Acordo de Tratamento de Dados

Versão 1.1 · 7 de outubro de 2026

1. Partes e definições

Este Acordo de Tratamento de Dados (o "Acordo") é celebrado entre:

• Machadex, contactável em info@machadex.agency, que opera o serviço CasaVela, adiante o "Subcontratante"(ou "nós"); e
• o titular da conta CasaVela, identificado pelo email com que se registou, adiante o "Responsável pelo Tratamento"(ou "tu").

Os termos "dados pessoais", "tratamento", "titular dos dados", "responsável pelo tratamento", "subcontratante", "violação de dados pessoais" e "autoridade de controlo" têm o significado que lhes é dado pelo Regulamento (UE) 2016/679 (o "RGPD").

Este Acordo é celebrado nos termos do Art. 28(3) do RGPD e complementa os Termos de Serviço e a Política de Privacidade. Em caso de conflito entre este Acordo e os Termos de Serviço no que respeita ao tratamento de dados pessoais das tuas leads, prevalece este Acordo.

2. Objeto e duração

Objeto. O tratamento, por nós e por tua conta, dos dados pessoais que introduzes ou importas para o CasaVela — em especial os dados das tuas leads — para efeitos de te prestar o serviço.

Duração. Este Acordo produz efeitos a partir do momento em que o aceitas e vigora enquanto a tua conta existir. Termina com a eliminação da conta, sem prejuízo das obrigações da secção 12 (destino dos dados) e da confidencialidade da secção 7, que lhe sobrevivem.

3. Natureza e finalidade do tratamento

Tratamos os dados exclusivamente para te prestar o serviço CasaVela: guardar e apresentar fichas de leads, imóveis, tarefas e agenda; calcular seguimentos, pipeline e estatísticas; colocar moradas no mapa; enviar-te notificações e o resumo diário; exportar os teus dados quando os pedes.

As operações de tratamento são: recolha, registo, organização, estruturação, conservação, consulta, utilização, alteração, divulgação por transmissão (apenas para ti e para os subcontratantes ulteriores da secção 9), apagamento e destruição.

Nunca usamos os dados das tuas leads para finalidades próprias, para treinar modelos, para publicidade, nem os vendemos ou partilhamos com terceiros fora do necessário para prestar o serviço.

4. Tipo de dados pessoais e categorias de titulares

Categorias de titulares: as tuas leads e contactos (potenciais compradores, vendedores, arrendatários e proprietários), e tu próprio enquanto titular da conta.

Tipos de dados pessoais tratados:

Não pedimos nem esperamos categorias especiais de dados (Art. 9 do RGPD) nem dados relativos a condenações penais. Os campos de nota livre são de texto aberto: cabe-te não lá inscrever dados dessas categorias. Se o fizeres, fá-lo sob a tua responsabilidade e sem que este Acordo preveja as garantias adicionais que tais dados exigiriam.

5. As tuas obrigações enquanto Responsável pelo Tratamento

Determinas tu as finalidades e os meios do tratamento dos dados das tuas leads. Em particular, garantes que:

• tens fundamento de licitude (Art. 6 do RGPD) para recolher, conservar e contactar cada lead que registas;
• cumpriste o dever de informação aos titulares (Arts. 13 e 14), incluindo informá-los de que os dados são conservados num CRM operado por um subcontratante na União Europeia;
• as tuas instruções, incluindo o simples uso do serviço, não violam o RGPD nem outra legislação aplicável de proteção de dados;
• respondes tu, em primeira linha, aos pedidos dos titulares — com a nossa assistência nos termos da secção 10.

6. Instruções documentadas

Tratamos os dados pessoais apenas com base nas tuas instruções documentadas (Art. 28(3)(a)). Constituem instruções documentadas: este Acordo, os Termos de Serviço, e as ações que executas na aplicação e nas suas funcionalidades.

Se formos obrigados a tratar dados por força do direito da União ou de um Estado-Membro, informamos-te dessa exigência jurídica antes do tratamento, salvo se a lei o proibir por motivos de interesse público.

Informamos-te de imediato se, no nosso entender, uma instrução tua violar o RGPD.

7. Confidencialidade

Só têm acesso aos dados as pessoas que necessitam dele para prestar o serviço, e essas pessoas estão sujeitas a dever de confidencialidade de origem contratual ou legal, que subsiste após o fim das suas funções (Art. 28(3)(b)).

8. Segurança do tratamento

Aplicamos as medidas técnicas e organizativas adequadas ao risco (Arts. 28(3)(c) e 32):

• Cifra em trânsito — todos os acessos por HTTPS/TLS;
• Cifra em repouso — na base de dados e nas cópias de segurança do alojamento;
• Isolamento entre contas imposto ao nível da base de dados (Row Level Security), e não apenas na aplicação: cada conta só consegue ler e escrever os seus próprios dados;
• Autenticação com palavras-passe guardadas apenas sob a forma de hash;
• Cópias de segurança automáticas geridas pelo fornecedor de alojamento;
• Registo de acessos e monitorização de erros;
• Testes automatizados de isolamento executados em integração contínua a cada alteração da base de dados.

9. Subcontratantes ulteriores

Autorizas de forma geral o recurso aos subcontratantes ulteriores abaixo (Art. 28(2)). Cada um está vinculado por contrato a obrigações de proteção de dados não menos exigentes do que as deste Acordo, e respondemos perante ti pelo seu incumprimento.

Notas ao quadro: ao Geoapify e à Nominatim é enviada apenas a morada — nunca o nome nem o contacto da lead. Aos serviços de distribuição das lojas não são enviados dados de leads; tratam apenas o email do testador convidado.

Alterações. Se quisermos acrescentar ou substituir um subcontratante ulterior, avisamos-te por email com 30 dias de antecedência. Podes opor-te fundadamente dentro desse prazo; se a oposição não puder ser acomodada, podes rescindir e eliminar a conta sem penalização, com a exportação dos teus dados garantida.

10. Assistência no exercício dos direitos dos titulares

Ajudamos-te a cumprir a obrigação de responder aos pedidos dos titulares (Art. 28(3)(e)). Na prática, o serviço dá-te ferramentas para o fazeres sozinho e de imediato:

• acesso e portabilidade — exportação completa dos teus dados em CSV e JSON, a partir do Perfil, sem intervenção nossa;
• retificação e apagamento — edição e eliminação de qualquer registo diretamente na aplicação;
• apagamento total — eliminação da conta e de todos os dados, a partir do Perfil.

Se recebermos diretamente um pedido de um titular relativo a dados tratados por tua conta, não lhe respondemos em substituição tua: encaminhamos-to sem demora indevida.

11. Assistência em segurança, violações de dados e avaliações de impacto

Tendo em conta a natureza do tratamento e a informação ao nosso dispor, prestamos-te assistência no cumprimento dos Arts. 32 a 36 (Art. 28(3)(f)).

Violações de dados pessoais. Se detetarmos uma violação que afete os teus dados, notificamos-te sem demora injustificada e, em qualquer caso, no prazo de 24 horas após dela tomarmos conhecimento — margem que te deixa cumprir as 72 horas que o Art. 33 te impõe perante a CNPD. A notificação inclui, na medida do conhecido: a natureza da violação, as categorias e o número aproximado de titulares e de registos afetados, as consequências prováveis e as medidas tomadas ou propostas.

Avaliações de impacto. Se realizares uma avaliação de impacto sobre a proteção de dados (Art. 35) ou uma consulta prévia à CNPD (Art. 36), fornecemos-te a informação que detemos sobre o tratamento.

12. Destino dos dados no fim do tratamento

Escolhes tu, entre a devolução e o apagamento dos dados (Art. 28(3)(g)):

• Devolução — a exportação em CSV e JSON está disponível a qualquer momento no Perfil, incluindo depois de a subscrição terminar. A leitura e a exportação nunca são bloqueadas.
• Apagamento — ao eliminares a conta, os dados entram num período de carência de 30 dias durante o qual podes cancelar a eliminação entrando de novo. Passada a carência, os dados são apagados em definitivo das bases de dados ativas. As cópias de segurança que os contenham são eliminadas no ciclo normal de rotação do fornecedor de alojamento.

Depois disso, e salvo obrigação legal de conservação, não conservamos cópias.

13. Auditoria e informação

Disponibilizamos-te toda a informação necessária para demonstrar o cumprimento das obrigações do Art. 28 e permitimos e contribuímos para auditorias, incluindo inspeções (Art. 28(3)(h)).

Na prática: pedes por email a info@machadex.agency e respondemos, num prazo razoável, com a documentação de que dispomos — descrição das medidas de segurança, lista atualizada de subcontratantes ulteriores e localização dos dados. Auditorias presenciais ou inspeções carecem de aviso prévio razoável, realizam-se em horário normal de expediente, não mais do que uma vez por ano civil (salvo violação de dados ou exigência de uma autoridade de controlo) e não podem comprometer a confidencialidade de outros clientes.

14. Transferências internacionais

Os dados são tratados na União Europeia por defeito. Quando um subcontratante ulterior da secção 9 implicar transferência para fora do Espaço Económico Europeu, essa transferência assenta nas Cláusulas Contratuais-Tipo aprovadas pela Comissão Europeia ou noutro mecanismo válido do Capítulo V do RGPD, com as medidas suplementares adequadas.

15. Alterações a este Acordo

Este Acordo é versionado (esta é a versão 1.1, de 7 de outubro de 2026). Se o alterarmos de forma relevante, publicamos a nova versão e pedimos-te a aceitação na aplicação antes de ela produzir efeitos. A versão que aceitaste, e a data em que a aceitaste, ficam registadas na tua conta.

16. Lei aplicável

Este Acordo rege-se pela lei portuguesa. Os tribunais portugueses são competentes para qualquer litígio dele emergente. A autoridade de controlo competente é a Comissão Nacional de Proteção de Dados (cnpd.pt).

Dúvidas sobre este Acordo: info@machadex.agency.