Acordo de Tratamento de Dados

Versão 1.0 · Última atualização: 14 de outubro de 2026

1. Partes e objeto

Este acordo é celebrado entre a empresa operadora que subscreve a Myfleet («Responsável») e a Libelinha Lilaz, Lda., marca Bigorna.digital, NIPC 519531400, com sede na Praça Capitão José Santos Leite, Loja 4A, 2615-164 Alverca do Ribatejo, Portugal («Subcontratante»).

Regula o tratamento de dados pessoais que o Subcontratante faz por conta do Responsável ao prestar o serviço Myfleet, nos termos do artigo 28.º do Regulamento Geral sobre a Proteção de Dados (RGPD). Os pormenores do tratamento constam do Anexo I.

Este acordo integra os Termos e Condições da Myfleet. Em matéria de proteção de dados, prevalece sobre eles.

2. Aceitação, vigência e versão

O acordo é aceite por quem obriga o Responsável, no registo e na aplicação, ao lado dos Termos e Condições. A data, a versão aceite e a identificação de quem aceitou ficam guardadas pelo Subcontratante.

Vigora enquanto o Responsável tiver conta na Myfleet e, depois disso, durante o tempo necessário para cumprir a cláusula 11.

3. Instruções do Responsável

O Subcontratante trata os dados apenas segundo instruções documentadas do Responsável, incluindo quanto a transferências para fora do Espaço Económico Europeu, salvo se a lei o obrigar a outro tratamento; nesse caso, informa o Responsável antes, se a lei o permitir.

Constituem instruções documentadas este acordo, os Termos e Condições e as escolhas que o Responsável faz na aplicação, como os dados que carrega, as integrações que liga e os acessos que dá.

Se o Subcontratante considerar que uma instrução viola a lei de proteção de dados, informa de imediato o Responsável.

4. Obrigações do Responsável

O Responsável garante que tem fundamento de licitude para os dados que trata na Myfleet, que informa os motoristas sobre esse tratamento e que os dados que carrega ou importa são exatos e necessários.

O Responsável só carrega na Myfleet o registo criminal dos motoristas para verificar a idoneidade exigida à atividade de TVDE, e não carrega outros dados do artigo 10.º do RGPD, nem categorias especiais de dados do artigo 9.º, exceto quando um documento exigido à atividade os contenha de forma incidental.

5. Confidencialidade

O Subcontratante garante que as pessoas autorizadas a tratar os dados estão obrigadas a confidencialidade, por contrato ou por lei, e que só acedem ao estritamente necessário para operar o serviço e dar apoio.

6. Segurança

O Subcontratante aplica as medidas técnicas e organizativas descritas no Anexo II, adequadas ao risco, e mantém-nas atualizadas. Pode alterá-las, desde que o nível de proteção não diminua.

7. Subcontratantes ulteriores

O Responsável autoriza, de forma geral, o recurso aos subcontratantes ulteriores indicados no Anexo III.

O Subcontratante avisa o Responsável, por email ou na aplicação, com pelo menos 30 dias de antecedência, de qualquer acréscimo ou substituição. O Responsável pode opor-se com fundamento razoável dentro desse prazo; se as partes não chegarem a acordo, o Responsável pode cancelar a subscrição sem custos, com reembolso proporcional do período pago e não utilizado.

O Subcontratante impõe a cada subcontratante ulterior, por contrato, obrigações de proteção de dados equivalentes às deste acordo e responde perante o Responsável pelo seu cumprimento.

8. Transferências internacionais

Quando os dados são tratados fora do Espaço Económico Europeu, a transferência assenta na decisão de adequação do Quadro de Privacidade de Dados UE-EUA, quando o destinatário está certificado, ou em cláusulas contratuais-tipo aprovadas pela Comissão Europeia. O Responsável pode pedir cópia das garantias aplicáveis.

9. Assistência ao Responsável

O Subcontratante ajuda o Responsável, na medida do possível e tendo em conta a natureza do tratamento:

1. a responder a pedidos de exercício de direitos dos titulares, nomeadamente através das funções de consulta, correção, exportação e apagamento da aplicação; se receber um pedido diretamente, encaminha-o ao Responsável sem demora e não lhe responde por si;
2. a cumprir as obrigações de segurança, de notificação de violações, de avaliação de impacto e de consulta prévia previstas nos artigos 32.º a 36.º do RGPD, com a informação de que dispõe.

10. Violações de dados pessoais

O Subcontratante notifica o Responsável sem demora injustificada, e no máximo 48 horas depois de ter conhecimento de uma violação de dados pessoais que afete os seus dados.

A notificação descreve, na medida do que for conhecido, a natureza da violação, as categorias e o número aproximado de titulares e de registos afetados, as consequências prováveis e as medidas tomadas ou propostas. A informação ainda não disponível é enviada assim que o for.

A notificação à CNPD e aos titulares cabe ao Responsável.

11. Fim do tratamento

Terminada a subscrição, o Responsável pode exportar os seus dados enquanto a conta não for encerrada. Depois do encerramento, o Subcontratante apaga os dados pessoais ou anonimiza-os, nos prazos do ponto 7 da Política de Privacidade.

O Responsável instrui o Subcontratante a conservar, pelo prazo legal, os registos com relevância fiscal (fechos, recibos, comprovativos, viagens, despesas e pagamentos), para que o Responsável possa cumprir as suas obrigações. Esses registos são anonimizados sempre que a sua finalidade o permita.

12. Demonstração de cumprimento e auditorias

O Subcontratante disponibiliza ao Responsável a informação necessária para demonstrar o cumprimento deste acordo.

O Responsável pode, uma vez por ano, ou depois de uma violação de dados, realizar ou mandar realizar uma auditoria, com aviso prévio de 30 dias, por auditor obrigado a confidencialidade, sem perturbar o serviço e a cargo do Responsável. Sempre que possível, a auditoria é feita por questionário e análise documental.

13. Responsabilidade

Cada parte responde nos termos do artigo 82.º do RGPD. Entre as partes, aplicam-se os limites de responsabilidade dos Termos e Condições, na medida em que a lei o permita.

14. Alterações, lei e foro

O Subcontratante pode atualizar este acordo para o adaptar à lei, a orientações das autoridades ou a mudanças do serviço que não reduzam a proteção dos dados. A versão nova é mostrada na aplicação, com o que mudou, e tem de ser aceite antes de continuar.

Aplica-se a lei portuguesa. É competente o foro da comarca de Lisboa.

Anexo I — Pormenores do tratamento

Anexo II — Medidas técnicas e organizativas

• Isolamento entre empresas, imposto pela própria base de dados: cada empresa só acede aos seus dados e cada motorista só aos seus.
• Controlo de acesso: entrada por código de uso único enviado por email ou por conta Google; permissões distintas por perfil dentro da empresa.
• Registo de atividade dos acessos e das alterações, conservado durante 3 meses.
• Cifragem dos dados em trânsito.
• Alojamento na UE da base de dados e dos ficheiros carregados (Frankfurt, Alemanha).
• Cópias de segurança automáticas do fornecedor da base de dados.
• Acesso da equipa limitado ao estritamente necessário para operar e dar apoio.
• Minimização: a leitura automática de documentos é opcional e o resumo semanal não recebe NIF, contactos nem documentos.

Anexo III — Subcontratantes ulteriores autorizados

A Stripe trata apenas os dados de pagamento da subscrição do Responsável, como responsável autónomo ou por conta da Libelinha Lilaz, e não dados dos motoristas. As plataformas de transporte que o Responsável liga ou de onde importa ficheiros, como a Bolt e a Uber, são fontes de dados escolhidas por ele e não subcontratantes ulteriores.