Acordo de subcontratação (tratamento de dados) nos termos do artigo 28.º do RGPD

Versão de 2 de outubro de 2026

entre

o respetivo cliente do serviço BookinX, cujo nome ou firma, morada e dados de contacto são indicados no âmbito do registo ou da gestão contratual,

doravante «Cliente» ou «Responsável pelo tratamento»,

Robert F. Craciun

Girardigasse 4/28

1060 Wien

Österreich

Telefone: +436641664446

E-mail: robert@x-orbit.app

Operador do serviço BookinX e do Xorbit

doravante «Prestador» ou «Subcontratante».

Em conjunto, doravante «Partes».

O presente acordo de subcontratação, incluindo os seus anexos, é doravante designado «ATD».

⸻

1. Objeto e âmbito de aplicação

1.1. O Prestador disponibiliza ao Cliente o serviço de marcação de compromissos BookinX. Com o BookinX, o Cliente pode, nomeadamente, configurar páginas de marcação, gerir compromissos e permitir aos seus clientes finais e interessados a marcação de compromissos.

1.2. Na medida em que o Prestador, no âmbito da disponibilização do BookinX, trate dados pessoais por conta do Cliente, o Cliente atua como responsável pelo tratamento nos termos do artigo 4.º, ponto 7, do RGPD e o Prestador como subcontratante nos termos do artigo 4.º, ponto 8, do RGPD.

1.3. O presente ATD concretiza os direitos e obrigações das Partes em matéria de proteção de dados e faz parte integrante do contrato principal existente entre as Partes relativo à utilização do BookinX.

1.4. O presente ATD aplica-se exclusivamente às atividades de tratamento em que o Prestador trate dados pessoais por conta do Cliente.

1.5. Na medida em que o Prestador trate dados pessoais para fins próprios e sob a sua própria responsabilidade em matéria de proteção de dados, nomeadamente para a gestão contratual, faturação, segurança informática ou cumprimento de obrigações legais próprias, essas atividades de tratamento não são objeto do presente ATD. Regem-se pela política de privacidade do BookinX e pelas disposições legais aplicáveis.

1.6.Nas páginas de marcação, o Prestador explora, sob a sua própria responsabilidade, uma estatística de utilização baseada em consentimento em servidores próprios na Áustria. Os conteúdos das marcações não são nela incluídos.

⸻

2. Celebração eletrónica do contrato

2.1. O presente ATD é celebrado eletronicamente como parte integrante da relação contratual relativa à utilização do BookinX.

2.2. O Cliente aceita o presente ATD no âmbito do registo mediante uma declaração eletrónica expressa.

2.3. A versão do ATD em vigor no momento da celebração do contrato é identificada com uma data de versão ou um identificador de versão e disponibilizada eletronicamente ao Cliente.

2.4. O Prestador documenta a celebração do ATD de forma adequada. Para o efeito, podem ser armazenados, nomeadamente, a conta de cliente, a versão do contrato ou identificador de versão utilizado e o momento da aceitação.

2.5. Em caso de contradição entre o presente ATD e outros acordos das Partes, prevalecem, no que respeita ao tratamento de dados pessoais por conta de outrem, as disposições do presente ATD, salvo disposição em contrário de direito imperativo.

⸻

3. Objeto, natureza e finalidade do tratamento

3.1. O objeto do tratamento é a disponibilização e a exploração técnica do serviço de marcação de compromissos BookinX para o Cliente.

3.2. O tratamento abrange, na medida em que seja necessário para a prestação acordada, nomeadamente:

a. recolha e receção de dados de marcação,

b. armazenamento e gestão de marcações,

c. apresentação e transmissão de informações sobre compromissos e participantes,

d. envio de e-mails tecnicamente necessários relacionados com marcações,

e. gestão de colaboradores e das respetivas permissões,

f. gestão e apresentação de disponibilidades para compromissos,

g. caso a integração de calendário esteja ativada, o acesso tecnicamente necessário a informações de calendário,

h. caso a função de videoconferência esteja ativada, a disponibilização ou intermediação técnica dos dados necessários para o efeito,

i. cópia de segurança e recuperação de dados,

j. registo relacionado com a segurança,

k. exportação, retificação e apagamento de dados pessoais.

3.3. Os pormenores relativos ao objeto e à finalidade do tratamento, aos tipos de dados e às categorias de titulares dos dados constam do Anexo 1.

⸻

4. Duração do tratamento

4.1. O tratamento por conta de outrem decorre, em princípio, durante a vigência do contrato principal relativo à utilização do BookinX.

4.2. Após a cessação do contrato principal, o Prestador apenas trata dados pessoais na medida em que tal seja necessário para a devolução, exportação ou apagamento dos dados ou por força de obrigações legais imperativas.

4.3. Antes do apagamento definitivo, o Cliente pode solicitar uma exportação dos dados por si controlados num formato corrente de leitura automática, nomeadamente CSV ou JSON.

4.4. Os dados pessoais tratados por conta do Cliente são apagados ou, por instrução do Cliente, devolvidos o mais tardar seis meses após a cessação do contrato principal, salvo se o direito da União ou o direito austríaco exigir a sua conservação adicional.

4.5. Na medida em que, após o seu apagamento dos sistemas de produção, os dados pessoais apenas subsistam em cópias de segurança e um apagamento seletivo não seja tecnicamente possível ou implique um esforço desproporcionado, os mesmos podem permanecer armazenados até ao termo regular do respetivo prazo de conservação das cópias de segurança. Durante esse período, não podem ser tratados para outras finalidades e devem ser protegidos contra o acesso produtivo regular.

⸻

5. Vinculação a instruções

5.1. O Prestador trata dados pessoais exclusivamente mediante instruções documentadas do Cliente, salvo se for obrigado a efetuar um determinado tratamento pelo direito da União ou pelo direito austríaco.

5.2. Consideram-se instruções documentadas, nomeadamente:

a. o presente ATD e o contrato principal,

b. as definições e configurações efetuadas pelo Cliente no BookinX,

c. a ativação de funções e integrações opcionais pelo Cliente ou pelos seus utilizadores autorizados,

d. instruções do Cliente em forma de texto.

5.3. Se o Prestador estiver obrigado a efetuar um tratamento por força do direito da União ou do direito austríaco, informa o Cliente dessa obrigação jurídica antes do tratamento, salvo se o direito em causa proibir tal informação por motivos importantes de interesse público.

5.4. Se o Prestador considerar que uma instrução do Cliente viola o RGPD ou outras disposições aplicáveis em matéria de proteção de dados, informa imediatamente o Cliente.

5.5. O Prestador pode suspender a execução de uma instrução manifestamente ilícita até ao seu esclarecimento.

⸻

6. Obrigações do Cliente

6.1. O Cliente é responsável pela licitude do tratamento dos dados pessoais e pela salvaguarda dos direitos dos titulares dos dados.

6.2. O Cliente assegura, nomeadamente, que existe um fundamento jurídico suficiente para os tratamentos efetuados através do BookinX e que os titulares dos dados recebem as informações sobre proteção de dados legalmente exigidas.

6.3. O Cliente dá exclusivamente instruções lícitas.

6.4. O Cliente decide, nomeadamente, sobre a finalidade e os meios essenciais do tratamento dos dados dos seus clientes finais, interessados e colaboradores, bem como sobre a ativação de integrações opcionais.

6.5. O Cliente informa imediatamente o Prestador caso detete erros, irregularidades ou possíveis violações de dados pessoais relacionados com o tratamento por conta de outrem.

⸻

7. Confidencialidade e sigilo de dados

7.1. O Prestador garante que as pessoas autorizadas a tratar os dados pessoais assumiram um compromisso de confidencialidade ou estão sujeitas a uma obrigação legal adequada de confidencialidade.

7.2. Os dados pessoais apenas podem ser tratados em conformidade com as instruções documentadas do Cliente e apenas na medida necessária ao cumprimento das respetivas tarefas.

7.3. A obrigação de confidencialidade mantém-se igualmente após a cessação da respetiva atividade.

7.4. O Prestador e os seus colaboradores observam, na medida aplicável, o sigilo de dados nos termos do § 6 da Lei austríaca de Proteção de Dados (Datenschutzgesetz, DSG).

⸻

8. Medidas técnicas e organizativas

8.1. Tendo em conta as técnicas mais avançadas, os custos de aplicação e a natureza, o âmbito, o contexto e as finalidades do tratamento, bem como os riscos, de probabilidade e gravidade variável, o Prestador adota medidas técnicas e organizativas adequadas nos termos do artigo 32.º do RGPD.

8.2. As medidas técnicas e organizativas acordadas encontram-se descritas no Anexo 2.

8.3. O Prestador pode, durante a vigência do contrato, desenvolver as medidas técnicas e organizativas e substituí-las por medidas equivalentes ou mais eficazes, desde que o nível de segurança acordado não seja reduzido.

8.4. As alterações essenciais relevantes para a segurança são documentadas de forma adequada.

⸻

9. Separação de clientes (mandantes) e de acessos

9.1. O Prestador utiliza mecanismos técnicos e organizativos para separar os dados de diferentes clientes.

9.2. Os acessos a dados pessoais são limitados segundo os princípios da necessidade de conhecer (need-to-know) e do privilégio mínimo (least privilege).

9.3. As funções e permissões são controladas do lado do servidor.

9.4. Os acessos à base de dados têm em conta as atribuições a clientes (mandantes) e a recursos, a fim de impedir acessos não autorizados entre clientes.

⸻

10. Apoio no exercício dos direitos dos titulares dos dados

10.1. Tendo em conta a natureza do tratamento, o Prestador apoia o Cliente, através de medidas técnicas e organizativas adequadas, no cumprimento das suas obrigações perante os titulares dos dados.

10.2. Tal diz respeito, nomeadamente, aos direitos de:

a. acesso,

b. retificação,

c. apagamento,

d. limitação do tratamento,

e. portabilidade dos dados,

f. oposição, na medida aplicável.

10.3. Se um titular dos dados dirigir um pedido diretamente ao Prestador e este disser respeito a dados pessoais tratados por conta de um Cliente, o Prestador reencaminha imediatamente o pedido ao Cliente em causa, desde que seja possível estabelecer a correspondência.

10.4. O Prestador não responde autonomamente quanto ao conteúdo de tal pedido, salvo se tiver recebido instruções nesse sentido do Cliente ou estiver legalmente obrigado a fazê-lo.

⸻

11. Outras obrigações de apoio

11.1. Tendo em conta a natureza do tratamento e as informações ao seu dispor, o Prestador apoia o Cliente no cumprimento das obrigações previstas nos artigos 32.º a 36.º do RGPD.

11.2. O apoio abrange, nomeadamente:

a. a segurança do tratamento,

b. a investigação e avaliação de violações de dados pessoais,

c. o cumprimento das obrigações legais de notificação e de comunicação,

d. as avaliações de impacto sobre a proteção de dados nos termos do artigo 35.º do RGPD,

e. as consultas prévias à autoridade de controlo competente nos termos do artigo 36.º do RGPD.

11.3. Para o efeito, o Prestador disponibiliza ao Cliente, em medida adequada, as informações de que dispõe e que sejam necessárias para a respetiva análise.

⸻

12. Violações de dados pessoais

12.1. Se o Prestador tomar conhecimento de uma violação de dados pessoais que afete dados tratados por conta do Cliente, informa o Cliente sem demora injustificada e, em qualquer caso, o mais tardar no prazo de 48 horas após ter tido conhecimento da mesma.

12.2. A notificação inclui, na medida em que as respetivas informações estejam disponíveis:

a. uma descrição da natureza da violação,

b. as categorias de dados pessoais e de titulares dos dados afetados,

c. sempre que possível, o número aproximado de titulares dos dados e de registos afetados,

d. as consequências conhecidas ou prováveis da violação,

e. as medidas de reparação já adotadas ou propostas,

f. dados de contacto para obter mais informações.

12.3. Se não for possível fornecer todas as informações ao mesmo tempo, estas são completadas por fases, sem demora injustificada adicional.

12.4. A decisão sobre se é necessária uma notificação a uma autoridade de controlo nos termos do artigo 33.º do RGPD ou uma comunicação aos titulares dos dados nos termos do artigo 34.º do RGPD cabe ao Cliente, enquanto responsável pelo tratamento.

12.5. O Prestador documenta de forma adequada as violações de dados que lhe digam respeito e apoia o Cliente no necessário apuramento dos factos.

⸻

13. Subcontratantes ulteriores

13.1. O Cliente concede ao Prestador uma autorização geral para recorrer aos subcontratantes ulteriores enumerados no Anexo 3.

13.2. O Prestador informa o Cliente com uma antecedência mínima de 30 dias relativamente à contratação prevista de um novo subcontratante ulterior ou à substituição de um subcontratante ulterior existente.

13.3. A informação pode ser prestada, nomeadamente, por e-mail ou através da conta de cliente BookinX.

13.4. O Cliente pode opor-se a uma alteração, dentro do prazo de 30 dias, por motivos objetivamente justificados em matéria de proteção de dados.

13.5. Se as Partes não conseguirem resolver uma oposição fundamentada e o subcontratante ulterior em causa for necessário para a prestação do serviço, o serviço em causa ou o contrato principal pode ser cessado nos termos das disposições de denúncia acordadas.

13.6. O Prestador vincula contratualmente os subcontratantes ulteriores a obrigações em matéria de proteção de dados que, no que respeita às atividades de tratamento assumidas, correspondam aos requisitos do artigo 28.º, n.º 4, do RGPD.

13.7. O Prestador continua a ser responsável perante o Cliente, na medida prevista na lei, pelo cumprimento das obrigações em matéria de proteção de dados dos seus subcontratantes ulteriores.

⸻

14. Transferências para países terceiros

14.1. O tratamento de dados pessoais é efetuado, em princípio, dentro da União Europeia ou do Espaço Económico Europeu, salvo indicação em contrário no Anexo 3.

14.2. Uma transferência de dados pessoais para um país terceiro ou para uma organização internacional apenas é efetuada se estiverem preenchidos os requisitos dos artigos 44.º e seguintes do RGPD.

14.3. Sempre que necessário, uma transferência para um país terceiro baseia-se, nomeadamente, numa decisão de adequação da Comissão Europeia ou em garantias adequadas nos termos do artigo 46.º do RGPD.

14.4. Na medida em que, para uma transferência para um país terceiro, sejam necessárias cláusulas contratuais-tipo ou medidas de proteção complementares, estas são implementadas antes do início da respetiva transferência.

⸻

15. Comprovativos e direitos de controlo

15.1. O Prestador disponibiliza ao Cliente, mediante pedido, todas as informações necessárias para demonstrar o cumprimento das obrigações previstas no artigo 28.º do RGPD.

15.2. A demonstração pode ser efetuada, nomeadamente, através de:

a. descrições das medidas técnicas e organizativas,

b. relatórios de segurança ou de auditoria,

c. verificações internas documentadas,

d. outros comprovativos adequados.

15.3. O Cliente tem o direito de realizar controlos, por si próprio ou através de um auditor independente sujeito a dever de sigilo, na medida em que tal seja necessário para verificar o cumprimento do presente ATD.

15.4. As inspeções no local são realizadas, em princípio, mediante aviso prévio adequado e durante o horário normal de expediente.

15.5. Não é necessário aviso prévio na medida em que um incidente de segurança grave ou uma suspeita fundamentada de uma violação significativa da proteção de dados torne objetivamente necessário um controlo a curto prazo.

15.6. Os controlos devem ser realizados de forma a que os segredos comerciais, os interesses de segurança e os dados pessoais de outros clientes permaneçam adequadamente protegidos.

15.7. O Prestador coopera com a autoridade de controlo da proteção de dados competente na medida legalmente exigida.

⸻

16. Devolução e apagamento

16.1. Após a cessação do tratamento por conta de outrem, o Prestador, à escolha do Cliente, apaga os dados pessoais tratados por conta deste ou devolve-os ao Cliente, salvo se existir uma obrigação legal de conservação adicional.

16.2. Antes do apagamento definitivo, o Cliente pode solicitar uma exportação dos dados armazenados para si em CSV e/ou JSON.

16.3. Se o Cliente não der uma instrução diferente, o Prestador tem o direito de apagar os dados nos termos do ponto 4.

16.4. Os dados que tenham de continuar a ser armazenados por força de obrigações legais de conservação são bloqueados para outras finalidades, ou o seu tratamento é limitado à medida legalmente exigida.

⸻

17. Responsabilidade

17.1. À responsabilidade das Partes por violações do RGPD aplicam-se as disposições legais, nomeadamente o artigo 82.º do RGPD.

17.2. As disposições legais imperativas em matéria de responsabilidade não são afetadas.

17.3. As limitações de responsabilidade do contrato principal não se aplicam na medida em que tal limitação seja inadmissível nos termos do RGPD ou de outro direito imperativo.

⸻

18. Alterações ao presente ATD

18.1. As alterações ao presente ATD são comunicadas ao Cliente em forma de texto ou através de outro meio de comunicação eletrónica duradouro.

18.2. As alterações essenciais dos direitos e obrigações das Partes são anunciadas com uma antecedência adequada.

18.3. As alterações relativas à contratação ou substituição de subcontratantes ulteriores ficam, independentemente disso, sujeitas ao ponto 13.

18.4. As versões do presente ATD aplicáveis ao Cliente são identificadas com uma data de versão ou um identificador de versão e documentadas de forma rastreável.

⸻

19. Direito aplicável e foro competente

19.1. O presente ATD rege-se pelo direito austríaco, salvo disposição em contrário de direito imperativo da União ou de outro direito imperativo.

19.2. Na medida em que um pacto de jurisdição seja legalmente admissível, é acordada, para litígios decorrentes do presente ATD ou com ele relacionados, a competência dos tribunais materialmente competentes em Viena, Áustria.

19.3. Os foros legais imperativos e os direitos dos titulares dos dados nos termos do RGPD não são por isso limitados.

⸻

20. Disposições finais

20.1. Os Anexos 1 a 3 fazem parte integrante do presente ATD.

20.2. O presente ATD cessa, em princípio, com o contrato principal. As disposições relativas a confidencialidade, proteção de dados, devolução, apagamento, comprovativos e responsabilidade continuam a aplicar-se, na medida do necessário, para além da cessação do contrato.

20.3. Caso alguma disposição do presente ATD seja ou venha a tornar-se inválida ou inexequível, as restantes disposições não são afetadas. A disposição inválida ou inexequível é substituída pelas disposições legais aplicáveis.

⸻

Anexo 1 – Objeto do tratamento, tipos de dados e titulares dos dados

1. Objeto

Disponibilização e exploração do serviço de marcação de compromissos BookinX.

O Cliente pode configurar páginas de marcação e permitir aos seus clientes finais e interessados a marcação de compromissos. Os colaboradores do Cliente podem gerir marcações e, se ativadas, utilizar funções de calendário e de videoconferência.

2. Finalidade do tratamento

O tratamento é efetuado, nomeadamente, para:

receção e gestão de marcações de compromissos,
coordenação e apresentação de disponibilidades,
comunicação relacionada com compromissos,
gestão dos colaboradores envolvidos no processo de marcação,
sincronização com calendários associados,
preparação de compromissos (agenda, objetivos da conversa, documentos),
reserva de salas por colaboradores do Cliente,
disponibilização técnica de videoconferências, se ativada,
gravação, transcrição e resumo de videoconferências, se iniciados pela pessoa organizadora,
apresentação de perfis públicos dos colaboradores, se autorizada,
importação de listas de utilizadores pelo Cliente,
manutenção de um registo de alterações para os administradores do Cliente,
garantia da segurança, disponibilidade e recuperabilidade do serviço.

3. Categorias de titulares dos dados

3.1. Clientes finais e interessados do Cliente

Pessoas que marcam um compromisso através de uma página de marcação BookinX ou que interagem com o Cliente no contexto de uma marcação de compromisso.

3.2. Colaboradores do Cliente

Colaboradores, colaboradores independentes ou outros utilizadores autorizados pelo Cliente que, através do BookinX, oferecem, gerem ou participam em compromissos.

4. Categorias de dados pessoais

4.1. Clientes finais e interessados

Consoante a configuração:

forma de tratamento,
título,
nome próprio,
apelido,
endereço de e-mail,
empresa,
mensagem ou informações de marcação introduzidas pelo cliente final,
hora do compromisso,
fuso horário,
idioma,
momento do consentimento, na medida em que um consentimento seja documentado através do BookinX,
dados técnicos de entrega relacionados com e-mails,
informações sobre a preparação do compromisso, nomeadamente aditamentos à agenda e objetivo próprio da conversa,
acessos à página de preparação do compromisso,
em caso de gravação iniciada de uma videoconferência: imagem e som (por um curto período), gravação de áudio (até à transcrição), transcrição, resumo, bem como nome apresentado e momentos de intervenção.

4.2. Colaboradores do Cliente

Consoante a utilização e a configuração:

nome,
endereço de e-mail,
número de telefone,
função e permissão,
fotografia de perfil, opcional,
breve apresentação, opcional,
vídeo de apresentação, opcional,
função ou cargo e departamento,
forma de tratamento e idioma, também a partir de uma lista de utilizadores importada pelo Cliente,
dados do perfil público, opcionais: saudação, texto «Über mich» (Sobre mim), lema, descrição da empresa, vídeo da empresa, banner de perfil,
código QR e cartão de contacto digital (nome, empresa, número de telefone, endereço de e-mail), opcional,
períodos de ocupação do calendário em caso de calendário associado (Microsoft 365, Google Calendar ou Calendário da Apple),
compromissos e ausências escritos ou registados em caso de calendário associado,
reservas de salas (sala, título, início, fim, pessoa que efetua a reserva),
entradas no registo de alterações (quem alterou o quê e quando, sem os conteúdos alterados),
em caso de gravação iniciada de uma videoconferência: imagem e som (por um curto período), gravação de áudio (até à transcrição), transcrição, resumo, bem como nome apresentado e momentos de intervenção,
tokens de acesso armazenados de forma cifrada para serviços associados.

5. Categorias especiais de dados pessoais

No âmbito das suas funções regulares, o BookinX não se destina à recolha de categorias especiais de dados pessoais nos termos do artigo 9.º do RGPD. Nas gravações de videoconferências, as vozes não são analisadas para identificar pessoas; a atribuição dos oradores é efetuada exclusivamente através do nome apresentado na conferência.

Na medida em que o Cliente permita a transmissão de tais dados, nomeadamente através de campos de texto livre ou de outras possibilidades de introdução, o Cliente é responsável pela existência de um fundamento jurídico correspondente e pelo cumprimento dos requisitos adicionais em matéria de proteção de dados.

O Prestador trata tais dados exclusivamente em conformidade com as instruções documentadas do Cliente e no âmbito das funções do BookinX acordadas.

6. Operações de tratamento

Consoante a utilização, nomeadamente:

recolha,
registo,
organização,
armazenamento,
consulta,
apresentação,
transmissão,
sincronização,
atualização,
cópia de segurança,
exportação,
limitação,
apagamento.

7. Local principal de tratamento

O tratamento principal é efetuado em servidores próprios do Prestador na Áustria.

Outros locais de tratamento constam do Anexo 3.

⸻

Anexo 2 – Medidas técnicas e organizativas

1. Cifragem no transporte

Cifragem das ligações externas por meio de TLS.
Impedimento ou redirecionamento de acessos não cifrados, na medida em que seja tecnicamente possível.
Comunicação cifrada com serviços externos associados.

2. Segurança das palavras-passe

Nenhum armazenamento de palavras-passe em texto simples.
Hashing de palavras-passe por meio de Argon2id.
Seleção e verificação regular de parâmetros Argon2id adequados.

3. Proteção de tokens de acesso externos

Armazenamento cifrado de tokens de acesso para serviços associados.
Cifragem por meio de AES-256-GCM.
Separação das chaves de cifragem relativamente aos dados úteis cifrados.
Rotação de chaves.
Limitação do acesso às chaves aos componentes tecnicamente necessários e às pessoas autorizadas.

4. Controlo de acessos e permissões

Controlo de acessos baseado em funções.
Verificação de permissões do lado do servidor.
Separação de clientes (mandantes) ao nível da base de dados.
Separação de recursos e verificação da atribuição de recursos a um cliente (mandante).
Aplicação dos princípios da necessidade de conhecer (need-to-know) e do privilégio mínimo (least privilege).

5. Gestão de sessões

Sessões do lado do servidor.
Tempos de expiração definidos.
Possibilidade de invalidação de sessões do lado do servidor.
Tratamento das sessões existentes com relevância para a segurança em caso de alterações relevantes.

6. Proteção contra ataques automatizados e utilização abusiva

Limites de pedidos (rate limits) para endpoints relevantes para a segurança.
Limitação de pedidos automatizados, nomeadamente nas funções de autenticação e de marcação acessíveis publicamente.
Validação do lado do servidor das entradas relevantes.

7. Registo

Registo de operações relevantes para a segurança e para a administração num registo de auditoria (audit log).
Registo de alterações para os administradores do Cliente: momento, pessoa, ação e objeto afetado, nunca os conteúdos alterados; visível apenas para os administradores do próprio cliente (mandante).
Prazo de conservação do registo de auditoria: em princípio, 12 meses.
Limitação do acesso às informações de auditoria.
Nenhuma utilização dos registos de auditoria para publicidade ou definição de perfis publicitários.

8. Cópias de segurança

Cópias de segurança cifradas diárias.
Cópia de segurança adicional fora do servidor principal.
Conservação das cópias de segurança diárias durante 14 dias.
Conservação das cópias de segurança semanais durante 8 semanas.
Limitação do acesso às cópias de segurança.
Testes de restauro regulares.

9. Disponibilidade e recuperabilidade

Medidas para a recuperação de dados pessoais após incidentes técnicos ou físicos.
Verificação da recuperabilidade das cópias de segurança.
Realização e documentação de testes de restauro.

10. Verificações de segurança

Verificações de segurança antes de lançamentos (releases).
Verificação de alterações relevantes para a segurança antes da entrada em produção.
Priorização baseada no risco e correção das deficiências de segurança detetadas.
Verificação regular da eficácia das medidas de segurança.

11. Minimização dos dados

Limitação do tratamento aos dados necessários para a respetiva função ou disponibilizados pelo Cliente no âmbito das funções previstas.
Os dados de perfil opcionais só são tratados se as funções correspondentes forem utilizadas.
As integrações de calendário só são ativadas após associação expressa por um utilizador autorizado.

12. Rastreamento e publicidade

Nenhum rastreador publicitário no âmbito do tratamento por conta de outrem.
Nenhuma utilização dos dados de marcação ou de colaboradores tratados por conta de outrem para publicidade personalizada.

13. Revisão e desenvolvimento

As medidas técnicas e organizativas são revistas regularmente, bem como após alterações essenciais ou incidentes de segurança, e desenvolvidas em função do risco e do estado da técnica.

⸻

Anexo 3 – Subcontratantes ulteriores

O Cliente concede a sua autorização geral para os subcontratantes ulteriores a seguir enumerados.

1. netcup GmbH

Fornecedor: netcup GmbH

Sede: Alemanha

Serviço: Envio técnico de e-mails

Dados tratados: Endereços de e-mail, informações sobre remetente e destinatário, bem como dados de e-mail e de entrega tecnicamente necessários

Tratamento: União Europeia ou Espaço Económico Europeu

Utilização: Parte integrante do envio de e-mails do BookinX

⸻

2. Microsoft Ireland Operations Limited

Fornecedor: Microsoft Ireland Operations Limited

Sede: Irlanda

Serviço: Microsoft Graph, Microsoft 365 e Microsoft Teams

Dados tratados: Consoante a função ativada, dados de colaboradores, períodos de ocupação do calendário, compromissos, bem como dados de identificação, autenticação e ligação tecnicamente necessários

Utilização: Apenas na medida em que um utilizador autorizado associe ou ative uma integração Microsoft correspondente com o BookinX.

Na medida em que, no âmbito da prestação do serviço, ocorra uma transferência de dados pessoais para fora do EEE, esta é efetuada exclusivamente em observância dos requisitos dos artigos 44.º e seguintes do RGPD.

⸻

3. Google Ireland Limited

Fornecedor: Google Ireland Limited

Sede: Irlanda

Serviço: Google Calendar API

Dados tratados: Consoante a função ativada, períodos de ocupação do calendário, compromissos, endereço de e-mail da conta Google, bem como dados de autenticação e de ligação tecnicamente necessários

Utilização: Apenas na medida em que um utilizador autorizado associe o seu Google Calendar ao BookinX.

⸻

4. Apple Distribution International Ltd.

Fornecedor: Apple Distribution International Ltd.

Sede: Irlanda

Serviço: Calendário iCloud (CalDAV)

Dados tratados: Consoante a função ativada, períodos de ocupação do calendário, compromissos, Apple ID, bem como dados de ligação tecnicamente necessários

Utilização: Apenas na medida em que um utilizador autorizado associe o seu Calendário da Apple ao BookinX.

⸻

5. Infraestrutura de cópias de segurança

Infraestrutura própria do Prestador

Serviço: Cópia de segurança externa cifrada

Dados tratados: Cópia de segurança cifrada dos dados armazenados pelo BookinX

Utilização: Cópia de segurança e recuperação de dados

Se a segunda cópia for explorada exclusivamente em infraestrutura própria do Prestador e não estiver envolvido qualquer outro subcontratante, a presente entrada deixa de se aplicar.

⸻

Infraestrutura própria do Prestador (não são subcontratantes ulteriores)

Videoconferência (Xorbit Meeting): instância Jitsi Meet própria em meet.x-orbit.app, em servidores do Prestador na Áustria.
Gravação e transcrição (opcional): gravação através da instância Jitsi própria (Jibri), reconhecimento de voz com Whisper e resumo com o modelo de linguagem Qwen 2.5 através de Ollama, tudo em servidores do Prestador; sem transmissão a terceiros e sem treino de modelos com dados de clientes. Ficheiro de vídeo apagado imediatamente após a gravação, gravação de áudio apagada após a transcrição; transcrição e resumo cifrados, apagamento 30 dias após o fim da gravação ou do compromisso.
Gestão de compromissos e conferências (MeetinX): componente interno do BookinX nos mesmos servidores na Áustria; cria salas de conferência e entradas de calendário. O e-mail dos participantes e as ligações para as conferências são armazenados de forma cifrada, sendo o e-mail dos participantes apagado 30 dias após o fim do compromisso.
Cópias de segurança: cópia de segurança diária e cifrada (GPG, AES-256) num servidor da netcup, bem como uma segunda cópia cifrada num dispositivo do Prestador na Áustria; conservação de 14 dias para as cópias diárias e de 8 semanas para as semanais.

⸻

Aceitação eletrónica

No âmbito do registo, pode ser utilizada a seguinte declaração:

Aceito os Termos de Utilização e o Acordo de Subcontratação (ATD) e confirmo que estou autorizado a celebrá-los em nome do cliente indicado.

Os Termos de Utilização e o presente ATD são disponibilizados eletronicamente antes da emissão da declaração.

O BookinX documenta a versão ou o identificador de versão do ATD em vigor no momento da celebração do contrato e o momento da aceitação.