# Acordo de Tratamento de Dados (DPA) **Versão:** 1.0 **Data de entrada em vigor:** 18 de maio de 2026 **Base legal:** Artigo 28.º do Regulamento (UE) 2016/679 (RGPD) > Este Acordo de Tratamento de Dados ("DPA") complementa os Termos e > Condições da NorIA. Vigora automaticamente para qualquer Contratante > que utilize a Plataforma e processa dados pessoais. Pode ser pedida > uma versão executada (assinada por ambas as partes) através de > `contacto@noria.pt`, assunto "DPA". --- ## 1. Partes ### Responsável pelo Tratamento ("Contratante") A entidade jurídica identificada na conta NorIA, que utiliza a Plataforma para tratar dados pessoais dos seus próprios clientes, leads ou contactos. ### Subcontratante ("Noria") **Nelson Kuchar Junior** — profissional em nome individual (regime de trabalhador independente / recibos verdes), a operar sob a designação comercial **Noria**. - NIF: disponível mediante pedido (`contacto@noria.pt`) - Local de atividade: Portugal - Contacto DPO: Nelson Kuchar Junior — `contacto@noria.pt` (assunto: "RGPD") --- ## 2. Objeto e duração A NorIA atua como **Subcontratante** (Art. 4.º, n.º 8 RGPD) ao tratar dados pessoais em nome do Contratante para os fins descritos no Anexo I. O DPA vigora enquanto a relação contratual com a NorIA estiver ativa e sobrevive até à devolução ou eliminação documentada de todos os dados. --- ## 3. Natureza, finalidade e duração do tratamento | Tipo | Descrição | | --- | --- | | **Natureza** | Receção, armazenamento, processamento e disponibilização de mensagens, contactos, agendas e métricas de atendimento via WhatsApp Business API, Google Calendar e canais conexos. | | **Finalidade** | Permitir ao Contratante prestar atendimento ao cliente, gerir CRM, executar campanhas autorizadas e operar agentes de IA configurados pelo próprio Contratante. | | **Duração** | Durante a vigência da subscrição. Após cessação, aplicam-se os prazos de retenção da Cláusula 9. | --- ## 4. Tipo de dados pessoais e categorias de titulares ### 4.1 Categorias de titulares - Clientes finais e leads do Contratante. - Colaboradores do Contratante (quando interagem com a Plataforma). - Quaisquer outras pessoas singulares cujos dados o Contratante decida introduzir. ### 4.2 Categorias de dados - **Dados de contacto:** nome, número de telefone, email. - **Conteúdo de comunicações:** mensagens trocadas via WhatsApp, ficheiros enviados, áudios e imagens. - **Dados de agenda:** eventos sincronizados com Google Calendar. - **Dados comerciais:** estado de funil, etiquetas, notas, valor de oportunidade. - **Metadados técnicos:** identificadores, timestamps, IP de receção. ### 4.3 Dados sensíveis (Art. 9.º RGPD) A Plataforma **não foi concebida** para o tratamento de dados de categorias especiais. O Contratante compromete-se a não introduzir dados de saúde, crenças, dados biométricos ou outros sensíveis, exceto se houver acordo prévio escrito e medidas de segurança adicionais. --- ## 5. Obrigações da NorIA A NorIA compromete-se a: 1. **Tratar os dados apenas conforme instruções escritas** do Contratante, incluindo no que se refere a transferências para países terceiros, salvo se obrigação legal o exigir (Art. 28.º, n.º 3, alínea a). 2. **Garantir a confidencialidade** das pessoas autorizadas a tratar os dados, mediante NDAs e formação RGPD anual. 3. **Implementar as medidas técnicas e organizativas** descritas no Anexo II (Art. 32.º RGPD). 4. **Apoiar o Contratante** no exercício de direitos dos titulares (Art. 12.º a 22.º RGPD), em prazo razoável e com custos proporcionais. 5. **Apoiar o Contratante em DPIAs**, notificações de violação e consultas prévias à autoridade (Art. 35.º a 36.º RGPD). 6. **Notificar** o Contratante sem demora injustificada (≤ 72 horas) em caso de violação de dados pessoais. 7. **Disponibilizar** a documentação necessária para demonstrar conformidade e permitir auditorias do Contratante (ou auditor contratado), até **uma vez por ano**, com 30 dias de pré-aviso, em horário comercial e sob NDA. 8. **Devolver ou eliminar** os dados nos termos da Cláusula 9. 9. **Informar** imediatamente o Contratante se considerar que uma instrução viola o RGPD ou outra norma aplicável. --- ## 6. Subprocessadores autorizados O Contratante autoriza, por defeito, os subprocessadores listados em [noria.pt/legal/subprocessadores](https://noria.pt/legal/subprocessadores). A NorIA compromete-se a: - Vincular cada subprocessador a obrigações **substancialmente equivalentes** às deste DPA (Art. 28.º, n.º 4 RGPD). - Notificar o Contratante com **pelo menos 30 dias de antecedência** antes de adicionar ou substituir qualquer subprocessador. - Assumir total responsabilidade perante o Contratante pelo cumprimento das obrigações por parte de qualquer subprocessador. O Contratante pode opor-se a um novo subprocessador, em prazo razoável. Caso a oposição não seja resolvida, qualquer parte pode resolver o contrato. --- ## 7. Transferências internacionais Sempre que possível, os dados permanecem no Espaço Económico Europeu (EEE). Quando a transferência para país terceiro for inevitável (e.g. OpenAI, Google), a NorIA recorre a: - **Cláusulas Contratuais-Tipo** aprovadas pela Decisão (UE) 2021/914. - **Data Privacy Framework UE-EUA** (Decisão (UE) 2023/1795), quando o destinatário esteja certificado. - **Avaliação de Impacto de Transferência** (TIA) documentada para cada fornecedor afetado. --- ## 8. Direitos dos titulares Quando um titular contacte a NorIA exercendo os seus direitos (Art. 12.º a 22.º RGPD), a NorIA **redirecionará** o pedido para o Contratante, que é o Responsável pelo Tratamento. A NorIA disponibiliza ferramentas no painel administrativo (`/settings/data`) para que o Contratante possa, sem assistência: - Exportar os dados de um titular em formato JSON/CSV (portabilidade). - Anonimizar ou eliminar registos individuais. - Consultar e revogar consentimentos. --- ## 9. Retenção, devolução e eliminação ### 9.1 Durante a vigência Os dados são conservados conforme as regras de retenção configuradas pelo Contratante (`/settings/data-privacy`) ou, na ausência de configuração, com os seguintes prazos por defeito: | Categoria | Prazo por defeito | Configurável até | | --- | --- | --- | | Mensagens (texto + media) | 18 meses | 3 a 36 meses | | Conversas inativas (encerradas) | 12 meses | 3 a 36 meses | | Eventos de agenda (Calendar) | Conforme política Google | n/a | | Logs técnicos / segurança | 12 meses | 6 a 24 meses | | Logs de auditoria (handoff IA, RGPD) | 5 anos | mínimo legal | ### 9.2 Após cessação A NorIA, à escolha do Contratante (notificada por escrito), num prazo de **30 dias após o término**: - **Devolve** os dados em formato estruturado (JSON, CSV, NDJSON), ou - **Elimina** os dados em definitivo, incluindo cópias. A eliminação é confirmada por escrito (relatório com hash dos volumes). A retenção residual em **backups cifrados** persiste apenas pelo tempo necessário para a rotação técnica (máximo 90 dias), durante o qual os dados ficam isolados e não são tratados ativamente. --- ## 10. Incidentes de segurança A NorIA notifica o Contratante: - Por email para o contacto principal e por banner persistente no painel. - **Em prazo não superior a 72 horas** após a tomada de conhecimento. - Indicando: natureza do incidente, categorias e número aproximado de titulares afetados, consequências prováveis, medidas tomadas e contacto do DPO (Art. 33.º, n.º 3 RGPD). A NorIA mantém um **plano de resposta a incidentes** documentado e testado, com simulações anuais. --- ## 11. Auditorias e demonstração de conformidade O Contratante (ou um auditor independente contratado, sob NDA) pode auditar o cumprimento deste DPA, mediante: - Pré-aviso mínimo de 30 dias (15 dias em caso de incidente declarado). - Frequência máxima anual, salvo determinação de autoridade. - Reembolso pelo Contratante dos custos razoáveis se o âmbito exceder o perímetro habitual de uma SOC 2 / ISO 27001. A NorIA disponibiliza, mediante pedido: - Relatórios de penetration test anuais (sumário público). - Política de segurança da informação. - Resultados de auditorias internas e correções aplicadas. --- ## 12. Responsabilidade Cada parte é responsável pelos danos resultantes do incumprimento das suas obrigações nos termos do RGPD e deste DPA. O regime de limitação de responsabilidade dos Termos e Condições aplica-se subsidiariamente, sem prejuízo dos direitos imperativos dos titulares (Art. 82.º RGPD). --- ## 13. Disposições finais - **Lei aplicável:** Direito português, com referência subsidiária ao Direito da União Europeia. - **Foro:** Comarca de Lisboa, com renúncia a qualquer outro. - **Idiomas:** Em caso de divergência entre versões linguísticas, prevalece a versão portuguesa. - **Hierarquia:** Em caso de conflito entre este DPA e os Termos e Condições no que respeita a tratamento de dados pessoais, este DPA prevalece. --- ## Anexo I — Descrição do tratamento Disponibilizado de forma dinâmica no painel `/settings/data-privacy` e atualizado sempre que o Contratante altere a configuração da Plataforma. ## Anexo II — Medidas técnicas e organizativas (TOM) | Categoria | Medida | | --- | --- | | **Cifragem** | TLS 1.2+ em trânsito; AES-256 em repouso (DB + backups). | | **Controlo de acessos** | RBAC com princípio de privilégio mínimo; MFA obrigatório no painel administrativo da NorIA. | | **Segregação multi-tenant** | Isolamento lógico por `tenant_id` em todas as tabelas e cabeçalho `X-Tenant-Id` validado em cada pedido. | | **Pseudonimização** | Identificadores internos não correlacionáveis publicados; dados sensíveis tokenizados quando aplicável. | | **Disponibilidade** | Targets do SLA (99,5% Standard / 99,9% Enterprise); backups diários + retenção 30 dias. | | **Resiliência** | Failover automático entre zonas; testes de restauro trimestrais. | | **Logs e auditoria** | Logs de acesso e operações sensíveis durante 12 meses; logs RGPD durante 5 anos. | | **Gestão de vulnerabilidades** | Dependabot/Snyk; patches de criticidade alta em ≤ 7 dias. | | **Pen-tests** | Pen-test externo anual (full-scope); resumo público disponível sob NDA. | | **Formação** | Formação RGPD + segurança obrigatória anual para todos os colaboradores. | | **Subcontratação** | Cláusulas Art. 28.º RGPD em todos os subprocessadores; lista pública atualizada. | | **Resposta a incidentes** | Plano IR documentado; notificação ≤ 72h; comunicação aos titulares quando exigido. | --- *Este documento é mantido por Nelson Kuchar Junior (designação comercial Noria), sob responsabilidade do Encarregado de Proteção de Dados (DPO).* *Pedidos relacionados: `contacto@noria.pt`, assunto "DPA".*