Acordo de tratamento de dados

Versão 1, 2026-09-30. Descarregar em PDF

1. Partes e âmbito

Este acordo faz parte do contrato de serviço entre a empresa que usa os nossos serviços (o cliente, responsável pelo tratamento) e a Repete, Lda., Rua Marquesa de Alorna 38, 3.º Esq., 1700-304 Lisboa, Portugal, NIPC e IVA PT518 751 570 (nós, subcontratante), para o Agentic Commerce by BlueForestCore, o Agentic Onboarding by BlueForestCore e os serviços que os acompanham. Cumpre o que o artigo 28.º do Regulamento Geral sobre a Proteção de Dados (Regulamento (UE) 2016/679, RGPD) exige. Em matéria de dados pessoais, prevalece sobre o contrato de serviço. Contacto: info@repete.pt.

2. O que tratamos e porquê

• Objeto e finalidade: pôr a funcionar o assistente de IA no site e nos canais do cliente, e os fluxos de contactos, encomendas, marcações, orçamentos e apoio que o acompanham, apenas para prestar o serviço ao cliente.
• Natureza: alojamento, armazenamento, respostas de modelos de IA, envio de mensagens e preparação de relatórios para o cliente.
• Duração: a do contrato de serviço, mais o prazo de apagamento da secção 9.
• Titulares: os clientes e visitantes do site do cliente que usam o assistente, e os colaboradores do cliente que usam o serviço.
• Dados: o que as pessoas escrevem na conversa e as respostas; os contactos que decidam dar, como um nome, um email ou um telefone; dados de encomendas, marcações e orçamentos; dados técnicos como o endereço IP. O serviço não precisa de categorias especiais de dados, e o cliente não as pede às pessoas.

3. As nossas obrigações

• Tratamos os dados apenas segundo as instruções documentadas do cliente: o contrato de serviço, este acordo e as definições do cliente. Se o direito da UE ou o direito português exigir outro tratamento, informamos o cliente antes de o iniciar, salvo se esse direito o proibir. Avisamos o cliente se considerarmos que uma instrução viola a legislação de proteção de dados.
• Todas as pessoas da Repete, Lda. com acesso aos dados estão sujeitas a um dever de confidencialidade.
• Aplicamos as medidas do artigo 32.º do RGPD descritas na secção 6.
• Ajudamos o cliente a responder às pessoas que exercem os seus direitos, e na segurança, nas notificações de violações, nas avaliações de impacto e nas consultas prévias (artigos 32.º a 36.º do RGPD).
• Nunca usamos os dados para treinar modelos de IA, nunca os vendemos e nunca os usamos para publicidade.
• O assistente diz sempre que é uma IA (artigo 50.º do Regulamento (UE) 2024/1689).

4. Subcontratantes ulteriores

O cliente dá uma autorização geral por escrito para estes subcontratantes ulteriores, cada um vinculado a condições de proteção de dados que protegem os dados pelo menos tanto como este acordo:

• Amazon Web Services: alojamento, armazenamento e os modelos de IA do assistente, em regiões da UE.
• Google Workspace: o email, incluindo os relatórios, os avisos de novos contactos e outros emails que o serviço envia em nome do cliente, e os ficheiros do Google Sheets e do Google Drive que o cliente partilha connosco.
• Google: pesquisa na web (Google Custom Search, e Gemini com a Pesquisa Google no assistente de administração do cliente) e sugestões de morada na finalização da encomenda (Google Places), e a conversão da localização que a pessoa partilha num nome de lugar (Google Geocoding), apenas quando o cliente os usa.
• Twilio: mensagens de WhatsApp e SMS, apenas quando o cliente usa esses canais.
• Telegram: os alertas internos da nossa equipa e o assistente de administração do cliente. Os alertas automáticos levam dados mascarados; uma consulta da nossa equipa, e esse assistente, podem mostrar os dados completos.

Avisamos o cliente pelo menos 30 dias antes de acrescentar ou substituir um. O cliente pode opor-se por motivos razoáveis de proteção de dados; se não conseguirmos resolver a objeção, o cliente pode terminar o serviço em causa. Continuamos plenamente responsáveis perante o cliente pelo trabalho dos nossos subcontratantes ulteriores.

5. Transferências para fora da UE

O alojamento, o armazenamento e os modelos de IA do assistente ficam na UE. Quando um subcontratante ulterior possa tratar dados fora da UE (Google, Twilio, Telegram), a transferência assenta numa decisão de adequação, nas cláusulas contratuais-tipo da UE ou noutra garantia do capítulo V do RGPD.

6. Segurança

• Ligações cifradas e cifragem dos dados armazenados.
• Alojamento, armazenamento e modelos de IA do assistente em regiões da UE.
• Acesso apenas para quem precisa, com contas próprias.
• Registos de acessos e de alterações, guardados apenas o tempo que a segurança exige.
• Cópias de segurança que guardam dados apagados até 35 dias, e depois os eliminam.
• Uma revisão regular destas medidas.

7. Violações de dados pessoais

Avisamos o cliente sem demora injustificada, e no prazo máximo de 48 horas, depois de termos conhecimento de uma violação que afete os dados do cliente, com o que sabemos, os seus efeitos prováveis e o que estamos a fazer.

8. Informação e auditorias

Damos ao cliente a informação necessária para demonstrar que cumprimos este acordo. O cliente pode auditar-nos, diretamente ou através de um auditor independente sujeito a um dever de confidencialidade, uma vez por ano e depois de uma violação, com 30 dias de aviso e a expensas suas.

9. Fim do serviço

Quando o serviço termina, apagamos os dados pessoais do cliente no prazo de 30 dias, ou devolvemo-los antes, se o cliente o pedir antes do fim, salvo se o direito da UE ou o direito português nos obrigar a guardá-los. Os dados apagados saem das cópias de segurança nos 35 dias seguintes.

10. Responsabilidade e lei aplicável

A responsabilidade segue o contrato de serviço. Aplica-se a lei portuguesa, e os tribunais de Lisboa são competentes.

Repete, Lda. · NIPC 518 751 570 · IVA PT518751570 · Rua Marquesa de Alorna 38, 3.º Esq., 1700-304 Lisboa · info@repete.pt · +351 93 110 8888 (WhatsApp) · A BlueForestCore é uma marca da Repete, Lda.