Acordo de Tratamento de Dados (DPA)

O Cliente que contrata o Buildra é, em regra, Responsável pelo Tratamento relativamente aos dados operacionais que introduz e determina tratar no serviço. Jonathan Bruno dos Reis, trabalhador independente, NIF 304405256, sob a designação comercial Buildra, atua como Subcontratante na medida em que trata esses dados por conta do Cliente.

Quando a Buildra trata dados para finalidades próprias — designadamente gestão da conta e contrato SaaS, faturação própria, segurança, prevenção de abuso, cumprimento legal e defesa de direitos — atua como Responsável pelo Tratamento autónomo na medida dessa finalidade.

O tratamento por conta do Cliente dura enquanto o serviço estiver ativo, durante a janela contratual de saída e pelo tempo estritamente necessário para executar devolução/eliminação, sem prejuízo de retenção imposta por lei à entidade juridicamente obrigada.

A Buildra trata os dados apenas segundo instruções documentadas do Cliente constantes do contrato, deste DPA, das configurações e ações autorizadas no produto e de instruções adicionais lícitas. Se considerar que uma instrução viola o RGPD ou outra norma aplicável, informará o Cliente, salvo proibição legal.

As finalidades podem incluir gestão de organizações, obras, localizações, tarefas, equipas, horas, clientes, fornecedores, documentos, Diário, reuniões, comunicações, inspeções, checklists, não-conformidades, logística, materiais, equipamentos, stock, financeiro operacional, relatórios e suporte relacionado.

Podem ser tratados dados de trabalhadores, colaboradores, técnicos, inspetores, gestores, clientes/donos de obra, fornecedores, subempreiteiros, utilizadores do Portal e outros intervenientes introduzidos pelo Cliente. As categorias podem incluir identificação e contacto profissional, função, associação a obras, horários, imagens/documentos, comunicações, registos operacionais e auditoria.

O Cliente não deve inserir categorias especiais de dados pessoais salvo quando exista necessidade, fundamento jurídico, instrução válida e medidas adequadas ao risco.

A Buildra assegura que as pessoas autorizadas a tratar dados estão sujeitas a confidencialidade; aplica medidas técnicas e organizativas adequadas; limita acessos ao necessário; mantém segregação por tenant e autorização server-side; e disponibiliza informação razoavelmente necessária para demonstrar o cumprimento das obrigações aplicáveis.

A Buildra não vende dados pessoais operacionais do Cliente nem os utiliza para finalidades próprias incompatíveis com as instruções documentadas.

As medidas incluem autenticação, segregação por organização, autorização baseada em escopos e permissões, boundaries server-only para entidades sensíveis, minimização de dados devolvidos ao cliente, auditoria de ações relevantes, proteção de credenciais OAuth, controlos de upload/quota e gates automatizados de segurança e autorização.

As medidas são revistas de acordo com o risco, estado da técnica, custos de implementação, natureza/âmbito/contexto/finalidades e probabilidade/gravidade dos riscos, sem promessa de certificação que a Buildra não possua formalmente.

O Cliente concede autorização geral escrita à Buildra para recorrer aos fornecedores e subprocessadores necessários identificados no registo vigente. A classificação depende da finalidade concreta: Base44/Wix é fornecedor principal e subprocessador para dados operacionais; Stripe possui papéis mistos; Google Drive é integração opcional controlada pelo Cliente; FacturaLusa é o provider fiscal operacional utilizado para a emissão dos documentos fiscais próprios da relação Buildra → Cliente, com papel jurídico determinado pela finalidade concreta e pelo contrato aplicável; InvoiceXpress permanece apenas como legado/contingência enquanto o adapter existir.

A Buildra procurará impor aos subprocessadores sob sua contratação obrigações de proteção de dados materialmente equivalentes às aplicáveis ao tratamento delegado e continua responsável pelo cumprimento das suas próprias obrigações perante o Cliente. Alterações materiais ao registo serão comunicadas de modo adequado, permitindo oposição fundamentada em proteção de dados dentro de prazo razoável quando exigido pelo RGPD.

Quando o tratamento implique transferência para fora do EEE sem decisão de adequação aplicável, a Buildra e os fornecedores relevantes utilizarão um mecanismo permitido pelo RGPD, como cláusulas contratuais-tipo ou outro mecanismo válido. Para serviços contratados a terceiros, prevalecem os mecanismos documentados no DPA/contrato vigente do respetivo fornecedor.

A Buildra presta assistência razoável ao Cliente, tendo em conta a natureza do tratamento e a informação disponível, para responder a pedidos de acesso, retificação, apagamento, limitação, portabilidade e oposição, bem como para cumprir obrigações de segurança, avaliação de impacto e consulta prévia quando aplicáveis.

O Cliente continua responsável por apreciar o fundamento jurídico e a resposta material ao titular quando atua como Responsável pelo Tratamento.

Se a Buildra tomar conhecimento de uma violação de dados pessoais que afete dados tratados por conta do Cliente, notificará o Cliente sem demora injustificada e fornecerá, à medida que esteja disponível, informação razoavelmente necessária sobre natureza, categorias/volume estimado, consequências prováveis e medidas tomadas ou propostas.

Este compromisso não transforma o prazo legal de 72 horas aplicável à eventual notificação da autoridade pelo Responsável pelo Tratamento num prazo contratual idêntico para o Subcontratante.

O fluxo normal de saída é cancelamento → 30 dias read-only → exportação/devolução → purge. Durante a janela de saída ficam bloqueadas novas mutações operacionais e o Portal do Cliente é suspenso. Pode existir purge antecipado mediante confirmação explícita do proprietário.

Terminado o serviço, os dados pessoais tratados por conta do Cliente são devolvidos/exportados e eliminados do tenant, conforme a escolha e o fluxo contratual, salvo obrigação legal de conservação aplicável. O financeiro operacional do Cliente não é convertido em arquivo fiscal próprio da Buildra.

Backups técnicos podem persistir apenas durante o ciclo técnico do fornecedor, isolados do uso operacional. No Google Drive, os ficheiros permanecem na conta controlada pelo Cliente; a Buildra remove as credenciais locais e tenta revogar a autorização OAuth, sem eliminar automaticamente os ficheiros do Drive do Cliente.

Mediante pedido razoável, a Buildra disponibilizará informação necessária para demonstrar o cumprimento das obrigações do artigo 28.º e permitirá auditorias/inspeções quando legalmente exigidas, de forma proporcionada, coordenada e sujeita a confidencialidade, proteção de outros clientes, segredos comerciais e segurança da plataforma.

Quando documentação independente ou evidência equivalente permitir satisfazer razoavelmente o objetivo, as partes procurarão utilizá-la antes de medidas intrusivas. Custos extraordinários causados por auditoria não decorrente de incumprimento da Buildra poderão ser previamente acordados, sem limitar direitos legais inderrogáveis.

O Cliente é responsável por possuir base jurídica, informar os titulares quando necessário, limitar os dados ao necessário, configurar utilizadores/permissões corretamente e emitir instruções lícitas. Deve também gerir as suas obrigações fiscais/documentais e os ficheiros armazenados em contas externas sob seu controlo.

Em caso de conflito sobre tratamento por conta do Cliente, este DPA prevalece sobre os Termos de Serviço. A responsabilidade das partes obedece à lei aplicável e não é limitada em situações em que tal limitação seja proibida por norma imperativa.