Acordo de Processamento de Dados do QR Code AI

ACORDO DE PROCESSAMENTO DE DADOS (DPA)

Última atualização: 2 de março de 2026

Este Acordo de Processamento de Dados («DPA») faz parte dos Termos de serviço («Contrato») entre a Supernovae, sociedade registada em França, com morada em 27 Rue Wurtz, Juvisy-sur-Orge 91260 e número de identificação para efeitos de IVA FR67948452891 («Subcontratante», «nós»), e a entidade que aceita este DPA («Responsável pelo Tratamento»), conjuntamente designadas «Partes».

Este DPA aplica-se quando tratamos dados pessoais por sua conta no âmbito dos nossos serviços QR Code AI, incluindo através da API.

1. DEFINIÇÕES

• «Dados Pessoais» significa qualquer informação relativa a uma pessoa singular identificada ou identificável, conforme definido no artigo 4.º, n.º 1, do RGPD.
• «Tratamento» significa qualquer operação ou conjunto de operações efetuadas sobre Dados Pessoais, conforme definido no artigo 4.º, n.º 2, do RGPD.
• «Titular dos Dados» significa a pessoa singular identificada ou identificável a quem os Dados Pessoais dizem respeito.
• «Subprocessador» significa qualquer terceiro contratado pelo Subcontratante para tratar Dados Pessoais por conta do Responsável pelo Tratamento, na qualidade de outro subcontratante.
• «RGPD» significa o Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho.
• «RGPD do Reino Unido» significa o Regulamento Geral sobre a Proteção de Dados do Reino Unido, conforme aplicável no direito britânico e lido em conjunto com a Data Protection Act 2018.
• «CCT» significa as cláusulas contratuais-tipo aprovadas pela Comissão Europeia para a transferência de Dados Pessoais para países terceiros.
• «Violação de Dados» significa uma violação da segurança que provoque a destruição, perda, alteração, divulgação ou acesso não autorizados a Dados Pessoais, de forma acidental ou ilícita.

2. ÂMBITO E FUNÇÕES

2.1 Responsável pelo Tratamento e Subcontratante

Para efeitos deste DPA:

• A sua entidade (Responsável pelo Tratamento): Determina as finalidades e os meios de tratamento dos Dados Pessoais quando utiliza os nossos Serviços, em particular quando utiliza a nossa API para gerar QR codes para os seus próprios clientes ou integra os nossos Serviços nos seus produtos.
• Nós (Subcontratante): Tratamos Dados Pessoais por sua conta e de acordo com as suas instruções, conforme descrito neste DPA e no Contrato.

2.2 Quando se aplica este DPA

Este DPA aplica-se quando:

• Utiliza a API do QR Code AI para gerar QR codes que tratam dados dos seus utilizadores finais (por exemplo, URLs com informações pessoais, dados vCard ou dados de contacto codificados em QR codes).
• Utiliza as funcionalidades de rastreio e análise do QR Code AI que recolhem dados de leitura dos seus utilizadores finais.
• Se verifica qualquer outra situação em que tratamos Dados Pessoais por sua conta, na qualidade de subcontratante.

Quando utiliza o QR Code AI como utilizador individual para as suas próprias finalidades, atuamos como responsável pelo tratamento independente e o tratamento dos dados rege-se pela nossa Política de privacidade.

3. DETALHES DO TRATAMENTO DE DADOS

3.1 Objeto e duração

Tratamos Dados Pessoais durante a vigência do Contrato para prestar os serviços QR Code AI, incluindo a geração, o rastreio e a análise de QR codes e as funcionalidades relacionadas.

3.2 Natureza e finalidade do tratamento

• Geração de QR codes com base nos dados fornecidos pelo Responsável pelo Tratamento
• Rastreio das leituras de QR codes e recolha de dados de análise
• Armazenamento de configurações de QR codes e dos metadados associados
• Tratamento de pedidos de QR codes artísticos gerados por IA
• Disponibilização de relatórios e painéis de análise

3.3 Tipos de Dados Pessoais

Os tipos de Dados Pessoais tratados podem incluir:

• Dados de contacto (nomes, endereços de email e números de telefone) codificados em QR codes
• URLs e endereços web
• Dados de localização provenientes de leituras de QR codes
• Informações de dispositivos e endereços IP provenientes de leituras de QR codes
• Instruções de texto e imagens fornecidas para a geração de QR codes com IA
• Quaisquer outros dados que o Responsável pelo Tratamento decida codificar em QR codes

3.4 Categorias de Titulares dos Dados

• Utilizadores finais que leem QR codes criados pelo Responsável pelo Tratamento
• Pessoas cujos dados de contacto estão codificados em QR codes
• Utilizadores dos produtos ou serviços do Responsável pelo Tratamento que interagem com QR codes

4. OBRIGAÇÕES DO SUBCONTRATANTE

4.1 Instruções de tratamento

Trataremos Dados Pessoais apenas de acordo com as suas instruções documentadas, salvo se tal tratamento for exigido pelo direito da União Europeia ou de um Estado-Membro a que estejamos sujeitos. Nesse caso, informaremos a sua entidade dessa exigência legal antes do tratamento, salvo se a lei proibir essa informação por motivos relevantes de interesse público.

Informaremos imediatamente a sua entidade se, na nossa opinião, uma instrução violar o RGPD ou outras disposições aplicáveis da União Europeia ou dos Estados-Membros em matéria de proteção de dados.

4.2 Confidencialidade

Garantimos que as pessoas autorizadas a tratar Dados Pessoais assumiram um compromisso de confidencialidade ou estão sujeitas a uma obrigação legal de confidencialidade adequada.

4.3 Medidas de segurança

Aplicamos medidas técnicas e organizativas adequadas para assegurar um nível de segurança adequado ao risco, incluindo:

• Cifragem dos Dados Pessoais em trânsito (TLS/HTTPS), com cifragem em repouso das informações sensíveis armazenadas
• Controlos de acesso e autenticação baseada em funções para os sistemas internos
• Avaliações de segurança e análises de vulnerabilidades regulares
• Infraestrutura alojada na Scaleway e na DigitalOcean, com medidas de segurança e conformidade que dependem do prestador e do serviço de alojamento
• Proteção contra DDoS e firewall de aplicações web (Cloudflare)
• Cópias de segurança regulares com armazenamento cifrado
• Registo e monitorização do acesso aos Dados Pessoais

4.4 Subprocessadores

Utilizamos os subprocessadores indicados na nossa página de Subprocessadores. Notificaremos diretamente a sua entidade, por escrito, de qualquer adição ou substituição prevista de um subprocessador, concedendo-lhe 30 dias a contar dessa notificação para se opor antes de a alteração produzir efeitos. Pode opor-se contactando-nos através de [email protected] dentro desse prazo. Se apresentar uma oposição e não pudermos dar-lhe uma resposta razoavelmente satisfatória, qualquer das partes pode fazer cessar a parte afetada dos Serviços.

Só contrataremos um subprocessador para tratar Dados Pessoais por sua conta ao abrigo de um contrato escrito, incluindo termos eletrónicos aplicáveis, que imponha as obrigações de proteção de dados exigidas pelo artigo 28.º, n.º 4, do RGPD. Continuamos responsáveis pelos nossos subprocessadores nos termos desse artigo.

4.5 Direitos dos Titulares dos Dados

Prestaremos assistência na resposta a pedidos de Titulares dos Dados que exerçam os seus direitos ao abrigo da legislação aplicável em matéria de proteção de dados (acesso, retificação, apagamento, limitação, portabilidade e oposição). Se recebermos um pedido diretamente de um Titular dos Dados, encaminharemos prontamente o titular para a sua entidade, salvo instruções em contrário.

4.6 Assistência ao cumprimento das obrigações

Prestaremos assistência para assegurar o cumprimento das obrigações da sua entidade previstas nos artigos 32.º a 36.º do RGPD, tendo em conta a natureza do tratamento e as informações de que dispomos.

5. NOTIFICAÇÃO DE VIOLAÇÕES DE DADOS

5.1 Prazo de notificação

Notificaremos a sua entidade de uma Violação de Dados sem demora injustificada e, em qualquer caso, no prazo de 72 horas após tomarmos conhecimento da violação. A notificação será enviada para o endereço de email associado à sua conta.

5.2 Conteúdo da notificação

A notificação incluirá, na medida em que estejam disponíveis:

• Uma descrição da natureza da Violação de Dados, incluindo as categorias e o número aproximado de Titulares dos Dados e de registos afetados.
• O nome e os dados de contacto do nosso ponto de contacto para a proteção de dados.
• Uma descrição das consequências prováveis da Violação de Dados.
• Uma descrição das medidas tomadas ou propostas para responder à Violação de Dados, incluindo medidas para atenuar os seus possíveis efeitos adversos.

5.3 Cooperação contínua

Cooperaremos com a sua entidade e prestaremos assistência razoável na investigação, mitigação e reparação de qualquer Violação de Dados, bem como nas notificações às autoridades de controlo ou aos Titulares dos Dados que tenha a obrigação de efetuar.

6. TRANSFERÊNCIAS INTERNACIONAIS DE DADOS

6.1 Localização dos dados

Os Dados Pessoais são armazenados e tratados principalmente na União Europeia:

• França (UE) através da Scaleway
• Países Baixos (UE) através da DigitalOcean

6.2 Transferências para fora da UE/EEE

Alguns dos nossos subprocessadores estão localizados fora da UE/EEE, principalmente nos Estados Unidos. Para estas transferências, recorremos a:

• Quadro de Privacidade de Dados UE-EUA: Quando aplicável, para transferências para prestadores sediados nos EUA e certificados ao abrigo deste quadro.
• Cláusulas contratuais-tipo (CCT): Incorporamos as CCT aprovadas pela Comissão Europeia (Decisão de Execução (UE) 2021/914 da Comissão) nos nossos acordos com subprocessadores localizados fora da UE/EEE quando o Quadro de Privacidade de Dados não se aplica.

6.3 Avaliação do impacto das transferências

Realizamos avaliações do impacto das transferências para países terceiros e aplicamos medidas complementares quando necessário para assegurar um nível adequado de proteção de dados.

7. AUDITORIAS E INSPEÇÕES

7.1 Direitos de auditoria

Tem o direito de auditar o nosso cumprimento deste DPA. Disponibilizaremos todas as informações necessárias para demonstrar esse cumprimento e permitiremos e contribuiremos para auditorias, incluindo inspeções, realizadas pela sua entidade ou por um auditor por si mandatado.

7.2 Procedimento de auditoria

As seguintes condições aplicam-se às auditorias apenas na medida em que não restrinjam direitos ou obrigações previstos na legislação aplicável em matéria de proteção de dados:

• Deve enviar uma notificação escrita com, pelo menos, 30 dias de antecedência relativamente a qualquer auditoria.
• As auditorias não podem ser realizadas mais de uma vez por ano, salvo se exigidas por uma autoridade de controlo ou na sequência de uma Violação de Dados.
• As auditorias devem realizar-se durante o horário normal de funcionamento e não devem interferir de forma irrazoável com as nossas operações.
• É responsável pelos custos de qualquer auditoria, salvo se esta revelar uma violação substancial deste DPA.
• As informações confidenciais dos nossos outros clientes não podem ser expostas durante a auditoria.

8. CONSERVAÇÃO E ELIMINAÇÃO DE DADOS

8.1 Durante a vigência do Contrato

Conservamos Dados Pessoais durante a vigência do Contrato, na medida necessária à prestação dos Serviços.

8.2 Após a cessação

Após a cessação do Contrato ou mediante pedido escrito da sua entidade:

• Conforme a sua escolha, eliminaremos os Dados Pessoais ou devolver-lhos-emos e eliminaremos as cópias restantes dos nossos sistemas ativos no prazo de 30 dias.
• Os Dados Pessoais em arquivos de cópias de segurança serão eliminados no prazo de 6 meses e, até então, permanecerão protegidos e não serão utilizados para outras finalidades, salvo disposição em contrário da legislação aplicável.
• Podemos conservar Dados Pessoais na medida exigida pela legislação aplicável (por exemplo, obrigações fiscais ou contabilísticas); nesse caso, isolaremos e protegeremos esses dados e limitaremos o tratamento posterior ao exigido por lei.

8.3 Confirmação da eliminação

A pedido da sua entidade, forneceremos confirmação escrita de que os Dados Pessoais foram eliminados de acordo com esta secção.

9. RESPONSABILIDADE

A responsabilidade de cada parte ao abrigo deste DPA está sujeita às limitações de responsabilidade previstas no Contrato. Nenhuma disposição deste DPA limita a responsabilidade de qualquer das partes perante os Titulares dos Dados ou as autoridades de controlo ao abrigo da legislação aplicável em matéria de proteção de dados.

10. LEI APLICÁVEL

Este DPA rege-se pelas leis de França. O RGPD e o RGPD do Reino Unido aplicam-se na medida em que o tratamento esteja abrangido pelo respetivo âmbito legal. Quaisquer litígios decorrentes deste DPA serão resolvidos de acordo com as disposições do Contrato relativas à resolução de litígios.

11. COMO CELEBRAR ESTE DPA

Este DPA está incorporado nos Termos de serviço e faz parte dos mesmos. Ao utilizar os Serviços QR Code AI, aceita este DPA.

Se necessitar de uma cópia deste DPA assinada separadamente para os seus registos, contacte-nos através de [email protected] e forneceremos uma no prazo de 10 dias úteis.

12. CONTACTO

Para questões sobre este DPA ou as nossas práticas de tratamento de dados:

Supernovae 27 Rue Wurtz Juvisy-sur-Orge, Ile-de-France 91260 France [email protected]