Flowtly – Acordo de Tratamento de Dados

Esta é uma tradução para português da versão inglesa, disponibilizada por conveniência. A versão em língua inglesa é a vinculativa (ver Secção 1). Versão inglesa · Versão polaca

1. Disposições gerais e objeto

O presente Acordo de Tratamento de Dados («ATD») é celebrado entre a Organização que utiliza a Plataforma Flowtly, na qualidade de responsável pelo tratamento na aceção do artigo 4.º, ponto 7, do Regulamento (UE) 2016/679, de 27 de abril de 2016 («RGPD») («Responsável pelo Tratamento»), e a Flowtly Prosta Spółka Akcyjna, com sede em Varsóvia (01-194), ul. Młynarska 8/12, Polónia, inscrita no registo de empresários do Registo Nacional de Tribunais sob o número KRS 0001188143, NIP 5273180297, REGON 542625051 («Flowtly» ou «Subcontratante»), na qualidade de subcontratante na aceção do artigo 4.º, ponto 8, do RGPD.

O ATD desenvolve as obrigações das Partes relativas ao tratamento de dados pessoais referidas no § 11 dos Termos e Condições da Plataforma Flowtly («Segurança dos dados») e aplica-se a todas as operações de tratamento de dados pessoais que a Flowtly realiza por conta do Responsável pelo Tratamento, e de acordo com as instruções documentadas deste, no âmbito da disponibilização do acesso à Plataforma. O ATD não altera as regras e limitações de responsabilidade estabelecidas no § 12 dos Termos e Condições — ver Secção 13.

O ATD dá execução aos requisitos do artigo 28.º do RGPD e está disponível nesta página na versão identificada no histórico de revisões (Secção 13). O ATD aplica-se a uma Organização que utiliza a Plataforma nos mesmos termos em que os Termos e Condições — na versão em vigor para essa Organização — remetem para o presente documento. A versão em língua inglesa do presente documento é a versão vinculativa; a presente tradução para português, tal como qualquer outra tradução, incluindo a polaca, é disponibilizada por conveniência.

2. Definições

Os termos em maiúsculas não definidos no presente ATD têm o significado que lhes é atribuído nos Termos e Condições da Plataforma Flowtly. Para efeitos do presente ATD:

• RGPD — Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados;
• Responsável pelo Tratamento — a Organização enquanto responsável pelo tratamento na aceção do artigo 4.º, ponto 7, do RGPD, atuando através das pessoas autorizadas a representá-la; distingue-se da função de «Administrador» prevista nos Termos e Condições, que designa uma função de utilizador da Plataforma e não o estatuto de responsável pelo tratamento;
• MTO (Medidas Técnicas e Organizativas) — as medidas descritas no documento «Medidas Técnicas e Organizativas» da Flowtly, que constitui o Anexo 1 ao presente ATD;
• Subcontratante Ulterior — outro subcontratante a quem a Flowtly subcontrata o tratamento de dados pessoais para efeitos de execução do presente ATD;
• Violação de dados pessoais — uma violação na aceção do artigo 4.º, ponto 12, do RGPD.

3. Duração do tratamento

O presente ATD aplica-se durante a vigência do contrato de acesso à Plataforma celebrado entre o Responsável pelo Tratamento e a Flowtly ao abrigo dos Termos e Condições, e cessa com a cessação ou caducidade desse contrato, sem prejuízo das disposições que, pela sua natureza, continuem a aplicar-se após a cessação, incluindo a obrigação de apagar ou devolver os dados descrita na Secção 11.

4. Natureza, finalidade e âmbito do tratamento; categorias de dados e de titulares dos dados

Natureza e finalidade do tratamento. A Flowtly trata dados pessoais exclusivamente para disponibilizar ao Responsável pelo Tratamento o acesso à Plataforma, em conformidade com os Termos e Condições e com as instruções documentadas do Responsável pelo Tratamento. As operações de tratamento incluem, nomeadamente: a recolha, conservação, consulta, alteração, exportação e apagamento de dados na Conta da Organização, realizadas no âmbito das funcionalidades da Plataforma de recursos humanos e processamento salarial, projetos, faturação e emissão de faturas — que constituem ferramentas de apoio à gestão dessas áreas pela Organização e não uma ferramenta contabilística, nos termos do § 12(2) dos Termos e Condições —, bem como a conservação de dados em servidores geridos pela Flowtly, o apoio técnico e a garantia da segurança e da continuidade da Plataforma.

As categorias de titulares dos dados incluem, nomeadamente: os trabalhadores e colaboradores do Responsável pelo Tratamento, os Utilizadores e os Administradores, os contratantes e os seus representantes, os candidatos a emprego — na medida em que o Responsável pelo Tratamento utilize a funcionalidade relevante da Plataforma — e outras pessoas singulares cujos dados o Responsável pelo Tratamento ou os seus Utilizadores introduzam na Plataforma no âmbito da sua utilização.

As categorias de dados pessoais incluem, nomeadamente: dados de identificação e de contacto, dados de recursos humanos e laborais (incluindo remuneração, tempo de trabalho e registos de ausências), dados de faturação e de emissão de faturas, dados de contratantes e — na medida em que o Responsável pelo Tratamento os introduza licitamente na Plataforma, quando necessário para o cumprimento de obrigações decorrentes do direito do trabalho ou da segurança social — categorias especiais de dados referidas no artigo 9.º do RGPD (por exemplo, dados de saúde no contexto de baixas por doença, filiação sindical). A responsabilidade pelo fundamento jurídico para a introdução de tais dados na Plataforma cabe ao Responsável pelo Tratamento. O âmbito detalhado das categorias de dados corresponde ao âmbito descrito na Política de Privacidade.

5. Obrigações do Subcontratante

A Flowtly compromete-se a:

1. tratar os dados pessoais apenas mediante instruções documentadas do Responsável pelo Tratamento — incluindo no que respeita às transferências de dados pessoais para um país terceiro ou uma organização internacional —, a menos que seja obrigada a fazê-lo pelo direito da União ou do Estado-Membro a que a Flowtly está sujeita, informando nesse caso o Responsável pelo Tratamento desse requisito jurídico antes do tratamento, salvo se esse direito proibir tal informação por motivos importantes de interesse público;
2. assegurar que as pessoas autorizadas a tratar os dados pessoais assumiram um compromisso de confidencialidade ou estão sujeitas a uma obrigação legal adequada de confidencialidade (ver Secção 7);
3. aplicar e manter as medidas técnicas e organizativas descritas nas MTO, em conformidade com o artigo 32.º do RGPD (ver Secção 8);
4. respeitar as condições de contratação de Subcontratantes Ulteriores descritas na Secção 9;
5. prestar ao Responsável pelo Tratamento a assistência descrita na Secção 10;
6. após o termo da prestação dos serviços relacionados com o tratamento, apagar ou devolver ao Responsável pelo Tratamento todos os dados pessoais e apagar as cópias existentes, em conformidade com a Secção 11, a menos que a conservação dos dados pessoais seja exigida ao abrigo do direito da União ou do Estado-Membro;
7. disponibilizar ao Responsável pelo Tratamento todas as informações necessárias para demonstrar o cumprimento das obrigações previstas no artigo 28.º do RGPD e permitir e contribuir para as auditorias, incluindo as inspeções, em conformidade com a Secção 11.

6. Instruções do Responsável pelo Tratamento

Os Termos e Condições, a configuração da Plataforma e a forma como o Responsável pelo Tratamento e os Utilizadores por ele autorizados utilizam a Plataforma são considerados instruções documentadas do Responsável pelo Tratamento, tal como as instruções separadas enviadas em forma documental (incluindo por correio eletrónico) para business.support@flowtly.eu. O Responsável pelo Tratamento é responsável pela licitude das instruções que emite. Se, no entender da Flowtly, uma instrução do Responsável pelo Tratamento violar o RGPD ou outra legislação em matéria de proteção de dados, a Flowtly informa imediatamente o Responsável pelo Tratamento desse facto.

7. Confidencialidade

A Flowtly assegura que apenas as pessoas por si autorizadas têm acesso aos dados pessoais, na medida necessária ao exercício das suas funções, e que essas pessoas estão vinculadas a uma obrigação de confidencialidade relativamente aos dados pessoais, inclusive após a cessação da sua relação de trabalho ou de colaboração com a Flowtly.

8. Segurança do tratamento (artigo 32.º do RGPD)

A Flowtly aplica as medidas técnicas e organizativas adequadas para assegurar um nível de segurança adequado ao risco do tratamento, tendo em conta as técnicas mais avançadas, os custos de aplicação e a natureza, o âmbito, o contexto e as finalidades do tratamento, bem como o risco para os direitos e liberdades das pessoas singulares. A descrição atual dessas medidas consta do documento «Medidas Técnicas e Organizativas» da Flowtly, que constitui o Anexo 1 ao presente ATD.

A Flowtly não reduzirá o nível global de segurança do tratamento descrito nas MTO durante a vigência do presente ATD (o «compromisso de não redução»); a substituição de uma determinada medida por outra que proporcione um nível de proteção equivalente ou superior não constitui uma redução. Todas as alterações às MTO — incluindo qualquer substituição desse tipo — são registadas como uma nova versão datada no histórico de revisões disponível na página desse documento, pelo que a versão das MTO em vigor em qualquer data de tratamento pode sempre ser determinada a partir desse histórico.

9. Subcontratação ulterior (Subcontratantes Ulteriores)

O Responsável pelo Tratamento concede à Flowtly uma autorização geral por escrito para contratar Subcontratantes Ulteriores para a execução do presente ATD (artigo 28.º, n.º 2, do RGPD). A Flowtly celebra com cada Subcontratante Ulterior um contrato que lhe impõe as mesmas obrigações em matéria de proteção de dados que se aplicam à Flowtly ao abrigo do presente ATD, incluindo no que respeita às medidas técnicas e organizativas. A Flowtly continua a ser plenamente responsável perante o Responsável pelo Tratamento pelo cumprimento das obrigações de proteção de dados de um Subcontratante Ulterior, em conformidade com o artigo 28.º, n.º 4, do RGPD.

A Flowtly notifica o Responsável pelo Tratamento de qualquer intenção de aditar ou substituir Subcontratantes Ulteriores com uma antecedência mínima de 30 dias, identificando o novo Subcontratante Ulterior e o âmbito da sua atividade e dando ao Responsável pelo Tratamento a oportunidade de se opor a essa alteração. As oposições, fundamentadas em motivos legítimos relacionados com a proteção de dados, são enviadas para business.support@flowtly.eu no prazo de 30 dias a contar da notificação; a ausência de oposição nesse prazo é considerada aceitação da alteração. A Flowtly não iniciará o tratamento dos dados pessoais do Responsável pelo Tratamento através de um novo Subcontratante Ulterior antes de decorrido o prazo de oposição ou, caso seja apresentada uma oposição tempestiva, antes de esta ter sido resolvida. Em caso de oposição justificada que não possa ser acomodada de outra forma, as Partes acordarão de boa-fé o modo de proceder, incluindo, se necessário, a cessação do contrato de prestação de serviços na medida em que este exija a utilização desse Subcontratante Ulterior.

Subcontratantes Ulteriores atualmente contratados, em conformidade com a Política de Privacidade da Plataforma:

Subcontratante Ulterior	Âmbito do tratamento	Local do tratamento
Google Cloud (Google Ireland Limited)	Alojamento da Plataforma e infraestrutura em nuvem	UE (europe-west1, Bélgica)
Stripe	Processamento de pagamentos	UE / fora do EEE, consoante a operação
Kontomatik	Integração de dados bancários	Polónia (UE)
Functional Software, Inc. (Sentry)	Monitorização de erros do sistema	Estados Unidos
Anthropic, PBC	Tratamento do conteúdo de documentos para funcionalidades baseadas em IA (análise de documentos, assistente)	Estados Unidos
Postmark (ActiveCampaign, Inc.)	Envio de correio eletrónico transacional (faturas, lembretes, notificações)	Estados Unidos

A lista acima reflete a situação à data de publicação da versão relevante do presente ATD e é atualizada de acordo com o processo descrito acima. A lista atual de Subcontratantes Ulteriores está também disponível mediante pedido enviado para o endereço acima indicado.

10. Assistência ao Responsável pelo Tratamento; violações de dados pessoais

Exercício dos direitos dos titulares dos dados. Tendo em conta a natureza do tratamento, a Flowtly presta assistência ao Responsável pelo Tratamento, na medida do possível — através de medidas técnicas e organizativas adequadas disponíveis na Plataforma e de apoio solicitado através do endereço indicado na Secção 6 —, para permitir que este cumpra a sua obrigação de dar resposta aos pedidos dos titulares dos dados que exerçam os seus direitos previstos no capítulo III do RGPD.

Cumprimento dos artigos 32.º a 36.º do RGPD. A Flowtly presta assistência ao Responsável pelo Tratamento no sentido de assegurar o cumprimento das obrigações previstas nos artigos 32.º a 36.º do RGPD, incluindo a obrigação de notificar uma violação de dados pessoais à autoridade de controlo e a obrigação distinta de comunicar a violação aos titulares dos dados quando esta for suscetível de implicar um elevado risco para os seus direitos e liberdades, bem como as avaliações de impacto sobre a proteção de dados e a consulta prévia à autoridade de controlo, tendo em conta a natureza do tratamento e as informações ao dispor da Flowtly.

Violações de dados pessoais. A Flowtly notifica o Responsável pelo Tratamento de uma violação de dados pessoais que tenha identificado sem demora injustificada e, em qualquer caso, o mais tardar 48 horas após ter tido conhecimento da mesma, sem aguardar que todas as circunstâncias do incidente sejam apuradas. A notificação inicial inclui as informações previstas no artigo 33.º, n.º 3, do RGPD, na medida em que estejam disponíveis nesse momento, e é completada por fases à medida que forem apuradas outras circunstâncias. O prazo de 48 horas constitui o prazo contratual máximo da Flowtly para esta notificação inicial e não exonera a Flowtly da obrigação de agir sem demora injustificada quando tal for possível mais cedo; é independente do prazo de 72 horas no qual o Responsável pelo Tratamento, enquanto responsável pelo tratamento, deve notificar a violação à autoridade de controlo nos termos do artigo 33.º, n.º 1, do RGPD, quando a notificação for exigida.

11. Termo do tratamento; auditorias e inspeções

Termo do tratamento. Após o termo da prestação dos serviços relacionados com o tratamento, o Responsável pelo Tratamento informa a Flowtly, em forma documental, no prazo de 30 dias a contar desse facto, se a Flowtly deve apagar ou devolver os dados pessoais; a falta de comunicação nesse prazo confere à Flowtly o direito de apagar os dados. A Flowtly executa a ação escolhida — apagamento dos sistemas de produção ou devolução num formato eletrónico de uso corrente seguida de apagamento — num prazo razoável não superior a 30 dias a contar da receção da instrução do Responsável pelo Tratamento, a menos que o direito da União ou o direito polaco exija que a Flowtly conserve os dados por mais tempo ao abrigo de uma obrigação legal que vincule diretamente a Flowtly (por exemplo, regras fiscais ou contabilísticas relativas aos registos contabilísticos próprios da Flowtly) — o que não abrange os registos contabilísticos próprios do Responsável pelo Tratamento tratados na Plataforma. As cópias de segurança que contenham dados apagados permanecem protegidas em conformidade com as MTO e são substituídas no ciclo normal de rotação de cópias de segurança aí descrito, sem que os dados apagados sejam restaurados no sistema de produção.

Auditorias e inspeções. A Flowtly disponibiliza ao Responsável pelo Tratamento todas as informações necessárias para demonstrar o cumprimento das obrigações previstas no artigo 28.º do RGPD e permite que o Responsável pelo Tratamento, ou um auditor por ele mandatado, realize auditorias, incluindo inspeções, à conformidade do tratamento com o presente ATD, e coopera na sua realização. Uma auditoria é realizada mediante pré-aviso escrito de, pelo menos, 30 dias, durante o horário normal de funcionamento da Flowtly, de forma tão pouco intrusiva quanto razoavelmente possível para a atividade da Flowtly e respeitando a confidencialidade das informações relativas aos outros clientes da Flowtly, no máximo uma vez por ano civil — estes limites não se aplicam quando a auditoria for realizada em ligação com uma suspeita razoável de violação de dados pessoais ou de outro incumprimento material do presente ATD, ou a pedido de uma autoridade de controlo competente. A disponibilização de informações nos termos da primeira frase não está limitada a uma vez por ano.

12. Transferências internacionais de dados

A maior parte do tratamento de dados pessoais tem lugar no Espaço Económico Europeu (EEE) — a infraestrutura da Plataforma e o seu tratamento de documentos por OCR são mantidos na região da UE do fornecedor indicado na Secção 9. Três dos Subcontratantes Ulteriores indicados na Secção 9 — Functional Software, Inc. (que opera como Sentry), Anthropic, PBC e Postmark (ActiveCampaign, Inc.) — estão sediados nos Estados Unidos, fora do EEE. A Flowtly assegura que as transferências de dados pessoais para estes Subcontratantes Ulteriores — e qualquer outra transferência de dados pessoais para fora do EEE que possa ocorrer em ligação com os outros Subcontratantes Ulteriores ou com os respetivos subcontratantes — se realizam com base num mecanismo adequado nos termos do capítulo V do RGPD: em especial, as cláusulas contratuais-tipo aprovadas pela Decisão de Execução (UE) 2021/914 da Comissão Europeia (no módulo adequado à relação entre a Flowtly e o Subcontratante Ulterior) ou — na medida em que um determinado Subcontratante Ulterior o invoque — o Quadro de Privacidade de Dados UE–EUA, complementado, quando uma avaliação de impacto da transferência indique que tal é necessário, por garantias adicionais. As informações sobre o mecanismo aplicado a um determinado Subcontratante Ulterior são disponibilizadas ao Responsável pelo Tratamento mediante pedido enviado para o endereço indicado na Secção 6.

13. Responsabilidade e disposições finais

A limitação da responsabilidade da Flowtly estabelecida no § 12 dos Termos e Condições («Responsabilidade») aplica-se, com as devidas adaptações, ao tratamento de dados pessoais ao abrigo do presente ATD, na medida em que a lei o permita. Tal não prejudica as disposições legais imperativas, incluindo: o artigo 82.º do RGPD no que respeita aos pedidos dos titulares dos dados contra a Flowtly, os poderes das autoridades de controlo ao abrigo do RGPD e as regras do Código Civil polaco relativas à responsabilidade por danos causados dolosamente.

As matérias não reguladas pelo presente ATD regem-se, consoante o caso, pelos Termos e Condições, incluindo as suas disposições relativas à lei aplicável e à resolução de litígios. O presente ATD rege-se pela lei polaca.

O presente documento corresponde à versão publicada em 28 de outubro de 2026. O histórico das versões anteriores, caso existam, está disponível abaixo.