Em linguagem simples. Quando alojamos o seu site ou lhe reencaminhamos as mensagens dos respetivos formulários, tratamos os dados pessoais dos seus clientes por sua conta. Quem decide continua a ser o seu negócio, enquanto “responsável pelo tratamento”. Nós atuamos apenas segundo as suas instruções, como seu “subcontratante”. Mantemos os dados seguros e só usamos os fornecedores da nossa lista de subcontratantes. Avisamos com 30 dias de antecedência antes de acrescentarmos um novo. Comunicamos-lhe qualquer violação de dados sem demora injustificada e procuramos fazê-lo no prazo de 48 horas. Ajudamos a responder aos pedidos dos seus clientes, e apagamos ou devolvemos os dados no prazo de 30 dias após o fim do nosso trabalho. As cláusulas numeradas abaixo são os termos vinculativos.
1. Sobre esta adenda
1.1 Esta Adenda de tratamento de dados (“Adenda”) é o Anexo 3 dos nossos Termos comerciais. É celebrada entre a Northpin Studio (um estúdio independente; a pessoa que o gere está identificada no Formulário de Encomenda) (“nós”), e a empresa identificada no Formulário de Encomenda (“o Cliente”, a quem este documento se dirige diretamente).
1.2 Aplica-se sempre que tratamos Dados Pessoais do Cliente por sua conta ao prestar os serviços previstos no seu Formulário de Encomenda. Por exemplo, quando alojamos o seu site, reencaminhamos as mensagens dos respetivos formulários, guardamos cópias de segurança, fazemos alterações ao abrigo de um plano de manutenção ou lhe entregamos o site.
1.3 Passa a fazer parte do Contrato quando assina o Formulário de Encomenda, por isso não precisa de a assinar separadamente. É o contrato escrito exigido pelo artigo 28.º, n.ºs 3 e 9, do RGPD do Reino Unido e, quando aplicável, do RGPD da UE.
2. Definições
2.1 As expressões definidas nos Termos comerciais têm aqui o mesmo significado. Além disso:
- “Contrato” significa o seu Formulário de Encomenda, os nossos Termos comerciais e os respetivos anexos.
- “Dados Pessoais do Cliente” significa os dados pessoais que tratamos por sua conta ao abrigo do Contrato, conforme descritos no Apêndice 1.
- “Legislação de Proteção de Dados” significa o RGPD do Reino Unido (UK GDPR), o Data Protection Act 2018 (lei de proteção de dados do Reino Unido de 2018), na sua redação atual, incluindo a que lhe foi dada pelo Data (Use and Access) Act 2025, as Privacy and Electronic Communications Regulations 2003 (regulamento do Reino Unido relativo à privacidade e às comunicações eletrónicas) e, quando se apliquem ao tratamento, o RGPD da UE (Regulamento (UE) 2016/679) e a legislação nacional que transpõe a Diretiva Privacidade Eletrónica da UE (ePrivacy).
- “Violação de Dados Pessoais” significa uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso, não autorizados, a Dados Pessoais do Cliente.
- “Subcontratante Ulterior” significa outro subcontratante que contratamos para tratar Dados Pessoais do Cliente.
- “Cláusulas de Transferência” significa, consoante o caso: o International Data Transfer Agreement emitido pelo Information Commissioner do Reino Unido (“IDTA”); o International Data Transfer Addendum às Cláusulas Contratuais-Tipo da UE, emitido pelo Information Commissioner do Reino Unido (“Adenda do Reino Unido”); e as cláusulas contratuais-tipo aprovadas pela Decisão de Execução (UE) 2021/914 da Comissão (“CCT da UE”).
- “Dia útil” significa de segunda a sexta-feira, exceto feriados em Inglaterra.
2.2 “Responsável pelo tratamento”, “subcontratante”, “titular dos dados”, “dados pessoais”, “tratamento” e “autoridade de controlo” têm o significado que lhes é atribuído pela Legislação de Proteção de Dados.
3. Funções e âmbito
3.1 Relativamente aos Dados Pessoais do Cliente, o Cliente é o responsável pelo tratamento e nós somos o seu subcontratante.
3.2 Relativamente aos dados pessoais que usamos para gerir o nosso próprio negócio, como os contactos dos seus funcionários, os e-mails que trocamos consigo e os registos de faturação, somos responsáveis pelo tratamento, e não seu subcontratante. O nosso aviso de privacidade abrange esses dados.
3.3 O Apêndice 1 descreve o objeto e a duração do tratamento, a sua natureza e finalidade, os tipos de dados pessoais e as categorias de titulares dos dados.
4. Instruções e confidencialidade
4.1 Só tratamos Dados Pessoais do Cliente mediante instruções documentadas suas, incluindo no que respeita a transferências para fora do Reino Unido ou do Espaço Económico Europeu, a menos que a lei nos obrigue a proceder de outra forma. Nesse caso, damos-lhe conhecimento disso antes de tratarmos os dados, salvo se a lei o proibir por motivos importantes de interesse público.
4.2 As suas instruções são o Contrato e quaisquer outras instruções que nos dê por escrito. Um e-mail de uma pessoa de contacto indicada no seu Formulário de Encomenda conta como forma escrita. As instruções que alterem o âmbito ou o custo dos nossos serviços seguem o processo de alteração previsto nos Termos comerciais.
4.3 Se considerarmos que uma instrução viola a Legislação de Proteção de Dados, dizemos-lhe de imediato. Podemos suspender essa instrução até que a confirme ou altere.
4.4 Todas as pessoas que autorizamos a tratar Dados Pessoais do Cliente, sejamos nós ou um profissional independente (freelancer) que trabalhe no seu projeto, estão sujeitas a um dever de confidencialidade. Só têm acesso aos dados de que precisam para a sua tarefa.
5. Segurança
5.1 Aplicaremos as medidas técnicas e organizativas adequadas para proteger os Dados Pessoais do Cliente, como exige o artigo 32.º. Teremos em conta as técnicas mais avançadas, os custos, a natureza, o âmbito, o contexto e as finalidades do tratamento, bem como os riscos para os direitos e liberdades das pessoas. O Apêndice 2 enumera as medidas mínimas que aplicamos.
5.2 Podemos atualizar as nossas medidas ao longo do tempo, mas não reduziremos o nível global de proteção.
6. Subcontratantes ulteriores
6.1 Concede-nos uma autorização geral por escrito para recorrermos aos subcontratantes ulteriores que constam da nossa lista de subcontratantes na data em que assina o Formulário de Encomenda. Autoriza também qualquer profissional independente indicado no seu Formulário de Encomenda ou que aprove mais tarde por escrito.
6.2 Enviar-lhe-emos um e-mail pelo menos 30 dias antes de acrescentarmos ou substituirmos um subcontratante ulterior que trate Dados Pessoais do Cliente. O e-mail indicará de quem se trata, o que fará e onde tratará os dados. Atualizaremos a lista ao mesmo tempo.
6.3 Pode opor-se, por motivos razoáveis de proteção de dados, enviando-nos um e-mail dentro desses 30 dias. Discutiremos a questão consigo de boa-fé e procuraremos propor uma alternativa razoável. Se não conseguirmos resolver a situação, pode pôr termo aos serviços afetados mediante aviso escrito, antes de a alteração produzir efeitos. Reembolsaremos quaisquer valores que tenha pago antecipadamente relativos ao período posterior ao fim desses serviços, e não se aplicará a esses serviços qualquer taxa de saída antecipada nem o pagamento do período mínimo remanescente. Isto não anula os montantes devidos por uma Criação. Num Plano Sem Custo de Criação, aplica-se a cláusula 10.9 dos Termos.
6.4 Se tivermos de substituir um subcontratante ulterior com urgência, por exemplo por razões de segurança ou porque um fornecedor deixa de prestar o serviço, podemos dar um pré-aviso mais curto. Avisaremos logo que possível, e o seu direito de oposição previsto na cláusula 6.3 continua a aplicar-se.
6.5 Teremos com cada subcontratante ulterior um contrato escrito que dê aos Dados Pessoais do Cliente uma proteção pelo menos equivalente à desta Adenda, incluindo garantias suficientes em matéria de segurança. Continuamos a ser plenamente responsáveis perante o Cliente pela forma como os nossos subcontratantes ulteriores cumprem essas obrigações.
7. Transferências internacionais
7.1 Estamos sediados no Reino Unido. Quando o RGPD da UE se aplica aos seus dados e nos envia esses dados, essa transferência está abrangida pela decisão de adequação da Comissão Europeia relativa ao Reino Unido. Se essa decisão deixar de se aplicar, aplicar-se-ão entre nós as CCT da UE (Módulo 2, de responsável pelo tratamento para subcontratante), que ficam incorporadas nesta Adenda por remissão.
7.2 Só transferiremos Dados Pessoais do Cliente para fora do Reino Unido e do Espaço Económico Europeu, ou permitiremos que um subcontratante ulterior o faça, quando a transferência for lícita. Por exemplo:
- para um país abrangido por regulamentos de adequação do Reino Unido ou por uma decisão de adequação da UE, incluindo organizações dos EUA certificadas ao abrigo da Extensão do Reino Unido ao Quadro de Privacidade de Dados UE–EUA (UK Extension to the EU–US Data Privacy Framework) ou do Quadro de Privacidade de Dados UE–EUA
- ao abrigo do IDTA ou da Adenda do Reino Unido, para dados do Reino Unido, ou das CCT da UE (Módulo 3, de subcontratante para subcontratante), para dados da UE, com as medidas adicionais que forem necessárias
7.3 A nossa lista de subcontratantes indica a garantia usada para cada subcontratante ulterior.
7.4 Quando as CCT da UE se aplicam ao abrigo desta Adenda, as informações de que necessitam provêm desta Adenda. O Apêndice 1 completa o seu Anexo I e o Apêndice 2 completa o seu Anexo II. Os subcontratantes ulteriores estão abrangidos por uma autorização geral, com o prazo de pré-aviso previsto na cláusula 6.2. As CCT da UE regem-se pela lei da Irlanda, e os litígios que delas decorram são submetidos aos tribunais da Irlanda. Quando se aplicam o IDTA ou a Adenda do Reino Unido, estes regem-se pela lei de Inglaterra e País de Gales.
8. Ajuda no cumprimento das suas obrigações
8.1 Pedidos dos titulares dos dados. Tendo em conta a natureza do tratamento, prestaremos assistência ao Cliente para responder às pessoas que exerçam os seus direitos de proteção de dados, como os direitos de acesso, retificação, apagamento, limitação, portabilidade e oposição. Fá-lo-emos através de medidas técnicas e organizativas adequadas, na medida do possível. Se alguém nos enviar um pedido diretamente, não lhe responderemos nós, exceto para informar que o reencaminhámos. Reencaminhá-lo-emos para o Cliente no prazo de 5 dias úteis.
8.2 Segurança, violações e avaliações. Tendo em conta a natureza do tratamento e a informação ao nosso dispor, prestaremos assistência ao Cliente no cumprimento das obrigações previstas nos artigos 32.º a 36.º. Estas abrangem a segurança, a notificação de violações, as avaliações de impacto sobre a proteção de dados e a consulta prévia à autoridade de controlo.
8.3 Custo. A assistência razoável prevista nesta cláusula está incluída no seu plano. Se um pedido exigir muito tempo, damos-lhe primeiro uma estimativa e podemos cobrar a nossa tarifa horária de 60 £. Não cobraremos nada se a assistência for necessária porque violámos esta Adenda.
9. Violações de dados pessoais
9.1 Se tomarmos conhecimento de uma Violação de Dados Pessoais que afete Dados Pessoais do Cliente, comunicá-la-emos ao Cliente sem demora injustificada. O nosso objetivo é fazê-lo no prazo de 48 horas após dela termos conhecimento.
9.2 Comunicaremos, na medida em que o saibamos:
- o que aconteceu e quando
- as categorias e o número aproximado de pessoas e de registos afetados
- as consequências prováveis
- o que fizemos, ou tencionamos fazer, para resolver a situação e reduzir eventuais danos
- quem pode contactar para obter mais informações
Se não tivermos toda esta informação de uma só vez, enviá-la-emos por fases, sem mais demora injustificada.
9.3 Tomaremos medidas razoáveis para conter e investigar a violação, inscrevê-la no nosso registo de violações e colaborar com o Cliente. É o Cliente que decide se a notifica ao ICO ou a outra autoridade de controlo e se informa as pessoas afetadas. Não faremos nenhuma dessas coisas em seu nome, a menos que no-lo peça ou que a lei o exija.
9.4 A comunicação de uma violação não constitui admissão de culpa nem de responsabilidade.
10. Apagamento ou devolução no final
10.1 Quando terminarem os nossos serviços que envolvem Dados Pessoais do Cliente, apagaremos ou devolveremos os dados, conforme a sua escolha, no prazo de 30 dias. Se não nos tiver comunicado a sua escolha até à data de fim, apagá-los-emos. Isto acontece em paralelo com a entrega do site descrita nos Termos comerciais. Quando se aplica a cláusula 27.3 dos Termos (valores em dívida quando o Plano de Manutenção terminou), os 30 dias começam a contar quando terminar o prazo previsto nessa cláusula.
10.2 As nossas cópias de segurança são substituídas num ciclo contínuo de 30 dias, por isso as cópias de segurança também desaparecem no prazo de 30 dias após o fim.
10.3 Só guardaremos uma cópia quando a lei o exigir. Nesse caso, esta Adenda continua a protegê-la, e só a usaremos para essa finalidade legal.
10.4 Se o pedir, confirmaremos o apagamento por escrito.
11. Auditorias e informações
11.1 Disponibilizaremos ao Cliente todas as informações razoavelmente necessárias para demonstrar que cumprimos o artigo 28.º e esta Adenda. Permitiremos e contribuiremos para auditorias e inspeções realizadas pelo Cliente ou por um auditor independente por si mandatado.
11.2 Para manter as auditorias proporcionais à dimensão de uma pequena empresa:
- começamos por responder às suas perguntas razoáveis feitas por escrito e por partilhar documentos relevantes, como as nossas medidas de segurança e as certificações ou relatórios de auditoria dos nossos subcontratantes ulteriores
- se isso não for suficiente, pode realizar uma auditoria com um pré-aviso escrito de pelo menos 30 dias, durante o horário normal de trabalho, no máximo uma vez em cada período de 12 meses, estando o seu auditor sujeito a confidencialidade
- o limite de uma vez por ano não se aplica após uma Violação de Dados Pessoais, nem quando uma autoridade de controlo exija uma auditoria
- o Cliente suporta os seus próprios custos e o nosso tempo razoável à nossa tarifa horária, a menos que a auditoria revele que violámos esta Adenda de forma substancial
11.3 Auditamos os nossos subcontratantes ulteriores, como a Cloudflare, através dos relatórios e certificações que publicam ou disponibilizam. Partilhá-los-emos consigo quando os respetivos termos o permitirem.
11.4 Se considerarmos que uma instrução dada ao abrigo desta cláusula viola a Legislação de Proteção de Dados, dizemos-lhe de imediato.
12. As suas responsabilidades
12.1 Enquanto responsável pelo tratamento, cabe ao Cliente garantir que existe um fundamento jurídico para o tratamento que nos pede e cumprir as suas restantes obrigações ao abrigo da Legislação de Proteção de Dados. Estas incluem o aviso de privacidade do seu site, qualquer consentimento de cookies de que o seu site precise e a resposta aos pedidos dos seus clientes.
12.2 As instruções que nos dá devem cumprir a Legislação de Proteção de Dados.
12.3 Informe-nos por escrito antes de o seu site recolher dados de categorias especiais, como informações de saúde no formulário de marcação de uma clínica, ou dados relativos a infrações penais, para podermos acordar eventuais salvaguardas adicionais. Não configuraremos formulários para recolher esses dados, a menos que no-lo peça e o tenhamos acordado por escrito.
12.4 Quaisquer modelos de aviso de privacidade ou de cookies que forneçamos para o seu site servem apenas para sua conveniência. Não constituem aconselhamento jurídico, e o Cliente continua a ser responsável pelo seu próprio cumprimento da lei.
13. Responsabilidade, duração e prevalência
13.1 A responsabilidade de cada parte ao abrigo desta Adenda ou em relação com ela está sujeita aos limites e exclusões previstos nos Termos comerciais, exceto quando a Legislação de Proteção de Dados ou as Cláusulas de Transferência não permitam limitá-la. Nada nesta Adenda limita a responsabilidade de qualquer das partes perante os titulares dos dados ao abrigo das Cláusulas de Transferência.
13.2 Esta Adenda vigora enquanto tratarmos Dados Pessoais do Cliente por sua conta. Isto inclui o período após o fim do Contrato até à conclusão do apagamento ou da devolução. As cláusulas 9 a 11 e a presente cláusula 13 continuam em vigor após o seu termo, pelo tempo que for necessário.
13.3 Em caso de conflito entre documentos, aplica-se esta ordem de prevalência:
- as Cláusulas de Transferência, quando aplicáveis, prevalecem sobre esta Adenda
- esta Adenda prevalece sobre o resto do Contrato em tudo o que diga respeito ao tratamento de dados pessoais
- a versão em inglês desta Adenda prevalece sobre qualquer tradução
13.4 Esta Adenda rege-se pela lei de Inglaterra e País de Gales. Os tribunais de Inglaterra e País de Gales têm competência exclusiva, nos termos previstos nos Termos comerciais, exceto quando as Cláusulas de Transferência disponham de outra forma.
13.5 Podemos atualizar esta Adenda para a manter conforme com a Legislação de Proteção de Dados ou com as orientações de uma autoridade de controlo. Enviar-lhe-emos um e-mail pelo menos 30 dias antes de uma alteração produzir efeitos. Qualquer alteração que reduza a proteção dos Dados Pessoais do Cliente exige o seu acordo por escrito.
Apêndice 1: Detalhes do tratamento
O tratamento
- Objeto: os dados pessoais que precisamos de tratar para prestar os serviços de site previstos no seu Formulário de Encomenda.
- Duração: a vigência do Contrato, mais até 30 dias após o seu termo para o apagamento ou a devolução (cláusula 10), ou mais tempo quando se aplica a cláusula 27.3 dos Termos.
- Natureza: alojamento, armazenamento, transmissão e reencaminhamento, cópia de segurança, consulta, alteração (quando fazemos as edições que nos pede) e apagamento de dados. Inclui o alojamento de caixas de correio profissionais e o reencaminhamento de e-mail do seu domínio, quando o seu plano os inclui. Só recolhemos dados através dos formulários do seu site da forma como nos pedir para os configurar.
- Finalidade: alojar, proteger, manter e dar suporte ao seu site, entregar-lhe as mensagens enviadas através dos respetivos formulários, gerir caixas de correio profissionais e o reencaminhamento de e-mail do seu domínio quando o seu plano os inclui, e entregar o site quando os nossos serviços terminarem.
- Frequência: contínua, enquanto os serviços estiverem ativos.
- Conservação: com a nossa configuração padrão, as mensagens dos formulários são enviadas para a caixa de correio que escolher e não são guardadas por nós após a entrega. As cópias de segurança são guardadas durante 30 dias, em regime contínuo. Tudo o resto é guardado até ao fim dos nossos serviços e depois tratado nos termos da cláusula 10.
Categorias de titulares dos dados
- visitantes do seu site
- os seus clientes e potenciais clientes que entram em contacto consigo ou fazem marcações através do seu site
- pessoas que lhe enviam e-mails para endereços do seu domínio que alojamos ou reencaminhamos por si
- os seus funcionários e qualquer outra pessoa cujos dados ou fotografias apareçam no seu site
Tipos de dados pessoais
- dados técnicos que o nosso fornecedor de alojamento usa para entregar e proteger o seu site: endereço IP, dados do navegador e do dispositivo, páginas pedidas, data e hora
- tudo o que as pessoas enviam através dos formulários do seu site, como nome, número de telefone, endereço de e-mail, morada, mensagem e detalhes de marcações
- e-mails enviados de ou para caixas de correio profissionais ou endereços de reencaminhamento que configuramos para si, incluindo o seu conteúdo e anexos
- dados pessoais no conteúdo do seu site, como nomes, fotografias e breves biografias de funcionários, e quaisquer avaliações que decida mostrar
- estatísticas de visitas, se nos pedir para ativar a análise de visitas sem cookies (apenas totais, sem cookies)
Categorias especiais de dados: nenhuma, salvo acordo por escrito nos termos da cláusula 12.3. Quaisquer salvaguardas adicionais que acordemos ficarão registadas no seu Formulário de Encomenda.
Subcontratantes ulteriores e contactos
- Subcontratantes ulteriores: os indicados na nossa lista de subcontratantes, bem como qualquer profissional independente que aprove nos termos da cláusula 6.1.
- O nosso contacto: [email protected]
- O seu contacto: a pessoa indicada no seu Formulário de Encomenda.
Apêndice 2: Medidas de segurança
Controlo de acessos
- Autenticação multifator em todas as contas com acesso a Dados Pessoais do Cliente, incluindo alojamento, DNS, registador de domínios, e-mail, repositórios de código e o nosso gestor de palavras-passe.
- Privilégio mínimo: só têm acesso as pessoas que precisam dele para o seu projeto, e apenas ao nível mínimo de que precisam. Retiramos o acesso no prazo de 1 dia útil quando deixa de ser necessário.
- Contas individuais, nunca credenciais partilhadas.
- As suas palavras-passe e dados de acesso são guardados apenas num gestor de palavras-passe encriptado, nunca em e-mail ou chat.
Encriptação
- Todos os sites que alojamos usam HTTPS (TLS 1.2 ou superior).
- Os dados são encriptados em repouso pelos nossos fornecedores de alojamento e armazenamento.
- Os portáteis e telemóveis de trabalho usam encriptação integral do disco e bloqueio automático do ecrã.
- As cópias de segurança são encriptadas.
Cópias de segurança e recuperação
- Cópias de segurança com controlo de versões dos ficheiros e conteúdos dos sites, guardadas durante 30 dias em regime contínuo.
- Testamos a reposição de um site a partir de uma cópia de segurança pelo menos a cada 6 meses.
Atualizações e correções
- Os sistemas operativos, navegadores e aplicações atualizam-se automaticamente.
- As atualizações de segurança críticas e de alto risco são instaladas no prazo de 14 dias após o seu lançamento.
- As dependências do código dos sites são verificadas quanto a vulnerabilidades conhecidas pelo menos uma vez por mês. Os problemas críticos são corrigidos, ou contornados de forma segura, no prazo de 14 dias.
Segurança dos sites e da rede
- Proteção da Cloudflare contra ataques de negação de serviço, bem como a sua firewall e proteção contra bots, em todos os sites que alojamos.
- Sempre que possível, os sites são criados como páginas estáticas, sem base de dados nem página pública de acesso à administração que possa ser atacada.
- O spam nos formulários é travado com campos ocultos e verificações no servidor, e não com ferramentas de rastreio.
Minimização de dados
- Os formulários recolhem apenas os campos que pedir.
- Não colocamos Dados Pessoais do Cliente em ferramentas de IA.
- Os testes e demonstrações usam dados fictícios, nunca dados reais de clientes.
Pessoas e processos
- Todas as pessoas com acesso estão sujeitas a confidencialidade e a um contrato escrito com cláusulas de proteção de dados.
- Seguimos um plano escrito de resposta a violações e mantemos um registo de violações (cláusula 9).
- Revemos estas medidas pelo menos uma vez por ano e após qualquer incidente significativo.
- Os dispositivos são apagados de forma segura antes de serem reutilizados ou eliminados.