Acordo de Tratamento de Dados (DPA) da LiKE

Versão 1.3 · Data de entrada em vigor: 9 de julho de 2026 · Última atualização: 9 de julho de 2026

Versão que prevalece. O presente texto em inglês é a única versão juridicamente vinculativa e que prevalece do DPA. Qualquer tradução para outro idioma é fornecida apenas para fins de conveniência e informação; em caso de divergência, ambiguidade ou litígio, prevalece a versão em inglês, que é o único texto juridicamente vinculativo.

O presente Acordo de Tratamento de Dados («DPA») faz parte do Acordo de Utilização da LiKE entre o cliente identificado na conta aplicável («Cliente», «Responsável pelo tratamento») e a Lynkora DOO Beograd, Kneza Miloša 15, 11000 Belgrado, República da Sérvia (n.º de registo MB 22195689, n.º fiscal PIB 115706177) («Lynkora», «Subcontratante») e aplica-se quando a Lynkora trata dados pessoais por conta do Cliente.

1. Objeto, duração, natureza e finalidade

Tratamento de dados pessoais contidos no conteúdo da base de conhecimento do Cliente, nas contas de utilizador e nos dados de serviço associados, com a finalidade de prestar o serviço LiKE, durante a vigência da subscrição acrescida dos períodos de recuperação e eliminação estabelecidos no Acordo de Utilização.

2. Categorias de dados e de titulares dos dados

• Titulares dos dados: os utilizadores do Cliente; as pessoas mencionadas no conteúdo do Cliente (colaboradores, clientes, parceiros — conforme determinado pelo Cliente).
• Categorias de dados: dados de conta (nome, e-mail, função); quaisquer dados pessoais que o Cliente inclua no conteúdo e nos carregamentos (incluindo áudio, quando forem oferecidas funcionalidades de transcrição). Categorias especiais: não previstas; o Cliente não deve carregá-las sem uma base jurídica e é o único responsável por determinar se, e com que base jurídica, podem ser carregados dados de categorias especiais (ToS utilização aceitável); a Lynkora não analisa o conteúdo.

3. Instruções do Responsável pelo tratamento

A Lynkora trata os dados pessoais apenas mediante instruções documentadas do Cliente, incluindo quanto às transferências internacionais, salvo se exigido pelo direito da UE/de um Estado-Membro/da Sérvia (caso em que a Lynkora informa o Cliente, salvo proibição legal). O Acordo de Utilização, o presente DPA e a utilização pelo Cliente das definições do serviço constituem a totalidade das instruções. A Lynkora informará o Cliente se, no seu entender, uma instrução violar o RGPD. Por exceção ao princípio de agir apenas mediante instruções do Cliente, relativamente ao Conteúdo que o Cliente tornou público (base de conhecimento pública, widget, integrações, respostas de IA públicas), a Lynkora pode, de forma reativa, restringir, desativar ou remover o acesso a material que razoavelmente considere ilícito ou em violação do Acordo de Utilização — mediante reclamação fundamentada, notificação de um titular de direitos ou ordem de uma autoridade competente (notice-and-action) —, notificando o Cliente quando praticável, em conformidade com o Acordo de Utilização. Tal não torna a Lynkora responsável pelo tratamento desse Conteúdo.

4. Confidencialidade

As pessoas autorizadas a tratar dados pessoais estão vinculadas a obrigações de confidencialidade (contratuais ou legais).

5. Segurança (art. 32.º)

A Lynkora aplica as medidas técnicas e organizativas descritas no Anexo II (MTO). A Lynkora pode atualizar as MTO desde que o nível de proteção não seja substancialmente reduzido.

6. Subsubcontratantes

• O Cliente concede uma autorização geral por escrito aos subsubcontratantes enumerados no Anexo III (publicados na tabela de subsubcontratantes da Política de Privacidade / página dedicada). Esta autorização é concedida em forma eletrónica mediante a aceitação do Acordo de Utilização pelo Cliente com um clique (registada com a versão e a marca temporal); não é exigida assinatura manuscrita — ver «Forma e aceitação» abaixo (art. 28.º, n.º 9, do RGPD).
• A Lynkora notificará o Cliente com, pelo menos, 30 dias de antecedência antes de adicionar ou substituir subsubcontratantes (por e-mail ou in-app). O Cliente pode opor-se por motivos razoáveis de proteção de dados; se não for resolvido, o Cliente pode fazer cessar os serviços afetados e exportar os dados.
• A Lynkora impõe aos subsubcontratantes obrigações equivalentes de proteção de dados e continua responsável pelo seu desempenho.

7. Assistência aos direitos dos titulares dos dados

Tendo em conta a natureza do tratamento, a Lynkora assiste o Cliente através de funções integradas de exportação, retificação e eliminação, e reencaminhando para o Cliente sem demora injustificada qualquer pedido de um titular dos dados recebido diretamente (a Lynkora não responde quanto ao mérito — ver o Procedimento DSR). Quando um pedido de assistência do Cliente for manifestamente infundado ou excessivo, em particular pelo seu caráter repetitivo, a Lynkora pode cobrar uma taxa razoável que reflita os custos administrativos, ou recusar dar-lhe seguimento.

8. Violação de dados pessoais

A Lynkora notifica o Cliente sem demora injustificada após ter conhecimento de uma violação de dados pessoais que afete os dados do Cliente, com as informações exigidas pelo art. 33.º, n.º 3 (fornecidas por fases se necessário), e coopera razoavelmente com as obrigações de notificação próprias do Cliente. Prazos de notificação específicos, quando exigidos, podem ser acordados num Order Form ou no acordo enterprise aplicável.

9. Assistência à AIPD e à consulta prévia

A Lynkora presta assistência razoável, utilizando a documentação razoavelmente disponível para a Lynkora (incluindo o presente DPA e as MTO), para as avaliações de impacto sobre a proteção de dados e as consultas prévias do Cliente relativas ao serviço.

10. Eliminação e devolução

Na cessação, o Cliente pode exportar os dados pessoais durante o período de recuperação estabelecido no Acordo de Utilização, que é a única fonte de verdade quanto à sua duração. Esse período é: pelo menos 30 dias em caso de cessação ordinária ou redução de plano; 60 dias durante a beta; 60 dias quando o Cliente recuse alterações substanciais do Acordo de Utilização; e pelo menos 60 dias para a mudança de fornecedor ao abrigo do Data Act da UE (Regulamento (UE) 2023/2854), quando aplicável. Após o fim da prestação dos serviços e o termo do período de recuperação aplicável, a Lynkora, à escolha do Responsável pelo tratamento, elimina ou devolve os dados pessoais e, em seguida, elimina as cópias existentes salvo se uma conservação ulterior for exigida por lei. A exportação em autosserviço está disponível durante o período de recuperação; mediante pedido, os dados são devolvidos num formato legível por máquina. As cópias de segurança são eliminadas de acordo com o ciclo de rotação de cópias. Uma certificação de eliminação está disponível mediante pedido.

11. Direitos de auditoria

A Lynkora disponibiliza as informações razoavelmente necessárias para demonstrar a conformidade (documentação, resumos de segurança, atestações de terceiros quando disponíveis). Auditorias/inspeções: no máximo uma vez a cada 12 meses, com 30 dias de pré-aviso, em horário de expediente, sem acesso aos dados de outros clientes, a expensas do Cliente; primeiro à distância/documental. A assistência e as informações prestadas para além de oito (8) horas por ano civil — incluindo respostas a questionários de segurança, avaliações de fornecedores ou pedidos de due diligence que excedam a documentação padrão da Lynkora — podem ser faturadas às tarifas padrão da Lynkora então em vigor.

12. Transferências internacionais

• Cliente (UE) → Lynkora (Sérvia): as cláusulas contratuais-tipo aprovadas pela Decisão de Execução (UE) 2021/914 da Comissão, de 4 de junho de 2021 (CCT), módulo 2, são incorporadas por remissão; avaliação da Sérvia no TIA.
• Lynkora → subsubcontratantes nos EUA: uma vez que os dados são exportados da Sérvia (não da UE), o módulo 3 das CCT é o instrumento de transferência principal para cada subsubcontratante dos EUA (OpenAI — apenas CCT, não certificado no DPF; Resend — CCT módulo 3, e adicionalmente certificado no EU-US DPF como garantia complementar). É mantido um TIA; o Anexo III enumera o mecanismo por subsubcontratante.

Enquanto pessoa coletiva sérvia, a Lynkora está também sujeita à Lei sérvia de proteção de dados pessoais (ZZPL); as transferências a partir da Sérvia baseiam-se no art. 64.º da ZZPL (garantias adequadas / CCT). A autoridade competente é o Commissioner for Information of Public Importance and Personal Data Protection (Poverenik).

Os Anexos ao presente DPA — Anexo I (detalhes do tratamento), Anexo II (MTO) e Anexo III (subsubcontratantes) — constituem simultaneamente os Anexos correspondentes às CCT incorporadas. A identidade das partes e o seu acordo com as CCT resultam da aceitação do Acordo de Utilização pelo Cliente (ver «Forma e aceitação»).

13. Responsabilidade e prevalência

A responsabilidade ao abrigo do presente DPA está sujeita às limitações do Acordo de Utilização (incluindo os limites em € e as exclusões), salvo se o direito imperativo de proteção de dados dispuser de outro modo. Em caso de conflito em matéria de proteção de dados, o presente DPA prevalece sobre o Acordo de Utilização. Em caso de conflito entre as CCT e o presente DPA, prevalecem as CCT. Os litígios ao abrigo do presente DPA são resolvidos nos termos das disposições de resolução de litígios do Acordo de Utilização, salvo se o direito imperativo de proteção de dados dispuser de outro modo (incluindo os direitos legais próprios dos titulares dos dados, que o presente DPA não afeta). O presente DPA é redigido em inglês, que é o único texto juridicamente vinculativo e que prevalece; qualquer tradução é fornecida apenas para fins de conveniência e informação e, em caso de divergência, prevalece a versão em inglês. Os termos técnicos da proteção de dados (p. ex. responsável pelo tratamento, subcontratante, subsubcontratante, medidas técnicas e organizativas) interpretam-se em conformidade com o RGPD.

Garantia e indemnização do Cliente. O Cliente garante que dispõe de todos os direitos, consentimentos e bases jurídicas necessários para os dados pessoais que submete ao serviço, ou que instrui a Lynkora a tratar através do serviço, e que as suas instruções e Conteúdo cumprem a lei aplicável. O Cliente indemnizará a Lynkora por reclamações de terceiros e ações de autoridades na medida em que decorram de instruções ilícitas do Cliente, de Conteúdo ilícito ou de violação pelo Cliente da lei aplicável de proteção de dados, em conformidade com, e sujeito a, as disposições de indemnização e responsabilidade do Acordo de Utilização.

Forma e aceitação. As referências no presente DPA a «por escrito», «escrito», «autorização» ou «assinatura» incluem a forma eletrónica, em conformidade com o art. 28.º, n.º 9, do RGPD; não é exigida assinatura manuscrita. O presente DPA faz parte do Acordo de Utilização; é celebrado, e a autorização geral por escrito do Cliente para os subsubcontratantes ao abrigo da secção «Subsubcontratantes» é concedida, mediante a aceitação eletrónica do Acordo de Utilização pelo Cliente (clique), que a Lynkora regista com a versão do documento e a marca temporal.

14. Notificações

As notificações e pedidos ao abrigo do presente DPA (oposições a subsubcontratantes, pedidos de auditoria, certificação de eliminação) são enviados para [email protected].

Anexo I — Detalhes do tratamento

O presente Anexo descreve o tratamento realizado pela Lynkora na qualidade de subcontratante por conta do Responsável pelo tratamento. O tratamento em que a Lynkora atua como responsável pelo tratamento autónomo (p. ex. dados de conta, faturação e marketing) é descrito na Política de Privacidade e está fora do âmbito do presente DPA.

| Item | Detalhes |
|---|---|
| Categorias de titulares dos dados | Os utilizadores autorizados do Responsável pelo tratamento; as pessoas mencionadas no conteúdo do Responsável (p. ex. colaboradores, clientes, parceiros do Responsável); os visitantes das bases de conhecimento públicas e do widget do Responsável. |
| Categorias de dados pessoais | Dados de conta dos utilizadores do Responsável (e-mail, nome a apresentar, função, preferências de idioma); quaisquer dados pessoais que o Responsável inclua no conteúdo da base de conhecimento e nos carregamentos (artigos, média e áudio quando forem utilizadas funcionalidades de transcrição); dados de utilização gerados no serviço (texto das consultas de pesquisa, identificador de utilizador, fragmentos de conteúdo pertinentes); identificadores de integração (p. ex. IDs de Telegram/Slack, identificadores de sujeito SSO; tokens de integração armazenados cifrados). |
| Categorias especiais de dados | Não previstas. O Responsável não deve carregar dados de categorias especiais sem uma base jurídica e é o único responsável por determinar se, e com que base, podem ser carregados (Acordo de Utilização, utilização aceitável); a Lynkora não analisa o conteúdo. |
| Natureza e finalidade do tratamento | Prestação do serviço de gestão de conhecimento LiKE mediante instruções documentadas do Responsável: armazenamento, extração de texto, indexação e embedding, pesquisa semântica e respostas geradas por IA, colaboração e integrações. |
| Duração do tratamento | Durante a vigência da subscrição, acrescida dos períodos de recuperação e eliminação estabelecidos no Acordo de Utilização (ver §10). |
| Frequência do tratamento | Contínua, durante a prestação do serviço. |
| Subsubcontratantes | Conforme enumerados no Anexo III. |

Anexo II — MTO (Medidas técnicas e organizativas)

1. Cifragem: TLS 1.2+ em trânsito; cópias de segurança cifradas (WAL-G); segredos num gestor de segredos dedicado (BWS).
2. Isolamento de tenants: filtragem obrigatória de consultas por tenant ao nível da aplicação; testes de acesso entre tenants na CI.
3. Controlo de acesso: acesso à produção apenas por chave SSH; acesso admin baseado em funções (owner/support); ações admin registadas para auditoria (AdminAuditLog).
4. Infraestrutura: centros de dados na UE (OVHcloud Frankfurt — aplicação; Gravelines — base de dados); base de dados em anfitrião isolado, lista de autorização de IP, TLS 1.3.
5. Monitorização: registo do lado do servidor com ocultação de segredos/PII (redact_secrets); registo de eventos de segurança. A monitorização de erros externa (Sentry) está configurada para funcionar com send_default_pii=False e um hook de ocultação before_send, mas atualmente não está ativada em produção (ver Anexo III).
6. Minimização de dados: os fornecedores de IA recebem apenas fragmentos de conteúdo pertinentes; ocultação de PII nos registos; limites de conservação dos registos segundo o Retention Schedule.
7. Resiliência: cópias de segurança diárias, recuperação para um momento específico; procedimento de resposta a incidentes com um fluxo de notificação de violações.
8. Pessoal: obrigações de confidencialidade; acesso segundo o princípio do menor privilégio.

Anexo III — Subsubcontratantes autorizados

| Subsubcontratante | Função | Localização | Mecanismo de transferência |
|---|---|---|---|
| OVHcloud | infraestrutura, armazenamento | UE (DE/FR) | intra-EEE |
| OpenAI, L.L.C. | API LLM | US | CCT módulo 3 (não certificado no DPF) |
| Resend | e-mails transacionais | US | CCT módulo 3 (principal — export da Sérvia); adicionalmente certificado no EU-US DPF (incl. extensão UK) |

O estado de certificação e de mecanismo de transferência de cada subsubcontratante é mantido atualizado na página de subsubcontratantes referenciada na Política de Privacidade; essa página é a fonte datada que faz fé.

Merchant of Record — não é subsubcontratante. Um fornecedor de pagamento terceiro que atua como Merchant of Record é um responsável pelo tratamento autónomo relativamente aos dados de pagamento, faturação e fiscais: determina as finalidades e os meios do tratamento dos cartões, do cálculo, cobrança e entrega do IVA/GST, bem como da prevenção da fraude, no âmbito das suas próprias obrigações de conformidade (PCI DSS, direito fiscal). Não é, por conseguinte, um subsubcontratante ao abrigo do presente DPA e é mencionado apenas a título de transparência; o Merchant of Record não é contratado pela Lynkora como subcontratante ou subsubcontratante. O seu tratamento rege-se pelas suas próprias condições e política de privacidade. O Merchant of Record concreto é designado no lançamento da faturação paga após a beta.

O Sentry (monitorização de erros) não está atualmente ativado em produção e não é um subsubcontratante; após ativação, a lista de subsubcontratantes será atualizada com 30 dias de pré-aviso.