Contrato de subcontratação

Responsável pelo tratamento (cliente): o cliente que utiliza ComLayer — [ainda por determinar: empresa, morada e representação do cliente]. Estes dados são completados na assinatura da versão individual.

Não foi designado um encarregado da proteção de dados: o subcontratante não atinge os limiares do § 38 BDSG. A gerência responde aos pedidos em matéria de proteção de dados no endereço indicado na cláusula 13.

O objeto do tratamento é a disponibilização e a exploração da plataforma ComLayer para o cliente nos termos das Condições Gerais. A finalidade é exclusivamente a prestação deste serviço, ou seja, a receção, a resposta e a gestão dos pedidos de suporte dos clientes finais do cliente.

A natureza do tratamento compreende a recolha, o registo, a conservação, a organização, a consulta, a utilização, a comunicação aos subcontratantes ulteriores indicados na cláusula 8, a limitação e a eliminação. O subcontratante não trata os dados para fins próprios; em particular, não os analisa para treinar modelos próprios.

O mesmo se aplica aos fornecedores de modelos e de embeddings utilizados: Ambos os prestadores se comprometeram contratualmente com a mesma exclusão: o prestador do modelo através das condições de tratamento de dados da Google Cloud, o prestador dos embeddings através das condições de utilização da Voyage AI.

O tratamento decorre durante a vigência do contrato principal. Termina com a cessação deste e com a subsequente eliminação nos termos da cláusula 11.

• Clientes finais e visitantes do site do cliente que utilizam o canal de suporte
• Trabalhadores e mandatários do cliente que trabalham na plataforma como membros da equipa
• Pessoas mencionadas nas mensagens, nos conteúdos de conhecimento ou no feedback do cliente

• Dados de base do visitante: nome e endereço de e-mail, se indicados, página consultada, localização aproximada, momento do primeiro contacto
• Conteúdos de comunicação: mensagens do chat e da transferência para o pessoal, marcas temporais, atribuição a uma conversa, o respetivo estado de processamento e os anexos carregados
• Dados de utilizador dos membros da equipa: nome, endereço de e-mail, função, atribuição ao espaço de trabalho
• Conteúdos da base de conhecimento e os embeddings gerados a partir deles
• Contributos de feedback e de roadmap, incluindo os dados da pessoa que os submete

As categorias especiais de dados pessoais nos termos do art. 9 RGPD não são objeto do presente contrato. Se o cliente transmitir ainda assim esses dados através do canal de suporte, fá-lo sob a sua responsabilidade; as partes acordam então separadamente as medidas adicionais necessárias.

O subcontratante trata os dados exclusivamente mediante instrução documentada do cliente. O presente contrato e a utilização da plataforma pelo cliente e pelos membros da sua equipa constituem essa instrução. As instruções que vão além disso são dadas sob forma textual para info@comlayer.app.

Se o subcontratante considerar que uma instrução viola o direito da proteção de dados, informa disso o cliente sem demora e pode suspender a execução até à confirmação deste. Caso uma transferência para um país terceiro resulte de uma obrigação legal, informa previamente o cliente, salvo se o direito o proibir.

Para o tratamento, o subcontratante recorre apenas a pessoas obrigadas à confidencialidade e familiarizadas com as disposições aplicáveis em matéria de proteção de dados. A obrigação subsiste também após o termo da sua atividade. O círculo de pessoas com direito de acesso está limitado à medida necessária à exploração.

O subcontratante toma as seguintes medidas; correspondem ao estado da técnica e são adaptadas de forma contínua. Uma alteração não pode ficar abaixo do nível de proteção.

• Cifragem de todas as ligações através de TLS; a ligação à base de dados utiliza certificados de curta duração autenticados de ambos os lados
• Armazenamento cifrado dos dados em repouso
• Separação de dados por cliente: cada registo está associado a um espaço de trabalho, e cada acesso é verificado do lado do servidor face à pertença a esse espaço de trabalho
• Modelo de funções e permissões com funções separadas para a administração e o processamento
• Os anexos ficam num armazenamento não público e só são disponibilizados através de uma rota da aplicação com verificação de acesso
• A chave pública do widget pode ser rodada por espaço de trabalho; os domínios de incorporação permitidos podem ser restringidos
• Limitação da taxa de pedidos contra a utilização abusiva das interfaces públicas
• Cópias de segurança regulares e exploração monitorizada; tempos de reposição: tempo de reposição (RTO) e perda máxima de dados (RPO) de 24 horas cada
• Procedimento de verificação regular da eficácia: anualmente pela gerência

O cliente dá a sua autorização geral ao recurso aos subcontratantes ulteriores indicados a seguir. O subcontratante vincula-os a um nível de proteção correspondente ao presente contrato e responde pela sua conduta como pela própria.

Se o cliente incorporar uma marcação de compromissos própria através do Cal.com, o Cal.com é o seu prestador de serviços e não um subcontratante ulterior do subcontratante; o subcontratante limita-se a receber a notificação dos compromissos marcados.

Os conteúdos permanecem na UE. As conversas, a base de conhecimento e as contas encontram-se na região de base de dados europe-west3 (Frankfurt), os anexos e os logótipos no armazenamento de ficheiros da mesma região, a atualização em direto das conversas abertas é executada em europe-west1 e o agente de IA responde a partir da multirregião Vertex eu; os modelos auxiliares para as linhas de assunto e a análise de documentos são executados em europe-west1. A região do armazenamento de ficheiros foi verificada a 7 de agosto de 2026 nos buckets utilizados; todas as restantes constam da configuração da implementação.

Quatro serviços tratam dados fora da UE, concretamente nos Estados Unidos: Clerk para o início de sessão, as contas e as sessões, Stripe para o processamento dos pagamentos, Resend para o envio das notificações à equipa — estas contêm excertos literais de conversas — e Voyage AI para os embeddings da pesquisa semântica, que para esse efeito recebe os conteúdos de conhecimento. Estas transferências baseiam-se nas cláusulas contratuais-tipo da Comissão Europeia; que versão e que avaliação de impacto se aplica a cada prestador é fixado pelo contrato de subcontratação. A exploração da própria aplicação cabe à Vercel, um grupo norte-americano; a região de entrega desta implementação não foi medida e está aí igualmente assinalada como ponto em aberto.

O subcontratante comunica ao cliente sob forma textual, com pelo menos uma semana de antecedência, a substituição ou o acrescento de outros subcontratantes ulteriores. O cliente pode opor-se por um motivo importante de proteção de dados; nesse caso, cada parte pode rescindir o contrato principal na data da alteração.

O subcontratante baseia as transferências para os Estados Unidos nas cláusulas contratuais-tipo da Comissão Europeia nos termos do art. 46(2)(c) RGPD, na versão da Decisão de Execução (UE) 2021/914 de 4 de junho de 2021, módulo 2 (transferência de um responsável pelo tratamento para um subcontratante). Os fornecedores utilizados disponibilizam cada um as suas próprias avaliações de impacto da transferência, nas quais nos baseamos; não fazemos uma avaliação própria adicional no caso concreto. Enquanto este ponto estiver em aberto, a lista está completa e a via de transferência está indicada, mas a avaliação no caso concreto não está concluída.

O subcontratante assiste o cliente, na medida do razoável, no cumprimento dos direitos dos titulares dos dados nos termos dos arts. 15 a 22 RGPD, bem como nas avaliações de impacto sobre a proteção de dados e nas consultas nos termos dos arts. 35 e 36 RGPD.

Se um titular dos dados contactar diretamente o subcontratante, este encaminha o assunto sem demora para o cliente e não responde ele próprio. A informação sobre os dados armazenados e a sua entrega ou eliminação são prestadas mediante pedido através de info@comlayer.app no prazo de 48 horas.

Para os dados do seu próprio espaço de trabalho, o cliente dispõe ainda de uma via de autosserviço: em Einstellungen → Allgemein os seus administradores podem gerar a qualquer momento uma exportação completa e legível por máquina («Daten exportieren», formato JSON) e solicitar a eliminação do espaço de trabalho («Workspace löschen»). A eliminação é registada com um período de tolerância de 30 dias e é revogável até ao último dia. Ambas as vias estão abertas independentemente do plano contratado.

O subcontratante notifica o cliente de qualquer violação de dados pessoais de que tenha conhecimento sem demora, o mais tardar no prazo de 72 horas após tomar conhecimento. A notificação contém as informações exigidas pelo art. 33(3) RGPD, na medida em que estejam disponíveis; as informações em falta são apresentadas posteriormente. A notificação à autoridade de controlo e, se for caso disso, aos titulares dos dados cabe ao cliente.

Após o termo do contrato principal, o subcontratante elimina os dados tratados por conta do cliente, incluindo as cópias existentes, no prazo de 30 dias, salvo se o cliente exigir antes a sua devolução. As cópias de segurança são sobrescritas no âmbito do ciclo de cópias regular.

As obrigações legais de conservação não são afetadas; os dados por elas abrangidos ficam sujeitos a limitação do tratamento durante o prazo de conservação.

O subcontratante demonstra o cumprimento do presente contrato, mediante pedido, de forma adequada, em particular através de informação sobre as medidas tomadas. O cliente tem o direito de verificar esse cumprimento após aviso prévio com prazo razoável e sem perturbar o decurso da exploração; as auditorias no local estão limitadas a motivos fundamentados. Não existem atualmente certificações nem relatórios de auditoria próprios; a prova é feita através da informação nos termos da frase 1. Para os subcontratantes ulteriores utilizados valem as respetivas certificações.

Em caso de contradições, as disposições do presente contrato prevalecem sobre as disposições do contrato principal no que respeita ao tratamento de dados pessoais. Aplica-se o direito alemão. Quanto ao restante, aplicam-se as Condições Gerais e, complementarmente, a Política de privacidade.