Modelo para assinar com um cliente. Não trate dados partilhados de clientes enquanto este DPA não estiver assinado.

Modelo de DPA — SentinelAI – Acordo de tratamento de dados (RGPD / UK GDPR, art. 28.º)

Versão 6 de novembro de 2026. Parte das Condições de serviço do SentinelAI (secção 7). Aplica-se a partir do início do white-label para agências (fase 2) ou de qualquer outro serviço pago em que o Cliente seja o responsável pelo tratamento e nós tratemos dados pessoais segundo as suas instruções. Não trate dados partilhados de clientes até este acordo estar assinado.

Responsável pelo tratamento (Cliente): [NOME LEGAL DO CLIENTE], [MORADA DA SEDE], contacto [NOME, EMAIL].

Subcontratante (nós): Joao Jorge, CX Postal 556, 8550-152 Marmelete, Portugal, teamaijj@mail.grokbot.com.

1. Objeto e duração. Tratamos dados apenas para fornecer as vistas de estado operacional e os resumos do SentinelAI relativos aos agentes de IA, chatbots ou automações do Cliente (ou dos clientes do Cliente), a partir dos eventos e valores que o Cliente fornece ou autoriza. O acordo dura pelo contrato mais o prazo de apagamento da cláusula 9.

2. Dados. Etiquetas de agentes ou bots, eventos de estado, contagens de execuções e erros, carimbos da última execução, valores opcionais de custo/uso que o Cliente cola ou liga, e contactos necessários para prestar o serviço. Os dados pessoais podem incluir nomes de trabalho, emails ou nomes de utilizador da equipa se o Cliente os incluir nos eventos. Titulares: a equipa do Cliente e, em white-label, os clientes do Cliente e pessoas nomeadas nos eventos a título profissional. Sem categorias especiais (art. 9.º), sem conteúdo de conversas de utilizadores finais para além do estritamente necessário ao estado, sem dumps de segurança/forenses comercializados como deteção de ameaças, sem ficheiros de RH/salários/disciplinares, sem dados de cartões ou bancários, sem palavras-passe. O Cliente minimiza e remove esse conteúdo antes de enviar.

3. Instruções. Tratamos apenas segundo as instruções documentadas por escrito do Cliente (este acordo e emails), incluindo quanto a transferências. Informamos o Cliente se uma instrução parecer ilícita, ou se a lei exigir outro tratamento (salvo proibição legal de informar).

4. Confidencialidade. Quem autorizarmos a tratar os dados fica vinculado a confidencialidade.

5. Segurança (art. 32.º). Cifragem em trânsito e em repouso quando disponível, MFA e acesso com privilégio mínimo, registo de acessos, sem cópias em dispositivos pessoais ou em ferramentas de chat para além do necessário ao serviço, e sem usar os dados para treinar modelos de IA. O SentinelAI é um painel operacional, não um controlo de segurança certificado.

6. Subcontratantes ulteriores. O Cliente autoriza os da Anexo A. Avisamos por email com pelo menos 14 dias de antecedência antes de qualquer adição ou alteração; o Cliente pode opor-se e, se não pudermos satisfazer a oposição, rescindir o contrato sem penalização. Impomos a cada subcontratante ulterior as mesmas obrigações de proteção de dados e continuamos responsáveis por eles.

7. Direitos dos titulares. Ajudamos o Cliente, na medida do possível, a responder a pedidos (acesso, apagamento, etc.) e reencaminhamos sem demora qualquer pedido que recebamos.

8. Violações. Notificamos o Cliente sem demora injustificada e, em qualquer caso, no prazo de 24 horas após tomarmos conhecimento de uma violação de dados pessoais, com os factos conhecidos, para que o Cliente cumpra o art. 33.º. Ajudamos também nas obrigações dos art. 32.º a 36.º quando necessário.

9. Apagamento. No prazo de 30 dias após o fim do contrato (ou de 14 dias após o fim de um piloto gratuito) apagamos os carregamentos, ficheiros de trabalho e todas as cópias que detenamos desse Cliente, e confirmamos por email. O Cliente pode pedir o apagamento de um conjunto de dados mais cedo a qualquer momento.

10. Auditoria. Mediante pedido, damos ao Cliente a informação necessária para demonstrar o cumprimento do art. 28.º e permitimos auditorias razoáveis, com aviso prévio razoável.

11. Transferências. Sem transferência para fora da UE/Reino Unido salvo decisão de adequação, CCT da UE, IDTA ou Adenda do Reino Unido, ou certificação DPF.

12. Lei. Aplica-se a lei portuguesa; tribunais da comarca de Lisboa. Continuam a aplicar-se as obrigações imperativas do UK GDPR aos clientes do Reino Unido.

Anexo A – Subcontratantes ulteriores

Nota: esta demonstração pública no navegador calcula no dispositivo do utilizador a partir de dados fictícios e não envia eventos a estes subcontratantes. O Anexo A cobre o site alojado e qualquer caminho pago / white-label.