Acordo de Tratamento de Dados (DPA)
Última atualização: 2 de outubro de 2026
Este Acordo integra os Termos de Utilização e regula o tratamento de dados pessoais realizado pelo Marmos (subcontratante) por conta do Subscritor (a empresa, responsável pelo tratamento), nos termos do artigo 28.º do Regulamento (UE) 2016/679 («RGPD»). Em caso de conflito em matéria de proteção de dados, prevalece este Acordo.
Numa frase: os dados que insere na plataforma são seus e estão sob a sua responsabilidade. Nós apenas os tratamos segundo as suas instruções, com segurança, e não os utilizamos para mais nada.
1. Papéis das partes
O responsável pelo tratamento é a empresa: é ela que decide que dados insere, com que finalidade e durante quanto tempo. O subcontratante é o Marmos: trata os dados exclusivamente para prestar o serviço, seguindo as instruções documentadas do responsável, expressas através da utilização da plataforma, dos Termos e deste Acordo.
O subcontratante não tratará os dados para finalidades próprias e não os venderá, cederá ou utilizará para publicidade. O subcontratante informará de imediato o responsável se, no seu entender, uma instrução recebida violar o RGPD ou outra disposição de proteção de dados.
2. Objeto do tratamento
| Elemento | Descrição |
|---|---|
| Natureza e finalidade | Armazenamento, organização, consulta, processamento e transmissão de dados, para operar as funcionalidades de gestão contratadas pelo responsável. |
| Duração | Enquanto vigorar a subscrição, acrescida do período de conservação da Secção 8. |
| Categorias de titulares | Clientes finais da empresa; contactos de arquitetos, construtoras e parceiros; trabalhadores e prestadores registados pelo responsável. |
| Categorias de dados | Identificação e contacto (nome, e-mail, telefone, observações); números de identificação fiscal; morada de contacto e morada da obra; dados de agenda (visitas, medições); dados de encomendas, orçamentos, projetos e fotografias; dados de trabalhadores, incluindo função e remuneração, quando registados pelo responsável. |
| Categorias especiais | A plataforma não foi concebida para categorias especiais de dados (artigo 9.º do RGPD) nem para dados de menores. O responsável obriga-se a não os inserir — inclusive em campos livres, como observações e notas de projeto. |
3. Obrigações do responsável pelo tratamento
O responsável declara e assume, em exclusivo:
- dispor de fundamento jurídico válido para cada dado que insere e para cada finalidade que prossegue;
- prestar aos titulares as informações dos artigos 13.º e 14.º do RGPD e obter o consentimento quando esse for o fundamento aplicável;
- inserir apenas dados adequados, pertinentes e limitados ao necessário, de acordo com os princípios do artigo 5.º;
- manter os dados exatos e atualizados, e configurar corretamente os acessos dos seus utilizadores;
- responder aos pedidos dos titulares e responder perante a autoridade de controlo e os tribunais na qualidade de responsável;
- não inserir categorias especiais de dados, dados de menores ou dados obtidos ilicitamente.
O subcontratante não verifica a licitude, a exatidão ou a origem dos dados inseridos pelo responsável e não responde por eles.
4. Obrigações do subcontratante
- tratar os dados apenas mediante instruções documentadas do responsável, inclusive no que respeita a transferências para fora do Espaço Económico Europeu;
- adotar as medidas de segurança do artigo 32.º do RGPD — cifragem em trânsito, hash das palavras-passe, separação lógica por empresa em todas as consultas, controlo de acesso por perfil, registo de eventos e cópias de segurança periódicas;
- impor um dever de confidencialidade a todas as pessoas autorizadas a tratar os dados;
- prestar assistência ao responsável, na medida do razoável e com os meios disponíveis na plataforma, na resposta aos pedidos dos titulares e no cumprimento dos artigos 32.º a 36.º do RGPD (segurança, violações de dados e avaliações de impacto);
- satisfazer, pelas funcionalidades disponíveis ou mediante pedido validado, os pedidos de cópia e de eliminação dos dados;
- comunicar as violações de dados nos termos da Secção 7.
5. Subcontratantes ulteriores
O responsável concede ao subcontratante uma autorização geral para recorrer a subcontratantes ulteriores para infraestrutura, armazenamento, envio de e-mails, autenticação, notificações e pagamento — as categorias indicadas na Política de Privacidade, Secção 4.
O subcontratante impõe aos subcontratantes ulteriores obrigações de proteção de dados não inferiores às deste Acordo e responde por eles perante o responsável. As alterações previstas serão comunicadas com antecedência razoável; se o responsável tiver uma objeção fundamentada, pode cessar a subscrição sem encargos.
6. Transferências internacionais
O serviço é operado a partir do Brasil e pode envolver subcontratantes ulteriores fora do Espaço Económico Europeu. Essas transferências realizam-se nos termos do Capítulo V do RGPD: com base numa decisão de adequação, quando exista, ou nas cláusulas contratuais-tipo aprovadas pela Comissão Europeia, que as partes consideram incorporadas neste Acordo na medida em que sejam necessárias.
7. Violações de dados pessoais
O subcontratante notificará o responsável, sem demora injustificada e num prazo não superior a 48 horas após ter tido conhecimento, de qualquer violação de dados pessoais que afete os dados tratados por sua conta, indicando o que for conhecido: natureza, dados afetados, titulares envolvidos, medidas adotadas e mitigação.
A notificação à autoridade de controlo e aos titulares cabe ao responsável pelo tratamento (artigos 33.º e 34.º do RGPD), a quem compete avaliar a obrigatoriedade e efetuá-la no prazo legal de 72 horas, com o apoio informativo do subcontratante. Quando o Marmos for o responsável pelos dados afetados, essa obrigação é dele.
8. Cessação, devolução e eliminação
- O cancelamento da subscrição interrompe a cobrança, mas não constitui, por si só, uma instrução de eliminação. O responsável pode pedir uma cópia pelas funcionalidades disponíveis ou pelo canal de suporte.
- Recebida e validada a instrução de eliminação, o responsável dispõe de 30 dias para obter a cópia disponibilizada antes da eliminação.
- Terminado esse prazo, o subcontratante elimina ou anonimiza os dados, salvo se o direito da União ou de um Estado-Membro, ou outra obrigação legal a que o subcontratante esteja sujeito, exigir a sua conservação.
- As cópias de segurança são substituídas no ciclo normal de rotação; até lá, permanecem sujeitas a este Acordo.
- A eliminação é irreversível.
9. Responsabilidade
Cada parte responde pelo incumprimento das obrigações que este Acordo lhe atribui. A responsabilidade do subcontratante perante o responsável observa o limite da Secção 9 dos Termos de Utilização, exceto em caso de dolo ou culpa grave e nas hipóteses em que a lei proíba a limitação. Nada neste Acordo limita os direitos dos titulares dos dados ao abrigo do artigo 82.º do RGPD.
O responsável manterá o subcontratante indemne, na medida da sua responsabilidade comprovada, de reclamações de titulares, da autoridade de controlo ou de terceiros que resultem de falta de fundamento jurídico, recolha excessiva, inserção de categorias especiais de dados ou de dados de menores, instrução ilícita ou falha na gestão dos acessos dos seus próprios utilizadores. Esta obrigação não abrange atos ou omissões imputáveis ao subcontratante.
10. Auditoria
O subcontratante disponibiliza ao responsável as informações necessárias para demonstrar o cumprimento do artigo 28.º do RGPD. Mediante pedido escrito, no máximo uma vez por ano e sob sigilo, facilita as auditorias conduzidas pelo responsável ou por um auditor por este mandatado; as auditorias presenciais e os testes de intrusão dependem de acordo prévio, de aviso com 30 dias de antecedência e correm por conta do responsável, sem acesso a dados de outros subscritores nem ao código-fonte.
11. Contacto
Canal de privacidade do subcontratante: WhatsApp +55 (74) 99811-4405. O responsável deve manter na plataforma um contacto válido para as comunicações de proteção de dados.