Contrato de Subcontratação de Dados Pessoais (DPA)

1. Partes e objeto

1.1. O presente Contrato de Subcontratação ("DPA") é celebrado entre o Cliente identificado no ato de subscrição da Plataforma, na qualidade de Responsável pelo Tratamento, e a SPIDERGENEROSITY UNIPESSOAL LDA, NIF 518723917, com sede em Av. do Brasil, 36, 2700-133 Amadora, Portugal, na qualidade de Subcontratante.

1.2. O DPA integra os Termos e Condições e prevalece sobre estes em matéria de proteção de dados pessoais.

2. Definições

Os termos utilizados neste DPA têm o significado que lhes é atribuído pelo Regulamento (UE) 2016/679 ("RGPD"). "Dados Pessoais" refere-se aos dados tratados pelo Subcontratante em nome do Responsável no âmbito do Serviço.

3. Natureza e duração do tratamento

3.1. Objeto: prestação do software GuestFlow Pro para gestão de reservas, CRM de hóspedes, check-in/check-out, portal do hóspede, comunicações SMS/WhatsApp/email, faturação e operação hoteleira.

3.2. Natureza: recolha, registo, armazenamento, consulta, organização, adaptação, transmissão, apagamento e cópia de segurança.

3.3. Duração: enquanto vigorar o contrato principal, acrescida dos prazos legais de conservação aplicáveis.

4. Categorias de dados e titulares

4.1. Categorias de titulares: hóspedes/clientes finais do Responsável, contactos comerciais e utilizadores autorizados pelo Responsável.

4.2. Categorias de dados: dados de identificação e contacto, dados de reserva (datas, propriedade, preferências), dados financeiros limitados (referências Stripe), consentimentos de marketing, comunicações SMS/WhatsApp/email, notas operacionais e, quando aplicável, número de documento de identificação para check-in.

4.3. Não se prevê o tratamento habitual de dados de categorias especiais (art. 9.º RGPD). Caso o Responsável introduza tais dados, fá-lo sob a sua exclusiva responsabilidade e assegurando a base legal adequada.

5. Instruções documentadas

5.1. O Subcontratante trata os Dados Pessoais apenas com base em instruções documentadas do Responsável, constantes deste DPA, dos Termos e das configurações efetuadas pelo Responsável no back office.

5.2. O Subcontratante informa imediatamente o Responsável se considerar que uma instrução viola o RGPD ou outra legislação aplicável.

6. Confidencialidade

O Subcontratante garante que as pessoas autorizadas a tratar Dados Pessoais assumiram compromisso de confidencialidade ou estão sujeitas a adequada obrigação legal de sigilo, limitando o acesso aos colaboradores estritamente necessários (princípio do "need-to-know").

7. Medidas técnicas e organizativas

Nos termos do artigo 32.º do RGPD, o Subcontratante implementa, designadamente:

• cifra em trânsito (TLS 1.2+) e em repouso (AES-256);
• isolamento multi-tenant por Row Level Security aplicada ao organization_id;
• controlo de acessos baseado em papéis e princípio do menor privilégio;
• autenticação por email/palavra-passe com hashing seguro (bcrypt/argon2 via Supabase Auth);
• rotação e cofre de segredos, com chaves privilegiadas apenas em ambiente de servidor;
• logs imutáveis de operações privilegiadas (audit log) e monitorização de anomalias;
• backups automáticos diários com testes periódicos de restauro;
• plano de resposta a incidentes de segurança.

Detalhe adicional em /legal/seguranca.

8. Subprocessadores

8.1. O Responsável autoriza o recurso aos subprocessadores listados em /legal/subprocessadores, incluindo Supabase, Stripe, Twilio e Cloudflare.

8.2. Alterações materiais à lista serão comunicadas com pelo menos 30 dias de antecedência, podendo o Responsável opor-se por escrito por razões objetivas de proteção de dados; não sendo possível uma solução alternativa, qualquer das partes pode rescindir o contrato principal sem penalização.

8.3. O Subcontratante assegura que celebra com cada subprocessador contratos que impõem obrigações equivalentes às deste DPA.

9. Assistência ao Responsável

O Subcontratante presta assistência razoável ao Responsável, tendo em conta a natureza do tratamento, no cumprimento das suas obrigações relativas a: (i) resposta a pedidos de exercício de direitos dos titulares; (ii) segurança do tratamento; (iii) notificação de violações; (iv) avaliações de impacto e consulta prévia à autoridade de controlo.

10. Notificação de incidentes

10.1. O Subcontratante notifica o Responsável, sem demora injustificada e em regra no prazo máximo de 48 horas após a tomada de conhecimento, de qualquer violação de Dados Pessoais suscetível de afetar o Responsável.

10.2. A notificação inclui, na medida do disponível: (i) descrição da natureza da violação; (ii) categorias e número aproximado de titulares e registos afetados; (iii) medidas adotadas ou propostas; (iv) contactos do ponto de contacto.

11. Auditorias

11.1. Mediante pré-aviso razoável (mínimo 30 dias) e não mais de uma vez por ano, o Responsável pode auditar o cumprimento deste DPA. A auditoria é realizada em horário laboral, sem perturbação do serviço, com sujeição a acordo de confidencialidade.

11.2. O Subcontratante pode satisfazer o pedido através da disponibilização de relatórios de auditoria independentes ou certificações aplicáveis.

12. Transferências internacionais

Sempre que ocorra transferência para país fora do EEE, aplicam-se as Cláusulas Contratuais-Tipo aprovadas pela Decisão de Execução (UE) 2021/914 ou decisão de adequação, com as garantias adicionais que se mostrem necessárias.

13. Fim do contrato

Cessando o contrato principal, o Subcontratante, à escolha do Responsável, devolve ou elimina definitivamente os Dados Pessoais, incluindo as cópias, salvo obrigação legal de conservação, no prazo máximo de 90 dias.

14. Responsabilidade

A responsabilidade das partes rege-se pelos limites estabelecidos nos Termos e pelo artigo 82.º do RGPD, sem prejuízo de responsabilidade solidária perante o titular nos termos legais.

15. Disposições finais

15.1. Em caso de conflito, o DPA prevalece sobre os Termos em matéria de proteção de dados pessoais.

15.2. O DPA rege-se pela lei portuguesa e é aplicável o foro convencionado nos Termos.