Entre:

Firma (1600 Holdings LLC) ("Subcontratante" ou "Firma.dev")

E:

A entidade que aceita os Termos e Condições da Firma.dev ("Responsável pelo Tratamento" ou "Cliente")

Data de Entrada em Vigor: Mediante a aceitação dos Termos e Condições da Firma.dev por parte do Cliente

1. Definições

"Dados Pessoais" designa qualquer informação relativa a uma pessoa singular identificada ou identificável tratada pela Firma.dev em nome do Cliente através do Serviço.

"Titular dos Dados" designa uma pessoa singular identificada ou identificável cujos Dados Pessoais são tratados.

"Tratamento" designa qualquer operação realizada sobre Dados Pessoais, por meios automatizados ou não, incluindo a recolha, o registo, a organização, a estruturação, a conservação, a adaptação ou alteração, a recuperação, a consulta, a utilização, a divulgação, a transmissão, a difusão ou qualquer outra forma de disponibilização, a comparação ou interconexão, a limitação, o apagamento ou a destruição.

"Subsubcontratante" designa qualquer terceiro contratado pela Firma.dev para tratar Dados Pessoais em nome do Cliente.

"Serviço" designa a API de assinatura eletrónica da Firma.dev e serviços relacionados, conforme descrito nos Termos e Condições.

"Cláusulas Contratuais-Tipo" (CCTs) designa as Cláusulas Contratuais-Tipo para a transferência de dados pessoais para países terceiros nos termos do Regulamento (UE) 2016/679, adotadas pela Comissão Europeia.

"RGPD" designa o Regulamento (UE) 2016/679 (Regulamento Geral sobre a Proteção de Dados).

2. Âmbito e Funções

2.1 Este Acordo de Tratamento de Dados (ATD) aplica-se sempre que a Firma.dev trate Dados Pessoais em nome do Cliente no âmbito do Serviço.

2.2 O Cliente atua como Responsável pelo Tratamento. O Cliente determina as finalidades e os meios do tratamento dos Dados Pessoais.

2.3 A Firma.dev atua como Subcontratante. A Firma.dev trata Dados Pessoais apenas mediante instruções documentadas do Cliente, conforme descrito neste ATD e nos Termos e Condições.

3. Detalhes do Tratamento de Dados

3.1 Categorias de Titulares dos Dados

• Colaboradores, prestadores de serviços e utilizadores autorizados do Cliente

• Signatários finais que interagem com documentos enviados através do Serviço

3.2 Tipos de Dados Pessoais

• Nomes e endereços de email

• Dados de assinatura (assinaturas desenhadas, digitadas ou carregadas)

• Endereços IP e carimbos de data/hora

• Conteúdo do documento (na medida em que contenha Dados Pessoais)

• Informações de registo de auditoria (audit trail)

3.3 Atividades de Tratamento

• Armazenamento e apresentação de documentos para assinatura

• Captura e aplicação de assinaturas eletrónicas

• Geração de registos de auditoria e certificados de conclusão

• Envio de notificações de pedido de assinatura

• Disponibilização de acesso à API e webhooks

3.4 Duração do Tratamento

A Firma.dev tratará os Dados Pessoais durante a vigência do contrato e conforme necessário para o cumprimento das obrigações legais, tal como especificado na Política de Privacidade.

4. Obrigações da Firma.dev

A Firma.dev deve:

4.1 Tratar os Dados Pessoais apenas mediante instruções documentadas do Cliente, incluindo no que diz respeito a transferências para países terceiros, exceto se a isso for obrigada pelo direito da UE ou de um Estado-Membro. A Firma.dev informará o Cliente sobre esse requisito legal antes do tratamento, a menos que a lei o proíba.

4.2 Assegurar que as pessoas autorizadas a tratar os Dados Pessoais assumiram um compromisso de confidencialidade ou estão sujeitas a adequadas obrigações legais de confidencialidade.

4.3 Implementar as medidas técnicas e organizativas adequadas descritas no Anexo 1 (Medidas Técnicas e Organizativas).

4.4 Respeitar as condições para a contratação de Subsubcontratantes, conforme descrito na Secção 6.

4.5 Prestar assistência ao Cliente, tendo em conta a natureza do tratamento, através de medidas técnicas e organizativas adequadas, para o cumprimento das obrigações do Cliente de responder aos pedidos dos Titulares dos Dados.

4.6 Prestar assistência ao Cliente na garantia do cumprimento das obrigações decorrentes dos Artigos 32.º a 36.º do RGPD, tendo em conta a natureza do tratamento e a informação disponível para a Firma.dev.

4.7 Conforme opção do Cliente, apagar ou devolver todos os Dados Pessoais após a cessação do Serviço, exceto quando a conservação dos dados for exigida pela legislação aplicável.

4.8 Disponibilizar ao Cliente todas as informações necessárias para demonstrar o cumprimento das obrigações previstas no Artigo 28.º do RGPD, e permitir e contribuir para a realização de auditorias, conforme descrito na Secção 10.

4.9 Não utilizar o conteúdo dos envelopes, o conteúdo dos documentos ou os dados dos signatários para treinar, desenvolver ou melhorar quaisquer modelos de inteligência artificial ou de aprendizagem automática, ou para fins de melhoria de produtos ou análise da própria Firma.dev.

5. Obrigações do Cliente

O Cliente deve:

5.1 Garantir que os Dados Pessoais são recolhidos e tratados em conformidade com as leis de proteção de dados aplicáveis, incluindo a obtenção de quaisquer consentimentos necessários ou a prestação das informações exigidas aos Titulares dos Dados.

5.2 Fornecer instruções documentadas à Firma.dev relativamente ao tratamento de Dados Pessoais.

5.3 Garantir que a utilização do Serviço pelo Cliente está em conformidade com todas as leis e regulamentos aplicáveis.

6. Subsubcontratantes

6.1 O Cliente autoriza a Firma.dev a contratar os Subsubcontratantes listados no Anexo 2 (Lista de Subsubcontratantes).

6.2 A Firma.dev informará o Cliente de quaisquer alterações planeadas relativamente aos Subsubcontratantes através da atualização da Lista de Subsubcontratantes. O Cliente poderá opor-se a tais alterações no prazo de 30 dias a contar da notificação. Se o Cliente se opuser e a Firma.dev não conseguir razoavelmente acomodar a objeção, o Cliente poderá cessar o Serviço afetado.

6.3 A Firma.dev celebrará acordos escritos com cada Subsubcontratante, impondo obrigações de proteção de dados não menos protetoras do que as previstas neste ATD.

6.4 A Firma.dev permanece plenamente responsável pelo desempenho dos seus Subsubcontratantes.

7. Transferências Internacionais

7.1 Residência de Dados na UE: Os dados dos documentos e dos signatários do Cliente são armazenados e tratados na União Europeia. A infraestrutura principal da Firma.dev está localizada em AWS eu-west-3 (Paris, França), com serviços de CDN em AWS eu-north-1 (Estocolmo, Suécia). Dados Pessoais limitados, tais como nomes e endereços de email dos signatários, podem ser tratados por subsubcontratantes localizados fora da UE, conforme listado no Anexo 2, sujeitos a salvaguardas adequadas nos termos da Secção 7.2. Os Clientes que exijam que todos os Dados Pessoais permaneçam na UE podem desativar os emails enviados pela Firma e utilizar a sua própria infraestrutura de email, conforme descrito na documentação de white-labeling.

7.2 Se a Firma.dev transferir Dados Pessoais para fora do Espaço Económico Europeu, a Firma.dev garantirá que existem salvaguardas adequadas, tais como as Cláusulas Contratuais-Tipo (CCTs) aprovadas pela Comissão Europeia.

7.3 Mediante solicitação, a Firma.dev celebrará as CCTs com o Cliente para quaisquer transferências para países terceiros que não beneficiem de uma decisão de adequação.

8. Pedidos dos Titulares dos Dados

8.1 A Firma.dev notificará o Cliente imediatamente se receber um pedido de um Titular dos Dados para exercer os seus direitos ao abrigo do RGPD (acesso, retificação, apagamento, portabilidade, limitação ou oposição).

8.2 A Firma.dev não responderá diretamente aos pedidos dos Titulares dos Dados, a menos que seja autorizada pelo Cliente ou exigida por lei.

8.3 A Firma.dev prestará assistência razoável ao Cliente na resposta a tais pedidos, tendo em conta a natureza do tratamento.

9. Incidentes de Segurança

9.1 A Firma.dev notificará o Cliente sem atrasos injustificados (e, em qualquer caso, no prazo de 72 horas) após tomar conhecimento de uma violação de Dados Pessoais que afete os dados do Cliente.

9.2 A notificação incluirá, na medida do que for conhecido:

• A natureza da violação, incluindo as categorias e o número aproximado de Titulares dos Dados afetados

• As consequências prováveis da violação

• As medidas adotadas ou propostas para mitigar a violação

9.3 A Firma.dev cooperará com o Cliente e tomará medidas razoáveis para ajudar na investigação e mitigação de cada violação.

10. Auditorias

10.1 A Firma.dev disponibilizará ao Cliente as informações razoavelmente necessárias para demonstrar o cumprimento deste ATD. Esta obrigação será cumprida através da disponibilização de:

• Documentação e políticas de segurança

• Avaliações de segurança de terceiros, quando disponíveis

• Questionários de segurança preenchidos

10.2 A Firma.dev não permite auditorias no local. Todos os pedidos de auditoria serão respondidos através de documentação, respostas por escrito e métodos de verificação remota, a critério da Firma.dev.

10.3 Pedidos de auditoria que vão além da documentação padrão (tais como questionários de segurança personalizados, revisões técnicas detalhadas ou chamadas com a equipa de segurança) estarão sujeitos a uma taxa de 500 € por pedido, paga antecipadamente.

10.4 Nada nesta Secção 10 exige que a Firma.dev divulgue informações que comprometam a segurança dos seus sistemas, que violem obrigações de confidencialidade com outros clientes ou que infrinjam a legislação aplicável.

11. Vigência e Cessação

11.1 Este ATD entra em vigor após a aceitação dos Termos e Condições por parte do Cliente e permanece em vigor durante o período em que a Firma.dev tratar Dados Pessoais em nome do Cliente.

11.2 Após a cessação do Serviço, a Firma.dev apagará ou devolverá os Dados Pessoais conforme especificado na Secção 4.7, sem prejuízo dos requisitos legais de conservação de dados.

12. Lei Aplicável

Este ATD rege-se pelas leis especificadas nos Termos e Condições. Para questões relacionadas com a conformidade com o RGPD, aplicam-se as disposições do RGPD e a legislação aplicável do Estado-Membro.

Anexo 1: Medidas Técnicas e Organizativas

A Firma.dev implementa as seguintes medidas para proteger os Dados Pessoais:

Controlo de Acesso

• Chaves de API exclusivas por Cliente com permissões configuráveis

• Workspaces do Cliente que proporcionam isolamento lógico entre os conjuntos de dados dos Clientes

Encriptação

• TLS 1.2 ou superior para todos os dados em trânsito

• Encriptação AES-256 para dados em repouso

• Ligações de base de dados encriptadas

Segurança da Infraestrutura

• Alojado na AWS com residência de dados na UE (eu-west-3 Paris)

• Segmentação de rede e proteção por firewall

• Aplicação regular de atualizações e correções de segurança

• Proteção contra DDoS através do AWS CloudFront

Monitorização e Registos (Logging)

• Registos de auditoria abrangentes para todos os eventos de assinatura

• Alertas automatizados para atividades anómalas

• Retenção de registos para análise de segurança

Integridade dos Dados

• Registos de auditoria invioláveis com selos criptográficos

• Verificação de hash de documentos

• Cópias de segurança automatizadas com recuperação point-in-time

Resposta a Incidentes

• Procedimentos documentados de resposta a incidentes

• Compromisso de notificação de violação em 72 horas

Segurança do Pessoal

• Acordos de confidencialidade para todo o pessoal

Continuidade de Negócio

• Infraestrutura redundante dentro das regiões da UE

• Testes regulares de cópias de segurança

Anexo 2: Lista de Subsubcontratantes

Última atualização: junho de 2026

O Cliente será notificado sobre alterações a esta lista através de email enviado para o administrador da conta ou através do painel da Firma.dev.

Anexo 3: Cláusulas Contratuais-Tipo

Para as transferências de Dados Pessoais para países fora do Espaço Económico Europeu que não beneficiem de uma decisão de adequação, as partes acordam que as Cláusulas Contratuais-Tipo (Módulo Dois: Responsável pelo Tratamento para Subcontratante) adotadas pela Decisão de Execução (UE) 2021/914 da Comissão Europeia se aplicam e são incorporadas por referência.

As CCTs considerar-se-ão preenchidas do seguinte modo:

• Cláusula 7 (Cláusula de adesão): Não aplicável

• Cláusula 9 (Utilização de subsubcontratantes): Aplica-se a Opção 2 (Autorização escrita geral)

• Cláusula 11 (Vias de recurso): Redação opcional não utilizada

• Cláusula 17 (Lei aplicável): Leis da Irlanda

• Cláusula 18 (Escolha do foro): Tribunais da Irlanda

Contacto para Questões de Proteção de Dados:

Firma.dev (1600 Holdings LLC) Email: Através de email para support@firma.dev

Ao utilizar o Serviço da Firma.dev, o Cliente reconhece e aceita os termos deste Acordo de Tratamento de Dados.