Acordo de Tratamento de Dados

1. Partes e papéis

O Cliente é o responsável pelo tratamento dos dados pessoais que introduz na plataforma. Garcia Monteiro Paulino, Empresário em Nome Individual, NIF 328 629 570, Rua Eduardo Maria Rodrigues, 324, 2775-566 Carcavelos, que explora a Dra. Kiesse em Portugal sob a marca Liliptech («Liliptech»), é subcontratante: trata esses dados só por conta do Cliente e para lhe prestar o serviço. Os dados de conta e de facturação do próprio Cliente regem-se pela Política de Privacidade, onde a Liliptech é responsável.

2. Objecto do tratamento

• Natureza e finalidade: pesquisa jurídica, análise e redacção de documentos, transcrição e acta de reuniões, e as demais funções que o Cliente accionar.
• Titulares: clientes, trabalhadores, contrapartes, participantes em reuniões e outras pessoas referidas nos conteúdos do Cliente.
• Categorias de dados: as que o Cliente introduzir: identificação e contactos, dados contratuais e financeiros, voz e palavras em reuniões gravadas e, quando constem dos documentos, categorias especiais (artigo 9.º) e dados relativos a condenações e infracções (artigo 10.º).
• Duração: enquanto durar a prestação do serviço, seguida da eliminação prevista na secção 9.

3. Instruções do Cliente

A Liliptech trata os dados apenas segundo as instruções documentadas do Cliente, as que resultam da utilização da plataforma e deste acordo, incluindo quanto a transferências para países terceiros, e não os usa para fins próprios. Se uma instrução lhe parecer violar o RGPD, informa imediatamente o Cliente.

4. Os dados do Cliente não treinam modelos

Os conteúdos do Cliente não são usados pela Liliptech para treinar modelos de inteligência artificial, e os fornecedores de modelos que usamos estão contratualmente impedidos de o fazer.

5. Confidencialidade e segurança (artigo 32.º)

Quem, na Liliptech, tem acesso aos dados está sujeito a dever de confidencialidade. As medidas técnicas e organizativas estão no Anexo I e são revistas à medida que o serviço evolui, sem baixar o nível de protecção.

6. Subcontratantes ulteriores

O Cliente dá autorização geral aos subcontratantes do Anexo II. A Liliptech avisa com pelo menos 30 dias de antecedência qualquer acréscimo ou substituição; o Cliente pode opor-se com fundamento razoável e, não havendo acordo, fazer cessar o serviço afectado. A Liliptech impõe a cada subcontratante as mesmas obrigações de protecção deste acordo e continua plenamente responsável perante o Cliente.

7. Transferências para fora do Espaço Económico Europeu

Parte da infra-estrutura e dos subcontratantes situa-se nos Estados Unidos. Essas transferências assentam em decisões de adequação da Comissão Europeia (incluindo o Quadro de Privacidade de Dados UE-EUA, quando o fornecedor esteja certificado) ou em cláusulas contratuais-tipo da Comissão, com as medidas complementares que se justifiquem.

8. Assistência ao Cliente

• Direitos dos titulares: a Liliptech ajuda o Cliente a responder aos pedidos dos titulares (artigos 15.º a 22.º) e reencaminha-lhe sem demora os que receba directamente.
• Violação de dados: a Liliptech notifica o Cliente sem demora injustificada após tomar conhecimento de uma violação que afecte os seus dados, com a informação do artigo 33.º, n.º 3, de que disponha, para o Cliente cumprir o prazo de 72 horas perante a CNPD.
• Avaliações de impacto e autoridades: a Liliptech presta a informação razoavelmente necessária a avaliações de impacto (artigos 35.º e 36.º) e a pedidos da CNPD.

9. Fim do serviço e eliminação

No fim do serviço, ou a pedido do Cliente, a Liliptech elimina os dados do Cliente no prazo de 30 dias, salvo o que o direito da União ou de Portugal obrigue a conservar (por exemplo, registos contabilísticos e fiscais, que não contêm os conteúdos do Cliente). As cópias de segurança são eliminadas no ciclo normal de rotação do fornecedor de nuvem. Antes da eliminação, o Cliente pode exportar os seus documentos e actas a partir da plataforma.

10. Informação e auditoria

A Liliptech disponibiliza ao Cliente a informação necessária para demonstrar o cumprimento do artigo 28.º e responde a questionários de segurança razoáveis. Auditorias no local, quando justificadas, fazem-se com aviso prévio de 30 dias, em horário normal e sem acesso a dados de outros clientes.

11. Lei aplicável

Este acordo rege-se pelo RGPD e pela lei portuguesa, incluindo a Lei n.º 58/2019, sendo competentes os tribunais portugueses, como nos Termos.

Anexo I: Medidas técnicas e organizativas

• Encriptação em trânsito (HTTPS/TLS) em todas as comunicações e encriptação em repouso na infra-estrutura de nuvem.
• Chaves e segredos da plataforma guardados cifrados, fora do código.
• Regras de autorização por utilizador na base de dados: cada utilizador só lê os seus próprios conteúdos, e a escrita dos dados sensíveis (reuniões, créditos, pagamentos) é feita só pelo servidor.
• Separação das jurisdições: as fontes e os dados de Portugal e de Angola não se misturam.
• Registo de auditoria das alterações de configuração e limites de pedidos contra abuso.
• Áudio das reuniões efémero: a cópia própria é apagada após o processamento e é pedida ao fornecedor de gravação a eliminação da sua.
• Acesso interno limitado a quem dele precisa para prestar o serviço, com dever de confidencialidade.

Anexo II: Subcontratantes ulteriores