Acordo de Subcontratação (DPA) — Clara

Última atualização: 2026-09-17 · Versão: 1.1

Este Acordo de Subcontratação (“DPA”) faz parte integrante dos Termos e Condições e regula o tratamento de dados pessoais efetuado pela Allyato, Lda em nome do Cliente, nos termos do artigo 28 do RGPD. Em caso de conflito entre o DPA e os Termos, prevalece o DPA quanto ao tratamento de dados pessoais.

1. Partes e papéis

• Responsável pelo tratamento: o Cliente (entidade que carrega/disponibiliza os dados).
• Subcontratante: Allyato, Lda, NIF PT519086708, Calçada de Palma de Baixo 8, 8A, 1600-176 Lisboa.

2. Objeto e duração

A Allyato trata dados pessoais exclusivamente para prestar o Serviço Clara (receção, armazenamento, processamento/reconciliação e análise de faturas e documentos afins e funcionalidades associadas, incluindo extração de dados por meios automáticos/IA), durante a vigência do contrato.

3. Obrigações do Cliente

O Cliente garante que: (a) dispõe de base legal para os dados pessoais que carrega e para as instruções que dá à Allyato; (b) cumpre os deveres de informação perante os titulares; (c) não carrega categorias especiais de dados (art. 9.º RGPD) nem dados relativos a condenações penais (art. 10.º), salvo acordo escrito específico; e (d) as suas instruções são conformes ao RGPD. O Cliente indemniza a Allyato pelos danos resultantes da violação destas garantias, nos termos dos Termos e Condições.

4. Obrigações da Allyato (art. 28(3) RGPD)

A Allyato:

• Trata os dados apenas mediante instruções documentadas do Cliente (incluindo o presente DPA e a utilização normal do Serviço), informando o Cliente se considerar que uma instrução viola o RGPD ou outra disposição aplicável.
• Garante que as pessoas autorizadas a tratar os dados estão sujeitas a dever de confidencialidade.
• Adota as medidas de segurança adequadas (art. 32).
• Respeita as condições de recurso a subcontratantes ulteriores (§5).
• Auxilia o Cliente, na medida do possível, no cumprimento dos pedidos dos titulares e das obrigações dos arts. 32 a 36. Se a assistência exigir esforço desproporcionado por causa imputável ao Cliente, a Allyato pode faturar custos razoáveis.
• Elimina ou devolve os dados no termo da prestação, conforme escolha do Cliente, salvo conservação exigida por lei.
• Disponibiliza ao Cliente a informação necessária para demonstrar conformidade e permite auditorias razoáveis.

5. Subcontratantes ulteriores

O Cliente autoriza o recurso aos subcontratantes ulteriores constantes da Lista de Subcontratantes (/legal/subprocessors). A Allyato informará previamente de alterações, mediante aviso prévio de 30 dias, por email e/ou através de mecanismo de subscrição de notificações, permitindo oposição fundamentada no mesmo prazo. Não sendo possível uma solução alternativa razoável, o Cliente pode resolver o contrato quanto ao serviço afetado, sem penalização. A Allyato impõe a esses subcontratantes obrigações de proteção de dados equivalentes às do presente DPA.

6. Transferências internacionais

Quando o tratamento implique transferência de dados para fora do EEE, a Allyato assegura salvaguardas adequadas, nos termos dos arts. 44.º a 49.º do RGPD: decisão de adequação (incluindo o EU–U.S. Data Privacy Framework, quanto a importadores certificados) ou Cláusulas Contratuais-Tipo, complementadas, quando necessário, por medidas suplementares identificadas em avaliação de transferência (TIA). As salvaguardas aplicáveis a cada subcontratante ulterior constam da Lista de Subcontratantes.

7. Violações de dados pessoais

A Allyato notifica o Cliente, sem demora injustificada e o mais tardar 72 horas após ter conhecimento de uma violação de dados pessoais que afete dados tratados em nome do Cliente. A notificação inclui, na medida da informação disponível, os elementos do art. 33.º, n.º 3 do RGPD (natureza da violação, categorias e número aproximado de titulares e registos afetados, consequências prováveis, medidas adotadas ou propostas), podendo ser prestada por fases. A Allyato coopera com o Cliente na investigação, mitigação e eventual notificação à CNPD e aos titulares.

8. Auditorias

A Allyato disponibiliza, em primeira linha, relatórios, certificações e outra documentação demonstrativa do cumprimento. O Cliente pode realizar auditorias (diretamente ou através de terceiro independente sujeito a confidencialidade, que não seja concorrente da Allyato), no máximo uma vez por ano, com pré-aviso mínimo de 60 dias, em horário laboral, sem acesso a dados de outros clientes e suportando os respetivos custos.

9. Devolução e eliminação dos dados

Cessado o contrato, o Cliente pode, no prazo de 30 dias, exportar os seus dados através da plataforma ou solicitar a sua devolução em formato estruturado, de uso corrente e de leitura automática (em articulação com a cláusula de portabilidade dos Termos e Condições de Utilização). Decorrido esse prazo, a Allyato elimina todos os dados pessoais tratados em nome do Cliente no prazo de 30 dias, incluindo cópias, sendo os dados residuais em backups eliminados no ciclo normal de rotação, no máximo 90 dias, mantendo-se até lá as medidas de segurança do Anexo II. A Allyato certifica a eliminação a pedido do Cliente. Excetua-se a conservação exigida por lei, limitada ao estritamente necessário.

10. Utilização para treino de modelos de IA

A Allyato utilizará os dados tratados em nome do Cliente para treinar modelos de inteligência artificial, próprios ou de terceiros, para aprender e treinar modelos próprios sobre a forma como as PME gerem os seus negócios, em base anonimizada e agregada.

11. Medidas técnicas e organizativas

Cifragem em trânsito, controlo de acessos baseado em funções, isolamento de dados por organização (RLS), registo de logs e cópias de segurança, entre outras medidas proporcionais ao risco.

12. Responsabilidade

A responsabilidade das partes rege-se pelos Termos e Condições e pelo RGPD.