Acordo de subcontratação (RGPD)
Última atualização: 11 de novembro de 2026
Este acordo aplica-se aos dados pessoais que a empresa cliente («responsável») introduz no Obriqo e que o prestador («subcontratante») trata em seu nome. Faz parte dos termos de utilização e é aceite com eles.
1. Partes
Subcontratante: Obriqo (identificação legal a publicar após a constituição da empresa). Responsável: a empresa titular da conta.
2. Objeto, duração e natureza
- Finalidade: prestar o serviço de gestão de obras (custos, mão de obra, stock, orçamentos, registos da equipa).
- Duração: enquanto durar o contrato, e o período de devolução e apagamento previsto no ponto 9.
- Titulares: funcionários e colaboradores do responsável, os seus clientes e fornecedores e respetivos contactos.
- Dados: identificação e contactos, função, salário e custos, horas, ausências (que podem incluir indicação de baixa, um dado de saúde), registos de material e despesas, fotografias de recibos e moradas de obras.
3. Instruções
O subcontratante trata os dados apenas segundo as instruções documentadas do responsável, que são as destes termos e as dadas através das funções da aplicação. Se considerar que uma instrução viola a lei, avisa o responsável.
4. Confidencialidade
Só têm acesso aos dados as pessoas que precisam dele para prestar o serviço, vinculadas a dever de confidencialidade.
5. Segurança (art. 32.º)
- Isolamento dos dados de cada empresa na base de dados (Row-Level Security) e perfis de acesso; os funcionários não veem custos, salários nem margens.
- Ligações sempre cifradas (HTTPS com HSTS) e servidores na União Europeia (Frankfurt).
- Palavras-passe guardadas só com hash scrypt; sessões em cookies HttpOnly; contas suspensas perdem o acesso de imediato.
- Chaves de acesso a serviços externos guardadas apenas no servidor, nunca no código enviado ao browser.
- Registo de ações e cópias de segurança automáticas da base de dados.
6. Subcontratantes ulteriores
O responsável autoriza o recurso aos fornecedores abaixo. Qualquer alteração é comunicada por email com pelo menos 30 dias de antecedência, e o responsável pode opor-se cancelando o serviço sem penalização.
| Fornecedor | Para quê | Onde |
|---|---|---|
| Vercel Inc. | Alojamento e execução da aplicação | Servidores em Frankfurt (Alemanha); empresa com sede nos EUA |
| Neon Inc. | Base de dados PostgreSQL e cópias de segurança | Servidores em Frankfurt (Alemanha); empresa com sede nos EUA |
| Google (Gmail) | Envio de emails de convite, confirmação e recuperação de palavra-passe | Irlanda/EUA |
| Stripe Payments Europe, Ltd. | Pagamento das subscrições (os dados do cartão ficam no Stripe, nunca no Obriqo) | Irlanda (UE) |
Quando o fornecedor tem sede fora do Espaço Económico Europeu, a transferência apoia-se no Quadro de Privacidade de Dados UE-EUA, quando o fornecedor está certificado, ou em cláusulas contratuais-tipo.
7. Direitos dos titulares
O subcontratante ajuda o responsável a responder a pedidos de acesso, retificação, apagamento e portabilidade, nomeadamente através das funções de edição e de exportação em CSV. Os pedidos recebidos diretamente são reencaminhados ao responsável.
8. Violações de dados
O subcontratante informa o responsável sem demora injustificada após ter conhecimento de uma violação de dados pessoais, com a informação disponível, para que o responsável possa notificar a CNPD no prazo de 72 horas quando for obrigatório. Ajuda também em avaliações de impacto, quando necessárias.
9. Fim do contrato
Terminado o contrato, o responsável pode exportar os dados. A pedido, ou no máximo 12 meses após o fim, o subcontratante apaga-os, salvo se a lei exigir a sua conservação. As cópias de segurança são substituídas nos prazos do fornecedor da base de dados.
10. Informação e auditorias
O subcontratante disponibiliza a informação necessária para demonstrar o cumprimento deste acordo e colabora em auditorias razoáveis, com aviso prévio. Contacto: o email de contacto indicado no rodapé deste site.