Acordo de processamento de dados (modelo)

Este é o modelo do acordo de processamento de dados (DPA) que a GPT Workspace assina com clientes empresariais. Para recebê-lo pré-preenchido, escreva para contact@gpt.space com o nome legal da sua empresa, endereço, pessoa de contacto e número de licenças. Os processadores nele nomeados estão listados e atualizados no Trust Center.

Este modelo é fornecido para informação e não constitui aconselhamento jurídico. Submeta-o a revisão pelo seu advogado antes de assinar. Os campos entre parênteses retos são preenchidos antes da assinatura.

---

Este Acordo de Processamento de Dados (“DPA”) integra o acordo para a utilização da GPT Workspace (o “Serviço”) entre:

• [NOME LEGAL DO CLIENTE], [ENDEREÇO DO CLIENTE], [NÚMERO DE REGISTO] (o “Cliente” ou “Titular do Tratamento”), e
• GPTW LLC, 150 Central Park, Los Alamos, Novo México, EUA (o “Fornecedor” ou “Processador”),

em conjunto as “Partes”. É celebrado em [DATA DE EFEITO] e aplica-se durante todo o período em que o Fornecedor processe Dados Pessoais em nome do Cliente.

“RGPD” significa o Regulamento (UE) 2016/679 e, quando aplicável, o RGPD do Reino Unido, conforme definido na Lei de Proteção de Dados de 2018. “Dados Pessoais”, “Tratamento”, “Titular do Tratamento”, “Processador”, “Titular dos Dados”, “Autoridade de Supervisão” e “Violação de Dados Pessoais” têm os significados atribuídos no Artigo 4.º do RGPD. “Subprocessador” significa um terceiro contratado pelo Fornecedor para tratar Dados Pessoais em nome do Cliente. “Dados do Cliente” significa os Dados Pessoais que o Fornecedor trata para o Cliente ao abrigo do acordo do Serviço, conforme descrito no Anexo 1.

2.1 O Cliente é o Titular do Tratamento e o Fornecedor é o Processador dos Dados do Cliente. Quando o Cliente atua como processador para os seus próprios clientes, o Fornecedor atua como subprocessador e o Cliente garante que as suas próprias instruções são autorizadas pelo titular do tratamento relevante.

2.2 O objeto, a duração, a natureza e a finalidade do Tratamento, os tipos de Dados Pessoais e as categorias de Titulares dos Dados estão definidos no Anexo 1.

3.1 O Fornecedor trata os Dados do Cliente apenas mediante instruções documentadas do Cliente, incluindo no que respeita a transferências para um país terceiro, salvo se obrigado por força do direito da União ou de um Estado-Membro a que o Fornecedor esteja sujeito; nesse caso, o Fornecedor informa o Cliente dessa exigência legal antes do tratamento, exceto se a lei o proibir.

3.2 As instruções do Cliente são: o acordo do Serviço, este DPA, a configuração que o Cliente e os seus utilizadores definem no Serviço e os pedidos que os utilizadores do Cliente enviam ao Serviço. O Fornecedor informa imediatamente o Cliente se, na sua opinião, uma instrução violar o RGPD.

O Fornecedor garante que as pessoas autorizadas a tratar os Dados do Cliente se comprometeram à confidencialidade ou estão sujeitas a uma obrigação legal de confidencialidade adequada e que o acesso é limitado ao necessário a cada pessoa para a prestação do Serviço.

O Fornecedor implementa as medidas técnicas e organizativas listadas no Anexo 2 e mantém-nas sob revisão. Tendo em conta o estado da técnica, os custos de implementação e a natureza, o âmbito, o contexto e as finalidades do Tratamento, as medidas garantem um nível de segurança adequado ao risco.

6.1 O Cliente concede uma autorização geral escrita ao Fornecedor para contratar os Subprocessadores listados no Anexo 3.

6.2 O Fornecedor informa o Cliente de qualquer adição ou substituição pretendida de um Subprocessador com pelo menos [30] dias de antecedência relativamente à entrada em vigor da alteração, por e-mail para [E-MAIL DE NOTIFICAÇÃO DO CLIENTE] e mediante atualização da lista em https://gpt.space/trust. O Cliente pode opor-se por motivos fundamentados de proteção de dados dentro desse período; se as Partes não conseguirem resolver a objeção, o Cliente pode cancelar a parte afetada do Serviço sem penalização.

6.3 O Fornecedor impõe a cada Subprocessador, por via contratual, as mesmas obrigações de proteção de dados estabelecidas neste DPA, em particular fornecendo garantias suficientes para implementar medidas técnicas e organizativas adequadas. Quando um Subprocessador não cumpra as suas obrigações, o Fornecedor permanece integralmente responsável perante o Cliente pelo cumprimento das obrigações desse Subprocessador.

Tendo em conta a natureza do Tratamento, o Fornecedor assiste o Cliente através de medidas técnicas e organizativas adequadas, na medida do possível, para o cumprimento da obrigação do Cliente de responder a pedidos de exercício dos direitos do Titular dos Dados ao abrigo do Capítulo III do RGPD. O Fornecedor reencaminha para o Cliente, sem demora indevida, qualquer pedido recebido diretamente de um Titular dos Dados respeitante aos Dados do Cliente, e não responde ao mesmo exceto mediante instrução do Cliente ou quando exigido por lei.

O Fornecedor assiste o Cliente na garantia de conformidade com as obrigações decorrentes dos Artigos 32.º a 36.º do RGPD (segurança, notificação de violações, avaliações de impacto na proteção de dados e consulta prévia), tendo em conta a natureza do Tratamento e a informação disponível para o Fornecedor.

O Fornecedor notifica o Cliente sem demora indevida e, em qualquer caso, no prazo de [48] horas, após ter conhecimento de uma Violação de Dados Pessoais que afete os Dados do Cliente, por e-mail para [E-MAIL DE NOTIFICAÇÃO DO CLIENTE]. A notificação descreve, na medida do conhecido no momento, a natureza da violação, as categorias e o número aproximado de Titulares dos Dados e registos afetados, as consequências prováveis, as medidas tomadas ou propostas e um ponto de contacto; as informações ainda não disponíveis são fornecidas por fases sem demora indevida adicional.

10.1 À escolha do Cliente, o Fornecedor elimina ou devolve todos os Dados do Cliente após o termo da prestação do Serviço e elimina as cópias existentes, salvo se o direito da União ou de um Estado-Membro exigir o armazenamento dos Dados Pessoais.

10.2 Independentemente do ponto 10.1, o Cliente e cada um dos seus utilizadores podem eliminar a sua conta e os dados detidos pelo Fornecedor no Serviço a qualquer momento; a eliminação é efetuada no prazo de 24 horas após o pedido. As faturas e os registos de pagamento são conservados durante o período exigido pela legislação fiscal.

11.1 O Fornecedor disponibiliza ao Cliente todas as informações necessárias para demonstrar a conformidade com as obrigações estabelecidas no Artigo 28.º do RGPD e permite e contribui para auditorias, incluindo inspeções, conduzidas pelo Cliente ou por um auditor mandatado pelo Cliente.

11.2 O Fornecedor responde primeiro aos pedidos de auditoria fornecendo o seu certificado e relatório de auditoria ISO 27001 (https://firebasestorage.googleapis.com/v0/b/billing-js.appspot.com/o/audit_report%2FQualtir%20ISO%2027001%20Audit%20Report.pdf?alt=media), a sua avaliação CASA Tier III e respostas escritas a um questionário de segurança. Uma inspeção presencial ou remota é realizada no máximo [uma vez por ano], com [30] dias de aviso prévio por escrito, durante o horário comercial, ao abrigo de um acordo de confidencialidade e a expensas do Cliente, salvo se uma Autoridade de Supervisão exigir o contrário ou tiver ocorrido uma Violação de Dados Pessoais.

12.1 O Fornecedor está estabelecido nos Estados Unidos e o Serviço está alojado na Google Cloud Platform nos Estados Unidos. Quando os Dados do Cliente de Titulares dos Dados no EEE, no Reino Unido ou na Suíça são transferidos para um país sem decisão de adequação, as Partes baseiam-se nas Cláusulas Contratuais-Tipo adotadas pela Comissão Europeia na Decisão (UE) 2021/914 (Módulo Dois, titular do tratamento para processador, ou Módulo Três, processador para processador, conforme aplicável), que são incorporadas por referência, juntamente com o Addendum de Transferência Internacional de Dados do Reino Unido quando estão em causa dados do Reino Unido. Os Subprocessadores do Fornecedor que recebem Dados do Cliente participam no EU-US Data Privacy Framework quando essa estrutura está disponível para eles; as Cláusulas Contratuais-Tipo regem todas as transferências efetuadas pelo próprio Fornecedor.

12.2 Relativamente às opções nas Cláusulas Contratuais-Tipo: a Cláusula 7 (adesão) aplica-se; a Cláusula 9 opção 2 (autorização geral) com o período de notificação da Secção 6.2; a linguagem opcional da Cláusula 11 não se aplica; Cláusula 13 e Cláusula 17: a lei de [ESTADO-MEMBRO, p.ex. Irlanda]; Cláusula 18: os tribunais de [ESTADO-MEMBRO]. O Anexo I e o Anexo II das Cláusulas correspondem aos Anexos 1 e 2 deste DPA.

13.1 A responsabilidade de cada Parte ao abrigo deste DPA está sujeita às limitações e exclusões de responsabilidade do acordo do Serviço, exceto quando estas não possam ser limitadas nos termos da legislação aplicável de proteção de dados.

13.2 Este DPA entra em vigor na Data de Efeito e mantém-se em vigor enquanto o Fornecedor tratar Dados do Cliente. Em caso de conflito entre este DPA e o acordo do Serviço, este DPA prevalece no que respeita ao Tratamento de Dados Pessoais.

13.3 Este DPA rege-se pela lei que regula o acordo do Serviço, exceto que as Cláusulas Contratuais-Tipo se regem pela lei escolhida na Secção 12.2.

Pelo Cliente	Pelo Fornecedor
Nome: [NOME]	Nome: [NOME]
Cargo: [CARGO]	Cargo: [CARGO]
Data: [DATA]	Data: [DATA]
Assinatura:	Assinatura:

---

Item	Descrição
Objeto	Prestação do Serviço GPT Workspace: assistência por IA dentro do Google Docs, Sheets, Slides, Forms, Gmail, Drive, Google Chat, extensão Chrome e servidores MCP.
Duração	O prazo do acordo do Serviço, acrescido dos períodos de retenção do Anexo 2.
Natureza e finalidade	Leitura do conteúdo para o qual o utilizador aponta na sua conta Google, envio com o prompt do utilizador para um fornecedor de modelos de IA e escrita da resposta no ficheiro ou chat do utilizador. Administração de contas, faturação e suporte.
Categorias de Titulares dos Dados	Empregados e contratados do Cliente que utilizam o Serviço; pessoas cujos dados aparecem nos documentos, folhas de cálculo, e-mails e ficheiros do Cliente tratados através do Serviço.
Tipos de Dados Pessoais	Dados da conta (nome, endereço de e-mail, fotografia de perfil, identificador da conta Google); dados de faturação (nome de faturação, endereço, número de IVA); metadados de utilização (número de pedidos, datas, títulos de documentos); o conteúdo dos prompts e dos ficheiros, e-mails e anexos do Google submetidos pelo utilizador, que podem conter qualquer categoria de Dados Pessoais que o Cliente coloque ali.
Categorias especiais	Nenhuma por conceção. O Serviço não exige dados de categorias especiais; o Cliente decide o que os seus utilizadores submetem. [Cliente a indicar se são esperadas categorias especiais: NENHUMA / DESCREVER]
Frequência	Contínua, em cada pedido efetuado por um utilizador.
Retenção	Ver Anexo 2, “Retenção”.

Área	Medida
Certificações	Sistema de gestão da segurança da informação certificado ISO 27001 (relatório de auditoria disponível). Avaliação CASA Tier III (App Defense Alliance) para a integração com o Google Workspace. Conformidade com a Política de Dados de Utilizador dos Serviços da Google API, incluindo os requisitos de Uso Limitado.
Alojamento	Google Cloud Platform (Firebase), Estados Unidos, regiões US East e US West. Os componentes que processam Dados do Cliente executam-se dentro da rede privada do Fornecedor, atrás de balanceadores de carga e de uma firewall de aplicações web.
Encriptação	TLS 1.2 ou superior para todos os dados em trânsito. Encriptação AES-256 no servidor em repouso no Firebase, gestão de chaves através do GCP IAM. Tokens de acesso e de atualização do Google encriptados em repouso.
Sem cópia de ficheiros do Cliente	Ficheiros, e-mails e folhas de cálculo do Google são lidos em tempo real com o próprio token OAuth do utilizador e não são copiados para o armazenamento do Fornecedor. A única exceção é um ficheiro que o utilizador anexa para pesquisa de ficheiros, que é enviado para um arquivo de vetores da OpenAI (ver Anexo 3): o índice de pesquisa é descartado 1 dia após o último uso e a cópia é eliminada após 7 dias.
Fornecedores de modelos	Utilizados ao abrigo de termos de API que proíbem o treino com os pedidos. O Fornecedor nunca treina nem afina um modelo com Dados do Cliente.
Controlo de acessos	Acesso aos sistemas de produção restrito a pessoal autorizado com contas individuais, autenticação multifator e princípio do menor privilégio através do GCP IAM. Isolamento de dados por utilizador garantido pelas regras de segurança do Firebase. A autenticação multifator é obrigatória para todas as contas com acesso à produção; os direitos de acesso são revistos semanalmente.
Monitorização e testes	GCP Security Command Center com análise contínua de vulnerabilidades em todos os ativos no âmbito; política de divulgação de vulnerabilidades para investigadores externos.
Retenção	Dados da conta, conversas de chat, definições e metadados de utilização: 18 meses após a última atividade do utilizador, ou 24 horas após um pedido de eliminação. Ficheiros anexados para pesquisa de ficheiros: índice de pesquisa descartado 1 dia após o último uso, cópia enviada eliminada após 7 dias. Registos de pedidos do gateway de modelos: 30 dias, apenas para uso de suporte. Prompts e respostas: processados em tempo real, não armazenados a longo prazo pelo Fornecedor. Faturas: o período exigido pela legislação fiscal.
Eliminação	Eliminação autosserviço da conta e de todos os dados relacionados no Serviço; eliminação a pedido no prazo de 24 horas.
Continuidade de negócio	Cópias de segurança nativas do Google Cloud e ferramentas de disponibilidade multirregião; cópias de segurança completas a cada 7 dias.
Pessoal	Obrigações de confidencialidade nos acordos de emprego e de prestação de serviços; sensibilização para a segurança do pessoal com acesso à produção.

A lista atual é mantida em https://gpt.space/trust e reproduzida aqui conforme à Data de Efeito.

Subprocessador	Finalidade	Localização
Google Cloud Platform / Firebase (Google LLC)	Alojamento, base de dados, armazenamento, autenticação, segredos	Estados Unidos
OpenRouter, Inc.	Gateway que encaminha todos os pedidos de modelo para o fornecedor abaixo; registos de pedidos mantidos 30 dias apenas para suporte, nunca utilizados para treino	Estados Unidos
OpenAI	Modelos de texto e imagem; arquivo de vetores para pesquisa de ficheiros	Estados Unidos
Anthropic	Modelos Claude (fixados no próprio endpoint da Anthropic)	Estados Unidos
Google (AI Studio)	Modelos de texto e imagem Gemini	Estados Unidos
Perplexity	Modelos de pesquisa na web	Estados Unidos
Anfitriões de inferência OpenRouter	Anfitriões de inferência para os modelos de pesos abertos GLM-5.3-flash e gpt-oss-120b	Via OpenRouter
Typesafe	Modelo de decisão por trás da fórmula GPT_CLASSIFY	Via OpenRouter
Google Programmable Search	Pesquisa de imagens de stock para slides gerados (apenas consulta)	Estados Unidos
Stripe	Pagamentos, faturas, portal de faturação	Estados Unidos e Irlanda, ao abrigo do DPA da Stripe
PostHog (instância autogerida)	Analítica de produto	União Europeia
Sentry	Monitorização de erros	União Europeia (região de dados UE)