Acordo de Tratamento
de Dados (DPA).
Enquanto cliente da Aitamit, é responsável pelo tratamento (controller) e nós somos subcontratante (processor) nos termos do RGPD Art. 28. Aqui explicamos o contrato DPA padrão da EDS: papéis, obrigações mútuas, direitos do cliente, subcontratantes e transferências internacionais. Disponível mediante pedido a legal@aitamit.com.
Porque tem um DPA connosco
Quando usa a Aitamit, partilha-nos dados pessoais: nomes, emails, IPs, identificadores de colaboradores, dados técnicos de endpoints e registos de auditoria. O RGPD Art. 28 exige um contrato vinculativo com os responsáveis que estabeleça: o objeto e a duração do tratamento, a sua natureza e finalidade, o tipo de dados pessoais e as categorias de titulares, as obrigações e direitos do responsável.
O DPA padrão da EDS está disponível mediante pedido a legal@aitamit.com para todos os planos. Para Enterprise e setores regulados, as necessidades específicas (retenção, cláusulas setoriais) são avaliadas caso a caso com a sua equipa jurídica.
A infraestrutura do serviço (hosting, email e backups) opera na UE: VPS da IONOS na Alemanha mais infraestrutura própria da EDS. As únicas transferências para fora da UE são a Stripe (pagamentos) e a Anthropic (assistente de IA opcional), ambas cobertas por Cláusulas Contratuais-Tipo (SCC).
O que o DPA cobre
Papéis e responsabilidades
Você = responsável pelo tratamento (controller), determina finalidades e meios. EDS = subcontratante (processor), trata dados apenas segundo as suas instruções documentadas. A EDS não utilizará os seus dados para outros fins (sem treino de IA, sem marketing cruzado, sem agregados anónimos vendáveis).
Tipo de dados e categorias
Dados pessoais tratados: nomes, emails, IPs, identificadores únicos de colaboradores, dados técnicos de endpoints (versão de SO, software instalado), registos de auditoria com timestamp. Categorias especiais (Art. 9): apenas se a sua organização as introduzir em notas/comentários — a Aitamit não as solicita.
Subcontratantes
Lista pública em /sub-procesadores: IONOS (hosting, Alemanha), Stripe (pagamentos, EUA, SCC) e Anthropic (assistente de IA opcional, EUA, SCC). Notificação 30 dias antes de qualquer adição/alteração/remoção. A EDS responde pelos atos dos seus subcontratantes como se fossem próprios.
Transferências internacionais
Hosting, email e backups: na UE (Alemanha, IONOS + infraestrutura própria da EDS). Transferências para fora da UE: Stripe e Anthropic, cobertas por SCC. Sem outras transferências internacionais.
Direitos do cliente
Direito a instruções documentadas e a informação sobre o tratamento. Direito de se opor a novos subcontratantes e de terminar o contrato sem penalização se não os aceitar. Assistência da EDS no tratamento dos direitos dos titulares (acesso, retificação, apagamento).
Prazos e cessação
DPA em vigor enquanto tiver tenant ativo. Após a cessação: eliminação dos dados e dos backups do seu tenant num prazo máximo de 90 dias.
Anexos setoriais e necessidades específicas
Não mantemos anexos setoriais preexistentes (BAA, DORA, ENS, CCN-STIC). Se o seu setor regulado exigir cláusulas específicas, avaliamo-las caso a caso com a sua equipa jurídica antes da contratação. Escreva-nos para legal@aitamit.com indicando o quadro regulatório aplicável e dir-lhe-emos com clareza o que podemos assumir e o que não.
- DPA padrão disponível mediante pedido a legal@aitamit.com
- Hosting, email e backups na UE; Stripe e Anthropic fora da UE com SCC
- Lista pública de subcontratantes com aviso de 30 dias
- Eliminação dos dados e backups do tenant num máximo de 90 dias após a cessação
- Anexos setoriais: avaliáveis caso a caso
Dúvidas sobre o DPA
Tenho de assinar o DPA?
Posso modificar o DPA padrão?
A EDS é responsável ou subcontratante?
O que acontece aos dados ao terminar o contrato?
Solicite o DPA padrão
Escreva-nos para legal@aitamit.com e enviamos-lhe o DPA Aitamit-EDS.