Acordo de tratamento de dados (DPA)

Versão 1.0 · Em vigor desde: 2026-10-23

Esta é uma tradução. Para os clientes profissionais, prevalece a versão em inglês. Para os consumidores com residência habitual num país em que o português é língua oficial, a presente versão faz fé nos mesmos termos que a versão em inglês; se as duas versões divergirem, aplica-se o sentido mais favorável ao consumidor. Para os restantes consumidores, prevalece a versão em inglês, salvo se a legislação imperativa de defesa do consumidor do respetivo país dispuser de outro modo.

O presente Acordo de tratamento de dados («DPA») faz parte do contrato celebrado entre o Cliente e o Prestador relativo ao serviço Consentl que o Cliente utiliza (o «Contrato»):

• para o Consentl para Shopify (a aplicação Shopify): os Termos de Serviço e o Apêndice 1;
• para o Consentl para sites (o painel de controlo em app.consentl.com, a API em api.consentl.com e as integrações com plataformas): os Termos de Serviço para sites e o Apêndice 2.

O DPA é celebrado por via eletrónica quando o Cliente o aceita da forma descrita no Apêndice aplicável. O Prestador conserva um registo da aceitação (documento, versão, data e hora, a conta ou a loja e a pessoa que aceitou). O Cliente que pretenda um exemplar contra-assinado pode solicitá-lo através de [email protected].

Partes

• «Cliente»: a entidade ou pessoa que utiliza um serviço Consentl para a sua loja online ou o seu site e aceita o presente DPA, identificada pela sua loja Shopify (Apêndice 1) ou pela sua conta Consentl (Apêndice 2).
• «Prestador»: STL EMBEDED CREATIONS SRL, Str. Kovari 75, 400217 Cluj-Napoca, Cluj, Roménia; n.º de registo comercial J2020001305120, código fiscal (CUI) 42512332 (não registada para efeitos de IVA; código de IVA intracomunitário RO46686340). Contacto para o presente DPA: [email protected].

1. Definições e âmbito

1.1 «Legislação de Proteção de Dados» designa a legislação aplicável ao tratamento realizado ao abrigo do presente DPA, em especial o Regulamento (UE) 2016/679 (Regulamento Geral sobre a Proteção de Dados, «RGPD»), a Diretiva 2002/58/CE, tal como transposta para o direito nacional, o UK GDPR e o Data Protection Act 2018 do Reino Unido, a Lei Federal Suíça sobre a Proteção de Dados («FADP»), a Lei de Privacidade do Consumidor da Califórnia (California Consumer Privacy Act), alterada pela CPRA («CCPA»), e as demais leis de privacidade dos estados dos EUA, a PIPEDA do Canadá e a Lei do Quebeque relativa à proteção das informações pessoais no setor privado (Act respecting the protection of personal information in the private sector) («Lei 25 do Quebeque»), bem como a LGPD do Brasil, todas na sua redação em vigor e na medida em que cada uma seja aplicável.

1.2 Termos como «responsável pelo tratamento», «subcontratante», «dados pessoais», «tratamento», «titular dos dados», «violação de dados pessoais» e «autoridade de controlo» têm o significado que lhes é atribuído no RGPD. No caso de outras leis, incluem os termos equivalentes (por exemplo, «empresa» (business), «prestador de serviços» (service provider), «consumidor» (consumer) e «informações pessoais» (personal information) na aceção da CCPA; «operador» na aceção da LGPD).

1.3 «Dados Pessoais do Cliente» designa os dados pessoais que o Prestador trata por conta do Cliente no âmbito da prestação do serviço, tal como descritos no Anexo I. Não incluem os dados relativamente aos quais o Prestador é responsável pelo tratamento (por exemplo, os dados da conta e do pessoal do Cliente, os dados de faturação, a correspondência de apoio e os registos de segurança). Esses dados são descritos nas políticas de privacidade do Prestador.

1.4 «Endereço para notificações» designa o endereço de e-mail para o qual o Prestador envia as notificações previstas no presente DPA (cláusula 15.4), tal como definido no Apêndice 1, cláusula S1.6 (Shopify), ou no Apêndice 2, cláusula S2.5 (sites).

1.5 Ordem de prevalência: em caso de conflito entre o presente DPA e o Contrato, prevalece o presente DPA. Em caso de conflito entre o presente DPA e as cláusulas contratuais-tipo ou outras cláusulas de transferência incorporadas nos termos da secção 9, prevalecem essas cláusulas. Um Apêndice prevalece sobre a parte geral do presente DPA no que respeita ao serviço que abrange.

2. Funções das partes

2.1 O Cliente é o responsável pelo tratamento dos Dados Pessoais do Cliente, ou um subcontratante que atua por conta de outro responsável pelo tratamento. O Prestador é um subcontratante, ou um subcontratante ulterior.

2.2 O Cliente decide se utiliza cada função (banner de consentimento e registo de consentimentos, formulário de pedidos relativos a dados pessoais, função de livre resolução, ações opcionais relativas aos dados dos clientes, análise de cookies) e como a configura. A configuração escolhida pelo Cliente constitui uma instrução (secção 3).

2.3 Cliente que atua como subcontratante. Quando o Cliente trata os dados por conta de outro responsável pelo tratamento (por exemplo, uma agência que gere sites ou lojas para os seus clientes), o Prestador é o seu subcontratante ulterior. O Cliente garante que o seu responsável pelo tratamento autorizou a utilização do Prestador e dos subcontratantes ulteriores indicados no Anexo III, transmite as instruções do responsável pelo tratamento e reencaminha ao seu responsável pelo tratamento as notificações que recebe do Prestador. O Prestador pode basear-se nas instruções dadas pelo Cliente como se estas proviessem do responsável pelo tratamento.

2.4 A plataforma em que o Cliente explora a sua loja ou o seu site (por exemplo, Shopify, WordPress, Shopware, PrestaShop, Magento ou uma plataforma de criação de sites) não é subcontratante ulterior do Prestador. A plataforma trata os dados ao abrigo dos seus próprios contratos com o Cliente.

3. Instruções (artigo 28.º, n.º 3, alínea a), do RGPD)

3.1 O Prestador trata os Dados Pessoais do Cliente apenas mediante instruções documentadas do Cliente, incluindo no que respeita às transferências para países terceiros, salvo se o direito da União ou do Estado-Membro a que o Prestador está sujeito o obrigar a proceder de outro modo. Nesse caso, o Prestador informa o Cliente desse requisito jurídico antes do tratamento, salvo se esse direito proibir tal informação por motivos importantes de interesse público.

3.2 As instruções documentadas do Cliente são: o presente DPA e o Contrato; as definições e as ações que o Cliente efetua no serviço (por exemplo, o plano e o prazo de conservação que dele decorre, as exportações, as eliminações e as ações de privacidade com um clique); e outras instruções escritas acordadas pelas partes.

3.3 O Prestador informa imediatamente o Cliente se, no seu entender, uma instrução violar a Legislação de Proteção de Dados. O Prestador não é obrigado a proceder a uma verificação jurídica das instruções.

3.4 O Cliente é responsável pela licitude das suas instruções, pela existência de um fundamento jurídico para o tratamento, pela informação dos titulares dos dados (em especial na sua própria política de privacidade e de cookies) e pela configuração do serviço em função da sua loja ou do seu site, dos seus rastreadores e das leis que lhe são aplicáveis.

3.5 Pedidos de autoridades públicas. Se uma autoridade pública solicitar Dados Pessoais do Cliente, o Prestador remete-a para o Cliente, informa o Cliente sem demora, salvo se a lei o proibir, contesta um pedido que considere ilícito quando tenha motivos razoáveis para o fazer, e divulga apenas o que for legalmente obrigado a divulgar.

4. Confidencialidade (artigo 28.º, n.º 3, alínea b), do RGPD)

4.1 O Prestador assegura que as pessoas autorizadas a tratar os Dados Pessoais do Cliente assumiram um compromisso de confidencialidade ou estão sujeitas a adequadas obrigações legais de confidencialidade. O acesso é limitado às pessoas identificadas nominalmente que dele necessitam para operar o serviço, prestar apoio relativo ao serviço ou garantir a sua segurança (Anexo II).

4.2 O pessoal do Prestador pode utilizar ferramentas de software, incluindo assistentes de programação baseados em inteligência artificial, para desenvolver e manter o serviço. Estas ferramentas trabalham sobre código-fonte e dados de teste. Não lhes é concedido acesso aos Dados Pessoais do Cliente, às bases de dados de produção nem aos registos (logs) de produção (Anexo II). Se o Prestador alguma vez decidir de outro modo, o fornecedor dessa ferramenta torna-se um subcontratante ulterior e a secção 6 aplica-se antes de a ferramenta ser utilizada.

5. Segurança (artigo 28.º, n.º 3, alínea c), e artigo 32.º do RGPD)

5.1 O Prestador aplica as medidas técnicas e organizativas descritas no Anexo II. Estas podem ser atualizadas em função da evolução tecnológica, desde que o nível global de proteção não seja reduzido.

5.2 O Cliente é responsável pela segurança das suas próprias contas (conta Shopify, conta Consentl e membros da equipa, administração da plataforma), pelo acesso do seu pessoal, pelo código do seu site e pelas definições que escolhe.

6. Subcontratantes ulteriores (artigo 28.º, n.os 2 e 4, e artigo 28.º, n.º 3, alínea d), do RGPD)

6.1 Autorização geral. O Cliente concede ao Prestador uma autorização geral por escrito para contratar subcontratantes ulteriores. Os subcontratantes ulteriores existentes à data do presente DPA constam do Anexo III e da lista de subcontratantes ulteriores, que indica, para cada um, o serviço para o qual é utilizado.

6.2 Notificação de alterações. O Prestador informa o Cliente de qualquer intenção de acrescentar ou substituir um subcontratante ulterior, ou de uma nova finalidade ou localização de um subcontratante ulterior existente, pelo menos 30 dias antes da alteração, por e-mail enviado para o Endereço para notificações e por uma entrada no histórico de alterações da lista de subcontratantes ulteriores.

6.3 Oposição. O Cliente pode opor-se dentro desse prazo, por motivos razoáveis relacionados com a proteção de dados, por e-mail enviado para [email protected], indicando os motivos. O Prestador responde no prazo de 14 dias e oferece uma alternativa razoável (por exemplo, não utilizar o subcontratante ulterior para o Cliente) ou explica por que razão não o pode fazer. Se a oposição não for resolvida no prazo de 30 dias a contar da oposição, o Cliente pode denunciar o Contrato relativamente ao serviço afetado, com efeitos antes de a alteração lhe ser aplicada. Convém que o Cliente exporte previamente os seus dados (secção 11).

6.4 Reembolso. Em caso de denúncia nos termos da cláusula 6.3, o Prestador reembolsa os montantes pagos pela parte não utilizada do período de faturação em curso, nos termos previstos no Apêndice aplicável.

6.5 Substituição de emergência. Se um subcontratante ulterior tiver de ser substituído com urgência (incidente de segurança, insolvência, cessação do contrato por iniciativa do subcontratante ulterior ou incumprimento por parte deste), o Prestador pode efetuar a alteração com um pré-aviso mais curto. O Prestador informa o Cliente o mais rapidamente possível. O Cliente pode, ainda assim, opor-se nos termos da cláusula 6.3; se denunciar o Contrato, o reembolso previsto na cláusula 6.4 é calculado a partir da data da alteração.

6.6 Imposição das obrigações e responsabilidade. O Prestador impõe a cada subcontratante ulterior, por contrato, obrigações em matéria de proteção de dados que são, em substância, as mesmas que as previstas no presente DPA, em especial a apresentação de garantias suficientes de execução de medidas técnicas e organizativas adequadas. O Prestador continua a ser plenamente responsável perante o Cliente pelo cumprimento das obrigações dos seus subcontratantes ulteriores, sob reserva do disposto na secção 14.

7. Assistência

7.1 Pedidos dos titulares dos dados (artigo 28.º, n.º 3, alínea e), do RGPD). Tendo em conta a natureza do tratamento, o Prestador presta assistência ao Cliente através de medidas técnicas e organizativas adequadas para dar resposta aos pedidos de exercício dos direitos do titular dos dados previstos no capítulo III do RGPD e dos direitos equivalentes previstos noutras leis. O serviço disponibiliza:

• o formulário de pedidos relativos a dados pessoais, com verificação do endereço de e-mail, e um registo dos pedidos com os respetivos prazos;
• a exportação em CSV do registo de consentimentos; (Apêndice 1) exportações em CSV dos pedidos relativos a dados pessoais e dos pedidos de livre resolução; (Apêndice 2) uma exportação em JSON de todos os dados da conta do Cliente, incluindo os pedidos relativos a dados pessoais e os pedidos de livre resolução de cada site;
• o registo dos pedidos de livre resolução;
• (Apêndice 1, opcional) a exportação e o apagamento dos dados Shopify do cliente da loja.

Os registos de consentimento são pseudonimizados: um registo pode ser encontrado através do ID de consentimento que o titular dos dados pode ler no cookie consentl do seu navegador, utilizando os filtros do registo de consentimentos e a exportação em CSV. Mediante instrução escrita do Cliente, o Prestador apaga registos de consentimento individuais ou outros registos individuais no prazo de 30 dias, até que o serviço ofereça esta possibilidade como função. Se o Prestador receber um pedido diretamente de um titular dos dados, reencaminha o pedido ao Cliente sem demora injustificada e não lhe responde ele próprio, salvo instrução do Cliente nesse sentido.

7.2 Outras obrigações (artigo 28.º, n.º 3, alínea f), do RGPD). Tendo em conta a natureza do tratamento e a informação ao seu dispor, o Prestador presta assistência ao Cliente no sentido de assegurar o cumprimento dos artigos 32.º a 36.º do RGPD (segurança, notificação de violações e comunicação aos titulares dos dados, avaliações de impacto sobre a proteção de dados, consulta prévia) e de obrigações equivalentes previstas noutra Legislação de Proteção de Dados (por exemplo, as avaliações de impacto sobre a privacidade exigidas pela Lei 25 do Quebeque antes de os dados serem comunicados fora do Quebeque), em especial disponibilizando as informações constantes dos Anexos I–III.

7.3 A assistência que exceda as funções do serviço e um apoio razoável por e-mail pode ser cobrada a um custo razoável, se for substancial e não for causada por incumprimento do Prestador.

8. Violações de dados pessoais (artigo 33.º, n.º 2, do RGPD)

8.1 O Prestador notifica o Cliente sem demora injustificada e, sempre que possível, no prazo de 48 horas após ter conhecimento de uma violação de dados pessoais que afete os Dados Pessoais do Cliente, incluindo uma violação ocorrida num subcontratante ulterior e por este notificada ao Prestador. O Prestador transmite, no mesmo prazo, as informações que recebe de um subcontratante ulterior. A notificação é enviada por e-mail para o Endereço para notificações.

8.2 A notificação inclui, na medida em que estejam disponíveis (e, se necessário, por fases): a natureza da violação, incluindo as categorias e o número aproximado de titulares de dados e de registos de dados em causa; o ponto de contacto onde podem ser obtidas mais informações; as consequências prováveis; e as medidas adotadas ou propostas, incluindo medidas para atenuar os eventuais efeitos negativos (artigo 33.º, n.º 3, do RGPD).

8.3 O Prestador adota medidas razoáveis para conter e corrigir a violação, mantém um registo das violações e coopera na notificação às autoridades de controlo efetuada pelo Cliente e, quando exigido, na comunicação deste aos titulares dos dados (artigo 34.º do RGPD).

8.4 No caso de informações pessoais sujeitas à lei do Quebeque, o Prestador notifica igualmente o Cliente, sem demora, de qualquer tentativa de violação da confidencialidade dessas informações de que tome conhecimento.

8.5 A notificação não constitui reconhecimento de culpa. As notificações que o Prestador deva efetuar a uma plataforma nos termos das condições próprias desta (Apêndice 1) não atrasam a notificação ao Cliente.

9. Transferências internacionais

9.1 O Prestador armazena os Dados Pessoais do Cliente na União Europeia (DigitalOcean, Frankfurt, Alemanha). Alguns subcontratantes ulteriores estão estabelecidos fora do EEE ou podem aceder aos dados a partir daí (Anexo III).

9.2 Transferências para subcontratantes ulteriores. As transferências para subcontratantes ulteriores situados fora do EEE, da Suíça e do Reino Unido que não estejam abrangidas por uma decisão de adequação (incluindo o Quadro de Privacidade de Dados UE-EUA [EU-US Data Privacy Framework] para os destinatários certificados) são efetuadas ao abrigo das cláusulas contratuais-tipo da UE (Decisão de Execução (UE) 2021/914 da Comissão), Módulo Três (transferência de subcontratante para subcontratante), celebradas pelo Prestador com os seus subcontratantes ulteriores diretos e por cada subcontratante ulterior com os seus próprios subcontratantes ulteriores.

9.3 Clientes em países terceiros (Módulo Quatro). Na medida em que a divulgação, pelo Prestador, de Dados Pessoais do Cliente a um Cliente estabelecido num país terceiro sem decisão de adequação (por exemplo, através de uma exportação, de uma notificação por e-mail ou da apresentação dos dados no painel de controlo) constitua uma transferência na aceção do capítulo V do RGPD, as partes incorporam por remissão o Módulo Quatro (transferência de subcontratante para responsável pelo tratamento) das cláusulas contratuais-tipo, com as seguintes opções: Cláusula 7 (cláusula de adesão) incluída; redação facultativa da Cláusula 11 não utilizada; Cláusula 17: o direito da Roménia; Cláusula 18: os tribunais de Cluj-Napoca, Roménia. Os Anexos I–III do presente DPA completam os anexos das cláusulas contratuais-tipo. Quando o Cliente for subcontratante (cláusula 2.3), aplica-se, em substituição, o Módulo Três, com as mesmas opções. Se a Comissão Europeia adotar cláusulas contratuais-tipo para importadores cujo tratamento esteja sujeito ao RGPD nos termos do seu artigo 3.º, n.º 2, essas cláusulas aplicam-se, em substituição, a esses Clientes.

9.4 Reino Unido. Na medida em que uma transferência, pelo Prestador, de dados pessoais sujeitos ao UK GDPR constitua uma transferência restrita (restricted transfer) não abrangida pelos regulamentos de adequação do Reino Unido, aplica-se às cláusulas incorporadas nos termos da cláusula 9.3 o International Data Transfer Addendum to the EU Standard Contractual Clauses (adenda do Reino Unido), emitido pelo Information Commissioner do Reino Unido (versão B1.0), com a Tabela 1 preenchida com os dados das partes acima indicados, a Tabela 2 com o módulo e as opções selecionados na cláusula 9.3, a Tabela 3 com os Anexos I–III e a Tabela 4 permitindo a qualquer das partes pôr termo à adenda nos termos nela previstos.

9.5 Suíça. Para as transferências sujeitas à FADP, as cláusulas contratuais-tipo aplicam-se com as seguintes adaptações: as referências ao RGPD entendem-se como referências à FADP; o Comissário Federal Suíço para a Proteção de Dados e a Informação (Federal Data Protection and Information Commissioner) é uma autoridade de controlo competente; e o termo «Estado-Membro» inclui a Suíça, de modo que os titulares dos dados possam intentar ações judiciais no local da sua residência habitual.

9.6 Brasil. Quando a LGPD se aplicar a uma transferência de dados pessoais do Cliente para o Prestador e nenhuma decisão de adequação da autoridade brasileira (ANPD) a abranger, são incorporadas as cláusulas-padrão contratuais aprovadas pela Resolução CD/ANPD n.º 19/2024, sendo o Cliente o exportador (controlador) e o Prestador o importador (operador).

9.7 O Cliente pode solicitar, através de [email protected], uma cópia das garantias em que se baseiam as transferências.

10. Leis de privacidade dos estados dos EUA (cláusulas de prestador de serviços da CCPA/CPRA)

10.1 No caso de informações pessoais sujeitas à CCPA, o Cliente é uma «empresa» (business) e o Prestador é um «prestador de serviços» (service provider) (Cal. Civ. Code §1798.140(ag)). O Cliente divulga informações pessoais ao Prestador apenas para as seguintes finalidades empresariais (business purposes) limitadas e especificadas: registar e comprovar o consentimento dos consumidores e as suas escolhas de oposição (opt-out) (incluindo sinais de preferência de oposição, como o sinal Global Privacy Control); receber, verificar, acompanhar e documentar os pedidos dos consumidores relativos a dados pessoais e os pedidos de livre resolução; enviar os e-mails transacionais correspondentes; analisar a loja ou o site do Cliente para detetar cookies e rastreadores; e a segurança, a integridade e a depuração do serviço (§1798.140(e)(2), (e)(3) e (e)(5)).

10.2 O Prestador não pode (§1798.100(d); 11 CCR §7051(a)):

• vender (sell) ou partilhar (share) as informações pessoais;
• conservá-las, utilizá-las ou divulgá-las para qualquer finalidade (incluindo qualquer finalidade comercial) diferente das finalidades empresariais especificadas na cláusula 10.1, salvo nos casos em que a CCPA e os seus regulamentos o permitam de outro modo;
• conservá-las, utilizá-las ou divulgá-las fora da relação comercial direta com o Cliente;
• combiná-las com informações pessoais recebidas de outra pessoa ou por conta desta, ou recolhidas na interação do próprio Prestador com o consumidor, exceto nos casos permitidos pelos regulamentos da CCPA (11 CCR §7050).

10.3 O Prestador cumpre as obrigações que lhe são aplicáveis nos termos da CCPA e dos seus regulamentos, proporciona o mesmo nível de proteção da privacidade que a CCPA exige às empresas e aplica procedimentos e práticas de segurança razoáveis (Cal. Civ. Code §1798.81.5). O Prestador notifica o Cliente sem demora injustificada e, em qualquer caso, no prazo de cinco dias úteis, se concluir que já não pode cumprir estas obrigações.

10.4 O Cliente pode tomar medidas razoáveis e adequadas para garantir que o Prestador utiliza as informações pessoais de forma compatível com as obrigações do Cliente nos termos da CCPA, incluindo os direitos de informação e de auditoria previstos na secção 12 (uma auditoria em cada período de 12 meses e auditorias adicionais nos casos previstos na cláusula 12.2), e, mediante notificação, para fazer cessar e corrigir a utilização não autorizada das informações pessoais, nomeadamente solicitando ao Prestador que confirme o apagamento.

10.5 O Cliente informa o Prestador de qualquer pedido de um consumidor nos termos da CCPA a que o Prestador deva dar cumprimento e fornece ao Prestador as informações de que este necessita para o efeito. O Prestador presta assistência ao Cliente na resposta a pedidos verificáveis dos consumidores (cláusula 7.1).

10.6 O Prestador disponibiliza ao Cliente as informações de que este razoavelmente necessite para as suas avaliações de risco e auditorias de cibersegurança previstas nos regulamentos da CCPA e coopera na sua realização.

10.7 O Prestador contrata qualquer subcontratado (subcontractor) que trate as informações pessoais ao abrigo de um contrato escrito que contenha as mesmas restrições (secção 6) e certifica que compreende as restrições da presente secção 10 e que as cumprirá.

10.8 Para as demais leis de privacidade dos estados dos EUA (por exemplo, as da Virgínia, do Colorado, do Connecticut, do Utah, do Texas, do Oregon e dos demais estados abrangidos pelas predefinições regionais do serviço), o Prestador é um «subcontratante» (processor). As secções 3 a 8, 11 e 12 contêm as cláusulas relativas ao subcontratante exigidas por essas leis: instruções, confidencialidade, apagamento ou devolução, informação, cooperação nas avaliações, auditorias (ou, quando a lei o permita, um relatório de auditoria independente) e imposição das obrigações aos subcontratados, com possibilidade de oposição (secção 6).

10.9 O Prestador não vende nem partilha informações pessoais e não utiliza informações pessoais sensíveis para qualquer finalidade.

11. Apagamento ou devolução (artigo 28.º, n.º 3, alínea g), do RGPD)

11.1 Devolução. As funções de exportação do serviço (as exportações em CSV enumeradas nos Apêndices) são o meio pelo qual o Cliente obtém os seus dados. O Cliente opta pela devolução exportando os dados antes de estes serem apagados.

11.2 Conservação durante o Contrato. Os Dados Pessoais do Cliente são conservados e apagados conforme indicado no Anexo I. A prova do consentimento é conservada pelo menos durante o período em que o consentimento que documenta é utilizado (prazo de validade do consentimento + 30 dias); uma mudança de plano que encurte o prazo de conservação mantém o prazo anterior durante 30 dias. Os pedidos relativos a dados pessoais e os pedidos de livre resolução encerrados são conservados, por predefinição, durante 2 anos, para que o Cliente possa cumprir as obrigações de conservação de registos (por exemplo, 11 CCR §7101), e são apagados automaticamente 3 anos após o seu encerramento. O Cliente pode dar instruções para um apagamento antecipado: no serviço, quando exista uma função de apagamento, ou, caso contrário, por instrução escrita, que o Prestador executa no prazo de 30 dias.

11.3 Após a cessação do Contrato, o Prestador apaga todos os Dados Pessoais do Cliente conforme indicado no Apêndice aplicável. As cópias existentes nas cópias de segurança cifradas da base de dados são sobrescritas dentro do prazo de conservação das cópias de segurança da base de dados gerida (cópias de segurança diárias e recuperação para um momento específico [point-in-time recovery], conservadas durante 7 dias) e não são restauradas, exceto para recuperação em caso de desastre; se uma cópia de segurança for restaurada, os apagamentos efetuados desde essa cópia são aplicados novamente. O Prestador não armazena nem exporta registos de pedidos: os registos da aplicação existem apenas como saída de execução (runtime output) da aplicação em funcionamento na DigitalOcean, que é eliminada quando é implementada uma nova versão (não contêm endereços IP de visitantes nem o conteúdo dos pedidos, Anexo II). Os dados dos pedidos na rede edge do fornecedor de alojamento e os registos de e-mails transacionais da Brevo são apagados dentro dos prazos de conservação desses subcontratantes ulteriores e não são utilizados para qualquer outra finalidade. A confirmar: a DigitalOcean deve ainda confirmar o prazo de conservação da sua rede edge.

11.4 O apagamento não se aplica quando o direito da União ou do Estado-Membro exija que o Prestador conserve os dados; nesse caso, o Prestador protege-os e trata-os apenas para essa finalidade.

11.5 Mudança de prestador (Regulamento (UE) 2023/2854, Regulamento dos Dados). Quando o Regulamento dos Dados for aplicável, o Cliente pode mudar para outro prestador de serviços ou para os seus próprios sistemas, nos termos previstos no Contrato: os dados exportáveis são o registo de consentimentos, os pedidos relativos a dados pessoais, os pedidos de livre resolução, a declaração de cookies e as definições do banner; o Cliente dispõe de um período de recuperação de dados de, pelo menos, 30 dias; o Prestador não cobra encargos de mudança e apaga os dados após o termo do período de recuperação.

11.6 Mediante pedido, o Prestador confirma o apagamento por escrito.

12. Informações e auditorias (artigo 28.º, n.º 3, alínea h), do RGPD)

12.1 O Prestador disponibiliza ao Cliente todas as informações necessárias para demonstrar o cumprimento do artigo 28.º do RGPD, em especial o presente DPA e os seus Anexos e, mediante pedido, as certificações ou os relatórios de segurança dos seus principais subcontratantes ulteriores (por exemplo, o relatório SOC 2 Type II e o certificado ISO/IEC 27001 da DigitalOcean), quando as condições destes permitam a sua partilha.

12.2 O Prestador permite e contribui para as auditorias, incluindo as inspeções, conduzidas pelo Cliente ou por um auditor por este mandatado, nas seguintes condições:

• pré-aviso escrito de, pelo menos, 30 dias;
• no máximo uma auditoria em cada período de 12 meses, salvo se exigido por uma autoridade de controlo, após uma violação de dados pessoais ou quando o Cliente tenha indícios razoáveis de incumprimento do presente DPA;
• em primeiro lugar, uma auditoria por questionário escrito e documentos; uma inspeção no local ou remota apenas se as respostas não forem suficientes;
• durante o horário de expediente, sem acesso aos dados de outros clientes nem aos segredos comerciais do Prestador para além do necessário;
• o auditor está vinculado a uma obrigação de confidencialidade e não é concorrente do Prestador;
• cada parte suporta os seus próprios custos, salvo se a auditoria revelar um incumprimento substancial por parte do Prestador.

13. Obrigações do Cliente

O Cliente:

• utiliza o serviço de acordo com a Legislação de Proteção de Dados e dá apenas instruções lícitas;
• informa os titulares dos dados sobre o tratamento, incluindo a utilização do Consentl, na sua própria política de privacidade e de cookies, utilizando as informações constantes do Anexo I;
• configura corretamente o serviço (regiões, categorias, bloqueio de rastreadores, textos) e verifica o resultado; o Prestador não garante que qualquer configuração torne a loja ou o site conforme à legislação aplicável (ver o Contrato);
• não pede aos titulares dos dados que enviem categorias especiais de dados (artigo 9.º do RGPD) através dos formulários;
• responde aos pedidos relativos a dados pessoais e aos pedidos de livre resolução dentro dos prazos legais;
• fornece ao Prestador credenciais de acesso (Apêndice 2: credenciais HTTP basic-auth para as análises) apenas para os sites que tenha o direito de mandar analisar;
• mantém atualizado o seu Endereço para notificações.

14. Responsabilidade

14.1 A responsabilidade total de cada parte decorrente do presente DPA ou com ele relacionada está limitada ao maior dos seguintes montantes: (a) três vezes os montantes pagos pelo Cliente pelo serviço afetado nos 12 meses anteriores ao primeiro evento que deu origem à responsabilidade e (b) EUR 5000.

14.2 O limite previsto na cláusula 14.1 não se aplica: à responsabilidade por dolo ou culpa grave; à responsabilidade perante os titulares dos dados nos termos do artigo 82.º do RGPD e da Cláusula 12 das cláusulas contratuais-tipo (que não pode ser limitada); e à responsabilidade que não possa ser limitada por lei. Quando o Cliente for consumidor, a cláusula 14.1 aplica-se apenas na medida permitida pela legislação imperativa de defesa do consumidor que lhe seja aplicável.

14.3 Relativamente a pretensões ao abrigo do presente DPA, o limite previsto na cláusula 14.1 substitui a limitação de responsabilidade do Contrato. Quando ambas as partes forem responsáveis perante um titular dos dados pelo mesmo dano, cada parte pode reclamar da outra a parte da indemnização correspondente à parte de responsabilidade da outra parte (artigo 82.º, n.º 5, do RGPD), dentro do limite previsto na cláusula 14.1.

14.4 As coimas aplicadas a uma parte por uma autoridade de controlo são suportadas por essa parte, exceto na medida em que resultem do incumprimento do presente DPA pela outra parte, caso em que podem ser reclamadas dentro do limite previsto na cláusula 14.1.

15. Vigência, alterações, notificações e lei aplicável

15.1 O presente DPA aplica-se enquanto o Prestador tratar Dados Pessoais do Cliente e cessa automaticamente depois disso. As secções 8, 11, 14 e 15 subsistem após a cessação do presente DPA.

15.2 Alterações. O Prestador pode atualizar o presente DPA para refletir alterações da lei, do serviço ou dos subcontratantes ulteriores. As alterações que reduzam a proteção do Cliente são notificadas com um pré-aviso de, pelo menos, 30 dias, por e-mail enviado para o Endereço para notificações; o Cliente pode, nesse caso, opor-se e denunciar o Contrato nos termos das cláusulas 6.3 e 6.4. As alterações exigidas por lei, ou que apenas melhorem a proteção do Cliente, podem aplicar-se mais cedo. Quando uma alteração disser respeito a uma cláusula que o Cliente aceitou expressamente (cláusula 15.6), o Prestador solicita uma nova aceitação expressa; até esta ser dada, aplica-se a versão anterior dessa cláusula. As versões anteriores do presente DPA continuam disponíveis mediante pedido.

15.3 Prova. Os registos eletrónicos das aceitações, notificações e instruções conservados pelo Prestador fazem prova, entre as partes, do seu conteúdo e da sua data (Lei romena n.º 214/2024 relativa à utilização da assinatura eletrónica).

15.4 Notificações. O Prestador envia as notificações previstas no presente DPA (alterações de subcontratantes ulteriores, violações, alterações do DPA) por e-mail para o Endereço para notificações definido no Apêndice aplicável. O Cliente mantém-no atualizado. O Cliente envia as notificações para [email protected].

15.5 Lei aplicável e tribunais competentes. O presente DPA rege-se pela lei romena. Os tribunais competentes de Cluj-Napoca, Roménia, têm competência exclusiva, salvo se as cláusulas contratuais-tipo ou a legislação imperativa (incluindo as normas de defesa do consumidor) dispuserem de outro modo.

15.6 Aceitação expressa (artigo 1203.º do Código Civil romeno). O Cliente aceita expressamente as seguintes cláusulas do presente DPA: 6.3–6.5 (mecanismo de oposição, denúncia e reembolso), 14 (limitação de responsabilidade), 15.2 (alterações) e 15.5 (lei aplicável e competência exclusiva dos tribunais). Os clientes profissionais aceitam-nas assinalando uma caixa separada quando aceitam o Contrato.

Apêndice 1 — Consentl para Shopify

S1.1 Serviço e Contrato. O serviço é a aplicação Consentl para Shopify (a «Aplicação»). O Cliente é o comerciante que a instala na sua loja Shopify. O Contrato são os Termos de Serviço.

S1.2 Celebração. O DPA é aceite na etapa de aceitação da Aplicação (na configuração inicial e novamente para uma nova versão que o exija), juntamente com os Termos.

S1.3 Shopify. A Shopify não é subcontratante ulterior do Prestador. Por instrução do Cliente, o Prestador divulga dados à Shopify enquanto plataforma do próprio Cliente: o endereço de e-mail de um comprador que se opõe à venda ou partilha (opt-out), ou que envia um sinal Global Privacy Control com sessão iniciada, para que a Shopify registe a oposição na ficha do cliente (dataSaleOptOut); os pedidos de apagamento reencaminhados através das ações opcionais com um clique; e a configuração publicada do banner, armazenada como metacampos (metafields) da loja.

S1.4 Webhooks de conformidade da Shopify. A Aplicação trata as notificações obrigatórias da Shopify customers/data_request, customers/redact e shop/redact conforme descrito no Anexo I-A.

S1.5 Âmbitos opcionais. Os âmbitos de acesso (scopes) read_customers, write_customers e read_orders só são solicitados quando o Cliente ativa as ações de privacidade com um clique ou a correspondência entre pedidos de livre resolução e encomendas, e são concedidos explicitamente pelo Cliente.

S1.6 Endereço para notificações. O contacto de privacidade e segurança que o Cliente designa nas definições da Aplicação. Até ser designado um, o endereço de e-mail da conta do proprietário da loja Shopify, tal como devolvido pela Shopify, e, se a Shopify não devolver nenhum, o endereço de e-mail de contacto da loja.

S1.7 Reembolsos. Os reembolsos previstos na cláusula 6.4 são efetuados através da Shopify, sob a forma de reembolso ou de crédito na aplicação, à escolha do Prestador.

S1.8 Cessação do Contrato e apagamento. Quando a Aplicação é desinstalada, o Prestador apaga imediatamente o token de acesso e apaga todos os outros Dados Pessoais do Cliente quando a Shopify envia a notificação shop/redact (48 horas após a desinstalação) e, em qualquer caso, o mais tardar 30 dias após a desinstalação. Antes de desinstalar, o Cliente pode mudar para o plano Free e manter a Aplicação instalada durante o tempo de que necessite para exportar os seus dados (este é também o período de recuperação de dados para efeitos de mudança de prestador nos termos da cláusula 11.5); as exportações estão disponíveis em todos os planos. Quando a Aplicação é desinstalada, o Prestador envia ao Cliente, por e-mail, um aviso com o número de registos.

S1.9 Notificações à plataforma. Quando as condições da Shopify exigirem que o Prestador informe a Shopify de um incidente de segurança que afete dados de comerciantes ou de clientes, o Prestador fá-lo para além do disposto na secção 8.

S1.10 Anexos. O Anexo I-A descreve o tratamento na Aplicação.

Apêndice 2 — Consentl para sites e integrações com plataformas

S2.1 Serviço e Contrato. O serviço é o Consentl para sites: o painel de controlo em app.consentl.com, a API pública em api.consentl.com (carregador [loader], banner, sinais de consentimento [consent beacons], formulários de pedidos relativos a dados pessoais e de livre resolução, declaração de cookies e páginas de acessibilidade alojadas) e o analisador de cookies (o «Serviço»), utilizados diretamente ou através das integrações publicadas pelo Prestador (fragmento de código [snippet] para sites, modelo do Google Tag Manager, plugins para WordPress/WooCommerce, Shopware, PrestaShop e Magento, e guias para outras plataformas de criação de sites). O Contrato são os Termos de Serviço para sites.

S2.2 Celebração. Os clientes profissionais aceitam o DPA assinalando uma caixa quando criam a sua conta, e novamente para uma nova versão que o exija; a uma conta que não tenha aceitado a versão em vigor é pedido que o faça antes de poder continuar a utilizar o painel de controlo. Para os clientes que utilizam o Serviço como consumidores, o DPA faz parte dos Termos de Serviço para sites que aceitam quando criam a sua conta.

S2.3 Integrações. As integrações são executadas no servidor ou na plataforma do próprio Cliente. Não armazenam aí dados pessoais de visitantes. As suas chamadas do lado do servidor para api.consentl.com (verificação da chave do site, obtenção do carregador para que possa ser inserido na página) transmitem apenas a chave do site, o idioma e o nome de anfitrião (host name) do site. Os Dados Pessoais do Cliente só são tratados pelo Prestador quando os navegadores dos visitantes chamam api.consentl.com. O Prestador não é subcontratante relativamente à plataforma ou ao sistema de loja do Cliente.

S2.4 Fluxos de dados. O Anexo I-B enumera os dados: registos de consentimento (incluindo registos enviados sem uma origem de navegador verificável, que são aceites com limites mais estritos), contadores do banner, pedidos relativos a dados pessoais e pedidos de livre resolução enviados através dos formulários, e-mails para visitantes, análises de cookies dos sites do Cliente e, no plano Enterprise, as credenciais HTTP basic-auth que o Cliente fornece para a análise de sites protegidos.

S2.5 Endereço para notificações. O endereço para notificações que o Cliente define na página «Conta», depois de confirmado (através do link de confirmação ou por ser o endereço verificado de um membro da conta). Até ser confirmado um, os endereços de e-mail verificados dos proprietários e administradores da conta.

S2.6 Reembolsos. Os reembolsos previstos na cláusula 6.4 são efetuados através da Stripe para o meio de pagamento original, proporcionalmente à parte não utilizada do período pago.

S2.7 Cessação do Contrato e apagamento.

• O Cliente pode exportar, em qualquer momento e em todos os planos, o registo de consentimentos de um site em CSV e todos os dados da sua conta («Transferir os meus dados (JSON)») em JSON, incluindo, de cada site, as definições, a lista de cookies, os pedidos relativos a dados pessoais, os pedidos de livre resolução e o registo de consentimentos.
• A eliminação de um site apaga imediatamente os seus dados (em cascata); o painel de controlo pede confirmação e recomenda uma exportação prévia. A eliminação de um site constitui a instrução do Cliente para apagar os dados desse site.
• Quando uma subscrição paga termina, o site passa para o plano Free e os seus dados continuam disponíveis para exportação (este é também o período de recuperação de dados para efeitos de mudança de prestador nos termos da cláusula 11.5).
• Eliminação da conta: o proprietário da conta elimina a conta no painel de controlo (após cancelar as subscrições pagas) ou solicita a eliminação através de [email protected]. A conta permanece disponível durante 30 dias (período de recuperação: exportar ou cancelar a eliminação; os banners continuam a funcionar), após o que a conta, os seus sites e todos os Dados Pessoais do Cliente desses sites são apagados.
• Cópias de segurança e registos dos subcontratantes ulteriores: cláusula 11.3.

S2.8 Apagamento automático. O Serviço apaga automaticamente: os registos de consentimento, após o prazo de conservação do site (Anexo I-B); os pedidos relativos a dados pessoais cujo endereço de e-mail nunca foi confirmado, 30 dias após o envio; todos os outros pedidos relativos a dados pessoais e todos os pedidos de livre resolução, 3 anos após a sua última alteração, independentemente do seu estado; os contadores diários e A/B, após 2 anos; os resultados de análises que não sejam a análise mais recente de um site, 400 dias após a análise. Apagamento antecipado por instrução do Cliente: cláusula 11.2.

S2.9 Anexos. O Anexo I-B descreve o tratamento no Serviço.

Anexo I — Descrição do tratamento

A. Lista das partes

Autoridade de controlo competente: a autoridade competente para o Cliente (exportador de dados) nos termos da Cláusula 13 das cláusulas contratuais-tipo; para o Prestador: a ANSPDCP, autoridade de controlo romena (www.dataprotection.ro (site externo)).

Comum a ambos os serviços

• Categorias de titulares dos dados: visitantes da loja ou do site do Cliente (registos de consentimento, visualizações do banner); pessoas que enviam um pedido relativo a dados pessoais ou um pedido de livre resolução através da loja ou do site; (Shopify, opcional) clientes da loja cujo perfil Shopify e encomendas são lidos ou apagados através das ações de privacidade com um clique.
• Categorias especiais de dados: nenhuma prevista. O Cliente não as deve solicitar. Os campos de texto livre poderiam contê-las se um requerente as introduzisse; são protegidas como todos os outros dados.
• Natureza do tratamento: recolha através do script e dos formulários da loja ou do site, armazenamento, consulta e apresentação ao Cliente, exportação, transmissão por e-mail, apagamento automatizado.
• Finalidades: as finalidades empresariais indicadas na cláusula 10.1.
• Frequência: contínua, durante a vigência do Contrato.
• Subcontratantes ulteriores: Anexo III.

B. Consentl para Shopify (Anexo I-A)

Categorias de dados pessoais

Prazo de conservação

C. Consentl para sites (Anexo I-B)

Categorias de dados pessoais

Prazo de conservação

Anexo II — Medidas técnicas e organizativas

Medidas em vigor à data do presente DPA, para ambos os serviços, salvo quando é indicado um produto. Os elementos descritos como planeados ainda não estão implementados. Algumas medidas remetem para a política interna de segurança e de incidentes do Prestador, para o registo de acessos à produção e para os registos das atividades de tratamento; estes documentos são internos, e o Cliente pode receber uma cópia mediante pedido, nos termos da cláusula 12.1.

Pseudonimização e minimização

• Os endereços IP são encurtados no momento da receção para IPv4 /24 ou IPv6 /48 antes do armazenamento; o IP completo nunca é gravado na base de dados nem nos registos da aplicação (é mantido apenas em memória, Anexo I).
• Os registos de consentimento utilizam um identificador aleatório gerado no navegador e não estão associados a contas de clientes; os URL das páginas são reduzidos ao caminho; os agentes do utilizador são truncados a 400 caracteres.
• As visualizações do banner são armazenadas apenas como contadores diários; o script em execução (runtime) não envia nada antes de uma decisão, e uma visualização é contabilizada juntamente com a primeira decisão do visitante (sem pedido de visualização separado).
• Shopify: os registos de clientes e de encomendas são lidos a partir da Shopify a pedido e não são copiados, exceto os identificadores necessários para associar um pedido ou um pedido de livre resolução ao cliente ou à encomenda. Os âmbitos (scopes) opcionais da Shopify para dados de clientes só são solicitados quando o Cliente ativa as funções que deles necessitam.

Cifragem

• Todo o tráfego é servido por HTTPS (TLS). Os webhooks e as chamadas à API da Shopify e as chamadas às API da Stripe e da Brevo utilizam TLS.
• As bases de dados PostgreSQL geridas e as respetivas cópias de segurança são cifradas em repouso pela DigitalOcean.
• As palavras-passe das lojas Shopify (storefront passwords) e as credenciais de análise dos sites são cifradas com AES-256-GCM; as chaves são mantidas apenas nas variáveis de ambiente cifradas da plataforma de alojamento.
• Os tokens de verificação do e-mail e os tokens do painel de controlo são armazenados apenas como hashes SHA-256; os tokens de utilização única são removidos ou marcados como utilizados após a utilização.

Confidencialidade e controlo de acessos

• Shopify: o acesso à administração exige um token de sessão Shopify verificado em cada pedido (App Bridge, token exchange); os dados estão sempre circunscritos à loja autenticada. Os webhooks só são aceites com uma assinatura HMAC válida.
• Sites: palavras-passe com hash scrypt; tokens de sessão armazenados como hashes SHA-256, com validade de 30 dias e expiração após 7 dias de inatividade; proteção contra CSRF em todos os formulários do painel de controlo; as ações sensíveis exigem uma confirmação recente da palavra-passe; painel de controlo e API pública em anfitriões separados; cada página de site verifica a qualidade de membro do utilizador; a assinatura dos webhooks da Stripe é verificada.
• Os endpoints públicos só aceitam uma chave pública válida e um anfitrião ou domínio de loja correspondente; os sinais de consentimento (consent beacons) são validados por esquema, limitados em tamanho (4 KB) e limitados em frequência por endereço IP e por loja ou site (os limites aplicam-se por instância de servidor).
• Os segredos (chaves de API, segredos das aplicações, chaves de e-mail e de pagamento) são armazenados como variáveis de ambiente cifradas da plataforma de alojamento e em segredos do GitHub Actions, nunca no código-fonte.
• O acesso à produção (DigitalOcean, bases de dados, registos) está limitado às pessoas identificadas nominalmente que constam do registo de acessos à produção do Prestador, o qual indica também se a autenticação de dois fatores está ativada nas contas que dão acesso aos sistemas de produção e às caixas de correio (DigitalOcean, GitHub, Stripe, Brevo, Proton, que aloja as caixas de correio [email protected] e [email protected], a entidade de registo do domínio e, para a aplicação Shopify, o Shopify Partner/Dev Dashboard). O registo é revisto pelo menos uma vez por ano e sempre que uma pessoa entra ou sai.
• As bases de dados de produção só aceitam ligações das aplicações do próprio Prestador; os computadores locais e o CI não se podem ligar.
• A área de administração interna do Prestador (listas de clientes, instalações, estatísticas de utilização) é só de leitura, está disponível apenas para contas de operador nominativas com autenticação de dois fatores e uma reautenticação recente, não mostra o conteúdo dos registos de consentimento nem dados de compradores ou visitantes, lê a base de dados Shopify através de um perfil (role) só de leitura limitado a colunas que não dizem respeito a visitantes, e regista cada acesso (quem, quando, o quê) num registo de auditoria só de acrescento (append-only).
• Os assistentes de programação baseados em inteligência artificial e outras ferramentas de desenvolvimento trabalham sobre código-fonte, sistemas de testes (staging) e dados de teste. Nunca acedem a bases de dados de produção, a registos de produção nem a Dados Pessoais do Cliente: não leem registos de produção, não executam consultas nem tarefas pontuais em bases de dados de produção e não copiam dados de produção. Podem efetuar alterações de infraestrutura (especificações de aplicações, variáveis de ambiente, segredos escritos sem serem lidos). Se esta regra for alguma vez alterada, o fornecedor da ferramenta (por exemplo, a Anthropic PBC, para o Claude) é previamente incluído no Anexo III (secção 6).
• Não são colocados dados pessoais de produção no repositório de código-fonte, em tickets (issues), em registos de CI, em dados de teste (test fixtures) nem em capturas de ecrã.
• Dados de clientes protegidos da Shopify (protected customer data): as medidas atestadas no Shopify Partner Dashboard são as descritas no presente Anexo; é conservada uma cópia da declaração juntamente com os registos do DPA. O acesso através da área de administração é registado; outros acessos do pessoal a dados pessoais de clientes (por exemplo, uma tarefa executada na base de dados durante um incidente) ainda não são registados individualmente (planeado).

Separação

• O ambiente de testes (staging) e o de produção funcionam como aplicações separadas com bases de dados separadas; os dados da Shopify e os dados dos sites estão em bases de dados separadas.
• O Serviço para sites utiliza utilizadores de base de dados dedicados sem direitos de administrador (o analisador tem o seu próprio utilizador, limitado às tabelas de análise). A Aplicação Shopify liga-se atualmente com o utilizador administrador do cluster de bases de dados; está planeado um utilizador dedicado.
• O processo de trabalho (worker) do analisador de cookies está isolado das aplicações web (contentor separado, um ambiente de navegador sem credenciais de base de dados nem segredos, tráfego de saída limitado a endereços públicos nas portas 80/443, um limite de tempo por análise). Serve vários ambientes e detém as respetivas credenciais de base de dados; na base de dados do Serviço para sites, utiliza o perfil restrito do analisador.

Integridade

• Os registos de consentimento são só de acrescento (append-only) na aplicação (sem função de edição).
• As migrações da base de dados são versionadas e aplicadas automaticamente antes de cada implementação.
• As alterações são desenvolvidas em ramos (branches) e verificadas por verificação automática de tipos, análise estática do código (linting), testes e compilações (builds) no CI em cada push. A produção só é implementada a partir do ramo de produção, e uma integração (merge) nesse ramo requer a aprovação expressa do proprietário; as verificações do CI têm de ser bem-sucedidas antes de a produção ser implementada. Estas regras fazem parte da política de segurança e de incidentes do Prestador.

Disponibilidade e resiliência

• Alojamento gerido com verificações de estado (health checks) e reinícios automáticos; bases de dados geridas com cópias de segurança diárias automáticas e recuperação para um momento específico (point-in-time recovery), conservadas durante 7 dias.
• As implementações anteriores podem ser revertidas (rollback).

Conservação e apagamento

• Tarefas automáticas de apagamento nos termos do Anexo I (a cada 6 horas: registos de consentimento, estatísticas, pedidos relativos a dados pessoais, pedidos de livre resolução, análises e, para os sites, contas cujo período de eliminação terminou). Shopify: webhooks de conformidade obrigatórios.

E-mail

• Os e-mails transacionais são enviados através da API da Brevo a partir do domínio consentl.com (SPF, DKIM, DMARC). A monitorização de aberturas e cliques da Brevo é anonimizada (sem dados de interação associados ao destinatário), e o Prestador não utiliza dados de interação.
• Em produção, a chave da API de e-mail está sempre configurada; sem ela (apenas em desenvolvimento), os e-mails são escritos no registo da aplicação em vez de serem enviados. Está planeada uma proteção no código que impeça o registo do conteúdo das mensagens em produção.

Registos (logs)

• Os registos da aplicação contêm dados operacionais (domínios das lojas ou ids dos sites, resultados de tarefas, mensagens de erro) e não contêm endereços IP de visitantes nem o conteúdo dos pedidos. Registos de pedidos: Anexo I. O Prestador não armazena nem reencaminha registos: os registos de execução (runtime) existem na DigitalOcean apenas enquanto a aplicação está em execução e são eliminados quando é implementada uma nova versão; os registos de compilação e de implementação, que não contêm dados pessoais de visitantes, são conservados pela DigitalOcean durante 90 dias. Dados de pedidos na rede edge: cláusula 11.3.

Localização

• Servidores de aplicações e bases de dados em Frankfurt, Alemanha (região DigitalOcean fra/fra1).

Medidas organizativas

• Compromisso de confidencialidade de todas as pessoas com acesso (secção 4); compromissos escritos de confidencialidade para qualquer membro do pessoal ou colaborador externo.
• A resposta a incidentes segue a política escrita de segurança e de incidentes do Prestador: deteção, contenção, avaliação no prazo de 24 horas, notificação do Cliente nos termos da secção 8 (e, enquanto responsável pelo tratamento, da autoridade de controlo no prazo de 72 horas), recuperação e inscrição de cada violação num registo de violações. Um responsável pela gestão de incidentes (e, quando designado, um contacto suplente) é identificado no registo de acessos à produção.
• São mantidos registos das atividades de tratamento enquanto subcontratante (artigo 30.º, n.º 2, do RGPD), revistos pelo menos uma vez por ano.
• Proteção de dados desde a conceção: análise de privacidade das novas funcionalidades antes do seu lançamento.

Anexo III — Subcontratantes ulteriores

Os subcontratantes ulteriores autorizados à data do presente DPA. Os pormenores, as localizações, as garantias e o histórico de alterações constam da lista de subcontratantes ulteriores.

Fonte: docs/legal/pt/DPA.md no repositório do Consentl.