Data de entrada em vigor: 28/03/2026
O presente Acordo de Tratamento de Dados (“ATD”) é celebrado entre:
Conjuntamente designados como as “Partes.”
O presente ATD complementa e faz parte integrante do acordo celebrado entre as Partes para a prestação do conjunto de produtos B2B da Bomdiu para o setor da alimentação e bebidas, conforme regulado pelos Termos de Serviço (o “Acordo”). Em caso de conflito entre o presente ATD e o Acordo, o presente ATD prevalecerá no que respeita a questões de proteção de dados.
Os termos não definidos no presente documento terão o significado que lhes é atribuído no Acordo ou no Regulamento (UE) 2016/679 (“RGPD”).
O Subcontratante trata Dados Pessoais em nome do Responsável pelo tratamento para disponibilizar a plataforma B2B da Bomdiu para o setor da alimentação e bebidas, incluindo gestão de encomendas, gestão de catálogos, sincronização de dados, inteligência empresarial e processamento de documentos assistido por IA.
O tratamento prosseguirá durante a vigência do Acordo. Após a cessação, aplicar-se-ão as disposições da Secção 11 do presente ATD.
O Subcontratante trata Dados Pessoais para as seguintes finalidades:
O Responsável pelo tratamento deve:
O Subcontratante tratará os Dados Pessoais apenas com base em instruções documentadas do Responsável pelo tratamento, incluindo no que respeita a transferências de Dados Pessoais para um país terceiro, salvo se a tal for obrigado pelo direito da UE ou do Estado-Membro a que o Subcontratante está sujeito. Nesse caso, o Subcontratante informará o Responsável pelo tratamento dessa exigência legal antes do tratamento, a menos que a lei proíba tal notificação.
As Partes acordam que o Acordo (incluindo o presente ATD) e a utilização do Serviço pelo Responsável pelo tratamento constituem as instruções documentadas completas e definitivas do Responsável pelo tratamento ao Subcontratante. Quaisquer instruções adicionais ou alternativas devem ser acordadas separadamente por escrito.
O Subcontratante assegurará que as pessoas autorizadas a tratar Dados Pessoais se comprometeram a respeitar a confidencialidade ou estão sujeitas a uma obrigação legal de confidencialidade adequada.
O Subcontratante implementará medidas técnicas e organizativas adequadas para assegurar um nível de segurança adequado ao risco, incluindo, conforme apropriado:
O Subcontratante analisará e atualizará regularmente estas medidas para refletir alterações na tecnologia, nas ameaças e na natureza dos dados tratados.
O Subcontratante, tendo em conta a natureza do tratamento e as informações ao seu dispor, assistirá o Responsável pelo tratamento através de medidas técnicas e organizativas adequadas, na medida do possível, no cumprimento da obrigação do Responsável pelo tratamento de dar resposta aos pedidos dos titulares dos dados ao abrigo do Capítulo III do RGPD (acesso, retificação, apagamento, limitação, portabilidade e oposição).
O Subcontratante assistirá igualmente o Responsável pelo tratamento no cumprimento das seguintes obrigações:
Quando essa assistência exigir um esforço significativo para além do funcionamento normal do Serviço, o Subcontratante poderá cobrar uma taxa razoável com base nos custos efetivos do Subcontratante.
O Responsável pelo tratamento concede ao Subcontratante autorização geral por escrito para contratar Subcontratantes ulteriores para a realização de atividades de tratamento específicas em nome do Responsável pelo tratamento. O Subcontratante assegurará que cada Subcontratante ulterior está vinculado por obrigações de proteção de dados não menos protetoras do que as estabelecidas no presente ATD.
Os Subcontratantes ulteriores atuais do Subcontratante à data do presente ATD estão listados no Anexo B. Uma lista atualizada é igualmente mantida na Política de Privacidade.
O Subcontratante notificará o Responsável pelo tratamento de quaisquer alterações previstas relativas à adição ou substituição de Subcontratantes ulteriores com pelo menos trinta (30) dias de antecedência relativamente ao início do tratamento de Dados Pessoais pelo novo Subcontratante ulterior, dando assim ao Responsável pelo tratamento a oportunidade de se opor a tais alterações.
Se o Responsável pelo tratamento tiver uma objeção razoável e documentada a um novo Subcontratante ulterior com base em motivos de proteção de dados, o Responsável pelo tratamento notificará o Subcontratante por escrito no prazo de quinze (15) dias a contar da receção da notificação do Subcontratante. As Partes discutirão a objeção de boa-fé com vista a alcançar uma resolução comercialmente razoável.
Se não for possível alcançar uma resolução no prazo de trinta (30) dias a contar da objeção do Responsável pelo tratamento, o Responsável pelo tratamento poderá resolver o Acordo (ou a parte afetada do Serviço) mediante notificação escrita, sem penalização. O Subcontratante reembolsará quaisquer taxas pré-pagas correspondentes à parte não utilizada do período de subscrição após a data efetiva da resolução.
O Subcontratante permanecerá plenamente responsável perante o Responsável pelo tratamento pelo cumprimento das obrigações de cada Subcontratante ulterior ao abrigo do presente ATD.
O Subcontratante não transferirá Dados Pessoais para um país fora do Espaço Económico Europeu (EEE) sem que estejam implementadas as garantias adequadas exigidas pelo Capítulo V do RGPD.
Quando sejam necessárias transferências para fora do EEE, o Subcontratante recorre a um ou mais dos seguintes mecanismos:
O Subcontratante realiza Avaliações de Impacto das Transferências para transferências de dados para países terceiros e disponibilizará resumos ao Responsável pelo tratamento mediante pedido razoável.
O Subcontratante notificará o Responsável pelo tratamento sem demora injustificada, e em qualquer caso no prazo de quarenta e oito (48) horas, após tomar conhecimento de uma Violação de Dados que afete Dados Pessoais tratados em nome do Responsável pelo tratamento.
A notificação incluirá, na medida do conhecido no momento:
Se não for possível fornecer todas as informações em simultâneo, o Subcontratante fornecerá as informações por fases, sem demora adicional injustificada.
O Subcontratante cooperará com o Responsável pelo tratamento e tomará medidas comerciais razoáveis para assistir na investigação, mitigação e remediação da Violação de Dados. O Subcontratante não informará terceiros sobre uma Violação de Dados sem consultar previamente o Responsável pelo tratamento, salvo se exigido por lei.
O Subcontratante disponibilizará ao Responsável pelo tratamento todas as informações necessárias para demonstrar o cumprimento das obrigações previstas no Artigo 28.º do RGPD e no presente ATD, e permitirá e contribuirá para a realização de auditorias, incluindo inspeções, conduzidas pelo Responsável pelo tratamento ou por um auditor independente mandatado pelo Responsável pelo tratamento.
As auditorias estarão sujeitas às seguintes condições:
O Subcontratante poderá satisfazer os pedidos de auditoria fornecendo ao Responsável pelo tratamento relatórios de auditoria de terceiros relevantes, certificações (por exemplo, SOC 2, ISO 27001) ou outras provas de conformidade, desde que tais provas respondam de forma razoável aos objetivos de auditoria do Responsável pelo tratamento.
O Subcontratante utiliza tecnologias de inteligência artificial e aprendizagem automática como parte do Serviço para auxiliar na extração, organização e tratamento de dados empresariais a partir de documentos tais como faturas, encomendas e catálogos.
Os Dados Pessoais tratados através de funcionalidades de IA poderão ser transmitidos aos seguintes Subcontratantes ulteriores de IA (igualmente listados no Anexo B):
Apenas os dados estritamente necessários para disponibilizar a funcionalidade de IA relevante são transmitidos aos Subcontratantes ulteriores de IA.
Os Dados Pessoais tratados através de funcionalidades de IA são utilizados exclusivamente para inferência e não são utilizados para treinar modelos de IA. O Subcontratante assegura que os seus Subcontratantes ulteriores de IA estão contratualmente proibidos de conservar ou utilizar Dados Pessoais para fins de treino de modelos.
Os resultados gerados por IA são apresentados para revisão e confirmação humana antes de qualquer ação ser tomada. Nenhuma decisão automatizada com efeitos jurídicos ou igualmente significativos é tomada exclusivamente por IA sem revisão humana.
O Subcontratante não efetua decisões individuais automatizadas nem definição de perfis que produzam efeitos jurídicos relativamente aos titulares dos dados ou que os afetem de forma igualmente significativa, conforme definido no Artigo 22.º do RGPD. Se tal se alterar, o Subcontratante notificará o Responsável pelo tratamento e atualizará o presente ATD em conformidade.
Após a cessação ou caducidade do Acordo, o Responsável pelo tratamento disporá de um período de noventa (90) dias (“Período de Recuperação”) para exportar os seus Dados Pessoais do Serviço. O Subcontratante disponibilizará os dados para exportação num formato estruturado, de uso corrente e de leitura automática (por exemplo, CSV ou JSON através das funcionalidades de exportação da plataforma ou API).
Após o Período de Recuperação, o Subcontratante eliminará ou anonimizará todos os Dados Pessoais tratados em nome do Responsável pelo tratamento, salvo se a sua conservação for exigida pelo direito da UE ou de um Estado-Membro. O Subcontratante confirmará a eliminação por escrito mediante pedido do Responsável pelo tratamento.
Os Dados Pessoais poderão persistir em cópias de segurança cifradas por um período máximo de trinta (30) dias após a eliminação dos sistemas de produção, em conformidade com o calendário de rotação de cópias de segurança do Subcontratante. Os dados de cópia de segurança não são ativamente tratados e apenas são restaurados em cenários de recuperação de desastres.
O Subcontratante poderá conservar Dados Pessoais limitados quando tal for exigido para cumprir obrigações legais (por exemplo, registos fiscais ao abrigo da Lei Grega 4987/2022, Art. 36.º: 5 anos, extensíveis a 10 anos em caso de auditorias pendentes), resolver litígios ou fazer cumprir o Acordo. Sempre que possível, os dados conservados serão isolados e sujeitos a restrições de acesso.
A responsabilidade das Partes ao abrigo do presente ATD estará sujeita às limitações e exclusões de responsabilidade previstas no Acordo, exceto na medida em que a Legislação Aplicável em Matéria de Proteção de Dados exija o contrário.
O presente ATD produzirá efeitos na data em que o Responsável pelo tratamento aceitar o Acordo e permanecerá em vigor enquanto o Subcontratante tratar Dados Pessoais em nome do Responsável pelo tratamento.
O presente ATD poderá ser alterado pelo Subcontratante para refletir alterações na Legislação Aplicável em Matéria de Proteção de Dados ou orientações das autoridades de controlo. As alterações materiais serão notificadas ao Responsável pelo tratamento com pelo menos trinta (30) dias de antecedência. A continuação da utilização do Serviço pelo Responsável pelo tratamento após a entrada em vigor da alteração constitui aceitação. Se o Responsável pelo tratamento não concordar com a alteração, poderá resolver o Acordo em conformidade com a Secção 17 dos Termos de Serviço.
O presente ATD é regido pelas leis da República Helénica (Grécia) e está sujeito à jurisdição exclusiva dos Tribunais de Thessaloniki, em consonância com o Acordo.
| Elemento | Descrição |
|---|---|
| Objeto | Tratamento de Dados Pessoais para disponibilizar a plataforma B2B da Bomdiu para o setor da alimentação e bebidas |
| Duração | Duração do Acordo acrescida dos períodos de retenção pós-cessação descritos na Secção 11 |
| Natureza do tratamento | Recolha, conservação, organização, consulta, utilização, divulgação por transmissão, alinhamento, combinação, limitação, apagamento, destruição |
| Finalidade | Alojamento da plataforma, facilitação de encomendas, sincronização de dados, processamento de documentos assistido por IA, análise, comunicações transacionais, apoio ao cliente |
| Tipos de Dados Pessoais | Dados de contacto (nome, email, telefone, morada), informações de colaboradores (nome, cargo), dados de encomendas/transações, mensagens de conversação, identificadores técnicos (endereço IP, credenciais com hash) |
| Categorias de titulares dos dados | Colaboradores e prestadores de serviços do Responsável pelo tratamento, pessoas de contacto dos clientes/fornecedores do Responsável pelo tratamento, pessoal de entrega/logística |
Os seguintes Subcontratantes ulteriores estão autorizados à data de publicação do presente ATD:
| Subcontratante ulterior | Serviço | Dados Tratados | Localização dos Dados | Mecanismo de Transferência |
|---|---|---|---|---|
| Cloudflare | CDN, base de dados (D1), alojamento (Workers/Pages), análise web, inferência de IA (Workers AI) | Dados técnicos, dados de conta, dados operacionais | UE (principal), EUA | DPF UE-EUA; CCT |
| PlanetScale | Alojamento de base de dados | Dados de conta, dados operacionais | UE | CCT |
| UpCloud | Alojamento de infraestrutura | Dados de conta, dados operacionais | UE | N/A (apenas EEE) |
| Fly.io | Alojamento de serviços | Dados de conta, dados operacionais | UE | N/A (apenas EEE) |
| Resend | Envio de correio eletrónico transacional | Dados de contacto (nome, email), conteúdo de notificações | EUA | DPF UE-EUA; CCT |
| PostHog | Análise de produto, gravação de sessões (Cloud UE) | Eventos de análise de utilização, dados de gravação de sessões (incluindo conteúdo/interações no ecrã que podem incluir dados pessoais), identificadores internos de organização/cliente | UE | N/A (apenas EEE) |
| Google (Vertex AI) | Inferência de IA (processamento de documentos) | Conteúdo de documentos (faturas, encomendas, catálogos) que pode conter dados de contacto | Região da UE | CCT; DPA Google |
| Better Auth | Infraestrutura de autenticação (painel de controlo, proteção contra abusos, registo de auditoria) | Dados de conta, eventos de autenticação, eventos de segurança (endereços IP, impressões digitais do navegador, localizações de início de sessão), endereços de email | EUA | CCT |
Nota: O serviço de análise Umami é autoalojado na infraestrutura própria da Bomdiu e não constitui um Subcontratante ulterior.
Para questões relativas ao presente ATD, contacte:
Bomdiu SINGLE MEMBER PC GEMI: 190310106000 VAT: EL803131996 Geor. Gennimata 21 555 35 Thessaloniki Greece Phone: +30 231 176 8265 Email: privacy@bomdiu.com Website: https://bomdiu.com