Acordo de Tratamento de Dados

Última atualização: 18 de setembro de 2026

O presente Acordo de Tratamento de Dados ("ATD") é celebrado entre a Notnull, Unipessoal, Lda, Rua Campo Alegre, N.º 1636, h42, 4150-176 Porto, Portugal ("Subcontratante", "nós") e o cliente do serviço Cisma em cisma.app ("Responsável pelo Tratamento", "Cliente"). Cada um é uma "Parte" e, em conjunto, as "Partes".

O presente ATD é celebrado ao abrigo do artigo 28.º do Regulamento (UE) 2016/679 ("RGPD") e rege o tratamento de Dados Pessoais pelo Subcontratante por conta do Responsável pelo Tratamento no âmbito do Serviço.

1. Definições

Os termos não definidos no presente ATD têm o significado que lhes é atribuído no RGPD.

• Legislação de Proteção de Dados Aplicável designa todas as leis e regulamentos aplicáveis ao tratamento de Dados Pessoais ao abrigo do presente ATD, incluindo o RGPD e a lei portuguesa de proteção de dados (Lei n.º 58/2019).
• Ação designa uma operação que o Serviço executa num Sistema Ligado por conta do Responsável pelo Tratamento, tal como enviar uma mensagem, emitir um reembolso, atualizar um registo ou agendar um evento.
• Automação designa uma configuração criada pelo Responsável pelo Tratamento que define um acionador, as instruções que o Serviço segue quando esse acionador é ativado, os Sistemas Ligados que pode utilizar e as Ações que carecem de aprovação humana.
• Sistema Ligado designa um sistema de terceiros que o Responsável pelo Tratamento liga ao Serviço, tal como uma conta de correio eletrónico, uma conta de mensagens, um prestador de serviços de pagamento, um CRM ou um back office interno.
• Responsável pelo Tratamento designa o cliente do Serviço, que determina as finalidades e os meios do tratamento.
• Dados Pessoais designa qualquer informação relativa a uma pessoa singular identificada ou identificável que o Subcontratante trate por conta do Responsável pelo Tratamento ao abrigo do presente ATD, incluindo os dados lidos ou escritos nos Sistemas Ligados, os dados que o Responsável pelo Tratamento coloca na Base de Conhecimento e os dados de conta.
• Base de Conhecimento designa os documentos, notas e instruções permanentes que o Responsável pelo Tratamento armazena no Serviço para que os agentes disponham do contexto de negócio de que necessitam.
• Violação de Dados Pessoais designa uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso não autorizados a Dados Pessoais.
• Subcontratante designa a Notnull, Unipessoal, Lda.
• Serviço designa o Cisma, a plataforma de automação de operações disponibilizada em cisma.app.
• Subcontratante Ulterior designa um terceiro que o Subcontratante contrata para tratar Dados Pessoais por conta do Responsável pelo Tratamento.
• Cláusulas Contratuais-Tipo ou CCT designa as cláusulas adotadas pela Comissão Europeia na Decisão de Execução (UE) 2021/914.

2. Objeto e finalidade do tratamento

2.1 Objeto

O Serviço lê os elementos que chegam aos Sistemas Ligados do Responsável pelo Tratamento, propõe um plano de Ações e executa essas Ações depois de o Responsável pelo Tratamento as aprovar ou quando o Responsável pelo Tratamento as tenha configurado para serem executadas sem aprovação. O presente ATD rege o tratamento de Dados Pessoais nesse trabalho.

2.2 Duração

O tratamento dura enquanto o Responsável pelo Tratamento utilizar o Serviço, acrescido dos prazos de conservação previstos na Secção 8.

2.3 Natureza e finalidade

O Subcontratante trata Dados Pessoais exclusivamente para:

1. Ler e classificar os elementos que chegam aos Sistemas Ligados.
2. Produzir um plano escrito de Ações para revisão pelo Responsável pelo Tratamento.
3. Executar as Ações aprovadas nos Sistemas Ligados, incluindo o envio de mensagens aos clientes, parceiros e colaboradores do próprio Responsável pelo Tratamento.
4. Conservar o contexto de negócio na Base de Conhecimento e na memória de cada conversa, para que os agentes atuem de forma coerente.
5. Manter um registo de auditoria do que foi proposto, aprovado e executado.
6. Prestar suporte ao Responsável pelo Tratamento e investigar avarias.

O Subcontratante não irá:

1. Utilizar os Dados Pessoais do Responsável pelo Tratamento para treinar os seus próprios modelos.
2. Vender ou partilhar os Dados Pessoais do Responsável pelo Tratamento, na aceção que a Legislação de Proteção de Dados Aplicável dá a esses termos.
3. Conservar, utilizar ou divulgar os Dados Pessoais do Responsável pelo Tratamento fora da relação comercial direta, ou para qualquer finalidade diferente das previstas na presente Secção.
4. Combinar os Dados Pessoais do Responsável pelo Tratamento com dados pessoais que receba de qualquer outra pessoa ou que recolha no âmbito das suas próprias relações com um Titular dos Dados.

2.4 Tipos de Dados Pessoais

Determinados pelo Responsável pelo Tratamento. O Responsável pelo Tratamento decide que Dados Pessoais o Serviço trata, ao escolher que sistemas ligar, que Automações executar e o que colocar na Base de Conhecimento.

O Subcontratante trata ainda os dados de conta dos próprios utilizadores do Serviço do Responsável pelo Tratamento, a saber, nome, endereço de correio eletrónico e identificadores de autenticação.

2.5 Categorias de Titulares dos Dados

Determinadas pelo Responsável pelo Tratamento.

2.6 Categorias especiais de dados

O Serviço não foi concebido para categorias especiais de Dados Pessoais nos termos do artigo 9.º do RGPD nem para dados relacionados com condenações penais nos termos do artigo 10.º. O Responsável pelo Tratamento não deve encaminhar esses dados através do Serviço, salvo se as Partes tiverem acordado medidas adicionais por escrito.

3. Obrigações do Responsável pelo Tratamento

O Responsável pelo Tratamento deve:

1. Dispor de um fundamento de licitude nos termos do artigo 6.º do RGPD para o tratamento e para instruir o Subcontratante a realizá-lo.
2. Prestar as informações e obter os consentimentos ou autorizações exigidos aos Titulares dos Dados, incluindo para as mensagens que o Serviço envia por conta do Responsável pelo Tratamento.
3. Configurar as suas Automações, definições de aprovação e permissões dos Sistemas Ligados de acordo com aquilo que está legalmente autorizado a fazer.
4. Manter a Base de Conhecimento livre de dados para cuja conservação não disponha de fundamento de licitude.
5. Decidir que Ações podem ser executadas sem aprovação humana e rever essa decisão à medida que o volume aumenta.
6. Cumprir as suas próprias obrigações nos termos da Legislação de Proteção de Dados Aplicável.

4. Decisões automatizadas e supervisão humana

4.1 Pontos de aprovação

O Serviço permite ao Responsável pelo Tratamento exigir aprovação humana para qualquer Ação, por Automação e por tipo de Ação. Quando o Responsável pelo Tratamento remove essa exigência, as Ações desse tipo são executadas sem que uma pessoa as reveja.

4.2 Artigo 22.º do RGPD

Cabe ao Responsável pelo Tratamento decidir se uma Automação produz uma decisão tomada exclusivamente com base no tratamento automatizado que produza efeitos na esfera jurídica de um Titular dos Dados ou que o afete significativamente de forma similar e, em caso afirmativo, cumprir as suas obrigações nos termos do artigo 22.º do RGPD. A pontuação, a classificação ou a rejeição de candidatos são exemplos em que tal pode ser aplicável. O Subcontratante deve, mediante pedido, disponibilizar o registo de auditoria e a configuração necessários para que o Responsável pelo Tratamento demonstre uma intervenção humana significativa.

4.3 Exatidão

Os resultados produzidos por um modelo de linguagem podem estar errados. O Subcontratante não presta qualquer garantia de que qualquer plano, classificação ou rascunho produzido pelo Serviço seja exato, completo ou adequado a uma determinada decisão. O Responsável pelo Tratamento não deve basear-se no Serviço como fonte única de uma decisão relativa a um Titular dos Dados sem revisão.

4.4 Responsabilidade pelas decisões

O Responsável pelo Tratamento decide que Automações executar, que instruções lhes dar, a que Sistemas Ligados podem aceder e que Ações podem ser executadas sem aprovação. O Responsável pelo Tratamento é responsável por essas decisões e por todas as Ações que o Serviço realize ao abrigo das mesmas, incluindo as Ações que configurou para serem executadas sem que uma pessoa as reveja.

Na máxima medida permitida por lei, o Subcontratante não é responsável por uma decisão que o Responsável pelo Tratamento tome ou autorize utilizando o Serviço, nem pelas consequências dessa decisão para o Responsável pelo Tratamento ou para qualquer Titular dos Dados. O disposto no presente parágrafo não limita o artigo 82.º do RGPD, as obrigações próprias do Subcontratante nos termos do presente ATD, nem qualquer responsabilidade que não possa ser excluída por lei.

5. Obrigações do Subcontratante

5.1 Tratamento mediante instruções

O Subcontratante deve tratar os Dados Pessoais apenas mediante instruções documentadas do Responsável pelo Tratamento, salvo se for obrigado a proceder de outro modo pelo direito da União ou do Estado-Membro, caso em que o Subcontratante deve informar o Responsável pelo Tratamento antes de proceder ao tratamento, salvo se esse direito o proibir.

As instruções documentadas do Responsável pelo Tratamento são o presente ATD, os Termos ao abrigo dos quais o Serviço é prestado e as Automações, instruções permanentes, definições de aprovação e conteúdos da Base de Conhecimento que o Responsável pelo Tratamento configura no Serviço.

O Subcontratante deve informar o Responsável pelo Tratamento se, no seu entender, uma instrução violar o RGPD ou outra legislação em matéria de proteção de dados.

O Subcontratante deve informar prontamente o Responsável pelo Tratamento se concluir que já não consegue cumprir as suas obrigações nos termos do presente ATD, para que o Responsável pelo Tratamento possa suspender o tratamento ou corrigir a situação.

5.2 Confidencialidade

O Subcontratante deve assegurar que todas as pessoas autorizadas a tratar os Dados Pessoais estão vinculadas a um dever de confidencialidade, por contrato ou por lei.

5.3 Segurança

O Subcontratante deve aplicar as medidas técnicas e organizativas constantes do Anexo C, que as Partes reconhecem como adequadas ao risco nos termos do artigo 32.º do RGPD.

5.4 Subcontratação

O Responsável pelo Tratamento concede ao Subcontratante uma autorização geral por escrito para contratar os Subcontratantes Ulteriores enumerados no Anexo B.

O Anexo B indica as categorias de Subcontratantes Ulteriores a que o Subcontratante recorre e identifica os contratados à data do presente ATD. O Serviço encontra-se em desenvolvimento ativo e a lista nominal irá mudar. A lista em vigor em cada momento é publicada em cisma.app e, em conjunto com os direitos de notificação e de oposição previstos abaixo, é a lista que o Responsável pelo Tratamento autoriza.

Alguns Subcontratantes Ulteriores asseguram o funcionamento do Serviço para todos os Responsáveis pelo Tratamento. Outros só são contratados quando o Responsável pelo Tratamento liga um determinado sistema ou permite uma determinada funcionalidade, e esses não recebem quaisquer Dados Pessoais de um Responsável pelo Tratamento que não a utilize.

O Subcontratante deve notificar o Responsável pelo Tratamento com uma antecedência mínima de 2 dias antes de acrescentar ou substituir um Subcontratante Ulterior, por correio eletrónico para o endereço registado do Responsável pelo Tratamento e através da atualização do Anexo B em cisma.app.

O Responsável pelo Tratamento pode opor-se, com fundamentos razoáveis em matéria de proteção de dados, no prazo de 2 dias a contar da notificação. Se não se opuser dentro desse prazo, considera-se que deu o seu consentimento. Caso se oponha, as Partes devem discutir a oposição de boa-fé e, se não chegarem a uma solução, o Responsável pelo Tratamento pode resolver o Contrato mediante notificação escrita, sem qualquer penalização.

O Subcontratante deve vincular cada Subcontratante Ulterior a obrigações em matéria de proteção de dados que não sejam menos protetoras do que as do presente ATD, e continua a ser plenamente responsável perante o Responsável pelo Tratamento pelo cumprimento das obrigações do Subcontratante Ulterior.

5.5 Fornecedores de modelos e chaves do cliente

Os agentes funcionam na OpenAI Agents API. A OpenAI atua como Subcontratante Ulterior do Subcontratante e consta do Anexo B.

Quando o Responsável pelo Tratamento utiliza o encaminhamento de modelos do próprio Subcontratante, os fornecedores de modelos acedidos através da OpenRouter atuam como Subcontratantes Ulteriores do Subcontratante e constam do Anexo B. O Subcontratante utiliza definições de retenção zero de dados nesse encaminhamento.

Quando o Responsável pelo Tratamento fornece a sua própria chave de API de um fornecedor de modelos ou a sua própria subscrição de um fornecedor de modelos, o Responsável pelo Tratamento contrata diretamente com esse fornecedor. Esse fornecedor passa então a ser subcontratante do próprio Responsável pelo Tratamento e não um Subcontratante Ulterior do Subcontratante. O Subcontratante não é responsável pela conservação, pelo local de tratamento nem pelos mecanismos de transferência desse fornecedor. Um Responsável pelo Tratamento que exija que o tratamento das chamadas aos modelos ocorra no EEE ao abrigo do seu próprio contrato deve utilizar a sua própria chave.

5.6 Direitos dos Titulares dos Dados

O Subcontratante deve prestar assistência ao Responsável pelo Tratamento, através de medidas técnicas e organizativas adequadas e na medida do possível, na resposta aos pedidos dos Titulares dos Dados nos termos do Capítulo III do RGPD.

Se o Subcontratante receber diretamente um pedido dessa natureza, deve notificar prontamente o Responsável pelo Tratamento e não lhe deve responder diretamente, salvo se o Responsável pelo Tratamento o autorizar.

5.7 Assistência no cumprimento

O Subcontratante deve prestar assistência ao Responsável pelo Tratamento no cumprimento dos artigos 32.º a 36.º do RGPD, tendo em conta a natureza do tratamento e a informação ao seu dispor.

5.8 Auditoria

O Subcontratante deve disponibilizar ao Responsável pelo Tratamento as informações necessárias para demonstrar o cumprimento do artigo 28.º do RGPD e do presente ATD, e deve permitir e contribuir para auditorias, incluindo inspeções, conduzidas pelo Responsável pelo Tratamento ou por um auditor por este mandatado e que esteja vinculado a um dever de confidencialidade.

O Responsável pelo Tratamento deve dar um pré-aviso escrito razoável, e as Partes devem acordar a data de início, o âmbito, a duração e as condições de segurança. As auditorias não podem ocorrer mais do que uma vez em cada período de doze meses, salvo se existirem indícios de incumprimento, se tiver ocorrido uma Violação de Dados Pessoais ou se uma autoridade de controlo o exigir.

O Responsável pelo Tratamento suporta o custo de uma auditoria e reembolsa os custos razoáveis do Subcontratante, salvo se a auditoria for exigida pela Legislação de Proteção de Dados Aplicável ou ocorrer na sequência de uma Violação de Dados Pessoais. O Responsável pelo Tratamento só pode utilizar os resultados para cumprir as suas próprias obrigações regulamentares e para confirmar o cumprimento do presente ATD.

6. Violação de Dados Pessoais

6.1 Notificação

O Subcontratante deve notificar o Responsável pelo Tratamento sem demora injustificada e, em qualquer caso, no prazo de 48 horas após ter tido conhecimento de uma Violação de Dados Pessoais que afete Dados Pessoais tratados por conta do Responsável pelo Tratamento.

A notificação de uma Violação de Dados Pessoais, ou a resposta a esta, não constitui um reconhecimento, por parte do Subcontratante, de culpa ou de responsabilidade pela mesma.

6.2 Conteúdo

A notificação deve descrever a natureza da violação, incluindo, se possível, as categorias e o número aproximado de Titulares dos Dados e de registos afetados, indicar um ponto de contacto para obter mais informações, descrever as consequências prováveis e descrever as medidas adotadas ou propostas.

6.3 Cooperação

O Subcontratante deve prestar assistência ao Responsável pelo Tratamento na investigação da violação, na notificação à autoridade de controlo nos termos do artigo 33.º do RGPD e na comunicação aos Titulares dos Dados nos termos do artigo 34.º do RGPD, quando exigidas, e na adoção de medidas corretivas.

6.4 Documentação

O Subcontratante deve documentar todas as Violações de Dados Pessoais, os respetivos efeitos e as medidas corretivas adotadas, nos termos do artigo 33.º, n.º 5, do RGPD.

7. Transferências internacionais

7.1 Princípio

O Subcontratante não deve transferir Dados Pessoais para fora do Espaço Económico Europeu, salvo se for aplicável uma decisão de adequação nos termos do artigo 45.º do RGPD, se existirem garantias adequadas nos termos do artigo 46.º do RGPD ou se for aplicável uma derrogação nos termos do artigo 49.º do RGPD.

7.2 Mecanismos

Os mecanismos de transferência de cada Subcontratante Ulterior constam do Anexo B. Para os Subcontratantes Ulteriores nos Estados Unidos, o Subcontratante baseia-se nas Cláusulas Contratuais-Tipo, em conjunto com as medidas complementares previstas na Secção 7.3.

7.3 Medidas complementares

• TLS 1.2 ou superior para todos os dados em trânsito.
• Definições de retenção zero de dados no percurso de encaminhamento de modelos, quando o fornecedor as disponibilize.
• Minimização dos dados enviados a cada Subcontratante Ulterior.
• Compromissos contratuais dos Subcontratantes Ulteriores relativos a pedidos de acesso por parte de autoridades públicas.

7.4 Informação

O Responsável pelo Tratamento pode solicitar uma cópia das Cláusulas Contratuais-Tipo e da avaliação de impacto das transferências através de [email protected].

8. Conservação e apagamento

8.1 Prazos de conservação

8.2 Apagamento no termo do Contrato

No prazo de 30 dias a contar do termo do Contrato, o Subcontratante deve apagar todos os Dados Pessoais tratados por conta do Responsável pelo Tratamento, incluindo as cópias, salvo se o direito da União ou do Estado-Membro exigir a sua conservação ou se a conservação for necessária para resolver um litígio entre as Partes. Por opção do Responsável pelo Tratamento, exercida antes do fim desse prazo, o Subcontratante deve, em alternativa, devolver os dados num formato estruturado, de uso corrente e de leitura automática e, em seguida, apagá-los.

8.3 Apagamento mediante pedido

O Responsável pelo Tratamento pode solicitar o apagamento de Dados Pessoais específicos a qualquer momento. O Subcontratante deve proceder ao apagamento sem demora injustificada, com ressalva do registo de auditoria, cujas entradas são conservadas durante o prazo previsto na Secção 8.1 para que o registo do que foi feito se mantenha completo.

8.4 Confirmação

O Subcontratante deve confirmar o apagamento por escrito, mediante pedido.

8.5 Sistemas Ligados

Os Dados Pessoais que residem num Sistema Ligado permanecem sob o controlo do Responsável pelo Tratamento. O apagamento de dados do Serviço não os apaga de um Sistema Ligado.

9. Responsabilidade

9.1 RGPD

A responsabilidade por uma violação do presente ATD, incluindo os danos causados por um tratamento que viole o RGPD, rege-se pelo artigo 82.º do RGPD.

9.2 Limite

Sem prejuízo do artigo 82.º do RGPD, que não pode ser limitado por contrato, e salvo em caso de dolo de qualquer das Partes, a responsabilidade total agregada de cada Parte nos termos do presente ATD está limitada ao montante mais elevado de entre mil euros (EUR 1.000) e as quantias pagas pelo Responsável pelo Tratamento pelo Serviço nos doze meses anteriores ao facto que dá origem à reclamação.

10. Vigência

O presente ATD produz efeitos quando o Responsável pelo Tratamento começa a utilizar o Serviço e mantém-se em vigor enquanto o Subcontratante tratar Dados Pessoais por conta do Responsável pelo Tratamento. As Secções 6, 8, 9 e 11 subsistem após a sua cessação.

11. Disposições gerais

11.1 Lei aplicável

O presente ATD rege-se pela lei portuguesa.

11.2 Foro competente

Os tribunais da comarca do Porto, Portugal, têm competência exclusiva para dirimir os litígios emergentes do presente ATD, sem prejuízo do direito de um Titular dos Dados, nos termos do artigo 79.º do RGPD, de intentar a ação no Estado-Membro da sua residência habitual.

11.3 Conflito

Em caso de conflito entre o presente ATD e qualquer outro acordo entre as Partes em matéria de Dados Pessoais, prevalece o presente ATD.

11.4 Alterações

O Subcontratante pode alterar o presente ATD para refletir alterações da Legislação de Proteção de Dados Aplicável, mediante pré-aviso ao Responsável pelo Tratamento de, pelo menos, 30 dias em caso de alteração substancial.

11.5 Invalidade parcial

Se uma disposição do presente ATD for inválida ou inexequível, as restantes mantêm-se em vigor.

Anexo A. Descrição do tratamento

Anexo B. Subcontratantes Ulteriores

O Subcontratante recorre a Subcontratantes Ulteriores nas categorias abaixo indicadas.

Seguem-se os Subcontratantes Ulteriores identificados à data de 24 de setembro de 2026. Esta lista não é fechada, e a Secção 5.4 rege a forma como é alterada.

B.1 Utilizados para todos os Responsáveis pelo Tratamento

B.2 Utilizados apenas se o Responsável pelo Tratamento ativar a funcionalidade

Quando o Responsável pelo Tratamento fornece a sua própria chave ou subscrição de um fornecedor de modelos, esse fornecedor não consta desta lista. Ver Secção 5.5.

Anexo C. Medidas técnicas e organizativas

1. Cifragem

• TLS 1.2 ou superior para todos os dados em trânsito, incluindo para cada Subcontratante Ulterior.
• Cifragem em repouso da base de dados e das cópias de segurança.
• Credenciais dos Sistemas Ligados conservadas cifradas e nunca novamente apresentadas ao utilizador.

2. Controlo de acessos

• Autenticação multifator para o acesso administrativo.
• Acesso aos Dados Pessoais limitado ao pessoal autorizado, com base no princípio da necessidade de conhecer.
• Acesso retirado prontamente quando uma função muda ou cessa.
• Os dados de cada Responsável pelo Tratamento são separados por organização, e cada consulta está circunscrita à organização do utilizador autenticado.

3. Permissões dos agentes

• Cada Automação acede apenas aos Sistemas Ligados que o Responsável pelo Tratamento lhe concede.
• Cada tipo de Ação está sujeito a aprovação humana ou expressamente autorizado a ser executado sem ela, de acordo com a configuração do Responsável pelo Tratamento.
• Limites de despesa e de frequência por conversa.

4. Segurança da rede

• Regras de firewall que limitam a exposição.
• Alojamento em centros de dados da Hetzner na Alemanha, certificados segundo a norma ISO 27001.

5. Segurança das aplicações

• Testes internos de segurança periódicos.
• Validação dos dados de entrada e codificação dos dados de saída.
• Atualização das dependências.

6. Segurança física

Assegurada pelos centros de dados da Hetzner na Alemanha, certificados segundo a norma ISO 27001, incluindo controlo de acessos, videovigilância e controlos ambientais.

7. Registo e auditoria

• Cada plano proposto, aprovação e Ação executada é registado com o respetivo autor e a data e hora.
• Os acessos aos sistemas e as anomalias são registados.

8. Gestão de dados

• Minimização dos dados enviados a cada Subcontratante Ulterior.
• Definições de retenção zero de dados no percurso de encaminhamento de modelos, quando o fornecedor as disponibilize.
• Apagamento seguro no fim do prazo de conservação.

9. Gestão de incidentes

• Procedimento documentado de resposta a incidentes.
• Notificação ao Responsável pelo Tratamento no prazo de 48 horas.
• Análise e correção após qualquer incidente.

10. Continuidade

• Cópias de segurança cifradas, 30 dias em regime contínuo.
• Reposição testada periodicamente.

11. Medidas organizativas

• Obrigações de confidencialidade para todas as pessoas com acesso a Dados Pessoais.
• Registo das atividades de tratamento nos termos do artigo 30.º do RGPD.
• Proteção de dados desde a conceção e por defeito na forma como o Serviço é construído.

Contacto

Notnull, Unipessoal, Lda Rua Campo Alegre, N.º 1636, h42, 4150-176 Porto, Portugal

Proteção de dados: [email protected] Suporte: [email protected]