Acordo de Tratamento de Dados (DPA) — Rito

Modelo de adesão eletrónica no onboarding

Última atualização: 22 de agosto de 2026

Partes

Responsável pelo Tratamento: o escritório, sociedade, profissional ou organização que utiliza o Rito e decide as finalidades e meios essenciais do tratamento dos dados dos seus clientes.

Subcontratante: GKWJ LLC, atuando sob o nome comercial 7 Pro Labs, com sede em 1512 Little Wren Ln, Winter Park, FL 32792, Estados Unidos, enquanto operadora do serviço Rito.

Contacto do Subcontratante: [email protected]

Artigo 1 — Definições

1.1. Dados Pessoais são quaisquer dados pessoais tratados pelo Subcontratante em nome do Responsável.

1.2. Instruções Documentadas são as instruções dadas pelo Responsável através da configuração da conta, utilização do produto, pedidos de suporte e termos aceites no onboarding.

1.3. Subprocessador é qualquer fornecedor contratado pelo Subcontratante para tratar dados pessoais necessários à prestação do serviço.

Artigo 2 — Objeto e duração

2.1. O Subcontratante trata dados pessoais exclusivamente para prestar, proteger, manter e melhorar o serviço Rito, de acordo com as Instruções Documentadas do Responsável.

2.2. Este acordo vigora durante a subscrição ou utilização ativa do serviço, incluindo o período necessário para encerramento, exportação ou eliminação dos dados.

Artigo 3 — Obrigações do Subcontratante

O Subcontratante compromete-se a:

Tratar os dados apenas de acordo com as Instruções Documentadas do Responsável.
Assegurar que pessoas autorizadas a tratar dados estão vinculadas por deveres de confidencialidade.
Implementar medidas técnicas e organizativas adequadas, incluindo controlo de acessos, encriptação em trânsito, segregação por organização, logs de auditoria e backups.
Auxiliar o Responsável, dentro do razoável e tecnicamente possível, na resposta a pedidos de exercício de direitos dos titulares.
Auxiliar o Responsável no cumprimento das obrigações de segurança, avaliação de impacto e consulta prévia quando aplicável.
Disponibilizar informação razoável para demonstrar o cumprimento das obrigações previstas no artigo 28.º do RGPD.
Eliminar ou devolver dados pessoais após o fim da relação contratual, salvo obrigação legal de conservação.

Artigo 4 — Obrigações do Responsável

O Responsável compromete-se a:

Ter uma base legal adequada para os dados que introduz no Rito.
Informar os titulares dos dados sobre a utilização de ferramentas digitais e subprocessadores quando aplicável.
Configurar permissões, utilizadores e acessos de forma proporcional às funções de cada pessoa.
Introduzir dados de acesso a portais governamentais apenas quando exista autorização adequada do titular, finalidade documentada e necessidade operacional.
Não carregar dados desnecessários, excessivos ou incompatíveis com a finalidade do processo.
Comunicar instruções adicionais de forma documentada quando necessário.

Artigo 5 — Subprocessadores

5.1. O Responsável autoriza o uso dos subprocessadores listados no documento de Subprocessadores disponibilizado no onboarding e na aplicação.

5.2. Alterações materiais à lista de subprocessadores serão comunicadas com antecedência razoável, normalmente 30 dias, salvo urgência de segurança, continuidade ou exigência legal.

5.3. O Responsável pode apresentar objeção fundamentada a um novo subprocessador através de [email protected].

Artigo 5-A — Ligações a sistemas de IA do Responsável

5-A.1. Ligação de IA é a ligação que o Responsável estabelece, por sua iniciativa, entre o Rito e um sistema de inteligência artificial que o próprio Responsável contratou (por exemplo Claude, ChatGPT ou equivalente), através da funcionalidade de conector disponibilizada no produto.

5-A.2. A ativação de uma Ligação de IA constitui uma Instrução Documentada do Responsável para efeitos do artigo 28.º, n.º 3, alínea a), do RGPD. A aplicação regista essa instrução com o utilizador que a deu, a data e hora, e o fornecedor de IA indicado pelo Responsável.

5-A.3. O fornecedor do sistema de IA ligado pelo Responsável não é subprocessador do Subcontratante e não consta da lista de subprocessadores. O Subcontratante não o seleciona, não o contrata, não o remunera e não lhe transmite dados por iniciativa própria: a relação contratual quanto a esse tratamento é estabelecida diretamente entre o Responsável e o fornecedor de IA, em que o Responsável atua como responsável pelo tratamento.

5-A.4. Compete ao Responsável, antes de ativar uma Ligação de IA:

Verificar as condições do plano contratado junto do seu fornecedor de IA, em particular quanto a retenção de dados e utilização para treino de modelos, que variam consoante o plano.
Celebrar com esse fornecedor o acordo de tratamento de dados que a sua atividade exija.
Avaliar a compatibilidade da ligação com os deveres profissionais aplicáveis, designadamente o segredo profissional.
Informar os titulares dos dados quando tal seja devido.

5-A.5. O Subcontratante assegura, quanto à Ligação de IA, que:

A ligação está desativada por omissão e só pode ser ativada por um utilizador com o papel de owner na organização.
As credenciais emitidas têm prazo de validade obrigatório, não superior a 90 dias, são revogáveis a qualquer momento com efeito imediato, e são guardadas apenas sob forma cifrada.
Cada credencial atua com a identidade e as permissões de uma pessoa concreta da organização, pelo que a suspensão dessa pessoa suspende igualmente a ligação.
O acesso está limitado a um conjunto fechado e documentado de operações de leitura e de escrita, descrito na Nota Técnica sobre Ligações de IA.
Estão excluídos do alcance da ligação, sem possibilidade de configuração em contrário: as credenciais de portais públicos guardadas no cofre de acessos, os números de identificação civil e fiscal (NIF, NISS, CPF, passaporte), os documentos de identificação, os ficheiros carregados, a faturação, a gestão de membros e quaisquer operações de envio para o exterior.
Nenhuma operação disponível através da ligação envia mensagens, correio eletrónico, pedidos de assinatura ou qualquer outra comunicação para fora da organização.
Todos os acessos, incluindo as leituras, são registados com a ferramenta utilizada, o momento, a pessoa e o número de registos devolvidos, e esse registo é consultável pelo Responsável dentro da aplicação.

5-A.6. A desativação da Ligação de IA nas definições da organização produz efeito imediato sobre todas as credenciais existentes, sem necessidade de as revogar individualmente.

5-A.7. A ativação de uma Ligação de IA não transfere para o Subcontratante qualquer dever profissional que recaia sobre o Responsável, designadamente o segredo profissional, que permanece integralmente na esfera deste.

Artigo 6 — Transferências internacionais

6.1. Quando o tratamento envolver transferência de dados pessoais para fora do Espaço Económico Europeu, o Subcontratante utilizará salvaguardas adequadas, incluindo Cláusulas Contratuais-Tipo da Comissão Europeia quando aplicável.

6.2. A utilização do Rito por uma entidade sediada fora da União Europeia pode exigir avaliações adicionais pelo Responsável, especialmente quando tratar dados de titulares localizados na União Europeia.

Artigo 7 — Violações de dados pessoais

7.1. O Subcontratante notificará o Responsável sem demora injustificada após tomar conhecimento de uma violação de dados pessoais que afete dados tratados em nome do Responsável.

7.2. A notificação incluirá, quando disponível, a natureza da violação, categorias de dados afetados, número aproximado de titulares, consequências prováveis e medidas adotadas ou propostas.

Artigo 8 — Eliminação e exportação

8.1. Após o término da relação contratual, o Subcontratante eliminará ou devolverá os dados pessoais de acordo com a configuração do produto, pedido documentado do Responsável e obrigações legais aplicáveis.

8.2. Dados eliminados pelo utilizador podem permanecer temporariamente em backups, logs ou mecanismos de recuperação até conclusão dos ciclos técnicos de purga.

Artigo 9 — Aceitação eletrónica

9.1. Este DPA é aceite no onboarding através da confirmação expressa do utilizador autorizado pelo Responsável.

9.2. A aplicação regista a aceitação com o nome indicado, função ou qualidade, organização, utilizador autenticado, data/hora, versões dos documentos aceites e registo de auditoria disponível internamente.

9.3. Esta aceitação eletrónica serve como evidência contratual de adesão aos termos do DPA. Não é apresentada como assinatura eletrónica qualificada para efeitos do Regulamento eIDAS.

9.4. Se uma parte exigir assinatura eletrónica qualificada ou assinatura separada do DPA, o documento deve ser assinado através de prestador de serviços de confiança qualificado antes do tratamento que exija esse nível de formalidade.