Acordo de Tratamento de Dados (DPA)

Rascunho de 7 de Novembro de 2026, ainda não revisto por jurista. Este acordo cumpre o art. 28.º do RGPD entre o atelier (responsável) e a Forma (subcontratante).

1. Objecto

A Forma trata dados pessoais por conta do atelier, só para prestar o serviço descrito nos Termos. Categorias de titulares: clientes do atelier, contactos, membros da equipa e colaboradores externos. Categorias de dados: identificação e contacto, NIF, morada, dados de projecto e de obra, mensagens, horas e documentos.

2. Obrigações da Forma

• Tratar os dados só segundo as instruções documentadas do atelier.
• Garantir que quem tem acesso está obrigado a confidencialidade.
• Aplicar as medidas de segurança da Política de Privacidade (secção 6).
• Só recorrer aos subcontratantes da lista publicada, e avisar o atelier com [30] dias de qualquer mudança, podendo o atelier opor-se.
• Ajudar o atelier a responder aos pedidos dos titulares (exportação e apagamento na própria aplicação).
• Notificar o atelier de qualquer violação de dados sem demora injustificada, e no máximo em [48] horas depois de dela ter conhecimento.
• No fim do contrato, apagar os dados e os ficheiros, incluindo cópias de segurança, depois de o atelier os poder exportar.
• Disponibilizar a informação necessária para demonstrar o cumprimento e permitir auditorias [em condições a acordar].

3. Obrigações do atelier

Ter base legal para os dados que mete na Forma e informar os seus clientes.

4. Transferências internacionais

Alguns subcontratantes estão nos EUA (ver a lista). As transferências estão cobertas pelo Quadro de Privacidade de Dados UE-EUA ou por cláusulas contratuais-tipo.

Versão 2026-11-07-rascunho