Acordo de Tratamento de Dados Pessoais (DPA) — Caravel Suite

Versão 1.0 · 30/10/2026

Partes

1. O Lojista — a pessoa singular ou coletiva titular da loja Shopify que instala uma ou mais das Aplicações abaixo, identificada pelos dados da sua conta Shopify e da sua loja, na qualidade de Responsável pelo Tratamento (art. 4.º, n.º 7, do RGPD).
2. Jardim Idílico Unipessoal, Lda., que opera com a marca Caravel Suite, NIF PT518764532, com sede na Rua da Póvoa, n.º 775, Fração L, Zona Industrial de Amorim, 4495-121 Póvoa de Varzim, Portugal, contacto caravel@caravelsuite.com, na qualidade de Subcontratante (art. 4.º, n.º 8, e art. 28.º do RGPD) — doravante «Caravel Suite».

Cláusula 1.ª — Objeto e âmbito

1. Este DPA regula o tratamento de dados pessoais que a Caravel Suite efetua por conta do Lojista ao prestar as aplicações Shopify Caravel Invoice PT, Caravel Track, Caravel Reviews e Caravel Packing Slips («Aplicações»), e aplica-se apenas às Aplicações que o Lojista tenha instaladas.
2. Este DPA faz parte integrante dos Termos de Serviço de cada Aplicação. Ao instalar ou continuar a usar uma Aplicação, o Lojista aceita os Termos e, com eles, este DPA. Os Termos de cada Aplicação remetem para este documento.
3. Os dados da própria relação comercial com o Lojista (conta, faturação, suporte) são tratados pela Caravel Suite como responsável e regem-se pela Política de Privacidade de caravelsuite.com, não por este DPA.

Cláusula 2.ª — Duração

O tratamento começa com a instalação da Aplicação e dura enquanto ela estiver instalada, acrescido do tempo estritamente necessário ao apagamento previsto na Cláusula 10.ª.

Cláusula 3.ª — Natureza, finalidade, categorias de dados e de titulares

1. Titulares: clientes (compradores) da loja do Lojista; nas sessões de administração, também os utilizadores (colaboradores) do Lojista que abrem a Aplicação no painel Shopify.
2. Natureza e finalidade por Aplicação — ver Anexo I.
3. As Aplicações não se destinam a tratar categorias especiais de dados (art. 9.º) nem dados sobre condenações penais (art. 10.º) e não os pedem. Se um comprador os incluir por iniciativa própria em texto livre ou fotografia de uma avaliação, o Lojista pode retê-la ou apagá-la nas ferramentas de moderação da Caravel Reviews.
4. Obrigações e direitos do Lojista. O Lojista: (a) garante que tem fundamento de licitude para o tratamento e que informa os compradores (incluindo sobre as Aplicações que usa); (b) dá instruções lícitas; (c) contrata e gere diretamente os serviços próprios que liga às Aplicações; (d) tem o direito de dar instruções, de obter a informação da Cláusula 11.ª e de pedir o apagamento ou a exportação dos dados nos termos deste DPA.

Cláusula 4.ª — Instruções documentadas

1. A Caravel Suite trata os dados apenas segundo instruções documentadas do Lojista, incluindo quanto a transferências para países terceiros, salvo se for obrigada a fazê-lo pelo direito da União ou de Portugal; nesse caso informa o Lojista desse requisito antes do tratamento, salvo se a lei proibir tal informação por motivos importantes de interesse público.
2. São instruções documentadas: (a) este DPA e os Termos; (b) a instalação, configuração e utilização das Aplicações pelo Lojista (incluindo as credenciais de serviços próprios do Lojista que ele introduz, como InvoiceXpress, fornecedor de email ou serviço de seguimento); (c) os pedidos de privacidade recebidos pelos webhooks obrigatórios da Shopify (customers/data_request, customers/redact, shop/redact); (d) instruções escritas enviadas para caravel@caravelsuite.com.
3. A Caravel Suite informa imediatamente o Lojista se considerar que uma instrução viola o RGPD ou outras disposições da União ou de Portugal em matéria de proteção de dados.

Cláusula 5.ª — Confidencialidade

Só têm acesso aos dados as pessoas autorizadas pela Caravel Suite que precisem dele para prestar, manter ou dar suporte às Aplicações, e todas estão sujeitas a dever de confidencialidade contratual ou legal. Hoje a única pessoa com acesso é o gerente. As ferramentas automáticas de manutenção e desenvolvimento operam sob a conta e a responsabilidade dele e, por regra interna, não consultam as bases de dados nem os ficheiros de chaves das Aplicações em produção.

Cláusula 6.ª — Segurança do tratamento (art. 32.º)

A Caravel Suite adota todas as medidas exigidas pelo art. 32.º, incluindo as medidas técnicas e organizativas do Anexo II, que descrevem apenas controlos em funcionamento. Pode atualizá-las por medidas equivalentes ou melhores, desde que o nível global de segurança se mantenha adequado ao risco.

Cláusula 7.ª — Subcontratantes ulteriores

1. O Lojista dá autorização geral escrita para a Caravel Suite recorrer aos subcontratantes ulteriores do Anexo III.
2. Antes de acrescentar ou substituir um subcontratante ulterior, a Caravel Suite atualiza o Anexo III em caravelsuite.com/legal/dpa/ e avisa o Lojista por email (endereço da conta Shopify) com pelo menos 30 dias de antecedência. O Lojista pode opor-se por escrito nesse prazo com fundamento razoável de proteção de dados; não havendo acordo, pode desinstalar a Aplicação sem penalização, e as subscrições pagas cessam nos termos da Shopify. Exceção de urgência: se a substituição for necessária para proteger os dados ou manter o serviço (por exemplo, falha grave ou incidente de segurança num fornecedor), a Caravel Suite pode fazê-la de imediato e avisa o Lojista o mais depressa possível, mantendo-se o direito de oposição e de desinstalação sem penalização.
3. A Caravel Suite impõe a cada subcontratante ulterior, por contrato (incluindo os acordos de tratamento de dados desses fornecedores), as mesmas obrigações de proteção de dados deste DPA, em especial a de apresentar garantias suficientes de medidas técnicas e organizativas adequadas (art. 28.º, n.º 4), e continua plenamente responsável perante o Lojista pelo seu cumprimento.
4. Não são subcontratantes da Caravel Suite os serviços que o Lojista contrata e liga às Aplicações com as suas próprias credenciais (Anexo I, coluna «Serviços do próprio Lojista»): esses fornecedores tratam os dados por conta do Lojista, ao abrigo dos contratos dele. A Shopify é a plataforma do próprio Lojista.

Cláusula 8.ª — Assistência ao Lojista

1. Direitos dos titulares (arts. 12.º a 22.º): tendo em conta a natureza do tratamento, a Caravel Suite presta assistência ao Lojista, através de medidas técnicas e organizativas adequadas, para responder a todos os pedidos de exercício de direitos (informação, acesso, retificação, apagamento, limitação, portabilidade e oposição). Em especial, as Aplicações respondem automaticamente aos pedidos da Shopify: customers/data_request gera, na Invoice PT, Track e Reviews, uma exportação cifrada que o Lojista descarrega no painel da Aplicação (disponível 30 dias; a Packing Slips não guarda dados de compradores); customers/redact apaga ou anonimiza os dados desse comprador; shop/redact apaga os dados da loja. Retificações e outros pedidos que não sejam cobertos pelos webhooks são tratados a pedido do Lojista para caravel@caravelsuite.com. Se um titular contactar diretamente a Caravel Suite, o pedido é reencaminhado ao Lojista em 5 dias úteis e não é respondido diretamente, salvo instrução do Lojista ou obrigação legal.
2. Arts. 32.º a 36.º: tendo em conta a natureza do tratamento e a informação ao seu dispor, a Caravel Suite presta assistência ao Lojista no cumprimento das obrigações de segurança, notificação de violações, avaliações de impacto e consulta prévia relativas às Aplicações.

Cláusula 9.ª — Violações de dados pessoais

1. A Caravel Suite notifica o Lojista sem demora injustificada e, em qualquer caso, no prazo máximo de 24 horas depois de ter conhecimento de uma violação de dados pessoais que afete dados tratados por conta dele, por email para o endereço da conta Shopify.
2. A notificação inclui, na medida do conhecido (completando-se por fases): natureza da violação, categorias e número aproximado de titulares e registos, consequências prováveis, medidas tomadas ou propostas, e o contacto para mais informação (caravel@caravelsuite.com).
3. A notificação à CNPD e aos titulares (arts. 33.º e 34.º) cabe ao Lojista como responsável; a Caravel Suite dá-lhe a informação necessária. O procedimento interno está na Política de Resposta a Incidentes de Segurança da Caravel Suite, disponível a pedido.

Cláusula 10.ª — Fim do tratamento: apagamento, devolução e retenção

1. Escolha do Lojista (art. 28.º, n.º 3, al. g)): antes de desinstalar, o Lojista pode obter a devolução dos dados exportando o que cada Aplicação disponibiliza no painel ou pedindo-o para caravel@caravelsuite.com até à receção do shop/redact; ao desinstalar sem o fazer, escolhe o apagamento.
2. Ao desinstalar uma Aplicação: as sessões de acesso à loja são apagadas de imediato e a Aplicação deixa de tratar dados novos dessa loja (os trabalhos pendentes são cancelados). Os restantes dados da loja são apagados quando a Shopify envia o pedido shop/redact (a Shopify envia-o 48 horas depois da desinstalação). Na Caravel Invoice PT, se por qualquer razão o pedido shop/redact não chegar, os dados são purgados no máximo 30 dias após a desinstalação.
3. Durante a utilização, os prazos de retenção são os do Anexo I.
4. Cópias de segurança: os dados apagados desaparecem das cópias de segurança cifradas no fim do ciclo de retenção das cópias (até 5 semanas: 14 cópias diárias + 4 semanais). As cópias não são usadas para outro fim que não seja recuperar o serviço.
5. Fica ressalvada a conservação exigida por lei da UE ou de Portugal (por exemplo, registos mínimos de cumprimento de pedidos de privacidade, sem dados pessoais em claro).

Cláusula 11.ª — Demonstração de cumprimento e auditorias

1. A Caravel Suite disponibiliza ao Lojista todas as informações necessárias para demonstrar o cumprimento do art. 28.º (designadamente este DPA, as medidas do Anexo II, a Política de Resposta a Incidentes e a Estratégia de Prevenção de Perda de Dados) e facilita e contribui para auditorias, incluindo inspeções, feitas pelo Lojista, por auditor por ele mandatado ou por autoridade de controlo.
2. Se a informação não bastar, o Lojista (ou auditor por ele mandatado, sujeito a confidencialidade) pode realizar uma auditoria, no máximo uma vez por ano (salvo violação de dados ou pedido de autoridade de controlo, que não ficam sujeitos a este limite), com 30 dias de aviso prévio, em dias úteis, sem acesso a dados de outros lojistas nem a segredos comerciais, e a custo do Lojista, salvo se revelar incumprimento material da Caravel Suite.

Cláusula 12.ª — Transferências internacionais

1. Os dados são alojados em servidores na União Europeia (França) e no Reino Unido (Anexo III). O Reino Unido beneficia de decisão de adequação da Comissão Europeia (art. 45.º).
2. Qualquer transferência para fora do EEE ou de país com decisão de adequação só ocorre com garantias adequadas do Capítulo V do RGPD — decisão de adequação (incluindo o EU-US Data Privacy Framework, para entidades certificadas) ou Cláusulas Contratuais-Tipo da Comissão Europeia (art. 46.º, n.º 2, al. c)) — e é indicada no Anexo III.

Cláusula 13.ª — Responsabilidade, prevalência, lei e foro

1. A responsabilidade de cada parte rege-se pelo art. 82.º do RGPD e, entre as partes, pelas limitações dos Termos de Serviço na medida em que a lei o permita; nenhuma limitação afeta os direitos dos titulares.
2. Em caso de conflito entre este DPA e os Termos, prevalece este DPA quanto à proteção de dados pessoais.
3. Lei portuguesa. Foro da comarca do Porto, sem prejuízo de normas imperativas.
4. A Caravel Suite pode atualizar este DPA para refletir alterações legais ou dos serviços; as alterações mantêm um nível global de proteção adequado ao risco, e as alterações relevantes são avisadas por email com 30 dias de antecedência.

---

Anexo I — Descrição do tratamento por Aplicação

Anexo II — Medidas técnicas e organizativas em funcionamento

1. Cifra em trânsito. Todas as ligações a serviços externos usam HTTPS/TLS (Shopify Admin API, InvoiceXpress, VIES, Postmark, Resend, 17TRACK, TrackingMore, fornecedor de IA — este só é aceite com URL https e sem redirecionamentos); SMTP próprio do Lojista só com TLS implícito (porta 465). As Aplicações só escutam em 127.0.0.1 e são publicadas apenas por HTTPS.
2. Cifra em repouso, por campo. Os dados pessoais guardados são cifrados na base com AES-256-GCM (nonce aleatório de 96 bits, autenticação do nome do campo), com chave derivada por HKDF-SHA256 da chave mestra da Aplicação, que nunca é guardada na base nem no código: sessões (token e dados do utilizador) nas 4 Aplicações; na Reviews o email e nome do comprador, título e texto da avaliação e fotografias; na Track os eventos de transporte; exportações de privacidade (Invoice PT, Track e Reviews; a Packing Slips não guarda exportações). As credenciais dos serviços do Lojista (InvoiceXpress, email, seguimento) também são cifradas com AES-256-GCM. Emails usados para pesquisa são guardados apenas como HMAC-SHA256.
3. Minimização. A Invoice PT não guarda nome, NIF, morada nem email do comprador; a Packing Slips não guarda dados de compradores; a Track não guarda o email em claro. Cada Aplicação pede à Shopify só os âmbitos de que precisa (só leitura).
4. Cópias de segurança cifradas. Cópia automática diária (03:20 UTC) das bases das Aplicações com restic, cifrada no servidor de origem antes de sair (AES-256 + Poly1305), enviada por SFTP/SSH para outro servidor noutro país (França). Retenção 14 diárias + 4 semanais. Integridade verificada em cada cópia; teste de restauro automático semanal com registo do resultado. A chave das cópias não está no servidor de destino.
5. Registos sem dados pessoais. Os registos das Aplicações eliminam automaticamente campos como email, telefone, morada, nome, NIF, tokens e segredos; o registo de pedidos HTTP do servidor está desligado (os URLs podiam conter identificadores).
6. Controlo de acesso. Acesso aos servidores só por chave SSH (palavra-passe desligada), firewall ativa no servidor das Aplicações, bases de dados não expostas à rede. Webhooks da Shopify verificados por HMAC. Acesso limitado ao gerente.
7. Separação de dados de teste. Desenvolvimento e testes usam dados sintéticos e uma loja de desenvolvimento própria; os testes automáticos bloqueiam ligações de rede reais.
8. Registo de acessos. Cada Aplicação regista quem (id do utilizador Shopify, a partir do token de sessão assinado pela Shopify), quando e que página do painel abriu, sem guardar o conteúdo nem parâmetros; conservado 365 dias e apagado com a loja.
9. Apagamento e retenção automáticos conforme o Anexo I, executados por tarefas periódicas das Aplicações.
10. Resposta a incidentes segundo a Política de Resposta a Incidentes de Segurança (notificação à Shopify e ao Lojista em 24 horas, registo de incidentes, revisão).

Anexo III — Subcontratantes ulteriores

Infraestrutura à data desta versão. A mudança para o alojamento definitivo de produção será avisada nos termos da Cláusula 7.ª antes de entrar em funcionamento.

Última atualização: 2026-10-30