Acordo de Tratamento de Dados (DPA)

1. Partes e âmbito

Este acordo faz parte dos Termos de Utilização e é celebrado entre o subscritor ("Cliente") e [DENOMINAÇÃO DA ENTIDADE], NIPC [NIPC] ("Subcontratante"). Aplica-se aos dados pessoais que o Cliente e os seus utilizadores introduzem na plataforma.

O Cliente actua como responsável pelo tratamento ou, quando é um gabinete de contabilidade que trata dados por conta dos seus clientes, como subcontratante destes; neste caso, o MicroSAFT é subcontratante ulterior e o Cliente garante que está autorizado a recorrer a ele.

2. Objecto, natureza, finalidade e duração

Objecto e finalidade: registo e tratamento da contabilidade e das obrigações fiscais e salariais das empresas do Cliente — lançamentos, compras e vendas, bancos, IVA, IRC, salários, demonstrações financeiras e SAF-T.

Natureza: alojamento, registo, organização, consulta, cálculo, exportação e conservação, por meios automatizados.

Duração: a da subscrição e, depois dela, o período de conservação previsto na secção 8.

3. Titulares e categorias de dados

• Titulares: sócios, gerentes e órgãos sociais, trabalhadores, clientes e fornecedores (quando pessoas singulares) das empresas do Cliente, e os utilizadores do Cliente.
• Identificação e contactos: nome, NIF, morada, email, telefone, número de segurança social.
• Dados financeiros e contabilísticos: documentos de compra e venda, movimentos e saldos, IBAN e extractos bancários.
• Dados salariais: remuneração, subsídios, descontos, retenções de IRS e contribuições, situação familiar e dependentes.
• Categoria especial (art. 9.º do RGPD): grau de incapacidade do trabalhador ou dos dependentes, apenas na medida necessária ao cálculo da retenção do IRS. O Cliente só deve introduzir estes dados quando forem exigidos por lei.

4. Obrigações do Subcontratante

• Tratar os dados apenas segundo as instruções documentadas do Cliente — estes Termos, o DPA e a utilização da plataforma —, salvo obrigação legal, de que informa o Cliente quando a lei o permitir.
• Garantir que as pessoas autorizadas a tratar os dados estão sujeitas a dever de confidencialidade.
• Aplicar as medidas de segurança da secção 6.
• Prestar assistência ao Cliente na resposta aos pedidos dos titulares, nas avaliações de impacto e na consulta prévia, na medida do que a plataforma permite.
• Notificar o Cliente de qualquer violação de dados pessoais sem demora injustificada e, em regra, no prazo de 48 horas após dela ter conhecimento, com a informação disponível.
• Disponibilizar a informação necessária para demonstrar o cumprimento deste acordo e permitir auditorias, com aviso prévio razoável e sem acesso a dados de outros clientes.

5. Subcontratantes ulteriores

O Cliente autoriza o recurso aos subcontratantes listados na página Subcontratantes. Avisamos o Cliente, com pelo menos 30 dias de antecedência, de qualquer acréscimo ou substituição; o Cliente pode opor-se com fundamento razoável e, não havendo acordo, cancelar a subscrição sem penalização.

Os subcontratantes ulteriores ficam sujeitos, por contrato, a obrigações de protecção de dados equivalentes às deste acordo. As transferências para fora do Espaço Económico Europeu assentam nas garantias do art. 46.º do RGPD (cláusulas contratuais-tipo) ou numa decisão de adequação (Quadro de Privacidade de Dados UE-EUA).

Inteligência artificial: quando o Cliente a mantém activa, são enviados ao fornecedor de IA, por documento a classificar, o nome do fornecedor (e, quando conhecidas, a localidade e a actividade), a descrição, o valor e o sector de despesa de cada documento a classificar, a lista de contas de gastos, compras e activos da empresa e exemplos de classificações já confirmadas (nome do fornecedor, descrição e conta). Os NIF não são enviados. Os fornecedores são usados através das suas APIs comerciais, cujos termos excluem a utilização destes dados para treino dos modelos. O Cliente pode desligar a IA a qualquer momento.

6. Medidas de segurança

• Ligações cifradas (TLS) entre o browser e a plataforma; o servidor de autenticação só é acessível pelo servidor da aplicação.
• Isolamento dos dados de cada Cliente: o acesso é verificado no servidor em cada pedido (empresa, recurso e função do utilizador).
• Palavras-passe guardadas com hash; sessões em cookies inacessíveis a scripts, com termo por inactividade.
• Registo de auditoria das operações contabilísticas; exercícios fechados imutáveis.
• Cópias de segurança diárias, guardadas fora do fornecedor de alojamento e cifradas em repouso, com teste periódico de reposição.
• Monitorização de erros sem dados pessoais e monitorização de disponibilidade.
• Acesso administrativo aos servidores restrito, com autenticação por chave; segredos fora do código; actualizações de segurança regulares.

7. Direitos dos titulares

Os pedidos de titulares relativos a dados do Cliente são encaminhados ao Cliente, que lhes responde. A plataforma permite consultar, corrigir e exportar os dados; a eliminação de registos contabilísticos está limitada pelas obrigações legais de conservação.

8. Fim do tratamento: devolução, conservação e eliminação

No fim da subscrição, o Cliente pode exportar os seus dados (SAF-T, balancetes, demonstrações financeiras e listagens) durante todo o período seguinte.

Como os registos contabilísticos têm de ser conservados durante 10 anos (art. 123.º, n.º 4, do Código do IRC), salvo instrução escrita em contrário do Cliente, os dados ficam em só leitura, por conta do Cliente, até ao fim desse prazo, e são depois eliminados.

O Cliente pode, a todo o tempo, dar instrução escrita para a eliminação antecipada, depois de exportar os dados; a eliminação, incluindo nas cópias de segurança à medida que estas expiram, é feita no prazo de 90 dias e confirmada por escrito, salvo obrigação legal de conservação que recaia sobre o Subcontratante.