso aos subcontratantes ulteriores indicados no anexo 2. Anunciamos subcontratantes ulteriores novos ou substituídos com pelo menos 30 dias de antecedência, por e-mail ou no Dashboard. Dentro deste prazo, o responsável pelo tratamento pode opor-se por motivo importante de proteção de dados; se não conseguirmos resolver a oposição, pode rescindir o contrato com efeito na data em que a alteração produz efeitos. Vinculamos contratualmente os subcontratantes ulteriores a um nível de proteção equivalente.
6. Transferências para países terceiros
A base de dados e as cópias de segurança encontram-se em Frankfurt. Alguns subcontratantes ulteriores são empresas dos EUA ou tratam parte dos dados nos EUA (anexo 2). O fundamento é a decisão de adequação relativa ao Quadro de Privacidade de Dados UE-EUA (EU-US Data Privacy Framework), quando o fornecedor está certificado, e, adicionalmente, as cláusulas contratuais-tipo da UE (arts. 45 e 46 RGPD).
7. Direitos dos titulares dos dados
Apoiamos o responsável pelo tratamento na resposta a pedidos nos termos dos arts. 15 a 22 RGPD. O Dashboard permite consultar, exportar e eliminar conversas e pedidos. Se os titulares dos dados se dirigirem diretamente a nós, encaminhamos o pedido ao responsável pelo tratamento sem demora.
8. Violações de dados pessoais
Notificamos o responsável pelo tratamento de qualquer violação de dados pessoais sem demora injustificada, se possível no prazo de 48 horas após dela termos conhecimento, com as informações previstas no art. 33, n.º 3, RGPD, na medida em que estejam disponíveis, e apoiamo-lo no cumprimento das suas obrigações de notificação e comunicação.
9. Eliminação e devolução
O responsável pelo tratamento pode exportar os seus dados a qualquer momento. Após o fim do contrato, eliminamos todos os dados decorridos 30 dias, ou de imediato se o responsável pelo tratamento eliminar o seu negócio no Dashboard. As cópias de segurança cifradas são substituídas ao fim de 30 dias; até lá, os dados eliminados não são recuperados a partir delas, exceto para a recuperação após uma falha. As obrigações legais de conservação não são afetadas.
10. Comprovação e auditorias
Mediante pedido, disponibilizamos ao responsável pelo tratamento todas as informações necessárias para demonstrar o cumprimento das obrigações do art. 28 RGPD. As auditorias no local são possíveis mediante aviso com a devida antecedência, durante o horário comercial habitual e sem perturbar a atividade; prioritariamente, bastam informações por escrito e as provas fornecidas pelos subcontratantes ulteriores.
11. Responsabilidade e disposições finais
A responsabilidade rege-se pelo art. 82 RGPD; quanto ao resto, aplicam-se os termos e condições. Em caso de contradição, este acordo prevalece sobre os termos e condições no que diz respeito à proteção de dados pessoais. Aplica-se o direito alemão.
Anexo 1: Medidas técnicas e organizativas (art. 32 RGPD)
| Área | Medida |
|---|---|
| Cifragem | Transmissão cifrada (TLS); dados armazenados e cópias de segurança cifrados; a chave das cópias de segurança é guardada separadamente do alojamento |
| Acesso aos sistemas | Dashboard apenas após início de sessão; comprimento mínimo das senhas, guardadas apenas de forma cifrada (hash); as sessões expiram e terminam com a alteração da senha; limitação das tentativas de início de sessão |
| Acesso aos dados | Funções por negócio (proprietário, membro); exportação, colaboradores e eliminação apenas para proprietários; acesso do operador apenas para suporte e correção de erros |
| Separação | Proteção de acesso entre os negócios: os dados de um negócio não são acessíveis a outros nem utilizados para outros; verificado de forma automatizada |
| Minimização de dados | Sem armazenamento do endereço IP ou do identificador do navegador na conversa; endereços IP utilizados para a proteção contra abusos apenas como valor cifrado e irreversível, eliminado após 2 dias; logs sem texto das conversas, encurtados e com dados de contacto ocultados |
| Entrada e transmissão de dados | Ao serviço de IA só são enviados a pergunta, as últimas mensagens da conversa e as entradas relevantes, sem dados de formulários, endereços IP nem endereços de páginas; tratamento de IA na UE e em Estados da EFTA, sem uso dos dados para treinar modelos |
| Disponibilidade | Cópia de segurança cifrada diária, verificada regularmente através de recuperações de teste; conservação durante 30 dias; funcionamento limitado sem IA em caso de falha |
| Resiliência | Limites diários de respostas de IA por negócio e limitação dos pedidos por visitante; o chat público pode ser pausado por negócio |
| Eliminação | Prazo configurável para conversas e pedidos (30 a 730 dias ou manual), aplicado automaticamente; eliminação de conversas individuais e do negócio com todos os dados |
| Verificação | Testes automatizados das medidas de proteção, dos processos de proteção de dados e das cópias de segurança antes de cada publicação; verificação do sistema em produção depois |
| Organização | Todas as pessoas com acesso estão obrigadas à confidencialidade; a autenticação de dois fatores para as contas de administração dos fornecedores será configurada antes do lançamento para clientes |
A separação dos negócios é verificada de forma automatizada. Mais informações sobre as medidas em Segurança.
Anexo 2: Subcontratantes ulteriores
A lista atualizada, com sede, finalidade, local e base contratual, está publicada em Subcontratantes ulteriores. Faz parte integrante deste acordo.
Esta tradução é disponibilizada para sua conveniência. Em caso de divergência entre as versões, prevalece a versão alemã. Não substitui uma análise jurídica para outros países.