O presente Acordo de Tratamento de Dados ("DPA") faz parte integrante dos Termos e Condições do ChatLex e aplica-se automaticamente, sem necessidade de assinatura separada, sempre que o utilizador carregue ou introduza na plataforma conteúdo com dados pessoais de terceiros. Celebra-se entre o utilizador (o "Responsável pelo Tratamento") e a Genmaker Labs, Lda., NIPC 519309960, matriculada na Conservatória do Registo Comercial de Coimbra, com sede na Rua do Brasil, n.º 239, 3.º, 3030-175 Coimbra (o "Subcontratante" ou "ChatLex"), nos termos do artigo 28.º do Regulamento (UE) 2016/679 (adiante RGPD) e da Lei n.º 58/2019, de 8 de agosto. O presente DPA deve ser lido em conjunto com os Termos e Condições e a Política de Privacidade do ChatLex.
Em caso de conflito entre este DPA e os Termos e Condições em matéria de proteção de dados, prevalecem as disposições do DPA.
1.1. O presente DPA regula o tratamento, pelo ChatLex, dos dados pessoais de terceiros contidos no conteúdo que o utilizador carrega ou introduz na plataforma (documentos, ficheiros áudio, texto de conversas) - os "Dados do Cliente".
1.2. Para efeitos do presente DPA, “Dados do Cliente” corresponde aos dados pessoais de terceiros contidos no Conteúdo do Utilizador, tal como definido nos Termos e Condições, e não inclui os dados pessoais do próprio Utilizador tratados pela Genmaker Labs enquanto responsável pelo tratamento, incluindo dados de conta, faturação, pagamento, utilização, suporte e analítica.
1.3. Em relação aos Dados do Cliente, o utilizador é o responsável pelo tratamento e o ChatLex atua exclusivamente como subcontratante. (Em relação aos dados pessoais do próprio Utilizador - incluindo dados de conta, faturação, pagamento, utilização, suporte e analítica - a Genmaker Labs atua como responsável pelo tratamento, nos termos da Política de Privacidade.)
1.4. Compete ao Responsável pelo Tratamento assegurar que dispõe de fundamento de licitude para tratar os Dados do Cliente e para os confiar ao ChatLex, incluindo, quando aplicável, as condições dos artigos 9.º e 10.º do RGPD e as regras de segredo profissional ou de justiça.
1.5. O presente DPA entra em vigor com o início da utilização do serviço e permanecerá em vigor enquanto o ChatLex tratar Dados do Cliente ou enquanto subsistir obrigação de conservar tais dados nos termos da lei aplicável.
As características essenciais do tratamento realizado ao abrigo deste DPA são as seguintes:
| Elemento | Descrição |
|---|---|
| Objeto | Armazenamento e processamento do conteúdo carregado ou introduzido pelo utilizador |
| Duração | Enquanto a conta do utilizador existir ou enquanto existir obrigação de conservação legal, nos termos da cláusula 11 |
| Natureza e finalidade | Alojamento; OCR; indexação e pesquisa; geração de resumos, briefings e respostas por IA; transcrição de áudio — exclusivamente para prestar o serviço contratado |
| Categorias de dados | Os constantes dos documentos e áudios carregados — tipicamente dados de identificação, contacto e dados processuais; podem incluir categorias especiais de dados (art. 9.º do RGPD) e dados relativos a condenações e infrações (art. 10.º do RGPD) quando presentes em peças processuais |
| Categorias de titulares | Partes processuais, testemunhas, mandatários, magistrados, declarantes e demais pessoas mencionadas no conteúdo carregado pelo utilizador |
| Instruções documentadas iniciais | (i) O presente DPA e os Termos e Condições, como quadro contratual de base; (ii) as ações executadas pelo utilizador na plataforma (carregar, processar, pesquisar, gerar, eliminar conteúdo; selecionar o motor de transcrição); (iii) quaisquer instruções específicas transmitidas por escrito ao ChatLex, nomeadamente pedidos de apagamento, exportação ou limitação do tratamento. A presente enumeração não é exaustiva: qualquer instrução escrita comunicada ao ChatLex pelo Responsável integra, a partir da sua receção, o acervo de instruções documentadas |
| Decisões automatizadas (art. 22.º RGPD) | O ChatLex não toma decisões exclusivamente automatizadas que produzam efeitos jurídicos ou que afetem significativamente os titulares dos Dados do Cliente. Os Outputs gerados pelos sistemas de inteligência artificial constituem instrumentos de apoio à atividade profissional e estão sujeitos a validação, interpretação e supervisão humana pelo Responsável pelo Tratamento ou pelo utilizador final, a quem cabe a responsabilidade pela respetiva utilização. No âmbito da prestação do Serviço, a Genmaker Labs cumpre as obrigações que lhe sejam aplicáveis ao abrigo do Regulamento (UE) 2024/1689, designadamente em matéria de informação, transparência e supervisão humana, de acordo com o papel que assuma relativamente aos sistemas de IA utilizados. A Genmaker Labs não assume, porém, a qualidade de prestador de um sistema de IA relativamente à utilização que o Responsável pelo Tratamento ou os respetivos utilizadores finais façam dos Outputs, nomeadamente em contexto de administração da justiça ou de exercício de poderes públicos, sendo essa utilização da responsabilidade de quem a determine e realize. |
| Registo de atividades (art. 30.º, n.º 2, RGPD) | Manutenção, em formato eletrónico estruturado, de um registo das categorias de atividades de tratamento realizadas por conta do Responsável, contendo os elementos exigidos pelo artigo 30.º, n.º 2, do RGPD. O registo é disponibilizado ao Responsável e à autoridade de controlo competente no prazo de 10 dias úteis após pedido escrito, nos termos da cláusula 12.4 do presente DPA |
3.1. Sempre que o conteúdo carregado pelo Responsável contenha categorias especiais de dados pessoais (art. 9.º do RGPD) ou dados relativos a infrações penais e condenações (art. 10.º do RGPD), o ChatLex implementará, em acumulação com as medidas gerais previstas nas Secções B.1 a B.6 do Anexo B, as salvaguardas adicionais e reforçadas descritas na Secção B.7 do Anexo B, que incluem designadamente:
3.2. A deteção destes conteúdos é realizada, em primeira linha, por mecanismos automatizados do ChatLex, quando tecnicamente viável. Na ausência de deteção automática, cabe ao Responsável pelo Tratamento identificar previamente a presença dessas categorias e notificar o ChatLex por escrito, através de apoio@chatlex.pt, antes de carregar o conteúdo em causa. Em qualquer caso, as salvaguardas da Secção B.7 aplicam-se igualmente quando o Responsável declare, por qualquer meio escrito, que o conteúdo carregado inclui dados das referidas categorias. Sem prejuízo das obrigações legais e indisponíveis que recaem sobre o ChatLex nos termos dos artigos 28.º e 32.º do RGPD, e que se mantêm plenamente aplicáveis independentemente do disposto nesta cláusula, na relação interna entre as partes o Responsável pelo Tratamento assume o risco decorrente da não deteção automática e da não comunicação prévia da presença de categorias especiais de dados, sem prejuízo das medidas gerais previstas nas Secções B.1 a B.6 do Anexo B, que se mantêm integralmente aplicáveis em qualquer caso.
3.3. Compete ao Responsável pelo Tratamento assegurar que dispõe do fundamento de licitude adequado ao abrigo dos artigos 9.º e 10.º do RGPD antes de carregar tais conteúdos e de os transmitir ao ChatLex.
4.1. O ChatLex trata os Dados do Cliente apenas mediante instruções documentadas do Responsável pelo Tratamento, conforme descritas na tabela da Cláusula 2.
4.2. O ChatLex não utiliza os Dados do Cliente, nem permite que os seus subcontratantes os utilizem, para treinar, ajustar, desenvolver ou melhorar modelos de IA generativa, incluindo os modelos que geram respostas no Serviço.
Excecionalmente, pode tratar a quantidade mínima de Dados do Cliente necessária para segurança, deteção de utilizações abusivas, avaliação da qualidade ou correção das respostas e desenvolvimento de modelos locais não generativos de finalidade restrita, designadamente para deteção de prompt injection, jailbreaking ou anonimização. Esse tratamento fica sujeito à minimização, à pseudonimização ou anonimização quando tecnicamente viável, à confidencialidade, ao acesso restrito e à conservação apenas pelo período necessário, não podendo os dados ser utilizados para desenvolver modelos de finalidade geral ou produtos para terceiros.
4.3. Se o ChatLex considerar que uma instrução viola o RGPD ou outra disposição legal, informará o Responsável sem demora, podendo suspender a execução da instrução em causa até obter clarificação.
4.4. O Responsável pelo Tratamento assume as seguintes obrigações perante o ChatLex:
(i) assegurar que existe fundamento de licitude para o tratamento de Dados do Cliente transmitidos ao ChatLex;
(ii) abster-se de transmitir dados que não reúnam os fundamentos de licitude exigidos pela lei aplicável;
(iii) comunicar com antecedência razoável quaisquer alterações relevantes relativas ao tratamento ou às instruções operacionais.
5.1. O ChatLex trata os Dados do Cliente como informação confidencial e assegura que qualquer trabalhador, colaborador ou outra pessoa que, atuando sob a sua autoridade, tenha acesso a esses dados está previamente vinculada a um dever legal ou a uma obrigação escrita de confidencialidade adequada às funções desempenhadas.
5.2. A presente cláusula não confere ao ChatLex uma autorização geral para divulgar ou disponibilizar os Dados do Cliente a terceiros. Qualquer acesso por subcontratantes depende da sua contratação nos termos da Cláusula 7 e fica sujeito a obrigações de proteção de dados, confidencialidade e segurança materialmente equivalentes às previstas no presente Acordo. O ChatLex mantém-se responsável perante o Responsável pelo Tratamento pelo cumprimento dessas obrigações pelos seus subcontratantes, nos termos da lei aplicável.
5.3. Os Dados do Cliente podem incluir informação sujeita a deveres específicos de confidencialidade, segredo profissional ou segredo de justiça. O ChatLex não é responsável por determinar, a partir do conteúdo carregado, a natureza jurídica, o regime de segredo ou a classificação aplicável a cada informação. Compete ao Responsável pelo Tratamento assegurar que dispõe de fundamento jurídico para transmitir os dados ao ChatLex e que as instruções dadas são lícitas e adequadas ao tratamento pretendido, sem prejuízo das obrigações legais próprias do ChatLex enquanto subcontratante.
5.4. O ChatLex trata e utiliza os Dados do Cliente apenas para as finalidades previstas no presente Acordo e de acordo com as instruções documentadas do Responsável pelo Tratamento, salvo quando o tratamento seja exigido pelo direito da União Europeia ou pela legislação nacional aplicável. Nesse caso, e salvo proibição legal, o ChatLex informa o Responsável pelo Tratamento desse requisito antes de proceder ao tratamento.
6.1. O ChatLex implementa as medidas técnicas e organizativas adequadas ao risco do tratamento, nos termos do artigo 32.º do RGPD e conforme detalhadas no Anexo B do presente DPA.
6.2. O ChatLex revê e atualiza periodicamente as medidas constantes do Anexo B, de forma a garantir um nível de segurança adequado face à evolução do estado da arte, à natureza dos Dados do Cliente tratados e aos riscos para os direitos e liberdades dos titulares.
6.3. O Responsável pelo Tratamento reserva-se o direito de solicitar, em qualquer momento e de forma fundamentada, a revisão ou atualização das medidas constantes do Anexo B, em particular quando tal seja exigido pela lei aplicável ou por orientações da autoridade de controlo competente.
7.1. O Responsável pelo Tratamento autoriza, em termos gerais, o ChatLex a recorrer a Sub-subcontratantes para a prestação do serviço (art. 28.º, n.º 2, do RGPD). Os Sub-subcontratantes atualmente autorizados encontram-se identificados no Anexo A do presente DPA.
7.2. O ChatLex impõe a cada Sub-subcontratante, por contrato, obrigações de proteção de dados materialmente equivalentes às do presente DPA e mantém-se plenamente responsável perante o Responsável pelo Tratamento pelos atos ou omissões dos seus Sub-subcontratantes que resultem em violação do RGPD.
7.3. O ChatLex notificará o Responsável pelo Tratamento de qualquer intenção de incluir novos Sub-subcontratantes ou de substituir os existentes com antecedência mínima de 15 (quinze) dias de calendário, por correio eletrónico ou aviso na aplicação. O novo Sub-subcontratante só iniciará o tratamento de Dados do Cliente após o decurso deste prazo sem oposição do Responsável. O Responsável pode opor-se, mediante comunicação escrita dentro do prazo, com fundamento razoável relacionado com a proteção de dados; o ChatLex responderá à oposição no prazo de 15 (quinze) dias de calendário, procurando encontrar alternativa viável. Não sendo encontrada alternativa viável, pode resolver o contrato com reembolso proporcional do período pago e não usufruído. O prazo e o procedimento previstos na presente cláusula constituem o regime especial aplicável à inclusão ou substituição de Sub-subcontratantes autorizados.
8.1. Por regra, os Dados do Cliente são tratados na União Europeia ou no Espaço Económico Europeu.
8.2. A única exceção é o motor de transcrição ElevenLabs (EUA), que apenas é utilizado quando o Responsável o seleciona expressamente na aplicação - seleção que constitui instrução documentada para essa transferência. Enquanto a entidade importadora constar como participante ativa do EU-U.S. Data Privacy Framework e o tratamento estiver abrangido pelo respetivo âmbito de certificação, a transferência poderá basear-se na Decisão de Execução (UE) 2023/1795. Sempre que esse mecanismo não seja aplicável ou suficiente, a transferência será efetuada ao abrigo das Cláusulas Contratuais-Tipo aprovadas pela Decisão de Execução (UE) 2021/914, utilizando o módulo contratual aplicável e após a realização e documentação da avaliação prevista na cláusula 14 dessas cláusulas. O ChatLex manterá atualizada a informação constante do Anexo A e verificará a validade do mecanismo utilizado, bem como a existência de eventuais transferências ulteriores. Se deixar de existir um mecanismo válido ou se as garantias aplicáveis não puderem ser asseguradas, o ChatLex notificará o Responsável sem demora e suspenderá a transferência, utilizará outro mecanismo previsto no Capítulo V do RGPD ou, quando tecnicamente possível, encaminhará o tratamento para o motor predefinido operado na União Europeia.
8.3. O ChatLex não transferirá Dados do Cliente para fora do EEE através de novos mecanismos ou para novos países sem o consentimento prévio e escrito do Responsável pelo Tratamento, salvo se a transferência se enquadrar em mecanismo previsto no Capítulo V do RGPD.
9.1. Tendo em conta a natureza do tratamento, o ChatLex apoia o Responsável pelo Tratamento no cumprimento das suas obrigações ao abrigo do RGPD, designadamente:
9.2. Se o ChatLex receber uma requisição, inspeção ou pedido de informação diretamente de qualquer autoridade de controlo relativo aos Dados do Cliente, notificará o Responsável pelo Tratamento de imediato, salvo proibição legal, e não facultará informação sem prévia consulta ao Responsável, exceto quando tal seja imposto por força de lei.
9.3. Se o ChatLex receber de uma autoridade administrativa ou judicial de um país terceiro um pedido de acesso ou divulgação de Dados do Cliente que não esteja abrangido por um mecanismo aplicável do Capítulo V do RGPD, o ChatLex: a) notificará o Responsável pelo Tratamento sem demora e, sempre que possível, antes de dar cumprimento ao pedido, salvo proibição legal; b) avaliará a validade, o âmbito e a necessidade do pedido e, quando juridicamente possível e razoavelmente fundamentado, procurará contestá-lo ou limitar o seu alcance, incluindo mediante invocação de eventual segredo profissional aplicável; c) limitará qualquer divulgação ao conteúdo estritamente necessário e manterá registo do pedido e da resposta adotada.O ChatLex prestará ao Responsável, mediante pedido e na medida legalmente permitida, informação sobre esses pedidos e sobre as medidas adotadas.
10.1. O ChatLex notifica o Responsável pelo Tratamento sem demora injustificada e, sempre que possível, no prazo máximo de 24 horas após ter conhecimento de uma violação de dados pessoais que afete os Dados do Cliente. A notificação será efetuada através dos contactos indicados na Cláusula 15 e incluirá a informação então disponível, designadamente:
10.2. A notificação pode ser completada por fases à medida que a informação esteja disponível, sem prejuízo do cumprimento dos prazos legais de notificação à CNPD pelo Responsável (72 horas após o Responsável pelo tratamento ter tido conhecimento da violação, ao abrigo do artigo 33.º do RGPD).
10.3. O ChatLex cooperará com o Responsável pelo Tratamento e fornecerá, sem demora, toda a informação necessária para o cumprimento das obrigações legais de notificação da violação à autoridade de controlo e, quando aplicável, aos titulares dos dados afetados.
11.1. O Responsável pelo Tratamento pode, a todo o tempo, eliminar ou exportar o seu conteúdo através da plataforma.
11.2. No encerramento da conta ou mediante pedido escrito do Responsável pelo Tratamento, o ChatLex eliminará todos os Dados do Cliente nos seguintes prazos:
A presente cláusula aplica-se exclusivamente aos Dados do Cliente definidos na cláusula 1.2 e não prejudica os prazos de conservação aplicáveis aos dados pessoais do próprio Utilizador tratados pela Genmaker Labs enquanto responsável pelo tratamento, nos termos da Política de Privacidade.
11.3. O ChatLex certificará por escrito a eliminação efetuada, no prazo de 10 (dez) dias úteis a contar do pedido escrito do Responsável pelo Tratamento.
11.4. Quando a lei aplicável imponha a conservação de determinados dados após o encerramento, o ChatLex conservará apenas os dados estritamente necessários, pelo período mínimo exigido, e notificará o Responsável pelo Tratamento dessas obrigações.
11.5. Os Dados do Utilizador para efeitos de portabilidade serão disponibilizados em formato estruturado, de uso corrente e de leitura automática (designadamente JSON ou CSV), nos seguintes prazos: (i) 5 (cinco) dias úteis a contar do pedido escrito do Responsável, quando os dados estejam disponíveis na plataforma e sejam exportáveis através das ferramentas existentes; (ii) 15 (quinze) dias úteis a contar do pedido escrito do Responsável, nos restantes casos, podendo este prazo ser prorrogado por até 15 (quinze) dias úteis adicionais em casos de especial complexidade, mediante comunicação prévia fundamentada. O ChatLex informa o Responsável, no prazo de 5 dias úteis após a receção do pedido, do prazo aplicável e, sendo o caso, da prorrogação.
12.1. O ChatLex disponibiliza ao Responsável pelo Tratamento a informação razoavelmente necessária para demonstrar o cumprimento deste DPA, incluindo, quando existam, certificações ou relatórios de auditoria independentes ou outra documentação de conformidade.
12.2. O Responsável pelo Tratamento pode realizar auditorias - diretamente ou através de auditor mandatado, sujeito a acordo de confidencialidade - mediante aviso prévio escrito de 15 dias úteis, no máximo uma vez por ano civil, salvo na sequência de violação de dados ou de exigência de autoridade de controlo competente. As auditorias são realizadas a expensas do Responsável pelo Tratamento e sem perturbação desproporcionada da operação do serviço, exceto quando a auditoria revele incumprimento material pelo ChatLex das suas obrigações ao abrigo do presente DPA, caso em que os custos da auditoria ficam a cargo do ChatLex. Sem prejuízo do direito de auditoria, o Responsável pode aceitar, como meio alternativo de demonstração de conformidade, a apresentação de certificações ou relatórios de auditoria independentes válidos, nos termos do artigo 28.º, n.º 5, do RGPD.
12.3. O ChatLex colaborará na realização de Avaliações de Impacto sobre a Proteção de Dados (AIPDs/DPIAs) sempre que tal seja exigido pela lei aplicável ou solicitado pelo Responsável pelo Tratamento.
12.4. O ChatLex manterá registos completos, atualizados e detalhados de todas as operações de tratamento realizadas em nome e por conta do Responsável, nos termos do artigo 30.º, n.º 2, do RGPD, facultando-os ao Responsável ou à autoridade de controlo competente, sempre que solicitado. Os registos são mantidos em formato eletrónico estruturado, compatível com as orientações da CNPD, e disponibilizados no prazo de 10 dias úteis após pedido escrito.
12.5. Sem prejuízo dos demais direitos que lhe assistam, sempre que o ChatLex viole obrigações materiais decorrentes do presente DPA ou da lei aplicável em matéria de proteção de dados, o Responsável pelo Tratamento pode, mediante comunicação escrita fundamentada, instruir o ChatLex a suspender total ou parcialmente as operações de tratamento dos Dados do Cliente.
12.6. O ChatLex dispõe de um prazo de 10 dias úteis após a receção da instrução para sanar o incumprimento, salvo quando a urgência da situação não o permita. Durante este prazo, o ChatLex pode manter operacional o acesso do utilizador à plataforma para efeitos de exportação e salvaguarda do conteúdo.
12.7. Decorrido o prazo sem sanação, ou em situações de incumprimento insuscetível de sanação, o Responsável pode resolver o presente DPA com efeitos imediatos, mantendo-se as obrigações de eliminação e portabilidade de dados após a cessação.
13.1. As partes são responsáveis pelo cumprimento das obrigações que lhes incumbem ao abrigo do presente DPA e do artigo 82.º do RGPD. Cada parte indemnizará a outra pelos danos causados pelo incumprimento das suas obrigações legais ou contratuais decorrentes do presente DPA.
13.2. A responsabilidade do ChatLex ao abrigo do presente DPA segue o regime estabelecido na cláusula de responsabilidade dos Termos e Condições, sem prejuízo do disposto na lei imperativa aplicável, designadamente no que respeita (i) à responsabilidade perante os titulares dos dados nos termos do artigo 82.º do RGPD e do artigo 33.º da Lei n.º 58/2019, (ii) às sanções administrativas aplicáveis ao ChatLex, e (iii) ao direito de regresso previsto no artigo 82.º, n.º 5, do RGPD, que não são, em caso algum, afastados ou limitados pela referida cláusula.
14.1. O presente DPA vigora enquanto o ChatLex tratar Dados do Cliente e prevalece sobre os Termos e Condições em caso de conflito, nas matérias de proteção de dados que regula.
14.2. Qualquer modificação convencional ao presente DPA requer acordo escrito de ambas as partes. Quando alterações à lei aplicável ou determinações vinculativas de autoridades de controlo imponham modificações ao presente DPA, o ChatLex notificará o Responsável com a máxima brevidade e poderá implementar essas alterações de forma unilateral, com efeitos a partir da data que a lei ou a determinação da autoridade impuser; o Responsável que não aceite a alteração pode resolver o presente DPA e os Termos e Condições, sem penalização, mediante comunicação escrita no prazo de 30 dias a contar da notificação.
14.3. No termo do presente DPA, por qualquer motivo, o ChatLex está obrigado a assegurar o cumprimento das obrigações de eliminação, portabilidade e confidencialidade que subsistam após a cessação, bem como os deveres de cooperação com a autoridade de controlo competente.
14.4. O presente DPA rege-se pela lei portuguesa e, em especial, pelo RGPD e pela Lei n.º 58/2019. Para resolução de litígios aplica-se o foro estabelecido nos Termos e Condições.
Para efeitos de matérias operacionais de proteção de dados, incluindo pedidos de apoio, notificações de violações de dados pessoais, pedidos de informação e comunicações ao abrigo do presente DPA, a Genmaker Labs disponibiliza o endereço de correio eletrónico apoio@chatlex.pt ou a seguinte morada:
Genmaker Labs, Lda., Rua do Brasil, n.º 239, 3.º Andar, 3030-175 Coimbra, Portugal; NIPC 519309960; Sítio: genmakerlabs.com
Organizações que necessitem de um exemplar assinado deste DPA podem solicitá-lo através de apoio@chatlex.pt.
| Subcontratante | Serviço Prestado | Dados do Cliente Tratados | Localização / Mecanismo de Transferência |
|---|---|---|---|
| Amazon Web Services EMEA SARL | Infraestrutura cloud (computação, BD, armazenamento), modelos de IA generativa (Bedrock - Anthropic Claude), transcrição (AWS Transcribe), envio de correio eletrónico | Dados de identificação e acesso, Conteúdo do Utilizador, Metadados | União Europeia (Frankfurt, Irlanda) - N/A |
| Microsoft Ireland Operations Limited | Modelos de IA alternativos selecionáveis (Azure OpenAI) | Conteúdo de conversas, quando o utilizador seleciona estes modelos | União Europeia - N/A |
| Google Cloud EMEA Limited | Modelos de IA alternativos selecionáveis (Vertex AI) | Conteúdo de conversas, quando o utilizador seleciona estes modelos | União Europeia - N/A |
| Mistral AI SAS | Reconhecimento ótico de carateres (OCR) dos documentos carregados | Conteúdo de documentos | França, UE - N/A |
| Hetzner Online GmbH | Alojamento da base de conhecimento jurídica; receção das consultas de pesquisa | Texto das pesquisas e consultas | Finlândia, UE -N/A |
| Eleven Labs Inc. | Transcrição de áudio - apenas se o utilizador escolher expressamente este motor | Ficheiros de áudio | Estados Unidos da América - SCCs (Decisão (UE) 2021/914) + DPF (Decisão (UE) 2023/1795) |
| PostHog, Inc | Analítica de produto - apenas mediante consentimento expresso do utilizador final | Dados de utilização e metadados (anonimizados nas gravações de sessão) | Frankfurt, UE - N/A |
O ChatLex implementa e mantém as seguintes medidas técnicas e organizativas para assegurar um nível de segurança adequado ao risco do tratamento, nos termos do artigo 32.º do RGPD:
Todos os Dados do Cliente armazenados são encriptados em repouso com o algoritmo AES-256 ou padrão de segurança equivalente ou superior oferecido pelo fornecedor de infraestrutura cloud. Todas as comunicações de dados - internas (entre os componentes do serviço) e externas (entre o utilizador e o serviço e entre o serviço e os Sub-subcontratantes) - são protegidas por encriptação forte, com TLS 1.2 ou superior.
Acesso aos Dados do Cliente restrito ao pessoal autorizado com base no princípio do privilégio mínimo e em controlo de acesso baseado em funções (RBAC). Autenticação multifator (MFA) obrigatória para a equipa interna com acessos privilegiados. Revisão periódica das permissões atribuídas e registo de todos os acessos a Dados do Cliente.
Segregação lógica dos ambientes de produção, desenvolvimento e teste. Isolamento dos Dados do Cliente por utilizador (índices de pesquisa privados e espaços de armazenamento dedicados). Este isolamento é garantido ao nível da arquitetura, não dependendo exclusivamente de controlos de acesso lógico. O ChatLex realiza testes periódicos para verificar a eficácia deste isolamento, documentando os resultados e disponibilizando-os ao Responsável em sede de auditoria. Utilização de firewalls, grupos de segurança de rede e monitorização contínua com alertas automáticos para acessos não autorizados ou comportamentos anómalos.
Cópias de segurança regulares e cifradas dos Dados do Cliente, com procedimentos documentados e periodicamente testados de recuperação de desastres. Plano de continuidade de negócio documentado. Gestão dedicada de segredos e credenciais de acesso.
Avaliações de vulnerabilidades dos seus sistemas com periodicidade mínima trimestral, utilizando ferramentas automatizadas e, quando adequado, testes de penetração. Os patches de segurança críticos são aplicados no prazo máximo de 72 horas após disponibilização pelo fabricante; patches não críticos são aplicados em ciclo mensal. O ChatLex mantém um registo interno das vulnerabilidades identificadas, da sua classificação de risco e das medidas de mitigação aplicadas. Este registo, devidamente anonimizado quanto a informação operacional sensível, é disponibilizado ao Responsável mediante pedido fundamentado, no prazo de 10 dias úteis.
Formação regular em proteção de dados e segurança da informação para todos os colaboradores com acesso a Dados do Cliente. Celebração de acordos de confidencialidade com todos os colaboradores e Sub-subcontratantes. Realização de Avaliações de Impacto sobre a Proteção de Dados (AIPDs) para tratamentos de elevado risco. Integração de princípios de Privacidade desde a Conceção (Privacy by Design) e por Defeito (Privacy by Default) no desenvolvimento do serviço.
As medidas previstas nesta Secção aplicam-se exclusivamente ao tratamento de categorias especiais de dados pessoais (art. 9.º do RGPD) e de dados relativos a infrações penais e condenações (art. 10.º do RGPD). Acrescem, neste âmbito específico, às medidas gerais das Secções B.1 a B.6, que continuam aplicáveis na íntegra. A tabela seguinte identifica, medida a medida, o padrão geral e o padrão reforçado correspondente:
| Domínio | Medida Geral (Secções B.1–B.6) | Medida Reforçada (Secção B.7) |
|---|---|---|
| Encriptação em repouso | Encriptação padrão do fornecedor de infraestrutura cloud (AWS/Azure) | AES-256 obrigatório, com gestão de chaves segregada e rotação mínima semestral |
| Controlo de acessos | RBAC com privilégio mínimo; MFA obrigatório para equipa interna com acessos privilegiados | Aprovação prévia documentada, por responsável de segurança interno designado, para acesso humano a conteúdo que contenha dados especiais identificados; registo nominativo por cada operação |
| Registo de acessos (logs) | Registo de acessos a Dados do Cliente em geral | Log nominativo e individualizado: identifica colaborador por nome e função, data e hora do acesso, duração, endereço IP de origem e fundamento operacional; conservado por período mínimo de 3 anos a contar da data do acesso registado |
| Alertas e monitorização | Monitorização contínua com alertas automáticos para atividades suspeitas ou acessos não autorizados | Alertas em tempo real (latência máxima de 15 minutos) para o responsável de segurança interno sempre que: (i) um acesso ocorra fora do horário operacional definido; (ii) um volume incomum de dados seja acedido ou exportado; ou (iii) um acesso se realize a partir de localização ou dispositivo não reconhecido |
| Pseudonimização / anonimização | Aplicada sempre que possível e adequada à finalidade | Aplicada sempre que tecnicamente viável, adequada à finalidade e proporcional ao risco. A utilização de dados de produção em ambientes de desenvolvimento, teste e análise interna é restringida ao estritamente necessário e fica sujeita a segregação, controlo de acessos e medidas de minimização ou mascaramento adequadas. |
| Segregação de dados | Isolamento lógico por utilizador (índices e armazenamento privados) | Os Dados do Cliente são logicamente segregados por organização e utilizador, incluindo nos índices de pesquisa e espaços de armazenamento. O ChatLex aplica controlos de acesso, retenção e eliminação adequados ao risco do tratamento e, quando informado da existência de categorias especiais de dados ou dados relativos a infrações penais e condenações, aplica as salvaguardas reforçadas previstas no presente Anexo, na medida tecnicamente viável. |