Contrato de subcontratante

Rascunho 0.1 · 28 de outubro de 2026

Este contrato regula o tratamento de dados pessoais que a skyseat faz por conta do Cliente ao prestar-lhe o serviço, nos termos do art. 28.º do Regulamento Geral sobre a Proteção de Dados (RGPD) e do art. 33 da Ley Orgánica 3/2018 (LOPDGDD, a lei espanhola de proteção de dados). Faz parte dos termos do serviço e é aceite com eles.

1. Partes

Responsável pelo tratamento	O Cliente: a empresa ou profissional que contrata a skyseat, identificado na sua conta.
Subcontratante	[DENOMINAÇÃO SOCIAL], NIF [NIF], [SEDE SOCIAL]. Contacto: [E-MAIL DE PRIVACIDADE].

Se o Cliente for uma agência que usa a skyseat para os seus próprios clientes, a agência atua como subcontratante deles e a skyseat como sua subcontratante ulterior; a agência obriga-se a transpor estas mesmas condições para os seus contratos.

2. Objeto e duração

A skyseat tratará os dados descritos no anexo I apenas para prestar o serviço contratado e enquanto durar o contrato. No seu termo aplica-se o ponto 10.

3. Instruções do Cliente

A skyseat trata os dados unicamente segundo as instruções documentadas do Cliente. São instruções documentadas este contrato, a configuração do painel (regras, permissões, nível de autonomia, contas ligadas, manual da empresa) e o que as pessoas autorizadas do Cliente encomendam aos seus funcionários IA, que fica no Registo.

Se a skyseat considerar que uma instrução viola o RGPD ou outra norma de proteção de dados, avisará imediatamente o Cliente. Se uma lei obrigar a skyseat a tratar os dados de outra forma, informará previamente o Cliente, salvo se essa lei o proibir.

4. Confidencialidade

As pessoas que trabalhem para a skyseat com acesso aos dados estão obrigadas a guardar sigilo, também depois de terminar a sua relação. Só acedem quando é necessário para prestar o serviço, resolver um incidente a pedido do Cliente ou cumprir a lei.

5. Segurança

A skyseat aplica as medidas técnicas e organizativas do anexo II, adequadas ao risco (art. 32.º do RGPD), e revê-as periodicamente. Pode melhorá-las desde que não reduzam o nível de proteção.

6. Subcontratantes ulteriores

• O Cliente dá uma autorização geral para que a skyseat recorra aos subcontratantes ulteriores do anexo III, publicado e atualizado em subcontratantes ulteriores.
• A skyseat avisará com pelo menos 30 dias de antecedência de qualquer inclusão ou substituição de um subcontratante ulterior. O Cliente pode opor-se por motivos razoáveis de proteção de dados; se não se encontrar uma solução, pode pôr termo ao contrato sem penalização antes de a alteração ser aplicada.
• A skyseat impõe a cada subcontratante ulterior, por contrato, obrigações de proteção de dados equivalentes a estas e responde perante o Cliente pelo seu cumprimento.

7. Transferências internacionais

Os dados estão alojados na União Europeia. Alguns subcontratantes ulteriores (anexo III) tratam-nos nos Estados Unidos: só são transferidos com uma garantia do capítulo V do RGPD (decisão de adequação do Quadro de Privacidade de Dados UE‑EUA ou cláusulas contratuais-tipo da Decisão 2021/914) e apenas o necessário para a tarefa.

8. Assistência ao Cliente

• Direitos dos titulares dos dados: o painel permite ao Cliente consultar, exportar, corrigir e apagar os dados (descargas de dados, apagamento de chamadas, de contas e da empresa). Se um titular se dirigir à skyseat, encaminharemos o pedido ao Cliente sem demora e sem lhe responder por nossa conta.
• Avaliações de impacto e consultas prévias (arts. 35.º e 36.º do RGPD): daremos ao Cliente a informação razoável de que dispusermos.
• Informação e auditorias: poremos à sua disposição a informação necessária para demonstrar que cumprimos este contrato e permitiremos auditorias razoáveis, com aviso de 30 dias, no máximo uma vez por ano, salvo violação ou exigência de uma autoridade, e sem acesso a dados de outros clientes.

9. Violações de dados pessoais

A skyseat notificará o Cliente, sem demora injustificada e, em qualquer caso, no prazo máximo de 48 horas após ter conhecimento, de qualquer violação de segurança que afete os seus dados, com a informação do art. 33.º, n.º 3, do RGPD de que disponha nesse momento (o que aconteceu, dados e pessoas afetados, consequências prováveis e medidas tomadas), e ajudá-lo-á a notificá-la à autoridade e aos titulares, se necessário. Notificar o Cliente não implica reconhecer culpa.

10. No termo do contrato

Antes do termo, o Cliente pode descarregar os seus dados no painel (ZIP da empresa). Quando o cancelamento produz efeitos (30 dias depois de ser pedido, salvo se o Cliente o anular), a skyseat apaga os dados do Cliente: funcionários e os seus computadores, tarefas, memória, regras, contas ligadas, telefone e registo. As cópias de segurança são apagadas nos 14 dias seguintes. Só se conservará, bloqueado, o que uma lei obrigue a guardar.

11. Obrigações do Cliente

• Ter fundamento jurídico para os tratamentos que encomenda e ter informado os titulares dos dados, incluindo que algumas tarefas são feitas por uma IA e, no telefone, que a chamada é gravada.
• Não encomendar categorias especiais de dados (art. 9.º do RGPD), dados penais nem dados de menores sem acordo prévio por escrito com a skyseat.
• Configurar as permissões, contas e níveis de autonomia de forma proporcionada e supervisionar os seus funcionários IA.
• Se os funcionários IA trabalharem com dados dos trabalhadores do Cliente, respeitar os seus direitos digitais (LOPDGDD, arts. 87 a 91) e não os usar para os vigiar para além do que for proporcionado.

12. Responsabilidade

Aplica-se o regime de responsabilidade dos termos do serviço, sem prejuízo do disposto no art. 82.º do RGPD perante os titulares dos dados.

Anexo I · Descrição do tratamento

Natureza e finalidade	Alojar e executar os funcionários IA do Cliente (o seu computador na nuvem, as suas tarefas e a sua memória); enviar ao modelo de IA o necessário para cada tarefa; atender e fazer chamadas e transcrevê-las; guardar as chaves das contas ligadas; registar a atividade; enviar avisos; cópias de segurança e apoio.
Categorias de titulares	Utilizadores do Cliente; trabalhadores, clientes, fornecedores e contactos do Cliente; pessoas que ligam ou recebem chamadas dos seus funcionários IA; pessoas cujos dados apareçam nos documentos, e-mails e sistemas a que o Cliente dá acesso.
Tipos de dados	Identificação e contacto (nome, e-mail, telefone, morada); conteúdo de e-mails, mensagens, documentos e tarefas; dados de negócio (encomendas, faturas, orçamentos); voz durante as chamadas, as suas transcrições e resumos; capturas de ecrã do computador do funcionário; credenciais das contas ligadas (cifradas); registo de atividade.
Categorias especiais	Não previstas. Apenas com acordo prévio por escrito.
Frequência	Contínua, enquanto durar o contrato.
Conservação	Enquanto durar o contrato, salvo se o Cliente apagar antes. Chamadas: 90 dias por omissão. Endereços IP: 6 meses. Cópias de segurança: 14 dias.

Anexo II · Medidas de segurança

• Localização: plataforma e computadores dos funcionários IA em centros de dados da Hetzner na UE (Alemanha e Finlândia).
• Cifragem: todas as ligações com HTTPS (TLS); chaves e palavras-passe das contas ligadas cifradas com AES‑256‑GCM e a chave guardada fora da base de dados; avisos para o telemóvel cifrados de ponta a ponta (RFC 8291).
• Acesso: palavras-passe dos utilizadores guardadas como hash scrypt; sessões com cookie HttpOnly que expiram; perfis por empresa (Administrador, Responsável, Só ver); cada empresa só vê o que é seu.
• Servidores: firewall, acesso de administração apenas com chave SSH e a partir de uma origem autorizada, sem palavras-passe.
• Registo: o que pessoas e funcionários IA fazem fica num registo que não pode ser alterado, com data, hora e origem.
• Controlo dos funcionários IA: níveis de autonomia, aprovação humana do que é importante, limites de gastos e de operação, e possibilidade de assumir o controlo do seu computador.
• Palavras-passe e códigos: não passam pela conversa nem pelo Registo; os códigos de verificação são usados uma vez e não são guardados.
• Cópias: cópia diária da base de dados, conservada durante 14 dias.
• Minimização: IP apagados ao fim de 6 meses; sessões e ligações expiradas eliminadas; a ElevenLabs apaga cada chamada assim que a plataforma a guarda.
• Implementações: nenhuma alteração chega à produção sem revisão e aprovação de uma pessoa; se falhar, volta-se automaticamente à versão anterior.
• [Completar com a assessoria: plano de continuidade, formação do pessoal, revisão periódica das medidas]

Anexo III · Subcontratantes ulteriores

A lista em vigor, com o que faz cada um, onde e com que garantia, está em subcontratantes ulteriores.

Outros textos: Política de privacidade · Termos do serviço · Subcontratantes ulteriores · Aviso legal · Política de cookies · Todos