Acordo de Subcontratação de Dados
Data Processing Agreement (DPA) · BFRI – Simple Work Management
1. Partes
Entre:
BFRI Solutions Lda, NIF 519295544, com sede na Rua do Manjapão, nº 46, 2565-770 Turcifal, Portugal, titular dos direitos de exploração da marca BFRI (doravante designada por "Subcontratante"),
e
O Subscritor da plataforma BFRI (doravante designado por "Responsável pelo Tratamento").
O presente acordo regula o tratamento de dados pessoais realizado no âmbito da utilização da plataforma BFRI.
2. Objeto
O presente Acordo estabelece as condições segundo as quais o Subcontratante trata dados pessoais por conta do Responsável pelo Tratamento, no âmbito da disponibilização da plataforma BFRI.
3. Natureza e Finalidade do Tratamento
O tratamento tem como finalidade:
- Disponibilização de infraestrutura digital de gestão de clientes e projetos
- Armazenamento e organização de dados
- Comunicação interna na plataforma
- Execução de funcionalidades contratadas
4. Duração
O tratamento ocorrerá durante a vigência da relação contratual.
Após cessação:
- Os dados podem ser eliminados da plataforma
- Podem permanecer armazenados em backups por um período máximo de 180 dias exclusivamente para recuperação técnica
5. Tipos de Dados Pessoais
Podem ser tratados, consoante inserção pelo Responsável:
- Dados de identificação
- Dados de contacto
- Dados fiscais
- Dados técnicos
- Documentação associada a projetos
- Dados financeiros relacionados com orçamentos
O Subcontratante não determina o conteúdo inserido.
6. Categorias de Titulares
- Clientes do Responsável pelo Tratamento
- Colaboradores do Responsável
- Técnicos
- Utilizadores da plataforma
7. Obrigações do Subcontratante
O Subcontratante compromete-se a:
- Tratar os dados apenas mediante instruções documentadas do Responsável
- Garantir confidencialidade das pessoas autorizadas a tratar os dados
- Implementar medidas técnicas e organizativas adequadas
- Assistir o Responsável no cumprimento das obrigações previstas nos artigos 32.º a 36.º do RGPD
- Notificar o Responsável de qualquer violação de dados pessoais no prazo máximo de 48 horas após deteção
- Manter registo interno de incidentes
- Não subcontratar terceiros sem assegurar garantias equivalentes
8. Medidas Técnicas e Organizativas
O Subcontratante implementa, designadamente:
- Encriptação HTTPS
- Encriptação de bases de dados em repouso
- Encriptação de ficheiros armazenados
- Backups automáticos
- Controlo de acesso por perfis
- Autenticação forte
- Registo de acessos administrativos
9. Subprocessadores
O Responsável autoriza o recurso aos seguintes subprocessadores:
- Cloudflare (infraestrutura, CDN, Workers e armazenamento de ficheiros R2 – União Europeia)
- Neon (base de dados PostgreSQL em Frankfurt, Alemanha)
- Resend (serviço de email transacional)
- Stripe (processamento de pagamentos — a BFRI não armazena dados de cartão)
- Moloni (faturação certificada, Portugal)
- PostHog (analytics na região UE, apenas com consentimento)
- Trigger.dev (execução de tarefas em segundo plano)
- Serviços de backup na União Europeia (dumps diários no Cloudflare R2)
O Subcontratante assegura que estes oferecem garantias adequadas de conformidade com o RGPD.
10. Acesso Administrativo
O super administrador da plataforma pode aceder aos dados inseridos exclusivamente para:
- Suporte técnico
- Resolução de incidentes
- Cumprimento de obrigações legais
Todos os acessos são registados.
11. Incidentes de Segurança
Em caso de violação de dados pessoais:
- O Responsável será notificado até 48 horas após deteção
- A notificação incluirá as informações previstas no artigo 33.º do RGPD
- O Subcontratante prestará assistência para cumprimento de eventuais obrigações de notificação à autoridade de controlo ou titulares
A comunicação aos titulares finais é da responsabilidade do Responsável pelo Tratamento.
12. Assistência ao Responsável
O Subcontratante prestará assistência razoável para:
- Responder a pedidos de exercício de direitos
- Avaliações de impacto
- Consultas prévias à autoridade de controlo
13. Auditorias
O Responsável pode solicitar informação razoável sobre as medidas de segurança implementadas.
Auditorias físicas apenas poderão ocorrer mediante pré-aviso e acordo prévio.
14. Eliminação ou Devolução de Dados
Após cessação contratual:
- Os dados podem ser eliminados
- Permanecer em backup até 180 dias
- Ser definitivamente apagados após esse período
15. Transferências Internacionais
Atualmente os dados são armazenados na União Europeia.
Qualquer futura transferência para país terceiro será efetuada com salvaguardas adequadas nos termos do RGPD.
16. Lei Aplicável
O presente Acordo rege-se pelo direito português e pelo Regulamento (UE) 2016/679.