Acordo de Tratamento de Dados (DPA) — Caravel Sites

Versão 1.0. Data de entrada em vigor: em revisão

Este acordo está em revisão. Os pontos assinalados com em revisão ainda estão a ser confirmados e podem mudar antes de o acordo entrar em vigor.

Este acordo segue o artigo 28.º, n.º 3, do Regulamento (UE) 2016/679 (Regulamento Geral sobre a Proteção de Dados, «RGPD») e toma como referência as Cláusulas Contratuais-Tipo entre responsáveis pelo tratamento e subcontratantes aprovadas pela Comissão Europeia na Decisão de Execução (UE) 2021/915, de 4 de junho de 2021 (JO L 199 de 7.6.2021, p. 18). Segue a mesma estrutura do DPA das apps Caravel (https://caravelsuite.com/pt/legal/dpa/, versão 1.1 de 01/11/2026), adaptado ao serviço Caravel Sites.

Fontes oficiais:

• RGPD — EUR-Lex, CELEX 32016R0679: https://eur-lex.europa.eu/legal-content/PT/TXT/?uri=CELEX:32016R0679
• Decisão de Execução (UE) 2021/915 — EUR-Lex, CELEX 32021D0915: https://eur-lex.europa.eu/legal-content/PT/TXT/?uri=CELEX:32021D0915
• Decisão de Execução (UE) 2021/914 (cláusulas-tipo para transferências para países terceiros) — CELEX 32021D0914: https://eur-lex.europa.eu/legal-content/PT/TXT/?uri=CELEX:32021D0914
• Lei n.º 58/2019, de 8 de agosto (execução do RGPD em Portugal) — Diário da República: https://diariodarepublica.pt/dr/detalhe/lei/58-2019-123815982
• EDPB, Diretrizes 07/2020 sobre os conceitos de responsável pelo tratamento e de subcontratante no RGPD (versão 2.0, 7 de julho de 2021): https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-072020-concepts-controller-and-processor-gdpr_pt

Partes

1. O Cliente — a pessoa singular ou coletiva que subscreve o serviço Caravel Sites, identificada na sua conta e na fatura, adiante «Responsável pelo Tratamento» ou «Cliente».
2. Jardim Idílico Unipessoal Lda, marca Caravel Suite, NIPC/NIF PT518764532, com sede na Rua da Póvoa, n.º 775, Fração L, Zona Industrial de Amorim, 4495-121 Póvoa de Varzim, Portugal, matriculada na Conservatória do Registo Comercial sob o n.º 518764532, contacto caravel@caravelsuite.com, adiante «Subcontratante» ou «Caravel».

Cláusula 1.ª — Objeto e âmbito

1. Este acordo regula o tratamento de dados pessoais que a Caravel efetua por conta do Cliente ao prestar o serviço Caravel Sites: criação, alojamento e manutenção do site do Cliente e, em especial, a receção, guarda e entrega ao Cliente das mensagens enviadas pelos visitantes através dos formulários de contacto e de pedido de reserva do site, consultáveis no painel Caravel Sites.
2. Nos termos do artigo 4.º, n.os 7 e 8, e do artigo 28.º do RGPD, o Cliente é o responsável pelo tratamento desses dados e a Caravel é sua subcontratante.
3. Não estão abrangidos por este acordo, e regem-se pela Política de Privacidade de caravelsuite.com (https://caravelsuite.com/pt/legal/privacy/), os dados que a Caravel trata como responsável na relação com o próprio Cliente: conta, faturação, pagamentos da subscrição (processados pela Stripe), suporte e correspondência.
4. Este acordo faz parte das condições de venda dos Caravel Sites (Termos de utilização, https://caravelsuite.com/pt/legal/terms/). Em caso de conflito sobre proteção de dados, prevalece este acordo (cf. Cláusula 4 do Anexo da Decisão de Execução (UE) 2021/915).
5. Este acordo é celebrado por via eletrónica, o que o artigo 28.º, n.º 9, do RGPD admite como forma escrita.

Cláusula 2.ª — Duração

1. Este acordo produz efeitos quando o Cliente o aceita (na compra ou no registo da conta Caravel Sites) e vigora enquanto a Caravel tratar dados pessoais por conta do Cliente.
2. Mantém-se em vigor depois do fim da subscrição até à conclusão do apagamento ou devolução previstos na Cláusula 10.ª.

Cláusula 3.ª — Natureza, finalidade, categorias de dados e de titulares

A descrição completa consta do Anexo I. Em resumo:

• Natureza: recolha através dos formulários do site, registo, conservação, consulta pelo Cliente no painel, envio de aviso ao Cliente por email, cópia de segurança, apagamento.
• Finalidade: permitir ao Cliente receber e responder aos contactos e gerir os pedidos de reserva dos visitantes do seu site.
• Titulares: visitantes do site do Cliente que preenchem um formulário (potenciais clientes, hóspedes, comensais).
• Dados: nome, email, telefone, data, hora, número de pessoas, texto da mensagem; dados técnicos do envio (data e hora; em revisão).
• Categorias especiais (art. 9.º RGPD): o serviço não as pede. O campo de mensagem é livre e um visitante pode escrever nele, por iniciativa própria, informação de saúde (por exemplo, alergias ou mobilidade reduzida). O Cliente não deve configurar campos que peçam esses dados sem fundamento próprio nos termos do artigo 9.º, n.º 2.

Cláusula 4.ª — Instruções documentadas

1. A Caravel trata os dados apenas mediante instruções documentadas do Cliente, incluindo quanto a transferências para países terceiros, salvo se o direito da União ou de Portugal a obrigar a tratar; nesse caso informa o Cliente antes, salvo se a lei o proibir (art. 28.º, n.º 3, alínea a), RGPD; Cláusula 7.1 do Anexo da Decisão 2021/915).
2. Constituem instruções documentadas: este acordo; a configuração que o Cliente faz no painel (campos dos formulários, email de aviso, prazo de retenção); e os pedidos que o Cliente envia por email a partir do endereço associado à conta.
3. A Caravel informa imediatamente o Cliente se considerar que uma instrução viola o RGPD ou outra norma de proteção de dados (art. 28.º, n.º 3, último parágrafo, RGPD).
4. A Caravel não usa os dados para finalidades próprias — nomeadamente publicidade, perfis, venda ou treino de modelos de inteligência artificial — nem os junta a dados de outros clientes. Se o fizesse, seria considerada responsável pelo tratamento nesse tratamento (art. 28.º, n.º 10, RGPD).

Cláusula 5.ª — Confidencialidade

1. A Caravel garante que as pessoas autorizadas a tratar os dados assumiram um compromisso de confidencialidade ou estão sujeitas a uma obrigação legal de confidencialidade (art. 28.º, n.º 3, alínea b), RGPD).
2. O acesso é limitado ao estritamente necessário para prestar, manter e dar suporte ao serviço. em revisão

Cláusula 6.ª — Segurança do tratamento (art. 32.º RGPD)

1. A Caravel aplica as medidas técnicas e organizativas descritas no Anexo II, adequadas ao risco, tendo em conta o estado da técnica, os custos, a natureza, o âmbito, o contexto e as finalidades do tratamento (art. 28.º, n.º 3, alínea c), e art. 32.º RGPD).
2. A Caravel pode atualizar essas medidas, desde que o nível de segurança não diminua.
3. A Caravel não declara certificações (como ISO/IEC 27001) que não tenha.
4. Cabe ao Cliente proteger as credenciais de acesso ao painel e ao email de aviso, e não pedir nos formulários mais dados do que precisa (art. 5.º, n.º 1, alínea c), RGPD).

Cláusula 7.ª — Subcontratantes ulteriores

1. O Cliente dá à Caravel autorização geral para recorrer aos subcontratantes ulteriores indicados no Anexo III (art. 28.º, n.º 2, RGPD; Cláusula 7.7, opção 2, do Anexo da Decisão 2021/915).
2. A Caravel avisa o Cliente por email, com pelo menos 30 dias de antecedência em revisão, de qualquer acréscimo ou substituição de subcontratantes ulteriores, e mantém a lista atualizada no seu site.
3. O Cliente pode opor-se por escrito, com fundamento razoável em proteção de dados, dentro desse prazo. Se a oposição não for resolvida, o Cliente pode terminar a subscrição antes da alteração produzir efeitos, sem penalização, com reembolso da parte já paga e não usada do período em curso em revisão.
4. A Caravel impõe a cada subcontratante ulterior, por contrato, obrigações de proteção de dados equivalentes às deste acordo, em especial garantias suficientes de segurança, e continua plenamente responsável perante o Cliente pelo seu cumprimento (art. 28.º, n.º 4, RGPD).
5. Em caso de urgência de segurança ou de cessação súbita de um fornecedor, a Caravel pode fazer a substituição com aviso mais curto, informando o Cliente logo que possível e mantendo o direito de oposição.

Cláusula 8.ª — Assistência ao Cliente

1. Direitos dos titulares (arts. 12.º a 22.º RGPD): tendo em conta a natureza do tratamento, a Caravel ajuda o Cliente, através de medidas técnicas e organizativas adequadas, a responder aos pedidos de acesso, retificação, apagamento, limitação, portabilidade e oposição (art. 28.º, n.º 3, alínea e), RGPD; Cláusula 8 do Anexo da Decisão 2021/915). No painel, o Cliente pode consultar, exportar e apagar mensagens em revisão. Se a Caravel receber um pedido diretamente de um titular, encaminha-o ao Cliente sem demora e não lhe responde, salvo instrução do Cliente.
2. Outras obrigações: a Caravel presta ao Cliente a informação razoavelmente necessária para cumprir os artigos 32.º a 36.º do RGPD (segurança, violações, avaliação de impacto e consulta prévia), tendo em conta a natureza do tratamento e a informação disponível (art. 28.º, n.º 3, alínea f), RGPD).
3. A Caravel mantém o registo das atividades de tratamento efetuadas por conta dos seus clientes (art. 30.º, n.º 2, RGPD).

Cláusula 9.ª — Violações de dados pessoais

1. A Caravel notifica o Cliente sem demora injustificada após ter conhecimento de uma violação de dados pessoais que afete os dados do Cliente (art. 33.º, n.º 2, RGPD) e, em qualquer caso, no prazo máximo de 24 horas, por email para o endereço da conta (prazo igual ao do DPA das apps Caravel).
2. A notificação inclui, na medida do possível e podendo ser feita por fases: a natureza da violação, as categorias e o número aproximado de titulares e de registos afetados, as consequências prováveis, as medidas tomadas ou propostas e um contacto para mais informações (art. 33.º, n.º 3, RGPD; Cláusula 9.2 do Anexo da Decisão 2021/915).
3. A notificação à autoridade de controlo (em Portugal, a CNPD) no prazo de 72 horas e a comunicação aos titulares (arts. 33.º e 34.º RGPD) cabem ao Cliente. A Caravel ajuda-o com a informação de que dispuser.
4. Referência: EDPB, Diretrizes 9/2022 sobre a notificação de violações de dados pessoais ao abrigo do RGPD (versão 2.0, 28 de março de 2023): https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-92022-personal-data-breach-notification-under_pt

Cláusula 10.ª — Retenção, apagamento e devolução

1. Durante a subscrição: as mensagens dos formulários são apagadas automaticamente quando atingem o prazo de retenção configurado pelo Cliente no painel, por omissão 180 dias em revisão. O Cliente pode apagá-las antes.
2. No fim da subscrição (cancelamento ou falta de pagamento, nos termos das condições de venda: suspensão 15 dias depois do vencimento e apagamento 60 dias depois, com aviso prévio), a Caravel, à escolha do Cliente, devolve os dados (exportação num formato de uso corrente, como CSV em revisão) e apaga os restantes, salvo se o direito da União ou de Portugal exigir a sua conservação (art. 28.º, n.º 3, alínea g), RGPD; Cláusula 10, alínea d), do Anexo da Decisão 2021/915). Se o Cliente nada pedir, os dados são apagados no fim do prazo indicado nas condições de venda.
3. Os dados apagados desaparecem das cópias de segurança cifradas no fim do ciclo de retenção das cópias, até em revisão semanas. Até lá, as cópias não são usadas para outro fim que não a reposição em caso de incidente.
4. A Caravel confirma o apagamento por escrito, a pedido do Cliente.

Cláusula 11.ª — Demonstração de cumprimento e auditorias

1. A Caravel disponibiliza ao Cliente a informação necessária para demonstrar o cumprimento do artigo 28.º do RGPD (art. 28.º, n.º 3, alínea h), RGPD; Cláusula 7.6 do Anexo da Decisão 2021/915), em primeiro lugar por escrito (respostas a questionários e descrição atualizada das medidas do Anexo II).
2. Se essa informação não for suficiente, ou se uma autoridade de controlo o exigir, o Cliente pode realizar ou mandar realizar uma auditoria, incluindo inspeção, por auditor independente e vinculado a confidencialidade, no máximo uma vez por ano e com 30 dias de aviso prévio, salvo violação de dados ou ordem de autoridade. Cada parte suporta os seus próprios custos em revisão.
3. A auditoria não pode dar acesso a dados de outros clientes nem comprometer a segurança do serviço.

Cláusula 12.ª — Transferências internacionais

1. Os dados dos formulários são alojados em servidores na União Europeia (em revisão, ver Anexo III).
2. A Caravel não transfere os dados para fora do Espaço Económico Europeu, exceto quando um subcontratante ulterior indicado no Anexo III o faça. Nesse caso, a transferência só se faz com base numa decisão de adequação (art. 45.º RGPD — por exemplo, para os Estados Unidos, o Quadro de Privacidade de Dados UE-EUA, Decisão de Execução (UE) 2023/1795, para entidades certificadas) ou em garantias adequadas, nomeadamente as cláusulas contratuais-tipo da Comissão aprovadas pela Decisão de Execução (UE) 2021/914 (art. 46.º, n.º 2, alínea c), RGPD).
3. A Caravel avisa o Cliente, nos termos da Cláusula 7.ª, antes de introduzir qualquer nova transferência.

Cláusula 13.ª — Responsabilidade, prevalência, lei e foro

1. Cada parte responde nos termos do artigo 82.º do RGPD. Entre as partes, aplica-se a limitação de responsabilidade dos Termos de utilização (valor pago nos 12 meses anteriores, exceto dolo ou culpa grave), na medida em que a lei o permita e sem prejuízo dos direitos dos titulares em revisão.
2. Em caso de conflito entre este acordo e outros termos acordados entre as partes, prevalece este acordo quanto à proteção de dados.
3. Lei aplicável: lei portuguesa, incluindo o RGPD e a Lei n.º 58/2019. Foro: comarca do Porto, sem prejuízo de normas imperativas.
4. A Caravel pode atualizar este acordo para o adaptar a alterações legais ou do serviço, avisando o Cliente por email com 30 dias de antecedência; alterações que reduzam a proteção dos dados exigem o acordo do Cliente.

Anexo I — Descrição do tratamento

Anexo II — Medidas técnicas e organizativas (art. 32.º RGPD)

Só se indicam medidas que existem. As marcadas em revisão têm de ser verificadas no servidor dos Caravel Sites antes da publicação.

1. Cifra em trânsito: todos os sites e o painel são servidos só por HTTPS (TLS), com certificado para o domínio do Cliente; o HTTP redireciona para HTTPS.
2. Isolamento por cliente: os dados de cada Cliente ficam separados dos de outros clientes em revisão; cada conta do painel só vê as mensagens do seu site.
3. Cópias de segurança cifradas: cópias automáticas em revisão.
4. Retenção configurável e apagamento automático: o painel apaga as mensagens quando atingem o prazo definido pelo Cliente (por omissão 180 dias).
5. Minimização: os formulários pedem só os campos necessários; os campos são configuráveis; os sites não usam cookies de terceiros nem rastreadores em revisão.
6. Controlo de acesso: acesso administrativo ao servidor só por chave SSH em revisão; firewall; base de dados não exposta à Internet em revisão; acesso ao painel com palavra-passe individual em revisão.
7. Proteção dos formulários contra abuso: em revisão.
8. Registos: os registos do servidor não guardam o conteúdo das mensagens em revisão; prazo dos registos em revisão.
9. Pessoas: acesso limitado a quem precisa; compromisso de confidencialidade (Cláusula 5.ª).
10. Resposta a incidentes: procedimento de análise, contenção e notificação ao Cliente em 24 horas (Cláusula 9.ª).
11. Atualizações: sistema e dependências atualizados regularmente em revisão.

Anexo III — Subcontratantes ulteriores autorizados

Não são subcontratantes ulteriores deste acordo:

• Stripe — processa os pagamentos da subscrição do Cliente à Caravel. Não recebe dados dos visitantes dos sites. Rege-se pela Política de Privacidade de caravelsuite.com.
• O registador do domínio e o fornecedor de email do próprio Cliente — são contratados pelo Cliente (o domínio está registado em nome do Cliente).