Contrato de subcontratação do tratamento

Este contrato regula a forma como a Polimake trata os dados pessoais que os seus clientes carregam nos serviços, nos termos do artigo 28.º do Regulamento Geral sobre a Proteção de Dados (RGPD, Regulamento (UE) 2016/679), do artigo 33 da Ley Orgánica 3/2018 (LOPDGDD) e do modelo da Agencia Española de Protección de Datos.

Faz parte dos Termos de serviço e aceita-lo juntamente com eles quando crias a tua conta ou contratas um plano. Aplica-se sempre que carregues na Polimake dados pessoais de outras pessoas. Se precisares de uma cópia assinada por ambas as partes, pede-a em dpo@polimake.com.

1. Partes e funções

• O Responsável pelo tratamento és tu, o cliente da Polimake: a pessoa ou empresa titular da conta que decide que dados carrega e para quê.
• O Subcontratante é a NEBULAR MEDIA SLU (Polimake), NIF B56931686, Calle Platería 6, Piso 2B, 30004 Murcia, Espanha. Contacto de proteção de dados: dpo@polimake.com.
• Este contrato abrange apenas os dados que a Polimake trata por conta do Responsável. Os dados que a Polimake trata para os seus próprios fins (a conta do cliente, a faturação, a segurança ou a comunicação comercial) regem-se pela política de privacidade.

2. Objeto, duração, natureza e finalidade

• Objeto. A Polimake trata os dados pessoais incluídos no conteúdo do Responsável apenas para lhe prestar os serviços contratados: a nuvem, a sincronização da app para computador, o Studio, o agente de design com IA e o conector para assistentes.
• Operações de tratamento: recolha e registo ao carregar os ficheiros; armazenamento e cópias de segurança; organização e estruturação; conversão de formatos e geração de pré-visualizações; análise com IA para etiquetar, descrever e pesquisar; geração de designs a partir das instruções do Responsável; consulta; comunicação às pessoas com quem o Responsável partilha e às redes sociais em que decide publicar; apagamento.
• Duração. A mesma do contrato de serviços. No fim aplica-se a secção 14.

3. Dados e titulares dos dados

• Tipos de dados: imagens e vídeos em que aparecem pessoas, com a sua imagem e a sua voz; nomes, dados de contacto e outros dados que os ficheiros contenham, metadados, textos e comentários; nome e email dos membros da equipa e dos convidados; e instruções dadas à IA.
• Titulares dos dados: os clientes do Responsável e os seus representantes; as pessoas que aparecem nos ficheiros; os trabalhadores, colaboradores e convidados do Responsável; e qualquer outra pessoa cujos dados o Responsável decida carregar.
• Categorias especiais. O serviço não se destina a categorias especiais de dados (saúde, origem étnica, opiniões políticas, religião, vida sexual ou dados biométricos que permitam identificar uma pessoa). O Responsável não as carregará salvo se for necessário e lícito, e não pedirá à Polimake que identifique pessoas pelo rosto.

4. Instruções do Responsável

A Polimake trata os dados apenas de acordo com as instruções documentadas do Responsável, que são: os Termos de serviço, este contrato e o que o Responsável faz no serviço (carregar, partilhar, publicar, pedir à IA, apagar). Se a Polimake considerar que uma instrução viola o RGPD ou outra norma de proteção de dados, avisará imediatamente o Responsável.

5. Obrigações do Subcontratante

A Polimake compromete-se a:

1. Não usar os dados para fins próprios. Em caso algum os usará para outra coisa que não seja prestar o serviço. Em particular, nunca os usará para treinar modelos de inteligência artificial, próprios ou de terceiros, nem como exemplo ou em publicidade, salvo se o Responsável o autorizar expressamente.
2. Manter o registo das atividades de tratamento que realiza por conta do Responsável (art. 30.º, n.º 2, do RGPD).
3. Não comunicar os dados a terceiros, exceto aos subcontratantes ulteriores autorizados (secção 8), àqueles com quem o Responsável decida partilhar ou publicar, ou quando a lei o exija. Neste último caso, informará previamente o Responsável, salvo se a lei o proibir.
4. Aplicar as medidas de segurança do Anexo I.
5. Ajudar o Responsável com os direitos dos titulares (secção 10), as violações de dados (secção 11) e as avaliações de impacto (secção 12).
6. Disponibilizar ao Responsável a informação necessária para demonstrar que cumpre este contrato e permitir auditorias (secção 15).

6. Confidencialidade

A Polimake manterá os dados em segredo, também após o fim do contrato. Só lhes acederão as pessoas da sua equipa que deles necessitem para prestar o serviço, que se comprometeram por escrito a manter a confidencialidade e conhecem as suas obrigações de proteção de dados. A Polimake mantém essa documentação à disposição do Responsável.

7. Segurança

A Polimake aplica as medidas técnicas e organizativas adequadas ao risco exigidas pelo artigo 32.º do RGPD, descritas no Anexo I. Pode melhorá-las ao longo do tempo, mas nunca reduzir o seu nível de proteção.

8. Subcontratantes ulteriores

• Autorização. O Responsável autoriza a Polimake a recorrer aos subcontratantes ulteriores do Anexo II.
• Alterações. Antes de acrescentar ou substituir um subcontratante ulterior, a Polimake avisará o Responsável por email com pelo menos 30 dias de antecedência, indicando quem é, o que fará e onde.
• Oposição. O Responsável pode opor-se por motivos razoáveis de proteção de dados dentro desse prazo, escrevendo para dpo@polimake.com. Se não for encontrada uma solução, o Responsável pode resolver o contrato sem custos, e a Polimake devolver-lhe-á a parte paga de que não usufruiu.
• Mesmas obrigações. Cada subcontratante ulterior fica contratualmente obrigado ao mesmo que a Polimake neste contrato. A Polimake continua a ser plenamente responsável perante o Responsável pelo que fizerem os seus subcontratantes ulteriores.

9. Transferências internacionais

Todos os subcontratantes ulteriores tratam os dados na União Europeia, exceto o início de sessão (Auth0), que hoje está nos EUA e que estamos a transferir para a UE. A Polimake só o permite com as garantias do capítulo V do RGPD: o Quadro de Privacidade de Dados UE-EUA (DPF), se o subcontratante ulterior tiver aderido, ou as cláusulas contratuais-tipo da Comissão Europeia (Decisão 2021/914, módulo de subcontratante para subcontratante), com medidas adicionais quando necessário.

10. Ajuda com os direitos dos titulares

Se uma pessoa exercer perante a Polimake os seus direitos de acesso, retificação, apagamento, oposição, limitação ou portabilidade sobre dados do Responsável, a Polimake transmiti-lo-á ao Responsável por email o mais tardar no dia útil seguinte, sem lhe responder por sua conta, exceto para lhe indicar que se dirija ao Responsável. A Polimake ajudará o Responsável, com as funções do serviço ou da forma que for razoável, a dar resposta a esses pedidos.

11. Violações de dados pessoais

• A Polimake notificará o Responsável de qualquer violação da segurança dos seus dados sem demora injustificada e, em qualquer caso, no prazo máximo de 48 horas após ter tido conhecimento dela, por email para o endereço da conta.
• A notificação incluirá, no mínimo: a natureza da violação, com as categorias e o número aproximado de titulares e registos afetados; um contacto para obter mais informações; as consequências prováveis; e as medidas adotadas ou propostas para a remediar e atenuar os seus efeitos.
• Se não for possível fornecer toda a informação ao mesmo tempo, será fornecida por fases, sem demora.
• A notificação à AEPD e aos titulares afetados cabe ao Responsável. A Polimake ajudá-lo-á com a informação de que disponha.

12. Avaliações de impacto e consulta prévia

A Polimake ajudará o Responsável, com a informação de que disponha, a realizar as avaliações de impacto sobre a proteção de dados e, se for caso disso, a consulta prévia à autoridade de controlo.

13. Obrigações do Responsável

O Responsável compromete-se a:

• ter um fundamento jurídico para tratar os dados que carrega, e o consentimento ou a autorização exigidos por lei para usar a imagem das pessoas que aparecem nos seus ficheiros (Ley Orgánica 1/1982);
• informar os titulares dos dados sobre o tratamento;
• dar instruções conformes com a lei e supervisionar o tratamento;
• não carregar categorias especiais de dados, exceto nos termos da secção 3.

14. Fim da subcontratação: devolução ou apagamento

• No fim do contrato, o Responsável pode descarregar os seus dados durante pelo menos 30 dias, com as funções do serviço ou pedindo uma exportação (secção 20 dos Termos de serviço). Nesse prazo pode também escolher que a Polimake os entregue a outro fornecedor que designe.
• Depois, a Polimake apagará os dados e todas as suas cópias. As cópias de segurança são apagadas no seu ciclo normal e, no máximo, 90 dias após o fim do contrato.
• Se a lei obrigar a conservar algum dado, a Polimake mantê-lo-á bloqueado, apenas à disposição das autoridades e durante o prazo legal (art. 32 LOPDGDD), e apagá-lo-á depois.
• A pedido do Responsável, a Polimake certificará o apagamento por escrito.

15. Auditorias e inspeções

A Polimake disponibilizará ao Responsável a informação necessária para demonstrar que cumpre este contrato: em primeiro lugar, documentação, relatórios e certificações. Se isso não bastar, o Responsável, ou um auditor independente sujeito a confidencialidade, poderá realizar uma auditoria com um pré-aviso razoável de pelo menos 30 dias, em horário laboral, sem aceder a dados de outros clientes nem comprometer a segurança do serviço. Cada parte suporta os seus custos, salvo se a auditoria revelar um incumprimento relevante da Polimake.

16. Contacto de proteção de dados

Para qualquer questão sobre este contrato, o Responsável pode escrever para dpo@polimake.com.

17. Responsabilidade e prevalência

• A responsabilidade de cada parte rege-se pelos Termos de serviço e pelo artigo 82.º do RGPD.
• Se um subcontratante determinar por sua conta as finalidades e os meios do tratamento, passa a ser responsável por esse tratamento (art. 28.º, n.º 10, do RGPD).
• Em matéria de proteção de dados, este contrato prevalece sobre os Termos de serviço e sobre qualquer outro acordo entre as partes.

18. Alterações

A Polimake poderá atualizar este contrato para o adaptar a alterações legais ou do serviço, avisando com pelo menos 30 dias de antecedência, como indica a secção 25 dos Termos de serviço. As alterações nunca reduzirão a proteção dos dados.

Anexo I. Medidas de segurança

• Cifragem das comunicações com TLS entre o teu dispositivo, os nossos servidores e os nossos fornecedores.
• Controlo de acesso por funções e com o mínimo privilégio: cada pessoa da equipa acede apenas ao que precisa.
• Separação do conteúdo de cada conta e permissões por projeto, pasta, coleção e ficheiro, definidas pelo Responsável.
• Autenticação gerida por um fornecedor especializado, sem palavras-passe guardadas pela Polimake.
• Registo das operações sensíveis, para detetar e investigar incidentes.
• Cópias de segurança periódicas, para poder recuperar os dados após um incidente.
• Minimização: resumos cifrados em vez de endereços IP quando estes bastam, e nenhum dado além dos necessários.
• Fornecedores selecionados pelas suas garantias de segurança, com contrato de subcontratação e obrigações equivalentes.
• Gestão de incidentes: um procedimento para detetar, conter, notificar e documentar as violações de dados.
• Revisão periódica da segurança, incluindo auditorias de código e de configuração.
• Confidencialidade da equipa por escrito e formação em proteção de dados.

Anexo II. Subcontratantes ulteriores autorizados

Subcontratante ulterior	Serviço	Localização	Garantia se sair da UE
Cloudflare, Inc.	Servidores de aplicação, bases de dados e armazenamento de ficheiros e pré-visualizações (R2)	UE	DPF e cláusulas contratuais-tipo
DigitalOcean, LLC	Servidor e base de dados da nuvem	UE	DPF e cláusulas contratuais-tipo
Qdrant Solutions GmbH (Qdrant Cloud)	Índice de pesquisa semântica do conteúdo	UE	Não sai da UE
Google (Google Ireland Ltd. e Google LLC)	IA Gemini, na modalidade paga e sem treino: análise de imagens da nuvem e agente de design	UE	DPF e cláusulas contratuais-tipo
Vercel Inc.	Alojamento e entrega do site	UE	DPF e cláusulas contratuais-tipo
Auth0 (Okta, Inc.)	Início de sessão dos utilizadores do Responsável e dos seus convidados	EUA (em transferência para a UE)	DPF e cláusulas contratuais-tipo

A Polimake atualizará esta lista segundo o procedimento da secção 8.

Versão aplicável. Este texto é uma tradução para português. Em caso de divergência, prevalece a versão em espanhol.

---

Documentos relacionados: Termos de serviço · Política de privacidade · Política de cookies · Aviso legal