Acordo sobre a proteção dos dados dos teus clientes

Os teus dados continuam a ser teus. A ORILA guarda-os para ti e não os usa para mais nada.

O presente acordo sobre a proteção dos dados dos teus clientes (o «Acordo») complementa os termos de utilização e os termos de venda da ORILA (em conjunto, o «Contrato»). Responde ao artigo 28.º do Regulamento (UE) 2016/679 de 27 de abril de 2016 («RGPD»). Versão 2 de 13 de outubro de 2026.

É celebrado entre:

• o Cliente: a pessoa coletiva ou a pessoa singular que atua a título profissional e que abriu um espaço (uma «organização») no serviço ORILA, na qualidade de responsável pelo tratamento;
• a C2SL, sociedade por ações simplificada com um capital social de 100 €, 6 rue Soutrane, 06560 Valbonne, RCS Grasse 892 281 510, editora do serviço ORILA, na qualidade de subcontratante.

O Cliente aceita o Acordo ao aceitar o Contrato. O Acordo faz parte do Contrato: em caso de contradição em matéria de proteção de dados pessoais, prevalece o Acordo.

1. Objeto

O Acordo fixa as condições em que a C2SL trata, por conta do Cliente e apenas segundo as suas instruções, os dados pessoais que o Cliente regista no serviço ORILA ou que o serviço recolhe para ele (os «Dados»).

Não se aplica aos tratamentos de que a própria C2SL é responsável: a gestão da conta e da subscrição do Cliente, a faturação da C2SL, a segurança do serviço e a prevenção de abusos, a medição de audiência do site orila.co. Estes estão descritos na política de privacidade.

2. Descrição do tratamento

• Objeto: disponibilização de um software de gestão de empresa em linha (relação com o cliente, vendas, faturação, secretariado, documentos, equipa).
• Duração: a do Contrato, prolongada pelo período de restituição previsto no artigo 11.
• Natureza: alojamento, registo, organização, consulta, disponibilização, transmissão por ordem do Cliente, apagamento.
• Finalidade: permitir ao Cliente gerir a sua atividade por meio do serviço.
• Tipos de dados e categorias de pessoas: ver o anexo 1, tratamento a tratamento.
• Dados sensíveis: o serviço não foi concebido para dados de saúde nem para outras categorias especiais de dados (artigo 9.º do RGPD). O Cliente proíbe-se de neles registar tais dados.

3. Instruções do Cliente

3.1 A C2SL só trata os Dados mediante instrução documentada do Cliente. Constituem essas instruções: o Contrato, o Acordo, e as configurações e ações que o Cliente efetua no serviço (criar uma ficha, enviar uma mensagem, partilhar um documento, ativar uma opção, ligar um serviço de terceiros, apagar um dado).

3.2 A C2SL nunca utiliza os Dados por conta própria, não os vende, não os aluga e não os utiliza para treinar um modelo de inteligência artificial.

3.3 Se uma instrução lhe parecer contrária ao RGPD ou a outra regra de proteção de dados, a C2SL informa imediatamente o Cliente.

3.4 Se o direito da União ou de um Estado-Membro impuser à C2SL um tratamento não previsto (uma requisição judicial, por exemplo), ela informa o Cliente antes de o efetuar, salvo se esse direito o proibir por um motivo importante de interesse público.

4. Confidencialidade

As pessoas da C2SL autorizadas a tratar os Dados estão obrigadas à confidencialidade por contrato ou por uma obrigação legal, e só acedem a eles na medida do necessário para a execução do Contrato, para o suporte pedido pelo Cliente ou para a segurança do serviço.

5. Segurança

A C2SL aplica as medidas técnicas e organizativas descritas no anexo 3 para garantir um nível de segurança adequado ao risco (artigo 32.º do RGPD). Pode fazê-las evoluir, desde que nunca baixe o seu nível.

6. Os nossos prestadores

6.1 O Cliente autoriza, de forma geral, a C2SL a recorrer aos prestadores listados no anexo 2 (os «Prestadores», subcontratantes ulteriores na aceção do artigo 28.º do RGPD).

6.2 A C2SL informa o Cliente de qualquer aditamento ou substituição de um Prestador com pelo menos trinta dias de antecedência relativamente ao momento em que este receba Dados, através de uma mensagem no serviço e por correio eletrónico ao administrador da organização. O Cliente pode opor-se durante esse prazo, por escrito e por um motivo ligado à proteção de dados. Na falta de acordo nos trinta dias seguintes à oposição, o Cliente pode rescindir sem custos a parte do Contrato em causa, e a C2SL reembolsa-lhe proporcionalmente a parte da subscrição paga antecipadamente.

6.3 A C2SL impõe a cada Prestador, por contrato, obrigações de proteção de dados pelo menos equivalentes às do Acordo. Continua a ser plenamente responsável perante o Cliente pela sua execução.

6.4 Os serviços que o Cliente liga ele próprio, com as suas próprias credenciais (o seu banco, a sua plataforma contabilística, o seu WhatsApp profissional, o seu próprio servidor de correio), não são Prestadores da C2SL: são escolhidos pelo Cliente e regidos pelo contrato que ele celebrou diretamente com eles. A C2SL só lhes transmite Dados por ordem do Cliente, dada através dessa ligação.

7. Transferências para fora da União Europeia

Os Dados são alojados na Europa. Quando um Prestador estabelecido fora da União Europeia pode aceder-lhes, a transferência é enquadrada por uma decisão de adequação (incluindo o quadro de proteção de dados UE–Estados Unidos, para um prestador certificado) ou pelas cláusulas contratuais-tipo adotadas pela Comissão Europeia (decisão 2021/914). O anexo 2 indica, para cada um, o local e o enquadramento.

8. Direitos das pessoas

8.1 A C2SL ajuda o Cliente, através de medidas técnicas e organizativas adequadas, a responder aos pedidos dos titulares dos dados (acesso, retificação, apagamento, limitação, portabilidade, oposição). O serviço permite ao Cliente consultar, corrigir, exportar e apagar ele próprio os Dados.

8.2 Se uma pessoa se dirigir diretamente à C2SL a propósito de Dados tratados para o Cliente, a C2SL não lhe responde quanto ao mérito: transmite o pedido ao Cliente no prazo de cinco dias úteis e informa a pessoa.

9. Violação de dados

9.1 A C2SL notifica o Cliente de qualquer violação de dados pessoais que afete os Dados o mais rapidamente possível e, o mais tardar, quarenta e oito horas depois de ter tomado conhecimento dela, por correio eletrónico ao administrador da organização.

9.2 A notificação contém, na medida em que sejam conhecidos: a natureza da violação, as categorias e o número aproximado de pessoas e de registos afetados, as consequências prováveis, as medidas tomadas ou propostas, e o contacto na C2SL. Os elementos ainda não conhecidos são transmitidos logo que o sejam.

9.3 Cabe ao Cliente, responsável pelo tratamento, notificar a violação à autoridade de controlo e, se for caso disso, aos titulares dos dados (artigos 33.º e 34.º do RGPD). A C2SL ajuda-o nisso.

10. Assistência ao Cliente

A C2SL ajuda o Cliente, tendo em conta a natureza do tratamento e as informações de que dispõe, a cumprir as suas obrigações relativas à segurança, às violações de dados, à avaliação de impacto e à consulta prévia da autoridade (artigos 32.º a 36.º do RGPD). Esta assistência é gratuita quando incide sobre o próprio serviço; uma assistência à medida, para além disso, pode ser objeto de um orçamento prévio.

11. Destino dos Dados no fim do Contrato

No fim do Contrato, e consoante a escolha do Cliente, a C2SL restitui-lhe os Dados ou apaga-os, nas condições do artigo «Dados, reversibilidade e cópia de segurança» dos termos de venda: exportação a qualquer momento e sem custos, período de transição de trinta dias a pedido, Dados recuperáveis durante trinta dias após o fim do serviço, e depois apagamento integral. As cópias de segurança, conservadas unicamente para repor o serviço após um incidente, são apagadas no termo do seu ciclo de rotação. Só são conservados os Dados que o direito da União ou de um Estado-Membro impõe que se guardem, e apenas pela duração imposta.

12. Auditoria e informação

12.1 A C2SL disponibiliza ao Cliente todas as informações necessárias para demonstrar o cumprimento do artigo 28.º do RGPD, e permite a realização de auditorias, incluindo inspeções, pelo Cliente ou por um auditor por ele mandatado.

12.2 Para não comprometer a segurança dos outros clientes, uma auditoria é pedida por escrito com um pré-aviso de trinta dias, incide sobre o que diz respeito ao Cliente, é conduzida por um auditor sujeito a sigilo e não concorrente da C2SL, durante o horário de expediente. O Cliente suporta o seu custo, salvo se a auditoria revelar um incumprimento do Acordo por parte da C2SL. Responde-se primeiro por escrito e por documentos; só há inspeção no local se essas respostas não bastarem, ou a pedido de uma autoridade de controlo.

13. Registo

A C2SL mantém um registo das categorias de atividades de tratamento que efetua por conta dos seus clientes (artigo 30.º, n.º 2, do RGPD).

14. Obrigações do Cliente

O Cliente garante que dispõe de um fundamento jurídico para os tratamentos que confia à C2SL, que informou os titulares dos dados nas condições dos artigos 13.º e 14.º do RGPD, nomeadamente os destinatários dos seus envios e das suas partilhas, e que não dá nenhuma instrução contrária ao RGPD.

15. Responsabilidade

Cada parte responde pelos seus próprios incumprimentos nas condições do artigo 82.º do RGPD. A limitação de responsabilidade prevista nos termos de venda aplica-se ao Acordo, salvo culpa grave ou dolo.

16. Duração e alteração

O Acordo aplica-se enquanto a C2SL tratar Dados para o Cliente. A C2SL pode alterá-lo para acompanhar a evolução do direito ou do serviço; qualquer alteração que reduza a proteção dos Dados é notificada com trinta dias de antecedência, com a mesma faculdade de rescisão que no artigo 6.2. A versão em vigor é publicada nesta página.

17. Direito aplicável

O Acordo é regido pelo direito francês. Os litígios são da competência dos tribunais designados pelos termos de utilização.

Anexo 1 — Os tratamentos feitos para o Cliente

• Carteira e relação com o cliente — identidade, contactos profissionais, função, empresa, notas, trocas, reuniões, tarefas, negócios · clientes, potenciais clientes e contactos do Cliente · até à sua eliminação pelo Cliente, e depois segundo o artigo 11.
• Vendas e faturação — identidade e dados de contacto de faturação, números de identificação de empresa e de IVA, orçamentos, faturas, pagamentos; quando um cliente do Cliente aceita ou recusa um orçamento a partir da sua ligação, a prova da sua resposta: data e hora, endereço de rede e navegador, impressão digital do orçamento tal como era apresentado, motivo da recusa, se escolher um · clientes do Cliente · até à sua eliminação pelo Cliente; as faturas emitidas são conservadas segundo as obrigações contabilísticas do Cliente, e a prova de uma resposta enquanto o Cliente conservar o orçamento.
• Assinatura online (orçamento ou outro documento) — nome e endereço de e-mail do signatário tal como o Cliente os introduz, nome escrito e assinatura traçada pelo signatário, data e hora de cada etapa (envio da ligação, primeira abertura, envio do código, assinatura ou recusa, com o motivo da recusa, se escolher um), endereço de rede e navegador na primeira abertura, ao pedir o código e no momento de assinar ou recusar, impressão digital do documento recalculada no momento da assinatura; o código recebido por e-mail só é guardado sob a forma de impressão digital, nunca em claro · signatários designados pelo Cliente · enquanto o Cliente conservar o processo de prova, e depois segundo o artigo 11.
• Correio (caixa ligada, envios, campanhas) — endereços, nomes, conteúdo das mensagens e anexos, consentimento de um contacto para receber mensagens · correspondentes e destinatários do Cliente · até à sua eliminação pelo Cliente (uma mensagem enviada para o lixo é apagada após 30 dias).
• Documentos — conteúdo dos ficheiros depositados pelo Cliente · qualquer pessoa citada nesses documentos · até à sua eliminação pelo Cliente (lixo apagado após sete dias).
• Contadores de consulta das partilhas — para cada partilha: número e hora das aberturas da ligação, de cada documento ou página, dos arranques de vídeo e das transferências, pela sua ordem; nenhum endereço de rede, nenhum navegador, nenhum cookie, nenhum elemento sobre a pessoa; o tipo de navegador é lido de passagem para afastar os robôs, sem ser conservado · destinatários das partilhas e das ligações curtas do Cliente · até à cessação da partilha pelo Cliente, e o mais tardar doze meses após a última abertura.
• Eventos — identidade, contactos, resposta, presença, preferências alimentares se o convidado as fornecer · convidados do Cliente · até à sua eliminação pelo Cliente.
• Equipa — identidade, função, acessos, mensagens internas · membros da equipa do Cliente · até à sua eliminação pelo Cliente.
• Importação de um ficheiro existente — conteúdo do ficheiro depositado; se o Cliente o pedir, títulos de colunas e algumas linhas transmitidos à Mistral AI · pessoas constantes do ficheiro · durante a importação, e depois segundo os tratamentos acima.
• Equipa de agentes (opção) — excertos do dossiê em causa, conteúdo dos e-mails recebidos que um agente lê e instrução do Cliente, transmitidos à Mistral AI · pessoas constantes desses dossiês e remetentes desses e-mails · durante o pedido, sem servir para treinar os modelos do prestador.

Anexo 2 — Os nossos prestadores

• Cloudflare, Inc. — alojamento da aplicação, armazenamento de ficheiros, encaminhamento das páginas · armazenamento na Europa; sociedade estabelecida nos Estados Unidos · quadro de proteção de dados UE–Estados Unidos (certificação ativa verificada em 14 de setembro de 2026), cláusulas contratuais-tipo de reserva.
• Neon, Inc. — base de dados · Europa; sociedade estabelecida nos Estados Unidos · cláusulas contratuais-tipo.
• Amazon Web Services — encaminhamento de mensagens de correio eletrónico · região de Paris; sociedade estabelecida nos Estados Unidos · cláusulas contratuais-tipo.
• Brevo — encaminhamento de mensagens de correio eletrónico, como solução de recurso · França.
• Mistral AI — tratamento dos pedidos aos agentes, dos e-mails recebidos que leem e da importação de ficheiros, se o Cliente o ativar · Europa.

Anexo 3 — Medidas de segurança

• Comunicações cifradas (HTTPS/TLS) entre o navegador e o serviço.
• Compartimentação de cada organização: cada dado leva o identificador da sua organização, e a filtragem é aplicada automaticamente pelo servidor a cada pedido.
• Direitos por função e por serviço no interior de uma organização.
• Registo das tentativas de abuso, alertas internos e medidas graduais, descritos nos termos de utilização.
• Limitação das tentativas de início de sessão.
• Ficheiros servidos com proteções contra a sua execução no navegador; páginas partilhadas apresentadas num domínio separado.
• Demonstração pública em modo de leitura apenas, com dados fictícios.
• Cópias de segurança da base de dados, conservadas unicamente para repor o serviço após um incidente.

Contacto

Para qualquer questão sobre este Acordo: [email protected].