Contrato de subcontratação de dados (art. 28.º RGPD)

Última atualização: 13 de novembro de 2026

Aplica-se às empresas clientes (“Responsável”) que usam o Prova (“Subcontratante”) para receber relatórios de aparelhos dos seus clientes.

Objeto e duração

Tratamento de relatórios de diagnóstico de aparelhos partilhados com o Responsável mediante consentimento do titular, durante a vigência da conta.

Categorias de dados e titulares

Clientes do Responsável. Dados: modelo, capacidade, versão do sistema, resultados dos testes, dados declarados (ex.: IMEI, saúde da bateria), identificador aleatório da instalação, metadados e referência definidos pelo Responsável.

Obrigações do Subcontratante

Tratar os dados apenas segundo instruções documentadas do Responsável (incluindo a API e o painel).
Confidencialidade das pessoas autorizadas; registo de acessos disponível ao Responsável.
Medidas técnicas e organizativas: alojamento na UE, cifra em trânsito e em repouso, isolamento por conta, chaves de acesso com permissões limitadas e revogáveis, limites de pedidos, cópias de segurança.
Subcontratantes ulteriores: Supabase (UE), Render (UE), Vercel, Stripe, InvoiceXpress. Aviso prévio de 30 dias antes de alterações, com direito de oposição.
Assistência no exercício dos direitos dos titulares e em avaliações de impacto.
Notificação de violações de dados sem demora injustificada e, no máximo, em 48 horas.
Apagamento ou devolução dos dados no fim do contrato (exportação via API), salvo obrigação legal.
Disponibilização da informação necessária para demonstrar o cumprimento e permitir auditorias razoáveis.

Retenção

Configurável pelo Responsável no painel (30 dias a 10 anos; por defeito 24 meses). Relatórios cujo consentimento foi retirado deixam de estar acessíveis ao Responsável.

[Partes, assinaturas e anexo de medidas técnicas detalhadas — a completar com o jurista.]