Acordo de tratamento de dados

Quanto aos dados pessoais que o Cliente submete ao Serviço ou que o Serviço recolhe para o Cliente (utilizadores, materiais da marca, conteúdo das conversas, medições sobre a marca do Cliente), o Cliente é o responsável pelo tratamento e a New Map é o subcontratante. Para as suas próprias finalidades (funcionamento do site, contabilidade, contactos comerciais próprios), a New Map é responsável pelo tratamento independente, nos termos da sua Política de privacidade. Os termos aqui utilizados têm o significado que lhes é dado no artigo 4.º do RGPD.

A New Map só trata dados pessoais mediante instruções documentadas do Cliente, que são os Termos, o presente DPA e a utilização que o Cliente faz das funções do Serviço, incluindo quanto a transferências para países terceiros, salvo se o direito da União ou de um Estado-Membro exigir outra coisa; nesse caso, a New Map informa o Cliente dessa exigência antes do tratamento, a menos que a lei o proíba. A New Map informa o Cliente sem demora se considerar que uma instrução viola a legislação de proteção de dados. As instruções que excedam as funções do Serviço devem ser dadas por escrito e podem ser cobradas a preço de custo quando causem trabalho adicional significativo. O Cliente instrui a New Map a obter estatísticas agregadas e anonimizadas a partir da utilização do Serviço e dos dados de medição, como descrito nos Termos; essas estatísticas não contêm dados pessoais, nunca são usadas para treinar um modelo de IA de terceiros, e os dados identificáveis do Cliente são usados apenas para esse Cliente.

A New Map: (a) assegura que as pessoas autorizadas a tratar os dados estão vinculadas por um dever de confidencialidade; (b) aplica as medidas do Anexo 2; (c) só recorre a subcontratantes ulteriores nos termos da secção 6; (d) presta assistência ao Cliente, tendo em conta a natureza do tratamento, na resposta aos pedidos dos titulares dos dados ao abrigo do capítulo III do RGPD, reencaminhando qualquer pedido que receba no prazo de 3 dias úteis e disponibilizando as funções e as informações necessárias; (e) presta assistência ao Cliente quanto aos artigos 32.º a 36.º do RGPD, incluindo avaliações de impacto sobre a proteção de dados e consulta prévia, na medida em que a informação esteja ao dispor da New Map; (f) elimina ou devolve os dados nos termos da secção 9; (g) fornece as informações necessárias para demonstrar o cumprimento do artigo 28.º e permite auditorias nos termos da secção 8; (h) mantém um registo das atividades de tratamento nos termos do artigo 30.º, n.º 2, do RGPD.

A New Map notifica o Cliente sem demora injustificada e, o mais tardar, no prazo de 48 horas após ter conhecimento de uma violação de dados pessoais que afete os dados do Cliente, para o endereço de e-mail do titular da conta do Cliente. A notificação contém as informações previstas no artigo 33.º, n.º 3, do RGPD, na medida em que sejam conhecidas, e é complementada à medida que os factos se apurem. A New Map documenta as violações e coopera nas notificações do Cliente à autoridade de controlo e aos titulares dos dados. A New Map não notifica autoridades nem titulares dos dados em nome do Cliente, salvo instrução em contrário.

O Cliente dá autorização geral para os subcontratantes ulteriores indicados abaixo. Cada um é contratado por escrito, com obrigações de proteção de dados não menos protetoras do que as deste DPA, e a New Map continua plenamente responsável perante o Cliente pelo seu desempenho. A New Map avisa por e-mail o titular da conta, com pelo menos 30 dias de antecedência, antes de acrescentar ou substituir um subcontratante ulterior; o Cliente pode opor-se, com fundamentos razoáveis de proteção de dados, dentro desse prazo; as partes procurarão de boa-fé uma solução e, se não se encontrar nenhuma, o Cliente pode pôr termo ao Serviço afetado no fim do prazo de aviso, sem penalização. Os prestadores assinalados como responsáveis pelo tratamento independentes não são subcontratantes ulteriores e constam da lista por uma questão de exaustividade. «DPF» é o Quadro de Privacidade de Dados UE-EUA; «não verificado» significa que a New Map ainda não confirmou a certificação atual do fornecedor e se apoia nas cláusulas contratuais-tipo até o fazer.

As perguntas e os conteúdos que enviamos aos fornecedores de IA são tratados ao abrigo das respetivas condições comerciais da API. A Anthropic, a OpenAI, a Perplexity e a xAI não utilizam os dados de entrada nem as respostas da API para treinar os seus modelos, e a Google aplica à API do Gemini as condições de dados do nível pago para programadores estabelecidos no EEE, segundo as quais as perguntas e as respostas não são usadas para melhorar os produtos da Google. Não permitimos que nenhum fornecedor treine um modelo público com os seus dados.

Os dados do Cliente são armazenados na UE (Anexo 1, local de armazenamento). Quando um subcontratante ulterior se encontra fora do Espaço Económico Europeu e não se aplica nenhuma decisão de adequação, a transferência faz-se ao abrigo do Quadro de Privacidade de Dados UE-EUA, para prestadores norte-americanos certificados (verificado na lista oficial em 13 de outubro de 2026; o Anexo 3 indica a garantia aplicável a cada subcontratante ulterior) e, para os subcontratantes ulteriores não certificados, ao abrigo das cláusulas contratuais-tipo da Comissão Europeia (Decisão (UE) 2021/914, módulos 2 e 3), complementadas por uma avaliação do impacto da transferência e pelas medidas do Anexo 2. Para os dados do Reino Unido aplica-se o Adendo do Reino Unido sobre transferências internacionais de dados; para os dados suíços aplicam-se as adaptações da FADP. O Cliente autoriza a New Map a celebrar essas cláusulas com os subcontratantes ulteriores em seu nome, sempre que necessário.

A New Map fornece, a pedido e no máximo uma vez em cada 12 meses, as informações razoavelmente necessárias para demonstrar o cumprimento do artigo 28.º: este DPA, o Anexo 2 em vigor e as certificações e relatórios de auditoria dos seus fornecedores de infraestrutura (por exemplo, os relatórios SOC 2 da Vercel e da Supabase). Se isso não bastar, o Cliente ou um auditor independente vinculado por confidencialidade pode auditar os sistemas e registos relevantes da New Map, com 30 dias de aviso prévio, durante o horário de expediente, sem perturbar a atividade, a expensas do Cliente; após uma violação confirmada que afete o Cliente, a expensas da New Map e sem o limite de 12 meses.

Com a cessação do Serviço, ou a pedido escrito anterior do Cliente, a New Map devolve os dados do Cliente num formato comum de leitura automática e elimina-os, incluindo as cópias nos subcontratantes ulteriores, no prazo de 30 dias, e confirma a eliminação por escrito, a pedido. As cópias de segurança cifradas são substituídas no ciclo de rotação de cópias de segurança, que não excede 30 dias. Os dados que o direito da União ou de um Estado-Membro obrigue a New Map a conservar são mantidos apenas para essa finalidade e durante esse período.

• Confidencialidade, controlo de acessos: acesso aos sistemas de produção apenas por colaboradores identificados, com contas individuais e autenticação multifator; autenticação de dois fatores obrigatória para todos os acessos de administração e de equipa da New Map e disponível para todos os utilizadores do Cliente; privilégio mínimo; acessos revistos quando as funções mudam; segredos guardados no repositório cifrado de variáveis de ambiente do fornecedor de alojamento, nunca no código.
• Confidencialidade, separação de dados: segurança ao nível da linha na base de dados, de modo que os registos de cada Cliente só possam ser lidos pelos utilizadores desse Cliente e pelo Serviço que atua por conta deles; acesso restrito a cada cliente em todas as ferramentas dos agentes.
• Confidencialidade, pseudonimização e cifragem: TLS 1.2+ em trânsito; cifragem em repouso nos fornecedores de base de dados e de armazenamento; tokens de integração cifrados com AES-256-GCM, com uma chave guardada apenas no repositório de variáveis de ambiente; palavras-passe guardadas como hashes com salt pelo fornecedor de autenticação.
• Integridade: rotas de API assinadas e com limite de pedidos; verificação anti-bot nos formulários públicos de início de sessão, de criação de conta e de contacto, quando ativada; campos de auditoria (quem, quando) nos registos; registo das ações dos agentes; um registo de segurança dos inícios de sessão e das sessões, que cada Cliente pode consultar no seu separador Segurança; verificação automática do conteúdo gerado face aos dados do Cliente antes de ser apresentado.
• Disponibilidade e resiliência: infraestrutura gerida com redundância; base de dados e autenticação alojadas na AWS na Irlanda (UE); cópias de segurança automáticas e cifradas da base de dados, com recuperação para um ponto no tempo junto do fornecedor, substituídas no prazo de 30 dias; limitação de pedidos contra abusos; monitorização e alertas de falhas.
• Gestão de incidentes: procedimento de resposta documentado, avaliação de violações, notificação nos termos da secção 5, revisão pós-incidente.
• Processos: registo das atividades de tratamento; revisão de proteção de dados de novas funcionalidades e fornecedores; colaboradores formados em proteção de dados; contratos com subcontratantes ulteriores nos termos do artigo 28.º, n.º 4.

A New Map pode atualizar estas medidas, desde que o nível de proteção não seja reduzido. As medidas em vigor estão também descritas na página de segurança.

A responsabilidade ao abrigo deste DPA segue os Termos, sem prejuízo do artigo 82.º do RGPD. Este DPA rege-se pela lei e pela jurisdição indicadas nos Termos. Em caso de conflito, este DPA prevalece sobre os Termos quanto ao tratamento de dados pessoais, e as cláusulas contratuais-tipo prevalecem sobre este DPA quando se apliquem.

Pedidos de titulares dos dados, comunicações de violações, pedidos de auditoria e oposições a subcontratantes ulteriores: privacy@thenewmap.ai.