Contrato de subcontratação (AVV)

Última atualização: 08 de setembro de 2026

Este contrato regula o tratamento de dados pessoais que efectuamos por conta do cliente, nos termos do artigo 28.º do Regulamento (UE) 2016/679 (RGPD). Faz parte integrante dos termos e condições e é aceite com eles, na forma electrónica admitida pelo artigo 28.º, n.º 9, do RGPD.

O tratamento que fazemos por nossa conta — designadamente a recolha e análise de anúncios publicados em portais acessíveis ao público, que constitui o serviço em si — não é objecto deste contrato: aí somos responsáveis pelo tratamento e não subcontratante. Esse tratamento está descrito na política de privacidade.

1. Partes

Responsável pelo tratamento

O cliente, identificado no contrato principal.

Subcontratante

Grewolls, Peer & Madeira Amorim, Joao Pedro eGbR, Voigtstraße 9, 09116 Chemnitz, Alemanha, registada no Amtsgericht Chemnitz sob GsR 764.

2. Objecto, duração e finalidade

Objecto. A prestação do serviço Carstat como software como serviço, na medida em que implique o tratamento de dados pessoais por conta do cliente.

Duração. Coincide com a vigência do contrato principal. Cessa com ele, sem prejuízo do disposto na cláusula 9.

Natureza e finalidade. Alojamento, armazenamento, consulta e apagamento dos dados indicados na cláusula 3, com a finalidade exclusiva de prestar ao cliente o serviço contratado: autenticar quem acede em nome do cliente e, quando o cliente o configure, aceder à sua própria conta de portal de anúncios para sincronizar e repor preços do seu stock.

3. Tipos de dados pessoais

Verificados no modelo de dados, e não estimados:

• Contas dos utilizadores do cliente — endereço de correio electrónico, nome (facultativo), papel atribuído, data do último início de sessão e datas de criação e alteração do registo. A palavra-passe não é conservada: apenas a sua derivação criptográfica.
• Credenciais de portal de anúncios do cliente, quando o cliente as fornece — nome de utilizador (um endereço de correio electrónico), identificador de cliente da interface de programação e os respectivos segredos, estes conservados cifrados.
• Conteúdo do cliente — o seu stock, preços e margens. Respeita a veículos e a valores, não a pessoas; é indicado aqui por integrar os dados a devolver ou apagar nos termos da cláusula 9.

Não são tratadas, por concepção, categorias especiais de dados na acepção do artigo 9.º do RGPD, nem dados relativos a condenações penais. O serviço não dispõe de campos destinados a recolhê-los e o cliente obriga-se a não os introduzir.

4. Categorias de titulares

Os trabalhadores, sócios e colaboradores do cliente a quem sejam atribuídas contas de acesso, e o titular da conta de portal de anúncios do cliente.

5. Instruções

Tratamos os dados apenas mediante instruções documentadas do cliente, incluindo quanto a transferências para países terceiros, salvo se outra coisa nos for exigida pelo direito da União ou de um Estado-Membro a que estejamos sujeitos, caso em que informamos o cliente antes do tratamento, salvo proibição legal. A utilização do serviço e a configuração escolhida pelo cliente valem como instrução; instruções adicionais são dadas por correio electrónico para o endereço indicado no contrato principal, o que satisfaz a forma escrita.

Informamos imediatamente o cliente se, no nosso entendimento, uma instrução violar o RGPD ou outra disposição de protecção de dados.

6. Confidencialidade

Asseguramos que as pessoas autorizadas a tratar os dados assumiram um compromisso de confidencialidade ou estão sujeitas a obrigação legal de confidencialidade adequada, e que o acesso é limitado a quem dele necessita para as finalidades da cláusula 2.

7. Segurança

Aplicamos as medidas técnicas e organizativas descritas no anexo, nos termos do artigo 32.º do RGPD. As medidas podem ser actualizadas ao longo do tempo, desde que o nível de segurança não seja reduzido.

8. Subcontratantes ulteriores

O cliente autoriza de forma geral o recurso aos subcontratantes ulteriores listados abaixo. Comunicamos previamente qualquer alteração, com antecedência razoável; o cliente pode opor-se por motivo fundado e, nesse caso, resolver o contrato principal sem encargo. Impomos a cada subcontratante ulterior obrigações de protecção de dados equivalentes às aqui assumidas.

Quando um subcontratante ulterior trate dados fora do Espaço Económico Europeu, a transferência assenta nas cláusulas contratuais-tipo aprovadas pela Comissão Europeia ou noutro fundamento admitido pelo capítulo V do RGPD.

9. Apagamento e devolução

Durante a vigência do contrato e nos 30 dias seguintes à sua cessação, o cliente pode exportar os seus dados em formato utilizável. Findo esse prazo, e à escolha do cliente, apagamos ou devolvemos os dados pessoais tratados por sua conta, salvo obrigação legal de conservação.

O encerramento da conta pelo próprio cliente executa esse apagamento: as contas de utilizador e o registo do stand são eliminados, e a assinatura é cancelada antes de qualquer eliminação, de modo a que nenhuma cobrança sobreviva à conta.

10. Apoio ao responsável

Apoiamos o cliente, na medida do possível e tendo em conta a natureza do tratamento, no cumprimento das suas obrigações de resposta aos pedidos dos titulares (capítulo III do RGPD) e das obrigações dos artigos 32.º a 36.º. Se um pedido de titular nos for dirigido directamente, não lhe damos seguimento por nossa iniciativa: encaminhamo-lo sem demora para o cliente.

11. Violações de dados pessoais

Notificamos o cliente sem demora injustificada e, em qualquer caso, no prazo de 24 horas a contar do momento em que tenhamos conhecimento de uma violação de dados pessoais que afecte dados tratados por sua conta, com a informação de que dispusermos. O prazo é deliberadamente mais curto do que as 72 horas de que o cliente dispõe perante a autoridade de controlo, para lhe deixar margem.

12. Auditoria

Disponibilizamos ao cliente as informações necessárias para demonstrar o cumprimento das obrigações deste contrato, designadamente através deste documento e do seu anexo. O cliente pode realizar auditorias, incluindo inspecções, por si ou por auditor por si mandatado, mediante pré-aviso razoável, em horário laboral, sem perturbação desproporcionada da actividade e sob obrigação de confidencialidade.

Anexo — Medidas técnicas e organizativas

Cada medida abaixo corresponde a uma implementação verificada no serviço. Uma medida assegurada e inexistente seria uma falsa garantia dentro de um contrato, pelo que só consta o que existe. O que não está confirmado está indicado como tal.

Confidencialidade

• Controlo de acesso lógico. A interface de programação exige autenticação por omissão. As excepções constam de uma lista fechada e explícita, de modo que acrescentar uma é um acto deliberado e visível.
• Separação de clientes. Os dados de cada stand são consultados sempre no âmbito do respectivo identificador. Os dados, margens e preços de um cliente não são partilhados com outro em nenhuma circunstância.
• Palavras-passe. Conservadas exclusivamente como derivação bcrypt com factor de custo 12. A palavra-passe em claro não é escrita na base de dados nem em registos de execução.
• Segredos de terceiros. As credenciais de portal de anúncios do cliente são cifradas com AES-256-GCM antes de serem conservadas, com chave proveniente da configuração do servidor e nunca do código.
• Dados de cartão. Nunca chegam aos nossos servidores. São recolhidos directamente pelos componentes da Stripe no navegador do utilizador.

Integridade

• Transporte. Todo o tráfego é servido por ligação segura, com cabeçalhos de segurança aplicados de forma central, incluindo o de segurança de transporte estrita.
• Sessão. O testemunho de sessão é HttpOnly, pelo que não é legível por JavaScript, com SameSite=Lax contra pedidos forjados entre sítios, marcado como seguro, limitado ao domínio do serviço e com validade de 12 horas.
• Limitação de frequência. Os pedidos à interface de programação são limitados a 100 por minuto e por origem.

Disponibilidade e resiliência

• Localização. A interface de programação e a base de dados são executadas nos Países Baixos. A base de dados não está exposta à Internet pública: é alcançada exclusivamente pela rede privada interna do projecto.
• Cópias de segurança. Asseguradas pelo fornecedor de alojamento ao abrigo do respectivo contrato. A política de retenção não está confirmada e, por isso, não é aqui garantida.

Procedimentos

• Minimização. Dos anúncios recolhidos no mercado não são conservados nome, telefone, morada, fotografias nem número de identificação do veículo: apenas características do veículo, preço e o endereço público do anúncio.
• Apagamento. O encerramento da conta executa a eliminação descrita na cláusula 9, por uma rotina única e partilhada, de modo que o mesmo procedimento se aplique quer o encerramento parta do cliente quer da nossa administração.

13. Disposições finais

Em caso de contradição entre este contrato e o contrato principal, prevalece este contrato no que respeita ao tratamento de dados pessoais. Aplica-se a lei alemã, com foro em Chemnitz, tal como no contrato principal.