Contrato de subcontratação do tratamento. Os dados da empresa sob o controlo da empresa.

1. Partes e celebração do contrato

O responsável pelo tratamento é o Cliente do serviço Mivare Space, ou seja, o empresário que registou uma Conta da empresa, doravante «Responsável pelo tratamento».

O subcontratante é a MIVARE GROUP PROSTA SPÓŁKA AKCYJNA, com sede em Krasnobród, KRS 0001268091, NIP 9223092251, REGON 545767254, que opera sob a marca Mivare Space, doravante «Subcontratante» ou «Mivare».

O presente contrato de subcontratação do tratamento de dados pessoais, doravante «DPA», é um contrato na aceção do artigo 28.º, n.º 3, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho (RGPD). É celebrado em forma eletrónica no momento da aceitação dos Termos do serviço Mivare Space (MSP-LEG-001) aquando do registo da Conta da empresa e vigora durante a vigência do Contrato e até à conclusão das operações descritas na secção 12.

Os termos iniciados por maiúscula têm o significado que lhes é atribuído nos Termos. Em matéria de proteção de dados pessoais, o DPA prevalece sobre os Termos.

2. Objeto, natureza e finalidade do tratamento

O Responsável pelo tratamento confia ao Subcontratante o tratamento dos dados pessoais introduzidos na Aplicação pelo Responsável pelo tratamento, pelos Utilizadores e pelas Pessoas externas que utilizem as funcionalidades públicas da Aplicação (clientes do Responsável pelo tratamento, arquitetos e pessoas que atuam por parte dos parceiros B2B), exclusivamente para efeitos da prestação do serviço Mivare Space.

O tratamento abrange as operações necessárias à prestação do serviço: conservação, organização, estruturação, pesquisa, consulta, alteração e apagamento dos dados por instrução do Responsável pelo tratamento, a sua apresentação aos Utilizadores e às Pessoas externas na medida definida pelo Responsável pelo tratamento, a geração de documentos e mapas, o registo da localização do dispositivo no momento da marcação de presença, a remoção dos metadados das fotografias enviadas, o envio de mensagens de correio eletrónico aos clientes do Responsável pelo tratamento desencadeadas pelos Utilizadores ou pelas definições da Aplicação, o funcionamento das funcionalidades públicas da Aplicação, a preparação de resumos pela assistente Mivi, caso o Administrador da conta e o Utilizador a ativem, a realização de cópias de segurança, bem como o acesso no âmbito do apoio técnico e da resolução de avarias.

O Subcontratante não trata os dados que lhe foram confiados para fins próprios, não os combina com dados de outros clientes, não os vende e não os utiliza para a definição de perfis nem para o treino de modelos de inteligência artificial.

3. Categorias de titulares e de dados

Categorias de titulares dos dados:

• clientes do Responsável pelo tratamento: pessoas singulares, incluindo as que exercem atividade económica, e pessoas de contacto de clientes que sejam empresas;
• trabalhadores e colaboradores do Responsável pelo tratamento, incluindo os Utilizadores da Aplicação;
• arquitetos e projetistas convidados pelo Responsável pelo tratamento para os projetos;
• parceiros B2B do Responsável pelo tratamento, as respetivas pessoas de contacto e os clientes cujos dados o parceiro transmite nas encomendas que comunica;
• subempreiteiros do Responsável pelo tratamento e as respetivas pessoas de contacto;
• pessoas de contacto de fornecedores e outros contratantes do Responsável pelo tratamento;
• outras pessoas cujos dados o Responsável pelo tratamento introduza na Aplicação no âmbito da finalidade desta.

Categorias de dados pessoais:

• dados de identificação e de contacto: nome e apelido, denominação da empresa, morada, morada para correspondência, número de telefone, endereço de e-mail, canal de contacto e língua preferidos;
• identificadores: NIP, REGON, KRS, número de IVA intracomunitário e, caso o Responsável pelo tratamento o introduza, o número PESEL;
• dados dos projetos e dos imóveis: moradas e localização dos projetos, frações e divisões, plantas com os contornos e as marcações, âmbito dos trabalhos, cronogramas, tarefas, notas, conversas, orçamentos, escolhas de materiais e equipamentos, incluindo os respetivos preços, alterações do âmbito, autos de receção, defeitos e garantias;
• fotografias de interiores nas diferentes fases dos trabalhos, fotografias de variantes e de inspirações, fotografias de defeitos enviadas pelos clientes e outros ficheiros anexados pelos Utilizadores e pelas Pessoas externas;
• decisões, aceitações e comentários efetuados na Aplicação ou nas suas funcionalidades públicas;
• dados da colaboração com parceiros B2B: encomendas comunicadas, poderes para tomar decisões, taxas e liquidação das comissões;
• consentimentos e preferências de comunicação dos clientes do Responsável pelo tratamento e histórico de contactos;
• dados de trabalhadores e colaboradores: dados de contacto, contacto de emergência, cargo, competências, forma e período de colaboração, registo de presenças com a localização do dispositivo no início e no fim do trabalho, folhas de horas, taxas de custo, equipamento entregue;
• dados técnicos: endereço IP e marcas temporais das ações realizadas na Aplicação ou nas suas funcionalidades públicas.

A Aplicação não se destina ao tratamento de categorias especiais de dados pessoais (artigo 9.º do RGPD) nem de dados relativos a condenações penais (artigo 10.º do RGPD), e o Responsável pelo tratamento não os confia ao Subcontratante. Se o Subcontratante verificar que tais dados foram introduzidos, informa do facto o Responsável pelo tratamento.

4. Obrigações do Responsável pelo tratamento

O Responsável pelo tratamento é responsável pela existência de fundamento jurídico para o tratamento, pela exatidão dos dados introduzidos, pelo cumprimento dos deveres de informação perante os titulares dos dados e pela obtenção dos consentimentos exigidos para o envio de mensagens através da Aplicação.

O Responsável pelo tratamento decide se e em relação a quem aplica o registo de presenças com a localização do dispositivo e é responsável pela conformidade desse tratamento com a legislação laboral, incluindo a informação aos trabalhadores e colaboradores sobre a sua finalidade e o seu âmbito.

O Responsável pelo tratamento decide a que Pessoas externas e em que medida disponibiliza as funcionalidades públicas, tendo em conta, em particular, que o arquiteto convidado para um projeto vê as respetivas divisões, plantas e fotografias independentemente da marcação «visível para o cliente» e que o parceiro B2B transmite dados dos seus clientes após confirmar na Aplicação que dispõe de fundamento para o efeito; o Responsável pelo tratamento acorda com o parceiro as regras dessa colaboração.

O Responsável pelo tratamento configura a Aplicação, incluindo as permissões dos Utilizadores, o prazo de conservação do diário de eventos, a exigência de autenticação de dois fatores e as funcionalidades públicas, de forma adequada ao risco do seu tratamento.

5. Instruções do Responsável pelo tratamento

O Subcontratante trata os dados exclusivamente mediante instruções documentadas do Responsável pelo tratamento. Constituem instruções: os Termos e o DPA, a configuração da Aplicação efetuada pelo Responsável pelo tratamento e as ações dos Utilizadores e das Pessoas externas na Aplicação, bem como as instruções enviadas a partir do endereço de e-mail do Administrador da conta para support@mivarespace.com.

O Subcontratante só pode tratar os dados sem instrução do Responsável pelo tratamento quando tal seja exigido pelo direito da União ou de um Estado-Membro; nesse caso, antes de iniciar o tratamento, informa o Responsável pelo tratamento dessa obrigação, salvo se o direito proibir tal informação.

Se, no entender do Subcontratante, uma instrução violar o RGPD ou outras disposições em matéria de proteção de dados, o Subcontratante informa imediatamente o Responsável pelo tratamento e pode suspender a sua execução até ao respetivo esclarecimento.

6. Confidencialidade

O Subcontratante permite o acesso aos dados apenas a pessoas autorizadas que necessitem desse acesso para a prestação do serviço, o apoio técnico ou a resolução de avarias e que se tenham comprometido a respeitar a confidencialidade ou estejam sujeitas a uma obrigação legal de sigilo.

O acesso do pessoal do Subcontratante aos dados de uma determinada Conta da empresa ocorre exclusivamente na medida necessária para dar seguimento a um pedido do Responsável pelo tratamento, resolver uma avaria ou garantir a segurança.

7. Segurança do tratamento

O Subcontratante aplica as medidas técnicas e organizativas referidas no artigo 32.º do RGPD, adequadas ao risco. Estado da sua implementação à data de entrada em vigor do DPA:

• cifragem da transmissão de dados através do protocolo TLS (estado: implementada);
• palavras-passe conservadas exclusivamente sob a forma de hash com o algoritmo Argon2id, requisitos relativos à robustez da palavra-passe e verificação de palavras-passe amplamente conhecidas (estado: implementados);
• autenticação de dois fatores (TOTP) disponível para todos os Utilizadores, com possibilidade de ser exigida pelo Responsável pelo tratamento; autenticação de dois fatores para as contas administrativas do Subcontratante (estado: implementada);
• limitação do número de tentativas de início de sessão, bloqueio da conta após tentativas falhadas e expiração automática da sessão inativa (estado: implementados);
• separação lógica dos dados de cada Conta da empresa ao nível da aplicação e da base de dados (estado: implementada);
• funcionalidades públicas da Aplicação acessíveis exclusivamente através de ligações com uma chave aleatória, conservada na base de dados exclusivamente sob a forma de hash, e com prazo de validade, com verificação adicional com dados conhecidos da pessoa autorizada, limite de tentativas e registo de cada abertura (estado: implementadas);
• remoção dos metadados, incluindo a localização, das fotografias enviadas (estado: implementada);
• conservação dos ficheiros num repositório de ficheiros privado (Object Storage) na União Europeia, com cifragem pela Aplicação antes do envio para o repositório, armazenamento separado para cada conta de cliente e disponibilização exclusivamente através da Aplicação após autorização, com decifragem do ficheiro pela Aplicação no momento da transferência (estado: implementada);
• análise de cada ficheiro carregado com software antivírus antes da gravação (estado: implementada);
• princípio do privilégio mínimo para os Utilizadores e o pessoal do Subcontratante, incluindo uma permissão separada para os custos e as margens (estado: implementado);
• registo de eventos na Aplicação (diário de eventos) (estado: implementado);
• cópias de segurança automáticas: uma cópia da base de dados de hora a hora, conservada durante 7 dias, e uma cópia diária integral da base de dados, conservada durante 3 dias, e uma cópia contínua dos ficheiros, na qual um ficheiro apagado permanece, no máximo, 30 dias; as cópias são cifradas antes da gravação, a chave necessária para a sua leitura é conservada fora do servidor e fora do local de conservação das cópias, e as próprias cópias são conservadas na União Europeia, num contentor de Object Storage separado, distinto do servidor da Aplicação e do repositório de ficheiros; teste periódico de restauro (estado: implementadas);
• instalação de atualizações e de correções de segurança (estado: implementada);
• procedimento de gestão de incidentes de segurança (estado: implementado);
• cifragem da base de dados no disco do servidor (estado: não implementada, planeada); até à sua implementação, a proteção dos dados na base de dados é assegurada pelo controlo de acessos, pelo princípio do privilégio mínimo e pelo registo de eventos; os ficheiros e as cópias de segurança são cifrados em conformidade com os pontos anteriores.

O Subcontratante não declara certificações ISO nem SOC. O Subcontratante pode alterar as medidas de segurança, desde que a alteração não reduza o nível geral de proteção.

8. Subcontratação ulterior

O Responsável pelo tratamento concede ao Subcontratante uma autorização geral para a subcontratação ulterior do tratamento de dados a subcontratantes ulteriores. À data de entrada em vigor do DPA, o Subcontratante recorre aos seguintes subcontratantes ulteriores:

• Contabo GmbH (Alemanha, Munique): servidor em que funciona a Aplicação juntamente com a base de dados, repositório de ficheiros e repositório das cópias de segurança (Object Storage); centros de dados na União Europeia; acesso a todas as categorias de dados no âmbito da prestação de serviços de infraestrutura; os ficheiros no repositório de ficheiros e as cópias de segurança são cifrados pelo Subcontratante antes da gravação; sem transferência para fora do Espaço Económico Europeu.
• OVH Sp. z o.o. (grupo OVHcloud): envio de correio eletrónico a partir da Aplicação, bem como domínios e sítios web da Mivare; centros de dados na União Europeia; acesso aos dados contidos nas mensagens de correio eletrónico enviadas a partir da Aplicação, exclusivamente para efeitos da sua entrega; sem transferência para fora do Espaço Económico Europeu.
• Mistral AI SAS (França, Paris): preparação de resumos, respostas e rascunhos de documentos da assistente Mivi, exclusivamente nas Contas da empresa em que o Administrador da conta a tenha ativado e para os Utilizadores que a tenham ativado; tratamento e conservação na União Europeia, sem utilização dos dados para o treino de modelos; os pedidos e as respostas são conservados durante, no máximo, 30 dias, exclusivamente para efeitos de deteção de abusos, sendo em seguida eliminados; acesso aos dados transmitidos no pedido; sem transferência de dados para fora do Espaço Económico Europeu.

A assistente Mivi está desativada por predefinição. Ao ativá-la para a Conta da empresa, o Administrador da conta atua em nome do Responsável pelo tratamento e manifesta o consentimento deste à intervenção da Mistral AI como subcontratante ulterior no âmbito desta funcionalidade; em seguida, cada Utilizador ativa-a ou desativa-a autonomamente para a sua própria conta. O Subcontratante transmite à Mistral AI exclusivamente os dados necessários à preparação do resumo ou da resposta para o Utilizador que ativou a assistente (entradas do diário de eventos e excertos dos registos a que esse Utilizador tem acesso na Aplicação) e não transmite palavras-passe, dados de autenticação, dados de cartões de pagamento, números PESEL nem números de documentos de identificação. No módulo Mivi+, esse âmbito abrange também o conteúdo dos documentos e registos sobre os quais o Utilizador trabalha com a assistente, bem como o histórico das suas conversas com a assistente, que o Subcontratante conserva na Aplicação durante 90 dias, salvo se o Utilizador o apagar antes; as exclusões previstas na frase anterior mantêm-se inalteradas. A desativação da assistente pelo Administrador da conta ou pelo Utilizador interrompe imediatamente a transmissão de dados nesse âmbito.

O Subcontratante informa antecipadamente o Administrador da conta, por correio eletrónico, da intenção de acrescentar ou substituir um subcontratante ulterior e publica a lista atualizada no DPA. O Responsável pelo tratamento pode, no prazo de 14 dias a contar da receção da informação, apresentar uma oposição fundamentada. Se as partes não acordarem numa solução, o Responsável pelo tratamento pode resolver o Contrato com efeitos no dia anterior à alteração e obtém o reembolso da taxa paga antecipadamente relativa ao período não utilizado.

O Subcontratante impõe a cada subcontratante ulterior obrigações de proteção de dados não menos protetoras do que as decorrentes do DPA e é responsável perante o Responsável pelo tratamento pelo cumprimento das obrigações pelo subcontratante ulterior.

O operador de pagamentos Stripe (Stripe Payments Europe, Limited) não é subcontratante: processa exclusivamente os pagamentos do Cliente pelo serviço e não tem acesso aos dados confiados. A Google também não é subcontratante ulterior: o serviço Google Maps é aberto pelo Utilizador através do botão «Navegar», com a morada ou a localização do projeto como destino do percurso, nas condições da Google.

9. Transferência de dados para fora do Espaço Económico Europeu

O Subcontratante trata os dados que lhe foram confiados exclusivamente no Espaço Económico Europeu. A transferência de dados para um país terceiro ou uma organização internacional exige a informação prévia do Responsável pelo tratamento nos termos da secção 8 e a aplicação de um mecanismo conforme com o capítulo V do RGPD.

10. Assistência ao Responsável pelo tratamento

O Subcontratante presta assistência ao Responsável pelo tratamento no cumprimento da obrigação de dar resposta aos pedidos dos titulares dos dados. A Aplicação permite ao Responsável pelo tratamento consultar autonomamente os dados, retificá-los, exportá-los, apagá-los e anonimizar os dados de um cliente. Se o pedido de um titular dos dados for dirigido diretamente ao Subcontratante, este transmite-o sem demora injustificada ao Responsável pelo tratamento e não lhe responde autonomamente, salvo se o Responsável pelo tratamento o autorizar para o efeito.

O Subcontratante, tendo em conta a natureza do tratamento e as informações disponíveis, presta assistência ao Responsável pelo tratamento no cumprimento das obrigações previstas nos artigos 32.º a 36.º do RGPD, incluindo a avaliação de impacto sobre a proteção de dados e a consulta prévia, transmitindo as informações de que dispõe sobre a Aplicação e as medidas aplicadas.

11. Violação de dados pessoais

O Subcontratante notifica o Responsável pelo tratamento de uma violação de dados pessoais sem demora injustificada, o mais tardar no prazo de 48 horas após ter dela tomado conhecimento, para o endereço de e-mail do Administrador da conta.

A notificação contém, na medida em que as informações estejam disponíveis: a descrição da natureza da violação, incluindo as categorias e o número aproximado de titulares dos dados e de registos, as consequências prováveis, as medidas adotadas ou propostas para remediar a violação e os contactos da pessoa que presta as informações. As informações não disponíveis no momento da notificação são transmitidas pelo Subcontratante de forma progressiva.

O Subcontratante documenta as violações e toma medidas para limitar os seus efeitos. A notificação da violação à autoridade de controlo e a comunicação aos titulares dos dados cabem ao Responsável pelo tratamento; o Subcontratante presta-lhe assistência para o efeito.

12. Termo do tratamento, devolução e apagamento dos dados

O Responsável pelo tratamento pode, a qualquer momento, descarregar uma cópia dos dados através da funcionalidade de exportação da Aplicação (arquivo ZIP com ficheiros CSV e os ficheiros anexados). Após o termo do Contrato, o Subcontratante conserva os dados durante 30 dias, para permitir a sua exportação ou a retoma do serviço, e, a pedido do Responsável pelo tratamento, entrega a exportação durante esse período por via eletrónica.

Em seguida, o Subcontratante apaga os dados que lhe foram confiados, o mais tardar 60 dias após o termo do Contrato. As cópias dos dados constantes das cópias de segurança são apagadas no ciclo de rotação, o mais tardar 30 dias após o apagamento dos dados da Aplicação. A pedido do Responsável pelo tratamento, o Subcontratante confirma o apagamento por via eletrónica.

O diário de eventos é conservado durante o período definido pelo Responsável pelo tratamento, entre 30 e 180 dias. As cópias dos registos apagados, conservadas para permitir a recuperação de dados apagados por engano, são conservadas durante um período não superior a 180 dias e apagadas juntamente com a Conta da empresa.

O Subcontratante só pode conservar os dados que lhe foram confiados durante mais tempo quando tal seja exigido pelo direito da União ou de um Estado-Membro, e apenas na medida decorrente dessa obrigação.

13. Informações e auditoria

O Subcontratante disponibiliza ao Responsável pelo tratamento as informações necessárias para demonstrar o cumprimento das obrigações previstas no artigo 28.º do RGPD, em particular respostas a perguntas relativas à Aplicação, às medidas de segurança e aos subcontratantes ulteriores, enviadas para hello@mivaregroup.com, no prazo de 14 dias.

Se as informações transmitidas não forem suficientes, o Responsável pelo tratamento ou um auditor independente vinculado a um dever de confidencialidade pode realizar uma auditoria, no máximo uma vez em cada 12 meses, com exceção de uma auditoria na sequência de uma violação de dados pessoais ou a pedido da autoridade de controlo. A auditoria exige um pré-aviso de, pelo menos, 30 dias, realiza-se em dias úteis, não pode perturbar a prestação do serviço nem violar a confidencialidade dos dados de outros clientes e é realizada a expensas do Responsável pelo tratamento.

14. Responsabilidade e disposições finais

A responsabilidade das partes decorrente do DPA é regulada pelo artigo 82.º do RGPD e pelos Termos, sob reserva de que as limitações de responsabilidade não se aplicam aos casos em que a exclusão ou limitação seja legalmente inadmissível.

As alterações ao DPA, incluindo a atualização da lista de subcontratantes ulteriores, são efetuadas nos termos previstos nos Termos para as alterações aos documentos, sem prejuízo da secção 8.

O DPA rege-se pela lei polaca. É disponibilizado em sete versões linguísticas; em caso de divergência, prevalece a versão polaca. A versão atual está disponível em https://mivaregroup.com/pt/legal/space/dpa/

O DPA entra em vigor em 30 de outubro de 2026.