Contrato de subcontratação (DPA)

Este contrato, nos termos do artigo 28.º do RGPD, é celebrado entre o titular da conta Praxis (o «Responsável») e Ben Consulting & Research SRL, Avenue Louis Jasmin 86, 1150 Woluwe-Saint-Pierre, BE 0668.623.473 (o «Subcontratante»).

1. Objeto

O Subcontratante trata dados pessoais por conta do Responsável apenas para prestar o serviço Praxis: registo de clientes, sessões, notas, ferramentas, vendas e pagamentos. Categorias de titulares: clientes e potenciais clientes do Responsável. Os dados podem incluir categorias especiais (artigo 9.º), como informação sobre saúde ou vida pessoal registada em notas de sessão.

2. Instruções

O Subcontratante trata os dados apenas segundo instruções documentadas do Responsável, que são as que resultam do uso do serviço, e informa o Responsável se considerar que uma instrução viola a lei.

3. Confidencialidade e acesso

Quem trata os dados está sujeito a dever de confidencialidade.

Nenhum administrador acede aos dados de uma conta sem autorização do Responsável, dada por concessão limitada no tempo, revogável e registada. O acesso a notas e resultados exige autorização separada.

Tudo o que é feito durante um acesso de apoio fica registado e visível ao Responsável.

4. Segurança (artigo 32.º)

Dados na União Europeia e comunicações cifradas (HTTPS).

Isolamento entre contas imposto pela base de dados (Row Level Security), com testes automáticos.

Notas de sessão, percurso do cliente e resultados de ferramentas cifrados (AES-256-GCM) antes de serem guardados; a chave fica apenas nos servidores da aplicação.

Notas e resultados nunca são expostos na API nem no MCP.

Registo de auditoria dos acessos a material sensível e cópias de segurança diárias.

5. Subcontratantes ulteriores

O Responsável autoriza os subcontratantes abaixo. Alterações são comunicadas com antecedência, podendo o Responsável opor-se.

6. Apoio ao Responsável

O Subcontratante ajuda o Responsável a responder a pedidos dos titulares (o serviço permite exportar e apagar definitivamente os dados de um cliente) e a cumprir as obrigações dos artigos 32.º a 36.º.

7. Violações de dados

O Subcontratante notifica o Responsável sem demora injustificada, e em todo o caso no prazo de 48 horas após ter conhecimento de uma violação de dados pessoais, com a informação disponível.

8. Fim do tratamento

No fim do contrato, o Responsável pode exportar os seus dados. Depois do período acordado, o Subcontratante apaga-os, salvo obrigação legal de conservação.

9. Auditoria

O Subcontratante disponibiliza a informação necessária para demonstrar o cumprimento deste contrato e permite auditorias razoáveis, com aviso prévio.

10. Assistentes de IA escolhidos pelo Responsável

O Responsável pode ligar à conta assistentes de IA de terceiros e, separadamente, autorizá-los a ler notas de sessão, padrão e meta dos clientes e resultados de ferramentas. Por defeito, esse acesso está desligado.

Ao autorizar, o Responsável dá uma instrução documentada ao Subcontratante para disponibilizar esses dados ao assistente que escolheu. A comunicação desses dados ao fornecedor do assistente é da inteira e exclusiva responsabilidade do Responsável, que garante ter fundamento legal para a fazer (incluindo, quando aplicável, o consentimento explícito dos titulares para categorias especiais de dados), ter aceite as condições de tratamento do fornecedor e cumprir as regras sobre transferências internacionais.

O fornecedor do assistente não é subcontratante ulterior do Subcontratante, e o Subcontratante não responde pelo tratamento que esse fornecedor faça.

O Subcontratante regista cada acesso de um assistente a material sensível, mostra esse registo ao Responsável e permite retirar a autorização a qualquer momento.

11. Lei e foro

Este contrato rege-se pelo RGPD e pela lei belga. Para qualquer litígio são competentes os tribunais de Bruxelas.