Adenda ao tratamento de dados (DPA)

Data efectiva: 1 de janeiro de 2026

A presente adenda relativa ao tratamento de dados (“APD”) faz parte do acordo entre Aceitar Missão B.V. (“Aceitar Missão”, “Processador”) e a entidade cliente que subscreve o Aceitar Missão (“Cliente”, “Responsável pelo tratamento”). Este DPA aplica-se na medida em que Aceitar Missão processa os Dados Pessoais em nome do Cliente no âmbito da Aceitar Missão plataforma de software e serviços conexos (o “Serviço”).

Se estiver a aceitar este DPA em nome de uma organização, confirma que tem autoridade para vincular essa organização.

1) Definições #

Para efeitos do presente DPA:

• Lei de Proteção de Dados aplicável significa o RGPD e quaisquer leis aplicáveis dos Estados-Membros da UE e, quando aplicável, o RGPD do Reino Unido e a Lei de Proteção de Dados do Reino Unido de 2018 e a lei de proteção de dados da Suíça.
• Dados Pessoais do Cliente significa Dados Pessoais contidos nos Dados do Cliente que Aceitar Missão processa em nome do Cliente como parte da prestação do Serviço.
• Dados do Cliente significa dados, conteúdo, ficheiros e materiais enviados para o Serviço pelo Cliente ou pelos Utilizadores Autorizados.
• Utilizadores Autorizados significa indivíduos que o Cliente permite que utilizem o Serviço sob a conta do Cliente.
• Subprocessador é um terceiro contratado por Aceitar Missão processar os dados pessoais dos clientes para apoiar a prestação de serviços.
• Incidente de segurança significa uma destruição acidental ou ilegal confirmada, perda, alteração, divulgação não autorizada ou acesso aos Dados Pessoais do Cliente.
• Cláusulas contratuais-tipo ou CCT são as cláusulas contratuais-tipo aprovadas pela Comissão Europeia para as transferências internacionais.

2) Âmbito, funções e responsabilidades #

2.1 Cliente como responsável pelo controlo #

O Cliente é o Controlador dos Dados Pessoais do Cliente. O Cliente determina as finalidades e os meios de processamento, incluindo que Dados do Cliente são submetidos, quem tem acesso e como os Dados do Cliente são utilizados na organização do Cliente.

2.2 Aceitar Missão como Processador #

Aceitar Missão processa os Dados Pessoais do Cliente apenas como Processador e apenas para fornecer e proteger o Serviço, de acordo com as instruções documentadas do Cliente e com a presente APD.

3) Ordem de precedência #

Em caso de conflito entre documentos, aplica-se a seguinte ordem, salvo indicação expressa em contrário numa nota de encomenda:

1. Formulário de encomenda ou acordo comercial assinado
2. Esta DPA (para o processamento de Dados Pessoais do Cliente)
3. Termos de SaaS ou Contrato de Cliente
4. Termos de programas aplicáveis (API, beta, pilotos) se explicitamente acordados para esse programa

4) Instruções de processamento #

4.1 Instruções documentadas #

Aceitar Missão processará os Dados Pessoais do Cliente apenas de acordo com as instruções documentadas do Cliente, incluindo as necessárias para fornecer o Serviço e o suporte relacionado solicitado pelo Cliente, exceto se o processamento for exigido pela lei aplicável. Quando legalmente permitido, Aceitar Missão informará o Cliente de tal requisito legal antes do processamento.

4.2 Natureza e objetivo do tratamento #

O processamento é efectuado para fornecer o Serviço, incluindo alojamento, armazenamento, transmissão, segurança e disponibilização dos Dados do Cliente para funcionalidades de colaboração e fluxo de trabalho.

5) Confidencialidade #

Aceitar Missão garante que as pessoas autorizadas a processar os Dados Pessoais do Cliente estão sujeitas a obrigações de confidencialidade e recebem instruções adequadas à sua função. O acesso é limitado àqueles que dele necessitam para prestar o Serviço, seguindo os princípios do menor privilégio e da necessidade de conhecimento.

6) Segurança do tratamento #

Aceitar Missão implementa medidas técnicas e organizacionais adequadas concebidas para proteger os Dados Pessoais do Cliente em conformidade com o Artigo 32 do RGPD. Estas medidas são descritas a um nível elevado no Anexo C.

7) Subprocessadores #

7.1 Autorização para utilizar subcontratantes #

O cliente fornece uma autorização geral para Aceitar Missão contratar subcontratantes para apoiar a prestação de serviços. Aceitar Missão garante que os Subcontratantes estão vinculados a obrigações não menos protectoras do que as previstas no presente DPA.

7.2 Lista de subprocessadores e actualizações #

As categorias de subcontratantes e a lista atual utilizada para a prestação de serviços são descritas no Apêndice B.

Aceitar Missão pode atualizar os Subprocessadores. Se for adicionado um novo subprocessador ou se um subprocessador for substituído, Aceitar Missão notificará previamente o Cliente, sempre que tal seja exigido por lei.

7.3 Objecções #

Se o Cliente se opuser de forma razoável a um novo Subcontratante por motivos de proteção de dados, o Cliente pode notificar Aceitar Missão dentro do prazo de pré-aviso. As partes trabalharão de boa fé para resolver a objeção. Se não houver uma solução razoável Solução estiver disponível e a alteração for materialmente necessária para fornecer o Serviço, qualquer uma das partes pode rescindir a subscrição afetada sem penalização pelo período pré-pago não utilizado.

8) Assistência ao cliente #

Tendo em conta a natureza do tratamento, Aceitar Missão prestará assistência razoável ao Cliente no que respeita a:

• Responder aos pedidos dos titulares dos dados relativos aos Dados Pessoais do Cliente, sempre que o Cliente não possa responder utilizando os controlos do Serviço.
• Segurança, notificações de violação e Risco avaliações relevantes para a utilização do Serviço pelo Cliente.
• AIPD e consultas com as autoridades de controlo, na medida em que sejam relevantes para o Serviço e as informações disponíveis para Aceitar Missão.

O cliente continua a ser responsável por responder aos titulares dos dados e às autoridades de controlo na qualidade de responsável pelo tratamento.

9) Notificação de incidentes de segurança #

Aceitar Missão notificará o Cliente sem atrasos indevidos após a confirmação de um Incidente de Segurança que envolva Dados Pessoais do Cliente. Sempre que possível, a notificação será efectuada no prazo de 48 horas após a confirmação.

A notificação incluirá as informações disponíveis que apoiam as obrigações do Cliente, tais como:

• Uma descrição do incidente e do seu impacto provável
• Categorias de dados envolvidas (se conhecidas)
• Medidas adoptadas ou previstas para resolver o incidente
• Acções recomendadas para o cliente (se aplicável)

10) Eliminação ou devolução dos dados pessoais do cliente #

Após a cessação ou expiração do Serviço, e a pedido do Cliente, quando disponível:

• O Cliente pode exportar os Dados do Cliente utilizando as ferramentas de exportação disponíveis.
• Aceitar Missão eliminará ou devolverá os Dados Pessoais do Cliente de acordo com as instruções do Cliente, sujeito à legislação aplicável e a ciclos razoáveis de retenção de cópias de segurança.

11) Auditorias e informações sobre a conformidade #

Aceitar Missão disponibilizará as informações razoavelmente necessárias para demonstrar a conformidade com a presente APD. O Cliente pode solicitar uma revisão de segurança ou de conformidade uma vez por ano, exceto se ocorrer um Incidente de Segurança, caso em que o Cliente pode solicitar informações adicionais relevantes para o incidente.

As auditorias no local estão sujeitas a um âmbito, calendário, salvaguardas de confidencialidade e afetação de custos razoáveis e não devem perturbar injustificadamente Aceitar Missão operações.

12) Transferências internacionais #

12.1 Local de processamento primário #

Os Dados Pessoais do Cliente são alojados e processados principalmente no Espaço Económico Europeu, com alojamento padrão na Europa Ocidental, a menos que o Cliente selecione uma região alternativa quando disponível ao abrigo de um acordo empresarial.

12.2 Transferências para fora da UE ou do EEE #

Se os Dados Pessoais do Cliente forem transferidos para fora da UE ou do EEE, Aceitar Missão assegurará um mecanismo de transferência adequado ao abrigo da legislação aplicável em matéria de proteção de dados, como por exemplo:

• SCCs, mais medidas suplementares, se necessário
• Para as transferências do Reino Unido, a Adenda Internacional sobre a Transferência de Dados do Reino Unido ou outro mecanismo válido do Reino Unido
• Para as transferências suíças, os mecanismos reconhecidos suíços aplicáveis

13) Responsabilidade civil #

Cada parte é responsável pela sua própria conformidade com a legislação aplicável em matéria de proteção de dados. A responsabilidade relativa ao presente APD segue as disposições de limitação de responsabilidade do acordo comercial aplicável, exceto se a lei obrigatória exigir o contrário.

14) Prazo #

Este DPA permanece em vigor durante o período de Aceitar Missão processa os Dados Pessoais do Cliente em nome do Cliente.