Anexo A sobre tratamento de dados no Assydua

Versão 1.0 | Publicação autorizada em 20 de outubro de 2026

Este acordo regula os dados pessoais tratados pelo Assydua por conta do Cliente. Integra as condições apresentadas antes da contratação e identifica os fornecedores utilizados na secção 7.

1 Partes e papéis

O Cliente identificado na contratação atua como responsável pelo tratamento dos dados que introduz ou manda tratar no âmbito da sua atividade. VITOR JOÃO PINTO AURELIO CORREIA, NIF 192249223, sob a designação Assydua, atua como subcontratante quando trata esses dados por conta do Cliente. O contacto para proteção de dados e incidentes é geral@assydua.com.

Este acordo integra o contrato em que seja expressamente apresentado e aceite. Aplica-se ao período experimental quando seja incluído nas respetivas condições. A subscrição não substitui retroativamente a aceitação do teste. O tratamento para finalidades próprias do Prestador, como gestão comercial, faturação e cumprimento de obrigações legais, consta da informação de privacidade própria.

2 Objeto e duração

O tratamento destina-se à prestação das funcionalidades contratadas de gestão de pessoas, assiduidade, horários, férias e ausências, documentos, relatórios e preparação de ficheiros de pagamento. Inclui recolha, registo, organização, conservação, consulta, atualização, transmissão autorizada, exportação, recuperação e eliminação.

A duração corresponde à prestação do serviço e aos períodos limitados de devolução e eliminação do Anexo B. Uma suspensão não autoriza novas utilizações nem conservação ilimitada. A obrigação de confidencialidade mantém-se após o fim do serviço.

3 Titulares e categorias de dados

Os titulares são trabalhadores, antigos trabalhadores, representantes, administradores e outros utilizadores autorizados do Cliente. Outros titulares apenas são abrangidos na medida em que os seus dados sejam legitimamente introduzidos nas funcionalidades contratadas.

As categorias podem incluir identificação e contactos; função, departamento e vínculo; horários e marcações; férias e ausências; remunerações, montantes a pagar e IBAN; documentos e fotografias; permissões e registos de utilização; localização e precisão associadas a marcações, quando essa funcionalidade for utilizada.

Justificações ou documentos podem conter dados de saúde ou outras categorias especiais. O Cliente limita a recolha ao necessário, define o fundamento legal e restringe os acessos. Este acordo não exige diagnósticos clínicos nem legitima a recolha indiscriminada de informação sensível.

4 Instruções e responsabilidades

O Prestador trata os dados apenas segundo instruções documentadas do Cliente, incluindo o contrato, as configurações autorizadas e os pedidos verificados de suporte. Não utiliza os dados laborais do Cliente para publicidade, venda de perfis ou treino de modelos para finalidades próprias.

Se uma instrução aparentar infringir as regras de proteção de dados, o Prestador informa o Cliente e solicita esclarecimento. Se uma obrigação legal exigir outro tratamento, informa-o previamente, salvo proibição legal. O Cliente define as finalidades, fundamentos, prazos e pessoas autorizadas e presta a informação devida aos titulares.

O acesso de suporte limita-se à necessidade identificada e a pessoas sujeitas a confidencialidade. A existência de um pedido de suporte não autoriza acesso geral aos dados de todos os trabalhadores ou de outras empresas.

5 Localização e pagamentos

A localização de uma marcação serve para apoiar a verificação dos locais autorizados. O Cliente avalia necessidade, proporcionalidade, fundamento e informação aos trabalhadores. A autorização técnica do dispositivo não substitui essa avaliação. O Cliente assegura alternativas e apreciação de falhas ou impedimentos e não utiliza a funcionalidade para vigilância contínua de trajetos.

Na preparação SEPA, o Assydua produz ficheiros que o Cliente revê e entrega ao banco. O Cliente mantém o controlo da ordem de pagamento. Não existe transmissão automática desses ficheiros ao ifthenpay para pagar a subscrição.

No pagamento da subscrição, o ifthenpay recebe os elementos necessários ao pedido, como montante, referência da cobrança e, no MB WAY, o número indicado pelo pagador. O processamento do pagamento comercial e as finalidades legais próprias do ifthenpay não são confundidos com a subcontratação da gestão laboral do Cliente. A política do fornecedor está disponível em https://ifthenpay.com/privacy-policy/.

6 Confidencialidade e segurança

O Prestador adota medidas proporcionais ao risco, incluindo separação lógica entre empresas, permissões e controlo de acessos, proteção de credenciais, comunicações protegidas, registos de operações relevantes, atualizações, cópias protegidas e procedimentos de recuperação e resposta a incidentes.

As pessoas autorizadas estão sujeitas a confidencialidade e a instruções adequadas. Os acessos são revistos e restringidos à necessidade do serviço. O Cliente coopera na gestão das suas contas, terminais, dispositivos e credenciais.

As medidas são avaliadas e ajustadas sem reduzir materialmente a proteção contratada. Não é declarada certificação, cifragem integral em repouso ou inviolabilidade absoluta. O Prestador disponibiliza informação sobre as medidas efetivamente aplicáveis, protegendo segredos de segurança e dados de terceiros.

7 Fornecedores e autorização

O recurso a subcontratantes ulteriores depende de obrigações contratuais de proteção de dados adequadas à função exercida. O Prestador permanece responsável perante o Cliente pelo cumprimento das obrigações desses subcontratantes nos termos legais. A autorização do Cliente não dispensa tais obrigações.

O inventário de fornecedores aplicável a esta versão é o seguinte:

Uma subscrição Workspace não implica localização integral dos tratamentos na União Europeia. Se a edição contratada disponibilizar regiões de dados, o Prestador configura e regista a região europeia para os dados abrangidos, sem estender essa afirmação a metadados, suporte ou tratamentos não cobertos. Os acessos internacionais e fornecedores ulteriores são avaliados segundo os acordos aplicáveis.

As notificações móveis podem envolver Expo e os serviços de entrega do dispositivo. Apenas são ativadas para os dados e finalidades que estejam identificados na informação aplicável e no inventário contratual correspondente. A inclusão de código de integração não demonstra, por si só, que todos esses serviços estejam ativos em cada instalação.

Ao abrir mapas, o navegador pode pedir mosaicos a tile.openstreetmap.org, comunicando dados técnicos de rede e os elementos necessários à visualização. Esse acesso é descrito na informação de privacidade e não torna automaticamente o serviço de mapas subcontratante dos dados laborais. Qualquer envio mais amplo de dados exige avaliação e informação próprias.

Após o inventário inicial validamente apresentado e aceite, o Cliente concede autorização geral escrita para adições ou substituições, sujeitas a comunicação com pelo menos trinta dias de calendário de antecedência. Pode apresentar objeção fundamentada em proteção de dados antes do início do novo tratamento. As partes procuram alternativa; se não for viável, acordam a cessação do serviço afetado antes da alteração, preservando os direitos legais.

8 Transferências internacionais

O Prestador só transfere dados ou permite acessos a partir de países terceiros nas condições legalmente aplicáveis. Identifica destinatários, países e mecanismos de transferência e realiza as avaliações e medidas suplementares exigíveis. O alojamento em França não significa que email, suporte, cópias ou notificações fiquem integralmente no Espaço Económico Europeu.

O Cliente pode pedir informação e cópia das garantias aplicáveis, com as limitações necessárias à proteção de dados de terceiros e informação confidencial. Uma lista genérica de marcas ou uma referência abstrata ao RGPD não substitui o inventário do serviço efetivamente contratado.

9 Direitos e assistência

O Prestador auxilia o Cliente, atendendo à natureza do tratamento e à informação disponível, na resposta a direitos, na segurança, em avaliações de impacto e em consultas prévias quando necessárias. Os pedidos de titulares recebidos diretamente são encaminhados ao Cliente, salvo obrigação legal diferente.

O Cliente decide a resposta aos pedidos relativos ao tratamento sob a sua responsabilidade. O Prestador não apaga ou comunica dados a terceiros com base em pedidos não verificados. Os prazos e requisitos legais não são substituídos por um prazo genérico de suporte.

10 Incidentes

Ao tomar conhecimento de uma violação de dados tratados por conta do Cliente, o Prestador informa-o sem demora injustificada. Comunica os factos disponíveis, categorias e dimensão estimada, consequências prováveis, medidas tomadas ou propostas e ponto de contacto. Pode completar a informação por fases, sem atrasar o primeiro aviso.

As partes preservam evidências e cooperam na contenção e resolução. O Cliente avalia as notificações à autoridade de controlo e aos titulares que lhe competem. Não é concedido ao Prestador um prazo geral de setenta e duas horas para avisar o Cliente.

O contacto é geral@assydua.com, com o assunto Incidente de dados pessoais e eventual cópia para suporte@assydua.com.

11 Informação e auditorias

O Prestador disponibiliza a informação necessária para demonstrar o cumprimento e permite auditorias, incluindo inspeções, pelo Cliente ou auditor mandatado. A organização das verificações protege outras empresas e informação de segurança sem impedir o exercício efetivo desse direito. O aviso e a calendarização são proporcionais, com adaptação a incidentes e solicitações de autoridade.

12 Devolução e eliminação

No fim do tratamento, os dados são devolvidos ou eliminados segundo a escolha do Cliente, com eliminação das cópias salvo obrigação legal de conservação. O procedimento e os prazos são os do Anexo B: noventa dias para pedir exportação após o fim da subscrição paga e trinta dias após um teste não convertido, nos âmbitos aí definidos.

O Prestador distingue a eliminação dos sistemas ativos da expiração de backups e informa sobre atos ainda necessários. O acesso e as associações de um utilizador a outras empresas não são eliminados por causa do término deste Cliente.