Acordo de Processamento de Dados (DPA)
Regula o tratamento de dados pessoais pela Construttiva enquanto subcontratante do Cliente, nos termos do artigo 28.º do RGPD.
1. Âmbito e Definições
O presente Acordo de Processamento de Dados ("DPA") complementa os Termos e Condições e aplica-se quando o Cliente, no âmbito da utilização do Serviço, introduz dados pessoais de terceiros (os seus clientes, colaboradores, etc.) na plataforma Construttiva.
Para efeitos deste DPA:
• "Responsável pelo Tratamento" significa o Cliente
• "Subcontratante" significa a Renova Mais, Lda., enquanto operadora da Construttiva
• "Dados Pessoais do Responsável" significa os dados pessoais de terceiros que o Cliente introduz no Serviço
2. Obrigações da Construttiva
A Construttiva compromete-se a:
a) Tratar os dados apenas segundo as instruções documentadas do Cliente (Termos + DPA)
b) Garantir que as pessoas autorizadas a tratar os dados estão sujeitas a obrigações de confidencialidade
c) Implementar medidas técnicas e organizacionais adequadas (art. 32.º RGPD)
d) Notificar o Cliente em até 48 horas após tomar conhecimento de uma violação de dados
e) Eliminar ou devolver todos os dados pessoais após a prestação do Serviço, conforme instrução do Cliente
f) Fornecer toda a informação necessária para demonstrar conformidade e permitir auditorias
3. Subprocessadores
A Construttiva utiliza os seguintes subprocessadores aprovados para o tratamento de dados. PostHog e Sentry aplicam-se apenas quando estiverem efetivamente ativados no Serviço:
| Subprocessador | Finalidade | País | Salvaguarda |
|----------------|-------------------------|------|---------------------|
| Supabase | Base de dados, auth | EUA | CCT CE |
| Vercel | Alojamento aplicação | EUA | CCT CE |
| Resend | Email transacional | EUA | CCT CE |
| Stripe | Processamento pagamentos| EUA | PCI DSS + CCT CE |
| PostHog | Analytics consentido | UE | Alojamento UE |
| Sentry | Monitorização de erros | UE/EUA | CCT CE; sem PII por configuração |
O Cliente autoriza a utilização destes subprocessadores. A Construttiva notificará de qualquer alteração com 30 dias de antecedência.
4. Transferências Internacionais
As transferências de dados para países fora do EEE são efectuadas com base em Cláusulas Contratuais Tipo aprovadas pela Comissão Europeia (Decisão 2021/914).
5. Direitos dos Titulares
A Construttiva assistirá o Cliente no cumprimento das suas obrigações relativamente aos direitos dos titulares de dados (acesso, rectificação, eliminação, portabilidade, etc.), tendo em conta a natureza do tratamento.
6. Medidas de Segurança
A Construttiva implementa e mantém as seguintes medidas de segurança:
• Encriptação gerida pelos fornecedores em repouso e HTTPS/TLS em trânsito
• Isolamento lógico por tenant com Row Level Security (RLS) no PostgreSQL
• Controlo de acesso baseado em funções (RBAC) com princípio de menor privilégio
• Autenticação multi-factor para acesso à infraestrutura
• Backups com controlos de acesso, checksums e ensaios de restauração
• Logs de auditoria de acessos e operações sensíveis
• Testes automatizados de segurança e revisão periódica dos controlos
7. Violações de Dados
Em caso de violação de dados pessoais, a Construttiva notificará o Cliente em até 48 horas com as informações disponíveis, incluindo: natureza da violação, categorias e volume de dados afectados, medidas tomadas ou propostas para remediar a situação.