Este acordo é celebrado entre a sua organização («Cliente», responsável pelo tratamento) e o Conversendo, serviço português de William Carmo Silva, empresário em nome individual (nome comercial «Foi uma Ideia»), NIF 297609130, com morada na Rua Luís António Correia, 68, 4715-310 Braga, Portugal, email suporte@conversendo.com («Conversendo», subcontratante). É aceito com os termos de serviço, de que faz parte integrante, e realiza o art. 28.º do RGPD.
1. Papéis das partes
Desliza a tabela para os lados para veres todas as colunas.
| Dados | Responsável | Subcontratante |
|---|---|---|
| Dados dos clientes finais do Cliente (número, nome, conteúdo das conversas, marcações, pedidos, contactos deixados no site, provas de consentimento e de recusa) | Cliente | Conversendo |
| Dados dos utilizadores do Cliente no portal (nome, email, papel) | Cliente | Conversendo |
| Dados da conta face à Conversendo (email, autenticação, faturação) | Conversendo | — (ver a política de privacidade) |
2. Objeto, duração, natureza e finalidades
- Objeto: prestação do serviço Conversendo — atendimento automático e humano de mensagens WhatsApp, venda pelo catálogo, marcações, geração de site público e métricas de uso.
- Duração: a da conta do Cliente, acrescida dos prazos de eliminação e conservação da secção 8.
- Natureza: tratamento automatizado com intervenção humana (passagem a agente e administração da plataforma).
- Finalidades: apenas prestar o serviço, garantir a sua segurança, faturar e cumprir obrigações legais. O conteúdo das conversas não é usado para treinar modelos de IA, para marketing nem para qualquer fim próprio da Conversendo; a recuperação de informação (RAG) usa índices guardados na própria base de dados do Cliente.
3. Categorias de titulares e de dados
Titulares: clientes finais do Cliente que lhe escrevem por WhatsApp (ou cujos dados o Cliente carrega) e utilizadores do Cliente na plataforma. Categorias: identificação e contacto (número E.164, nome, email); conteúdo das comunicações (mensagens e metadados de media); dados de consumo (marcações, pedidos, contactos deixados no site, uso); configuração (prompts, horários, base de conhecimento, conteúdo do site); provas de consentimento/supressão (aceitação e recusa, com data e origem); dados técnicos (registos das notificações recebidas, com conteúdo conservado 30 dias, endereços IP em hash).
A plataforma não está desenhada para categorias especiais de dados (art. 9.º do RGPD). Se a atividade do Cliente for de saúde ou estética e os seus clientes as enviarem espontaneamente, o Cliente deve informar a Conversendo e avaliar a base legal específica, a minimização e a necessidade de uma avaliação de impacto. O envio intencional destas categorias a fornecedores de IA exige instrução documentada e cobertura contratual específica. O Cliente pode pedir-nos assistência.
4. Instrução do responsável
A Conversendo trata os dados apenas por instrução documentada do Cliente — a configuração normal do serviço (atendimento, catálogo, site, equipa). Sem nova instrução documentada, não trata os dados para outra finalidade, não os divulga a terceiros (salvo obrigação legal, com notificação ao Cliente sempre que permitido) e não os usa para fins próprios. Excecionalmente e por inerência, executa medidas de segurança, cópias de segurança, deteção de abuso, resolução de incidentes e resposta a autoridades competentes.
5. Confidencialidade
As pessoas autorizadas a tratar os dados (gestão e eventuais colaboradores da Conversendo) estão vinculadas a obrigação de confidencialidade e o acesso faz-se por papéis e por registo de auditoria das ações administrativas.
6. Medidas de segurança (art. 32.º)
- Autenticação com palavras-passe argon2id, sessões opacas e revogáveis, bloqueio progressivo de tentativas falhadas.
- Segredos de canal e chaves cifrados em repouso (AES-256-GCM), fora do repositório e nunca expostos ao frontend.
- Isolamento entre organizações por tenant_id em todas as tabelas de negócio, com Row-Level Security no PostgreSQL como última barreira.
- Controlo de acessos por papéis (dono, admin, agente, leitor), auditoria de ações administrativas com IP pseudonimizado e logs sem conteúdo de mensagens.
- TLS em todo o percurso, validação da assinatura das notificações recebidas dos serviços externos, limitação de ritmo por IP e por sessão, políticas de segurança de conteúdo (CSP) e execução em contentores sem privilégios.
- Cópia de segurança diária validada no momento do backup e restauro ensaiado; validação e limites de tamanho/tipo dos ficheiros aceites.
7. Subcontratantes e transferências
O Cliente concede autorização geral para a Conversendo recorrer aos subcontratantes necessários à prestação do serviço. A lista de fornecedores e as respetivas funções constam da política de privacidade, secção 11, que integra este acordo para esse efeito. A Conversendo exige aos subcontratantes obrigações de proteção de dados adequadas ao tratamento que lhes é confiado.
A seleção e a gestão dos modelos de IA pertencem à Conversendo, nos termos da secção 6 dos termos de serviço. O tratamento mantém-se limitado às finalidades e instruções deste acordo. As transferências para fora do Espaço Económico Europeu exigem um mecanismo legal aplicável, como decisão de adequação ou cláusulas contratuais-tipo e, quando necessárias, medidas suplementares.
A Conversendo notifica o Cliente com 30 dias de antecedência sobre alterações à lista de subcontratantes, por email e na informação publicada; o Cliente pode opor-se, podendo rescindir o contrato sem penalização. Pode solicitar informação adicional sobre destinatários, localização e salvaguardas através de suporte@conversendo.com.
8. Conservação e eliminação
- Enquanto a conta está ativa, os prazos automáticos são os da política de privacidade: conversas e mensagens 24 meses; conteúdo cru das notificações recebidas 30 dias; detalhe de uso 90 dias (depois agregado por dia); artefactos de exportação 7 dias.
- Eliminação a pedido do Cliente (dono da organização, no portal): a organização sai do ar de imediato (portal, assistente, site público), a subscrição é cancelada e a ligação WhatsApp desligada; a eliminação definitiva ocorre 30 dias depois — janela para recuperar um pedido enganado — e apaga conversas, mensagens, contactos (de clientes e os deixados no site), marcações, base de conhecimento, sites e versões, canais, membros, convites, uso, chaves e artefactos de export, incluindo os ficheiros no armazenamento.
- Permanece apenas o que a lei ou a prova exigem: registos de faturação (10 anos, art. 51.º do CIVA), registos de auditoria, o registo dos contactos suprimidos que pediram para não ser contactados (número pseudonimizado, restante informação destruída) e uma linha anónima da organização para manter a integridade referencial. As cópias de segurança rodam num ciclo de 14 dias e não são usadas para restaurar dados individuais.
9. Direitos dos titulares e assistência
A Conversendo presta ao Cliente a assistência necessária para responder aos pedidos dos titulares (arts. 15.º a 22.º do RGPD) no prazo legal de um mês: o próprio Cliente descarrega, no portal, um export completo da organização (JSON comprimido, com conversas, contactos (incluindo os deixados no site), marcações, pedidos, catálogo, site e configuração — sem segredos nem hashes de autenticação), corrige dados de configuração no portal e pede a eliminação nos termos da secção 8. Pedidos de titulares dirigidos diretamente à Conversendo são reencaminhados para o Cliente responsável.
10. Violação de dados pessoais
Em caso de violação de dados pessoais tratados por conta do Cliente, a Conversendo notifica-o sem demora indevida e no máximo em 72 horas após tomar conhecimento, com a natureza da violação, as categorias e o número aproximado de titulares e registos, as consequências prováveis e as medidas tomadas — para que o Cliente, como responsável, possa cumprir os seus deveres para com a CNPD e os titulares.
11. Auditoria e fim do tratamento
O Cliente pode verificar o cumprimento deste acordo através da documentação publicada (política de privacidade e esta página) e de informação adicional que solicite por email (suporte@conversendo.com), nomeadamente os registos das ações administrativas que lhe digam respeito. No fim da prestação, a Conversendo elimina os dados nos termos da secção 8 e devolve-os pelo mecanismo de exportação, a pedido, durante a janela de eliminação.