Última atualização : 2026-05-20

title: "Acordo de tratamento de dados (DPA)" slug: "dpa" relatedTo: "conditions-generales (clause 12), politique-de-confidentialite (§2)" lastUpdated: "2026-05-20" language: "pt"

Acordo relativo ao tratamento de dados pessoais (DPA)

Anexo «RGPD» às Condições Gerais de Utilização e de Venda do SEOrestoApp

1. Objeto e enquadramento

O presente acordo (o «DPA») enquadra os tratamentos de dados pessoais realizados por SEOrestoApp («SEOrestoApp» ou o «Subcontratante») por conta do cliente profissional que subscreve o serviço SEOrestoApp (o «Cliente» ou o «Responsável pelo Tratamento»).

Faz parte integrante das Condições Gerais de Utilização e de Venda (o «Contrato») e prevalece sobre estas para qualquer questão relativa à proteção de dados pessoais.

2. Definições

Os termos «dados pessoais», «tratamento», «responsável pelo tratamento», «subcontratante», «titular dos dados», «violação de dados» e «subcontratante ulterior» têm o significado que lhes é atribuído pelo RGPD. O «Contrato» designa as CGU/CGV; as «Instruções» designam as escolhas de configuração do Cliente no Serviço e qualquer instrução escrita documentada.

3. Papéis das partes

O Cliente atua na qualidade de responsável pelo tratamento dos dados pessoais dos titulares dos dados (nomeadamente os clientes dos seus estabelecimentos). O SEOrestoApp atua na qualidade de subcontratante, tratando esses dados unicamente para prestar o Serviço e com base em Instrução documentada do Cliente.

O Cliente garante dispor de uma base jurídica adequada e ter cumprido as suas obrigações de informação relativamente aos titulares dos dados para os tratamentos confiados ao SEOrestoApp.

4. Descrição do tratamento

A natureza, as finalidades, a duração, as categorias de dados e de titulares dos dados são descritas no Anexo 1.

5. Obrigações do SEOrestoApp (subcontratante)

Em conformidade com o artigo 28.º, n.º 3, do RGPD, o SEOrestoApp compromete-se a:

a) Instruções. Tratar os dados apenas com base em Instrução documentada do Cliente, incluindo para transferências fora da UE, salvo obrigação legal; nesse caso, o SEOrestoApp informa o Cliente antes do tratamento, salvo proibição legal.

b) Confidencialidade. Assegurar que as pessoas autorizadas a tratar os dados estejam sujeitas a uma obrigação de confidencialidade.

c) Segurança. Implementar as medidas técnicas e organizativas adequadas na aceção do artigo 32.º do RGPD, descritas no Anexo 2.

d) Subcontratação ulterior. Recorrer a subcontratantes ulteriores nas condições da cláusula 7 e do Anexo 3.

e) Assistência — direitos dos titulares. Ajudar o Cliente, na medida do possível e tendo em conta a natureza do tratamento, a responder aos pedidos de exercício dos direitos dos titulares dos dados (artigos 12.º a 23.º do RGPD). Quando um pedido é dirigido diretamente ao SEOrestoApp, este transmite-o ao Cliente sem responder por si próprio, salvo instrução em contrário.

f) Assistência — segurança e conformidade. Ajudar o Cliente a cumprir as suas obrigações em matéria de segurança, notificação de violações, avaliação de impacto (AIPD) e consulta prévia (artigos 32.º a 36.º do RGPD), tendo em conta as informações de que dispõe o SEOrestoApp.

g) Destino dos dados no final do contrato. No termo do Contrato, à escolha do Cliente, devolver ou eliminar todos os dados pessoais tratados por sua conta. Na ausência de instrução, o SEOrestoApp procede à eliminação. Os dados e as suas cópias existentes são eliminados num prazo de 30 dias, salvo obrigação legal de conservação; as cópias de segurança são purgadas segundo o ciclo normal de rotação das cópias de segurança.

h) Documentação e auditorias. Colocar à disposição do Cliente as informações necessárias para demonstrar o cumprimento das obrigações do artigo 28.º, e permitir a realização de auditorias nas condições da cláusula 8.

6. Violação de dados pessoais

Em caso de violação de dados que afete os dados tratados por conta do Cliente, o SEOrestoApp informa o Cliente sem demora injustificada e o mais tardar nas 48 horas após ter tomado conhecimento.

A notificação descreve, na medida do possível: a natureza da violação, as categorias e o número aproximado de pessoas e registos afetados, as prováveis consequências, as medidas tomadas ou propostas e um ponto de contacto. O SEOrestoApp coopera com o Cliente para remediar a violação. O SEOrestoApp não notifica a autoridade de controlo nem os titulares dos dados em nome do Cliente, salvo instrução escrita.

7. Subcontratantes ulteriores

O Cliente concede uma autorização geral escrita para o recurso aos subcontratantes ulteriores listados no Anexo 3.

Em caso de adição ou substituição de um subcontratante ulterior, o SEOrestoApp informa o Cliente com um pré-aviso de pelo menos 30 dias, permitindo ao Cliente opor-se por motivos razoáveis relacionados com a proteção de dados. Em caso de oposição não resolvida, o Cliente pode rescindir a parte do Serviço em causa, sem penalização, em derrogação da cláusula de duração do Contrato.

O SEOrestoApp impõe a cada subcontratante ulterior, por contrato, obrigações de proteção de dados equivalentes às do presente DPA, e mantém-se plenamente responsável pelo cumprimento das suas obrigações.

8. Auditorias

O SEOrestoApp coloca à disposição do Cliente a documentação pertinente (políticas, certificações, relatórios) que permite verificar o cumprimento do presente DPA. O Cliente pode, no máximo uma vez por ano (e sem limite em caso de violação comprovada ou pedido de uma autoridade), solicitar uma auditoria complementar por meio de um questionário e, se necessário, uma auditoria no local com um pré-aviso razoável de pelo menos 30 dias, durante o horário de trabalho, sem perturbar a exploração, e sob reserva de confidencialidade. Os custos de uma auditoria no local solicitada pelo Cliente ficam a seu cargo, salvo incumprimento comprovado do SEOrestoApp.

9. Transferências fora da União Europeia

Alguns subcontratantes ulteriores estão situados fora da UE (ver Anexo 3). Estas transferências são enquadradas por garantias adequadas na aceção do capítulo V do RGPD: cláusulas contratuais-tipo da Comissão Europeia e/ou adesão ao Data Privacy Framework quando aplicável, completadas se necessário por medidas suplementares.

10. Responsabilidade

A responsabilidade das partes ao abrigo do presente DPA insere-se nos limites e tetos previstos pelo Contrato (ver cláusula 13 das CGU/CGV), sem prejuízo das disposições imperativas do RGPD.

11. Duração

O presente DPA produz os seus efeitos durante toda a duração dos tratamentos realizados por conta do Cliente e cessa com o cumprimento das obrigações da cláusula 5.g.

12. Lei aplicável e jurisdição

O presente DPA é regido pelo direito francês. Qualquer litígio é da competência dos tribunais competentes da comarca de Paris, sem prejuízo das regras imperativas.

Anexo 1 — Descrição do tratamento

• Natureza e finalidade: sincronização e armazenamento de avaliações de clientes; geração assistida por IA e publicação de respostas a avaliações; gestão das informações de presença do estabelecimento; programação e publicação de Google Posts; recolha de feedback via QR code; análise estatística e semântica da reputação.
• Duração: duração do Contrato, depois eliminação/restituição de acordo com a cláusula 5.g.
• Categorias de titulares dos dados: clientes e consumidores dos estabelecimentos do Cliente (autores de avaliações, pessoas que deixam feedback via QR code); eventualmente, utilizadores designados pelo Cliente.
• Categorias de dados:
  • identidade tal como apresentada pela plataforma (nome ou pseudónimo do autor da avaliação);
  • conteúdo, classificação e data das avaliações;
  • classificação e comentário livre dos feedbacks recolhidos via QR code;
  • quaisquer dados pessoais que uma pessoa escolha incluir num texto livre.
• Categorias especiais (art. 9.º RGPD): nenhuma é solicitada ou requerida. O Cliente compromete-se a não utilizar o Serviço para tratar tais dados; um texto livre pode, no entanto, contê-los de forma incidental.

Anexo 2 — Medidas técnicas e organizativas (art. 32.º RGPD)

• Encriptação em repouso dos tokens de acesso Google (OAuth): encriptação AES-256-GCM com gestão de chaves por envelope (KMS).
• Encriptação em trânsito: TLS/HTTPS para todas as comunicações.
• Controlo de acesso: autenticação, gestão de funções, princípio do menor privilégio.
• Isolamento multi-tenant: cada Cliente liga a sua própria conta Google; separação lógica dos dados entre Clientes.
• Minimização: apenas os dados necessários são transmitidos aos serviços de IA para a geração de conteúdo.
• Registo de acessos e ações sensíveis.
• Cópias de segurança regulares e alojamento seguro.
• Gestão de correções e atualizações de segurança.
• Procedimento de gestão de incidentes e notificação de violações.

Atualize este anexo para refletir as suas medidas reais e quaisquer certificações obtidas (ex. ISO 27001, SOC 2 dos seus prestadores).

Anexo 3 — Subcontratantes ulteriores

Última atualização: 20 de maio de 2026.