Acordo de tratamento de dados
Nos termos do art. 28.º do RGPD
Última atualização: 25 de julho de 2026
O presente contrato de subcontratação («CS») faz parte integrante das condições de utilização celebradas entre si, enquanto titular da conta («responsável pelo tratamento»), e a Fontemia GmbH, enquanto operadora do BgLetter («subcontratante»). Aplica-se automaticamente e sem assinatura autónoma a partir do momento em que faça tratar dados pessoais dos seus destinatários através do Channel. A pedido, disponibilizamos-lhe um exemplar assinado.
1. Objeto, âmbito e duração
O objeto do tratamento é a execução do envio de e-mail desencadeado pelo responsável pelo tratamento através do Channel BgLetter. O subcontratante não efetua, deliberadamente, qualquer gestão de contactos ou de endereços: os dados dos destinatários são disponibilizados pelo responsável em cada envio, tratados exclusivamente para esse envio e eliminados automaticamente findo o prazo previsto no ponto 10. O tratamento perdura enquanto a conta existir e termina com a sua eliminação, sem prejuízo das obrigações legais de conservação.
2. Natureza e finalidade do tratamento
Recolha, conservação, personalização, ordenação, tradução e transmissão de dados de destinatários para efeitos do envio das mensagens criadas pelo responsável pelo tratamento, através do fornecedor de e-mail deste; bem como o registo de eventos de entrega, abertura, clique e cancelamento, a manutenção da lista de cancelamentos e o registo técnico para análise de erros e prevenção de abusos.
3. Categorias de titulares dos dados e de dados
Os titulares dos dados são os destinatários das mensagens determinados pelo responsável pelo tratamento. Categorias de dados tratados: endereço de e-mail, nome e os campos de personalização disponibilizados pelo responsável, bem como indicações de idioma e de país e dados de eventos relativos a entrega, abertura, clique e cancelamento. O responsável não pode fazer tratar através do Channel categorias especiais de dados pessoais nos termos do art. 9.º do RGPD nem dados nos termos do art. 10.º do RGPD.
4. Vinculação às instruções
O subcontratante trata dados pessoais exclusivamente mediante instruções documentadas do responsável pelo tratamento, salvo se estiver obrigado a tratá-los por força do direito da União ou dos Estados-Membros; nesse caso, comunica ao responsável essa exigência legal antes do tratamento, salvo se o direito o proibir por motivos de interesse público importante. A utilização das funcionalidades do Channel vale como instrução. As instruções individuais carecem de forma escrita. O subcontratante informa o responsável sem demora se entender que uma instrução viola o direito da proteção de dados; pode suspender a execução até esclarecimento.
5. Confidencialidade
O subcontratante assegura que as pessoas autorizadas a tratar os dados assumiram um compromisso de confidencialidade ou estão sujeitas a adequadas obrigações legais de sigilo, e que foram instruídas nas disposições de proteção de dados aplicáveis. O círculo de pessoas com acesso está limitado ao mínimo necessário para a execução do contrato.
6. Medidas técnicas e organizativas (art. 32.º do RGPD)
O subcontratante adota, em especial, as seguintes medidas: transmissão cifrada de todos os dados (TLS); armazenamento cifrado das credenciais da conta de e-mail (AES-256) e armazenamento das palavras-passe exclusivamente sob a forma de hash; separação estrita de clientes ao nível da base de dados; controlo de acessos baseado em funções e autenticação de dois fatores opcional; registo das operações relevantes para a segurança; robustecimento dos servidores, firewall, limites de taxa e deteção de abusos; cópias de segurança regulares dos dados do sistema; minimização de dados através da eliminação automática ao fim de 30 dias; servidores localizados na Alemanha. O subcontratante pode desenvolver estas medidas, desde que o nível de proteção não seja reduzido.
7. Subcontratantes ulteriores
O responsável pelo tratamento concede autorização geral para o recurso aos seguintes subcontratantes ulteriores: um prestador de alojamento com servidores na Alemanha, para o funcionamento da infraestrutura, e a Anthropic, para as funcionalidades opcionais de IA (tradução e assistente), sendo que, neste caso, são transmitidos exclusivamente conteúdos de mensagens e nenhuns endereços de destinatários. O processamento de pagamentos através do PayPal respeita exclusivamente a dados do próprio responsável e ocorre sob a responsabilidade deste. O fornecedor de e-mail escolhido pelo responsável não é subcontratante ulterior do subcontratante, situando-se na esfera de responsabilidade do responsável. O subcontratante informa por escrito, com pelo menos 30 dias de antecedência, sobre alterações previstas; o responsável pode opor-se por motivo importante relacionado com a proteção de dados e, nesse caso, resolver o contrato.
8. Apoio ao responsável pelo tratamento
O subcontratante apoia o responsável pelo tratamento, através de medidas técnicas e organizativas adequadas, na resposta aos pedidos dos titulares dos dados (art. 12.º a 23.º do RGPD), bem como no cumprimento das obrigações decorrentes dos art. 32.º a 36.º do RGPD, na medida em que tal seja adequado e o subcontratante disponha das informações necessárias. Se um titular dos dados se dirigir diretamente ao subcontratante, este encaminha sem demora o pedido para o responsável. O subcontratante pode faturar, em função do esforço despendido, as prestações de apoio que excedam o âmbito previsto no art. 28.º do RGPD.
9. Notificação de violações de dados pessoais
O subcontratante notifica o responsável pelo tratamento, por escrito, sem demora e o mais tardar no prazo de 48 horas após ter tido conhecimento, de qualquer violação de dados pessoais de que tome conhecimento, e disponibiliza as informações de que dispõe e de que o responsável necessite para cumprir as suas próprias obrigações de notificação nos termos dos art. 33.º e 34.º do RGPD. A obrigação de notificação à autoridade de controlo e aos titulares dos dados cabe exclusivamente ao responsável.
10. Eliminação e devolução
Os dados dos destinatários, os conteúdos das mensagens e os dados de eventos são eliminados automática e irreversivelmente no prazo máximo de 30 dias após o respetivo envio. Após a cessação do contrato, o subcontratante elimina todos os restantes dados pessoais no prazo de 30 dias, salvo se existir obrigação legal de conservação; as cópias de segurança são sobrescritas no âmbito dos ciclos regulares de salvaguarda. O responsável pelo tratamento é obrigado a salvaguardar os dados de que necessite, através das funções de exportação, antes de decorridos estes prazos. Apenas a lista de cancelamentos é conservada de forma permanente, para cumprimento das obrigações decorrentes do art. 21.º do RGPD.
11. Provas e auditorias
O subcontratante disponibiliza ao responsável pelo tratamento todas as informações necessárias para demonstrar o cumprimento das obrigações decorrentes do art. 28.º do RGPD, em regra através de uma descrição atualizada das medidas técnicas e organizativas e de informação escrita. Se, no caso concreto, estas provas não forem suficientes, o subcontratante permite uma auditoria mediante aviso prévio com prazo razoável, durante o horário normal de expediente, no máximo uma vez por ano, sem perturbação da atividade, salvaguardando a confidencialidade e os direitos de outros clientes, e a expensas do responsável. As auditorias por terceiros pressupõem a vinculação destes ao sigilo; estão excluídos concorrentes.
12. Obrigações do responsável pelo tratamento
O responsável pelo tratamento é o único responsável pela licitude do tratamento. Assegura, em especial, que existe fundamento jurídico válido para cada contacto — designadamente um consentimento comprovável —, que informa os destinatários de forma transparente, que satisfaz os direitos dos titulares, que respeita as oposições e que não transmite categorias especiais de dados pessoais. Mantém, por si próprio, o registo das atividades de tratamento relativo aos seus tratamentos e avalia sob a sua responsabilidade a necessidade de uma avaliação de impacto sobre a proteção de dados.
13. Responsabilidade
A responsabilidade na relação entre as partes rege-se pelas condições de utilização; o art. 82.º do RGPD mantém-se inalterado. Na relação interna, cada parte suporta a parcela do dano correspondente ao seu contributo de responsabilidade. O responsável pelo tratamento isenta o subcontratante das pretensões que se fundem na ilicitude dos dados por si disponibilizados ou das instruções por si dadas.
14. Transferências internacionais
O tratamento ocorre em servidores na Alemanha (UE/EEE). O subcontratante tem sede na Suíça, relativamente à qual existe uma decisão de adequação da Comissão Europeia (art. 45.º do RGPD). A transferência para um país terceiro sem decisão de adequação ocorre exclusivamente no âmbito das funcionalidades opcionais de IA e está salvaguardada pelas cláusulas contratuais-tipo da Comissão Europeia.
15. Disposições finais
As alterações ao presente CS carecem de forma escrita. Em caso de contradição, as disposições do presente CS prevalecem sobre as condições de utilização no domínio da subcontratação. Caso alguma disposição seja inválida, a validade das restantes mantém-se inalterada. É determinante a versão alemã.
16. Contacto
Para questões sobre o presente CS, contacte:
Esta página tem caráter informativo e não constitui aconselhamento jurídico.
Veja também: Termos de Serviço · Política de Privacidade · Informações legais