Acordo de tratamento de dados (ATD)

Acordo sobre o tratamento de dados pessoais por conta do cliente, entre o cliente, na qualidade de responsável pelo tratamento, e a Zerovia GmbH, na qualidade de subcontratante.

Introdução

O presente acordo de tratamento de dados («ATD» ou «Acordo») faz parte integrante dos Termos de Utilização e das Condições de Subscrição entre o cliente («Cliente» ou «Responsável pelo tratamento») e a Zerovia GmbH, Via Casti 52, 7151 Schluein, Suíça («ZEROvia» ou «Subcontratante»), em conjunto designadas as «Partes».

Considerando que

• o cliente utiliza a plataforma da ZEROvia e, nesse âmbito, introduz dados pessoais, relativamente aos quais atua como responsável pelo tratamento;
• a ZEROvia trata estes dados pessoais exclusivamente por conta e segundo as instruções documentadas do cliente;
• as Partes pretendem definir as condições deste tratamento nos termos do art. 9.º da LPD suíça («DSG») e do art. 28.º do Regulamento (UE) 2016/679 («RGPD»);
• o tratamento pelo qual a própria ZEROvia é responsável (em especial o website, a gestão de clientes e a faturação, nos termos da política de privacidade) não está abrangido pelo presente acordo,

acordam as Partes o seguinte:

Artigo 1.º · Definições

1.1 «Acordo» designa o presente ATD, incluindo os Anexos 1 a 3. «Dados pessoais do cliente» são os dados pessoais que a ZEROvia trata por conta do cliente no contexto dos Serviços (Anexo 1). «Leis de proteção de dados» são a DSG, incluindo a respetiva ordenação (DSV), o RGPD e outras disposições aplicáveis. «Serviços» são os serviços digitais da ZEROvia nos termos dos Termos de Utilização e das Condições de Subscrição, em especial a plataforma zerovia.app. «Subcontratantes ulteriores» são todas as pessoas que tratem dados pessoais do cliente por conta ou em nome da ZEROvia.

1.2 Termos como «responsável pelo tratamento», «titular dos dados», «dados pessoais», «violação da segurança dos dados» e «tratamento» têm o significado que lhes é atribuído pela DSG, respetivamente pelo RGPD.

Artigo 2.º · Objeto, natureza, finalidade e duração

2.1 A ZEROvia trata dados pessoais do cliente exclusivamente para a prestação dos Serviços nos termos do Contrato principal (Termos de Utilização e Condições de Subscrição, bem como eventuais acordos individuais).

2.2 O objeto, a natureza e a finalidade, as categorias de titulares dos dados e as categorias de dados pessoais estão definidos no Anexo 1.

2.3 A duração corresponde ao prazo do Contrato principal, acrescido dos prazos previstos no artigo 10.º.

2.4 Campanhas de dados. Se um cliente, na qualidade de comprador, convidar fornecedores através dos Serviços, é responsável pelo tratamento dos contactos que importa e pelo tratamento dos dados libertados na sua conta. A ZEROvia trata estes dados como subcontratante do comprador. O fornecedor é responsável pelos dados que regista e liberta na sua própria conta; aplica-se a esses dados o seu contrato próprio com a ZEROvia.

Artigo 3.º · Instruções

3.1 A ZEROvia trata os dados pessoais do cliente apenas mediante instruções documentadas do cliente, salvo se estiver obrigada por lei a um tratamento diferente; nesse caso, informa previamente o cliente, salvo se a lei o proibir.

3.2 Consideram-se instruções documentadas o Contrato principal, bem como a utilização e a configuração dos Serviços pelo cliente, incluindo funções, direitos, libertações e consentimentos.

3.3 A ZEROvia informa sem demora o cliente se, na sua opinião, uma instrução violar as Leis de proteção de dados, podendo suspender uma instrução manifestamente ilícita.

Artigo 4.º · Obrigações da ZEROvia

4.1 A ZEROvia compromete-se a:

4.1.1 cumprir as Leis de proteção de dados aplicáveis;

4.1.2 tratar os dados pessoais do cliente apenas mediante instruções e apenas para a prestação dos Serviços;

4.1.3 não utilizar os dados pessoais do cliente para fins próprios, em especial não para treinar modelos de IA acessíveis a terceiros; a ZEROvia só utiliza dados agregados anonimizados para melhoria interna após o opt-in expresso do cliente;

4.1.4 obrigar todas as pessoas autorizadas a tratar dados à confidencialidade;

4.1.5 limitar o acesso aos dados pessoais do cliente às pessoas que o necessitem para a sua função; os acessos do suporte e do desenvolvimento aos dados dos clientes só podem ocorrer com fundamento documentado, por prazo limitado e de forma registada;

4.1.6 implementar as medidas técnicas e organizativas previstas no artigo 5.º;

4.1.7 sempre que for permitido, informar o cliente sobre pedidos vinculativos de autoridades relativos aos dados pessoais do cliente e limitar a divulgação ao estritamente exigido por lei.

Artigo 5.º · Medidas técnicas e organizativas

5.1 Tendo em conta o estado da técnica, os custos e a natureza, o âmbito e a finalidade do tratamento, a ZEROvia adota medidas adequadas para garantir um nível de proteção adequado ao risco (art. 8.º DSG, em conjugação com os art. 1.º e seguintes DSV; art. 32.º RGPD).

5.2 As medidas estão descritas no Anexo 2. Parte das medidas de infraestrutura é assegurada por subcontratantes ulteriores, em especial a Infomaniak, e está contratualmente garantida à ZEROvia.

5.3 A ZEROvia revê e melhora continuamente as medidas e pode adaptá-las, desde que o nível de proteção não diminua.

Artigo 6.º · Subcontratantes ulteriores

6.1 O cliente concede à ZEROvia autorização geral para recorrer a subcontratantes ulteriores. Os subcontratantes ulteriores recorridos estão indicados no Anexo 3, mantido em zerovia.ch/unterauftragsverarbeiter/.

6.2 A ZEROvia informa o cliente, com pelo menos 30 dias de antecedência, sobre a contratação ou substituição de um subcontratante ulterior, por e-mail e nesta página. O cliente pode opor-se por escrito, no prazo de 30 dias, por motivo relevante de proteção de dados (basta um e-mail). Se a oposição impedir a continuação, qualquer das Partes pode rescindir o Serviço afetado.

6.3 A ZEROvia vincula contratualmente cada subcontratante ulterior a obrigações de proteção de dados pelo menos equivalentes às suas e continua responsável perante o cliente pelo seu cumprimento.

Artigo 7.º · Direitos dos titulares dos dados

7.1 A ZEROvia apoia o cliente, na medida do tecnicamente possível, na resposta aos pedidos dos titulares dos dados.

7.2 Se um titular dos dados dirigir um pedido à ZEROvia, esta encaminha-o sem demora para o cliente e só o responde mediante instrução do cliente ou quando estiver legalmente obrigada a fazê-lo.

Artigo 8.º · Apoio ao cliente

8.1 A ZEROvia apoia o cliente em matéria de segurança dos dados, notificação de violações da segurança dos dados, avaliação de impacto sobre a proteção de dados e consulta prévia da autoridade de controlo, na medida em que as informações estejam disponíveis na ZEROvia.

Artigo 9.º · Violações da segurança dos dados

9.1 A ZEROvia notifica o cliente de qualquer violação da segurança dos dados que afete dados pessoais do cliente o mais rapidamente possível e, o mais tardar, no prazo de 48 horas após ter tomado conhecimento, facultando as informações de que o cliente necessita para as suas próprias notificações.

9.2 A ZEROvia coopera com o cliente e adota as medidas adequadas para investigar, conter e corrigir a violação.

9.3 A notificação é enviada para o endereço de contacto registado na conta ou para o contacto de proteção de dados do cliente; do lado da ZEROvia, para privacy@zerovia.ch.

Artigo 10.º · Eliminação e devolução

10.1 À escolha do cliente, a ZEROvia elimina ou devolve os dados pessoais do cliente após o termo dos Serviços, o mais tardar 30 dias após a cessação, salvo se existir uma obrigação legal de conservação.

10.2 Antes da cessação, o cliente efetua as exportações necessárias; a ZEROvia apoia-o nesse processo na medida do tecnicamente possível.

10.3 A ZEROvia confirma por escrito a eliminação, mediante pedido.

Artigo 11.º · Comprovação e auditorias

11.1 A ZEROvia disponibiliza as informações necessárias para comprovar o cumprimento.

11.2 Se estas informações não forem suficientes, a ZEROvia permite ao cliente, ou a um auditor sujeito a confidencialidade, realizar verificações em condições razoáveis e com aviso prévio adequado, sem pôr em risco a segurança de outros clientes. Podem ser faturados custos adicionais razoáveis.

Artigo 12.º · Transferências para o estrangeiro

12.1 Os dados pessoais do cliente são tratados principalmente na Suíça (alojamento na Infomaniak, Genebra). O tratamento por IA é feito na UE a partir de 01.12.2026. Entre a Suíça e a UE, ou o EEE, existe um nível de proteção adequado reconhecido mutuamente; as transferências correspondentes não exigem garantias adicionais.

12.2 As transferências para subcontratantes ulteriores noutros países só são feitas com garantias adequadas, em especial as cláusulas contratuais-tipo da Comissão Europeia, com as adaptações reconhecidas pelo EDÖB, complementadas por uma Transfer Impact Assessment e medidas técnicas de proteção, ou, para destinatários certificados, com base no Swiss-U.S. Data Privacy Framework. O Anexo 3 indica o mecanismo aplicável a cada subcontratante ulterior.

Artigo 13.º · Responsabilidade

13.1 A responsabilidade rege-se pelo Contrato principal. Perante os titulares dos dados e as autoridades de controlo aplica-se a repartição da responsabilidade nos termos do art. 82.º do RGPD, respetivamente as disposições da DSG.

Artigo 14.º · Vigência e prevalência

14.1 O presente acordo vigora em conjunto com o Contrato principal e pelo período de subsistência previsto no artigo 10.º.

14.2 Em matéria de tratamento de dados, o presente acordo prevalece sobre os Termos de Utilização e as Condições de Subscrição. Quanto ao restante, a ordem de prevalência é a seguinte: acordo individual, Condições de Subscrição, presente ATD, Termos de Utilização.

14.3 As alterações requerem forma escrita (texto). Se alguma cláusula for inválida, as restantes mantêm-se em vigor.

Artigo 15.º · Lei aplicável e foro

15.1 Aplica-se exclusivamente o direito suíço.

15.2 O foro competente é Chur (GR).

O presente acordo produz efeitos por via eletrónica com a celebração do Contrato principal e é válido sem assinatura. Para grandes clientes, pode ainda ser assinado.

Anexo 1 · Detalhes do tratamento

Aspeto	Descrição
Objeto	Disponibilização da plataforma zerovia.app: perfil e libertação, relatórios e clima, CO₂ de produtos, pedidos de clientes, fornecedores e campanhas de dados, acesso de parceiros
Natureza do tratamento	Recolha, registo, armazenamento, estruturação, leitura com IA, redação de textos com IA, apresentação, transmissão após libertação pelo cliente, envio de e-mails em nome do comprador, eliminação
Finalidade	Exclusivamente a prestação dos Serviços contratados pelo cliente
Titulares dos dados	Utilizadores e colaboradores do cliente; pessoas de contacto no perfil; pessoas de contacto dos fornecedores do cliente, também nas campanhas de dados; pessoas mencionadas em documentos carregados ou em fontes web públicas da triagem de fornecedores
Dados pessoais	Dados de contacto e dados mestres (nome, função, e-mail profissional, telefone), dados de conta e de utilização, dados de registo, conteúdo dos documentos carregados, eventos de envio e de cliques dos convites. Dados pessoais particularmente sensíveis apenas na medida em que sejam introduzidos pelo cliente; segundo os Termos de Utilização, isso não deve acontecer
Duração	Prazo do Contrato principal, acrescido dos prazos previstos no artigo 10.º

Anexo 2 · Medidas técnicas e organizativas

Categoria	Implementação
Acesso físico	Funcionamento em centros de dados da Infomaniak na Suíça, com restrições de acesso e medidas de segurança física
Acesso ao sistema	Autenticação de dois fatores como padrão, com códigos de recuperação; bloqueio após tentativas falhadas; regras de palavra-passe; autenticação de dois fatores obrigatória para administradores
Acesso aos dados	Funções e direitos (proprietário, administrador, membros; Category Manager apenas de leitura); princípio do privilégio mínimo; acesso do suporte aos dados do cliente apenas com fundamento, prazo e registo
Separação	Separação lógica entre os espaços de cada cliente; libertação por cliente e secção
Cifragem	Transmissão cifrada (TLS) e cifragem dos dados armazenados, segundo o estado da técnica
IA	Sem utilização de dados dos clientes para treinar modelos públicos; prestadores de IA na UE a partir de 01.12.2026; sugestões com indicação da fonte, sujeitas a aprovação pelo cliente
Rastreabilidade	Registo de alterações (audit log), registo de eventos relevantes para a segurança e de acessos administrativos
Disponibilidade	Armazenamento redundante e cópias de segurança regulares na Infomaniak; processos de recuperação
Incidentes	Processo de deteção, notificação e correção de violações da segurança dos dados (artigo 9.º)
Verificação	Controlos internos e testes de segurança externos; ISO 27001 em preparação
Controlo de subcontratação	Vinculação contratual dos subcontratantes ulteriores a obrigações equivalentes
Eliminação	Processos de eliminação e conservação nos termos do artigo 10.º
Pessoal	Compromisso de confidencialidade de todas as pessoas com direitos de acesso

Anexo 3 · Subcontratantes ulteriores

Os subcontratantes ulteriores aprovados, com sede, finalidade e mecanismo de transferência, constam da página Subcontratantes ulteriores, com o histórico de alterações.

Representante na UE (art. 27.º RGPD): iuro Rechtsanwälte GmbH t/a Prighter, Schellinggasse 3, 1010 Viena, Áustria, privacy@zerovia.ch. Autoridade de controlo competente na Suíça: Comissário Federal para a Proteção de Dados e a Transparência (EDÖB), Berna.