Acordo de processamento de dados (modelo)

Este é o modelo do acordo de processamento de dados (DPA) que a GPT Workspace assina com clientes empresariais. Para recebê-lo pré-preenchido, escreva para contact@gpt.space com a denominação social, morada, pessoa de contacto e número de licenças da sua empresa. Os subprocessadores nele referidos estão listados e atualizados no Centro de Confiança.

Este modelo é fornecido para informação e não constitui aconselhamento jurídico. Submeta-o à análise do seu assessor jurídico antes de assinar. Os campos entre parênteses retos são preenchidos antes da assinatura.

---

O presente Acordo de Processamento de Dados (“DPA”) faz parte do acordo para a utilização do GPT Workspace (o “Serviço”) entre:

• [DENOMINAÇÃO SOCIAL DO CLIENTE], [MORADA DO CLIENTE], [NÚMERO DE REGISTO] (o “Cliente” ou “Titular do Tratamento”), e
• GPTW LLC, 150 Central Park, Los Alamos, Novo México, EUA (o “Fornecedor” ou “Subcontratante”),

em conjunto as “Partes”. É celebrado em [DATA DE EFEITO] e aplica-se durante todo o período em que o Fornecedor tratar Dados Pessoais por conta do Cliente.

“RGPD” significa o Regulamento (UE) 2016/679 e, quando aplicável, o RGPD do Reino Unido, conforme definido na Data Protection Act 2018. “Dados Pessoais”, “Tratamento”, “Titular do Tratamento”, “Subcontratante”, “Titular dos Dados”, “Autoridade de Controlo” e “Violação de Dados Pessoais” têm o significado dado no Artigo 4.º do RGPD. “Subprocessador” significa um terceiro contratado pelo Fornecedor para tratar Dados Pessoais por conta do Cliente. “Dados do Cliente” significa os Dados Pessoais que o Fornecedor trata para o Cliente ao abrigo do acordo do Serviço, conforme descrito no Anexo 1.

2.1 O Cliente é o Titular do Tratamento e o Fornecedor é a Subcontratante dos Dados do Cliente. Quando o Cliente atua como subcontratante para os seus próprios clientes, o Fornecedor atua como subprocessador e o Cliente garante que as suas próprias instruções são autorizadas pelo titular do tratamento relevante.

2.2 O objeto, a duração, a natureza e a finalidade do Tratamento, os tipos de Dados Pessoais e as categorias de Titulares dos Dados estão definidos no Anexo 1.

3.1 O Fornecedor trata os Dados do Cliente apenas com base em instruções documentadas do Cliente, incluindo no que respeita a transferências para um país terceiro, exceto quando obrigado por direito da União ou de um Estado-Membro a que o Fornecedor esteja sujeito; nesse caso, o Fornecedor informa o Cliente dessa exigência legal antes do tratamento, exceto se a lei o proibir.

3.2 As instruções do Cliente são: o acordo do Serviço, o presente DPA, a configuração que o Cliente e os seus utilizadores definem no Serviço e os pedidos que os utilizadores do Cliente enviam ao Serviço. O Fornecedor informa imediatamente o Cliente se, na sua opinião, uma instrução infringir o RGPD.

O Fornecedor garante que as pessoas autorizadas a tratar os Dados do Cliente se comprometeram à confidencialidade ou estão sujeitas a uma obrigação legal adequada de confidencialidade e que o acesso é limitado ao necessário para que cada pessoa preste o Serviço.

O Fornecedor implementa as medidas técnicas e organizativas listadas no Anexo 2 e mantém-nas sob revisão. Tendo em conta o estado da técnica, os custos de implementação e a natureza, o âmbito, o contexto e as finalidades do Tratamento, as medidas asseguram um nível de segurança adequado ao risco.

6.1 O Cliente dá autorização geral por escrito ao Fornecedor para contratar os Subprocessadores listados no Anexo 3.

6.2 O Fornecedor informa o Cliente de qualquer adição ou substituição prevista de um Subprocessador com pelo menos [30] dias de antecedência relativamente à data em que a alteração produz efeitos, por e-mail para [E-MAIL DE NOTIFICAÇÃO DO CLIENTE] e mediante atualização da lista em https://gpt.space/trust. O Cliente pode objetar por motivos fundamentados de proteção de dados dentro desse período; se as Partes não conseguirem resolver a objeção, o Cliente pode cessar a parte afetada do Serviço sem penalização.

6.3 O Fornecedor impõe a cada Subprocessador, por via contratual, as mesmas obrigações de proteção de dados definidas no presente DPA, em particular fornecendo garantias suficientes para implementar medidas técnicas e organizativas adequadas. Quando um Subprocessador não cumprir as suas obrigações, o Fornecedor mantém-se integralmente responsável perante o Cliente pelo cumprimento das obrigações desse Subprocessador.

Tendo em conta a natureza do Tratamento, o Fornecedor assiste o Cliente através de medidas técnicas e organizativas adequadas, na medida do possível, para o cumprimento da obrigação do Cliente de responder a pedidos de exercício dos direitos do Titular dos Dados ao abrigo do Capítulo III do RGPD. O Fornecedor reencaminha para o Cliente, sem demora indevida, qualquer pedido recebido diretamente de um Titular dos Dados relativo aos Dados do Cliente e não responde ao mesmo exceto mediante instrução do Cliente ou quando exigido por lei.

O Fornecedor assiste o Cliente na garantia do cumprimento das obrigações decorrentes dos Artigos 32.º a 36.º do RGPD (segurança, notificação de violações, avaliações de impacto sobre a proteção de dados e consulta prévia), tendo em conta a natureza do Tratamento e a informação disponível para o Fornecedor.

O Fornecedor notifica o Cliente sem demora indevida e, em qualquer caso, no prazo de [48] horas, após ter conhecimento de uma Violação de Dados Pessoais que afete os Dados do Cliente, por e-mail para [E-MAIL DE NOTIFICAÇÃO DO CLIENTE]. A notificação descreve, na medida do conhecido no momento, a natureza da violação, as categorias e o número aproximado de Titulares dos Dados e de registos afetados, as consequências prováveis, as medidas tomadas ou propostas e um ponto de contacto; a informação que ainda não estiver disponível é fornecida por fases sem demora indevida adicional.

10.1 À escolha do Cliente, o Fornecedor elimina ou devolve todos os Dados do Cliente após o termo da prestação do Serviço e elimina as cópias existentes, exceto se o direito da União ou de um Estado-Membro exigir o armazenamento dos Dados Pessoais.

10.2 Independentemente do ponto 10.1, o Cliente e cada um dos seus utilizadores pode eliminar a sua conta e os dados detidos pelo Fornecedor no Serviço a qualquer momento; a eliminação é efetuada no prazo de 24 horas após o pedido. Faturas e registos de pagamento são conservados durante o período exigido pela legislação fiscal.

11.1 O Fornecedor disponibiliza ao Cliente toda a informação necessária para demonstrar a conformidade com as obrigações estabelecidas no Artigo 28.º do RGPD e permite e contribui para auditorias, incluindo inspeções, conduzidas pelo Cliente ou por um auditor mandatado pelo Cliente.

11.2 O Fornecedor satisfaz inicialmente os pedidos de auditoria fornecendo o seu certificado e relatório de auditoria ISO 27001 (https://firebasestorage.googleapis.com/v0/b/billing-js.appspot.com/o/audit_report%2FQualtir%20ISO%2027001%20Audit%20Report.pdf?alt=media), a sua avaliação CASA Tier III e respostas escritas a um questionário de segurança. Uma inspeção presencial ou remota é realizada no máximo [uma vez por ano], com [30] dias de aviso prévio por escrito, durante o horário comercial, ao abrigo de um acordo de confidencialidade e a expensas do Cliente, exceto se uma Autoridade de Controlo exigir o contrário ou tiver ocorrido uma Violação de Dados Pessoais.

12.1 O Fornecedor está estabelecido nos Estados Unidos e o Serviço está alojado na Google Cloud Platform nos Estados Unidos. Quando os Dados do Cliente de Titulares dos Dados no EEE, no Reino Unido ou na Suíça são transferidos para um país sem decisão de adequação, as Partes baseiam-se nas Cláusulas Contratuais-Tipo adotadas pela Comissão Europeia na Decisão (UE) 2021/914 (Módulo Dois, titular do tratamento para subcontratante, ou Módulo Três, subcontratante para subcontratante, conforme aplicável), que são incorporadas por referência, juntamente com o UK International Data Transfer Addendum quando respeita a dados do Reino Unido. Os Subprocessadores do Fornecedor que recebem Dados do Cliente participam no EU-US Data Privacy Framework quando esse mecanismo está disponível para eles; as Cláusulas Contratuais-Tipo regem todas as transferências que o próprio Fornecedor efetua.

12.2 Para as opções nas Cláusulas Contratuais-Tipo: a Cláusula 7 (aderência) aplica-se; a Cláusula 9, opção 2 (autorização geral) com o período de notificação da Secção 6.2; a Cláusula 11, linguagem facultativa, não se aplica; Cláusula 13 e Cláusula 17: a lei de [ESTADO-MEMBRO, p. ex. Irlanda]; Cláusula 18: os tribunais de [ESTADO-MEMBRO]. O Anexo I e o Anexo II das Cláusulas correspondem aos Anexos 1 e 2 do presente DPA.

13.1 A responsabilidade de cada Parte ao abrigo do presente DPA está sujeita às limitações e exclusões de responsabilidade do acordo do Serviço, exceto quando estas não possam ser limitadas pela legislação aplicável de proteção de dados.

13.2 O presente DPA produz efeitos na Data de Efeito e mantém-se em vigor durante todo o período em que o Fornecedor tratar os Dados do Cliente. Em caso de conflito entre o presente DPA e o acordo do Serviço, o presente DPA prevalece no que respeita ao Tratamento de Dados Pessoais.

13.3 O presente DPA rege-se pela lei que rege o acordo do Serviço, exceto as Cláusulas Contratuais-Tipo, que se regem pela lei escolhida na Secção 12.2.

Pelo Cliente	Pelo Fornecedor
Nome: [NOME]	Nome: [NOME]
Cargo: [CARGO]	Cargo: [CARGO]
Data: [DATA]	Data: [DATA]
Assinatura:	Assinatura:

---

Item	Descrição
Objeto	Prestação do Serviço GPT Workspace: assistência por IA dentro do Google Docs, Sheets, Slides, Forms, Gmail, Drive, Google Chat, extensão Chrome e servidores MCP.
Duração	O prazo do acordo do Serviço, acrescido dos períodos de conservação do Anexo 2.
Natureza e finalidade	Leitura do conteúdo que o utilizador indica na sua conta Google, envio do mesmo juntamente com o pedido do utilizador para um fornecedor de modelos de IA e escrita da resposta no ficheiro ou conversa do utilizador. Administração de contas, faturação e suporte.
Categorias de Titulares dos Dados	Trabalhadores e contratantes do Cliente que utilizam o Serviço; pessoas cujos dados aparecem nos documentos, folhas de cálculo, e-mails e ficheiros do Cliente tratados através do Serviço.
Tipos de Dados Pessoais	Dados da conta (nome, endereço de e-mail, fotografia de perfil, identificador da conta Google); dados de faturação (nome de faturação, morada, número de IVA); metadados de utilização (número de pedidos, datas, títulos de documentos); o conteúdo dos pedidos e dos ficheiros Google, e-mails e anexos que o utilizador submete, que podem conter qualquer categoria de Dados Pessoais que o Cliente lá coloque.
Categorias especiais	Nenhuma por conceção. O Serviço não exige dados de categorias especiais; o Cliente decide o que os seus utilizadores submetem. [Cliente deve indicar se são esperadas categorias especiais: NENHUMA / DESCREVER]
Frequência	Contínua, a cada pedido que um utilizador faz.
Conservação	Ver Anexo 2, “Conservação”.

Área	Medida
Certificações	Sistema de gestão da segurança da informação certificado ISO 27001 (relatório de auditoria disponível). Avaliação CASA Tier III (App Defense Alliance) para a integração com o Google Workspace. Conformidade com a Google API Services User Data Policy, incluindo os requisitos de Limited Use.
Alojamento	Google Cloud Platform (Firebase), Estados Unidos, regiões US East e US West. Os componentes que tratam Dados do Cliente são executados dentro da rede privada do Fornecedor, atrás de balanceadores de carga e de uma firewall de aplicação web.
Encriptação	TLS 1.2 ou superior para todos os dados em trânsito. Encriptação AES-256 do lado do servidor em repouso no Firebase, gestão de chaves através do GCP IAM. Tokens de acesso e atualização do Google encriptados em repouso.
Sem cópia de ficheiros do Cliente	Ficheiros Google, e-mails e folhas de cálculo são lidos em tempo real com o próprio token OAuth do utilizador e não são copiados para o armazenamento do Fornecedor. A única exceção é um ficheiro que o utilizador anexa para pesquisa de ficheiros, que é enviado para um vector store da OpenAI (ver Anexo 3): o índice de pesquisa é eliminado 1 dia após o último uso e a cópia é eliminada após 7 dias.
Fornecedores de modelos	Utilizados ao abrigo de termos de API que proíbem treino com base nos pedidos. O Fornecedor nunca treina nem ajusta um modelo com Dados do Cliente.
Controlo de acesso	Acesso aos sistemas de produção restrito a pessoal autorizado com contas individuais, autenticação multifator e princípio do menor privilégio através do GCP IAM. Isolamento de dados por utilizador garantido pelas regras de segurança do Firebase. A autenticação multifator é obrigatória para todas as contas com acesso à produção; os direitos de acesso são revistos semanalmente.
Monitorização e testes	GCP Security Command Center com análise contínua de vulnerabilidades em todos os ativos no âmbito; política de divulgação de vulnerabilidades para investigadores externos.
Conservação	Dados da conta, conversas, configurações e metadados de utilização: 18 meses após a última atividade do utilizador, ou 24 horas após um pedido de eliminação. Ficheiros anexados para pesquisa de ficheiros: índice de pesquisa eliminado 1 dia após o último uso, cópia enviada eliminada após 7 dias. Registos de pedidos do gateway de modelos: 30 dias, apenas para suporte. Pedidos e respostas: tratados em tempo real, não armazenados a longo prazo pelo Fornecedor. Faturas: o período exigido pela legislação fiscal.
Eliminação	Eliminação autónoma da conta e de todos os dados relacionados no Serviço; eliminação a pedido no prazo de 24 horas.
Continuidade do negócio	Cópias de segurança nativas do Google Cloud e ferramentas de disponibilidade multirregião; cópias de segurança completas a cada 7 dias.
Pessoal	Obrigações de confidencialidade nos acordos de trabalho e de prestação de serviços; sensibilização para a segurança do pessoal com acesso à produção.

A lista atual é mantida em https://gpt.space/trust e reproduzida aqui conforme a Data de Efeito.

Subprocessador	Finalidade	Localização
Google Cloud Platform / Firebase (Google LLC)	Alojamento, base de dados, armazenamento, autenticação, segredos	Estados Unidos
OpenRouter, Inc.	Gateway que encaminha cada pedido de modelo para o fornecedor abaixo; registos de pedidos conservados 30 dias apenas para suporte, nunca utilizados para treino	Estados Unidos
OpenAI	Modelos de texto e imagem; vector store para pesquisa de ficheiros	Estados Unidos
Anthropic	Modelos Claude (fixados no próprio endpoint da Anthropic)	Estados Unidos
Google (AI Studio)	Modelos Gemini de texto e imagem	Estados Unidos
Perplexity	Modelos de pesquisa na web	Estados Unidos
Hosts de inferência OpenRouter	Hosts de inferência para os modelos de pesos abertos GLM-5.3-flash e gpt-oss-120b	Via OpenRouter
Typesafe	Modelo de decisão por trás da fórmula GPT_CLASSIFY	Via OpenRouter
Google Programmable Search	Pesquisa de imagens de stock para diapositivos gerados (apenas consulta)	Estados Unidos
Stripe	Pagamentos, faturas, portal de faturação	Estados Unidos e Irlanda, ao abrigo do DPA da Stripe
PostHog (instância autoalojada)	Analítica de produto	União Europeia
Sentry	Monitorização de erros	União Europeia (região de dados UE)