Acordo de Tratamento de Dados (DPA)

3.1 — Dupla Qualidade da ENROW

As Partes reconhecem que a ENROW atua em duas qualidades distintas:

(a) Responsável pelo Tratamento independente: a ENROW atua como Responsável pelo Tratamento relativamente aos Dados Pessoais que recolhe, agrega e mantém na sua própria base de dados de enriquecimento (emails profissionais, números de telefone, perfis LinkedIn, informações de empresa). Este tratamento assenta no interesse legítimo da ENROW (artigo 6.º, n.º 1, alínea f), do RGPD), documentado numa LIA revista anualmente.

(b) Subcontratante: a ENROW atua como Subcontratante na aceção do artigo 28.º do RGPD quando trata os Dados do Cliente (dados transmitidos pelo Cliente para enriquecimento) por conta e mediante instruções do Cliente.

3.2 — O Cliente como Responsável pelo Tratamento

O Cliente atua como Responsável pelo Tratamento relativamente a:

• Os Dados do Cliente que transmite à ENROW para enriquecimento;
• A utilização que faz dos Dados Enriquecidos devolvidos pelo Serviço.

O Cliente determina, por si só, as finalidades e os meios da utilização dos Dados Enriquecidos a jusante do Serviço, sendo o único responsável pelo cumprimento das suas obrigações ao abrigo do RGPD e da lei francesa de proteção de dados (Loi Informatique et Libertés) nesse âmbito.

5.1 — Instruções do Cliente

A ENROW trata os Dados do Cliente apenas mediante instruções documentadas do Cliente. Os presentes Termos e o presente DPA constituem as instruções iniciais do Cliente. Qualquer instrução adicional deve ser transmitida por escrito (por email para dpo@enrow.io).

Caso a ENROW considere que uma instrução constitui uma violação do RGPD ou de qualquer outra regulamentação aplicável, informa de imediato o Cliente por escrito.

5.2 — Confidencialidade

A ENROW garante que as pessoas autorizadas a tratar Dados Pessoais se comprometeram a respeitar a confidencialidade ou estão sujeitas a uma obrigação legal de confidencialidade adequada. Apenas têm acesso as pessoas cujo acesso seja estritamente necessário à execução do Serviço.

5.3 — Segurança do Tratamento

A ENROW aplica as medidas técnicas e organizativas adequadas para assegurar um nível de segurança ajustado ao risco, em conformidade com o artigo 32.º do RGPD. Tais medidas constam do Anexo 2 ao presente DPA. A ENROW procede a revisões periódicas da eficácia dessas medidas.

5.4 — Notificação de Violação de Dados

Em caso de Violação de Dados que afete os Dados do Cliente, a ENROW compromete-se a:

• Notificar o Cliente sem demora injustificada e, em qualquer caso, no prazo de setenta e duas (72) horas após dela ter tido conhecimento;
• Prestar as seguintes informações: descrição da natureza da violação (categorias e número aproximado de Titulares dos Dados e de registos afetados), consequências prováveis, medidas adotadas ou propostas para sanar a violação, e contactos do DPO;
• Documentar a violação num registo interno e cooperar com o Cliente para lhe permitir cumprir as suas próprias obrigações de notificação (artigos 33.º e 34.º do RGPD);
• Notificar a CNIL no prazo de 72 horas na sua qualidade de Responsável pelo Tratamento relativamente aos dados da sua própria base de dados de enriquecimento.

5.5 — Assistência ao Cliente

A ENROW presta assistência ao Cliente, na medida do razoavelmente exequível tendo em conta a natureza do tratamento, para:

• Responder aos pedidos dos Titulares dos Dados no exercício dos seus direitos (acesso, retificação, apagamento, oposição, portabilidade, limitação);
• Cumprir as suas obrigações ao abrigo dos artigos 32.º a 36.º do RGPD (segurança, notificação de violação, avaliação de impacto sobre a proteção de dados);
• Responder aos pedidos e auditorias de qualquer Autoridade de Controlo.

Caso a ENROW receba um pedido diretamente de um Titular dos Dados relativo aos Dados do Cliente, informa o Cliente sem demora injustificada e não responde diretamente, salvo mediante instruções do Cliente.

5.6 — Destino dos Dados na Cessação

Em conformidade com a Cláusula 14.3 dos Termos, na cessação do Contrato:

• Exportação: o Cliente dispõe de trinta (30) dias para exportar os seus Dados do Cliente em formato CSV e/ou JSON através do Software, da API ou mediante pedido para support@enrow.io;
• Eliminação: findo esse prazo, a ENROW elimina definitivamente todos os Dados do Cliente, incluindo cópias e backups, num prazo adicional de trinta (30) dias;
• Certificação: a ENROW faculta ao Cliente, mediante pedido, um certificado escrito de eliminação.

A eliminação dos Dados do Cliente não afeta os dados anonimizados e agregados utilizados em conformidade com a Cláusula 9.6 dos Termos.

7.1 — Autorização Geral

O Cliente concede à ENROW uma autorização geral para recorrer a subcontratantes subsequentes na prestação do Serviço (incluindo, sem limitação, Prestadores Terceiros de enriquecimento e prestadores de alojamento). A lista dos subcontratantes subsequentes atualmente contratados consta do Anexo 3 ao presente DPA e está igualmente disponível mediante pedido junto do DPO.

7.2 — Notificação e Direito de Oposição

Em conformidade com a Cláusula 12.2 dos Termos, a ENROW notifica o Cliente de qualquer alteração aos subcontratantes subsequentes (por aditamento ou substituição) com uma antecedência mínima de quinze (15) dias relativamente à data de produção de efeitos da alteração. O Cliente pode opor-se por escrito no prazo de quinze (15) dias. Na falta de acordo, a oposição considera-se equivalente a denúncia do Contrato em conformidade com a Cláusula 12.2 dos Termos.

7.3 — Obrigações Impostas aos Subcontratantes Subsequentes

A ENROW impõe contratualmente a cada subcontratante subsequente obrigações de proteção de dados substancialmente equivalentes às previstas no presente DPA, designadamente em matéria de confidencialidade, segurança, limitação das finalidades e eliminação dos dados.

7.4 — Responsabilidade

A ENROW continua a ser plenamente responsável perante o Cliente pelo cumprimento, pelos seus subcontratantes subsequentes, das respetivas obrigações de proteção de dados.

13.1 — Hierarquia

O presente DPA faz parte integrante do Contrato. Em caso de incoerência entre o presente DPA e os Termos, o presente DPA prevalece em qualquer matéria relativa ao tratamento de Dados Pessoais. Em todos os demais aspetos, prevalecem os Termos.

13.2 — Alteração

A ENROW pode alterar o presente DPA a fim de dar cumprimento a alterações da regulamentação aplicável. Qualquer alteração material é notificada ao Cliente trinta (30) dias antes da sua entrada em vigor.

13.3 — Lei aplicável

O presente DPA rege-se pela lei francesa. Os tribunais de Paris têm competência exclusiva.

A. Cifragem

• Em trânsito: todas as comunicações são cifradas via TLS 1.2 ou superior (HTTPS). As ligações não cifradas são rejeitadas.
• Em repouso: os dados armazenados são cifrados via AES-256 (cifragem nativa da AWS).
• Palavras-passe: hash irreversível através do algoritmo bcrypt com salting individual.

B. Controlo de acessos

• Autenticação: identificação por email e palavra-passe, com autenticação multifator (MFA) disponível e recomendada.
• Gestão de acessos: modelo RBAC (Role-Based Access Control) estrito. Cada acesso é limitado ao estritamente necessário (princípio do menor privilégio).
• Sessões: tokens JWT assinados com expiração automática.

C. Infraestrutura e alojamento

• Fornecedor de alojamento: Amazon Web Services (AWS), região eu-west-3 (Paris). A AWS detém as certificações ISO 27001, SOC 1/2/3 e é conforme ao RGPD.
• Isolamento de rede: as bases de dados e os serviços internos estão isolados numa Virtual Private Cloud (VPC), sem acesso público direto.
• Cópias de segurança: cópias de segurança automáticas diárias, cifradas, com retenção configurada.

D. Registo e monitorização

• Logs de acesso: rastreabilidade das ações dos utilizadores (identificador, ação, data e hora, endereço IP). Logs cifrados em repouso.
• Monitorização: monitorização contínua da infraestrutura, com alertas automatizados em caso de anomalias.

E. Minimização e conservação

• São recolhidos e tratados apenas os dados estritamente necessários à prestação do Serviço;
• Dados do Cliente: máximo de 90 dias, seguido de eliminação automática;
• Cache técnica: 48 horas;
• Eliminação efetiva e irreversível no termo do prazo de conservação.

F. Segurança organizativa

• Formação de sensibilização em proteção de dados para todo o pessoal;
• Política robusta de palavras-passe para os acessos internos;
• Princípio do menor privilégio aplicado a todas as equipas;
• Compromisso de confidencialidade assinado por cada membro do pessoal com acesso a Dados Pessoais.

G. Gestão de incidentes

• Procedimento interno de gestão de incidentes de segurança;
• Notificação ao Cliente no prazo de 72 horas (Cláusula 5.4 do presente DPA);
• Registo das violações mantido e atualizado.

Estas medidas são revistas e atualizadas regularmente para ter em conta o estado da técnica, os custos de implementação e a natureza dos riscos.

Parte A — Subcontratantes Ulteriores publicados (lista em vigor à data de 20 de junho de 2026)

Parte B — Fornecedores de Enriquecimento de Dados (Lista Confidencial)

No âmbito da prestação do Serviço de enriquecimento, a ENROW recorre a fornecedores especializados nas seguintes categorias:

Confidencialidade da lista nominativa: a lista nominativa completa dos fornecedores de enriquecimento, incluindo a sua identidade, localização e o mecanismo de transferência aplicável, constitui um segredo comercial da ENROW na aceção da Diretiva (UE) 2016/943 relativa à proteção de know-how e de informações comerciais não divulgados, e da Loi n.º 2018-670, de 30 de julho de 2018, que transpõe a referida Diretiva para o direito francês.

Comunicação ao Cliente: a referida lista é comunicada mediante pedido escrito ao DPO (dpo@enrow.io), sob reserva da celebração prévia de um acordo de confidencialidade (NDA) pelo Cliente. O Cliente compromete-se a não divulgar a referida lista nem as informações nela contidas a qualquer terceiro, e a utilizá-la exclusivamente para efeitos de verificação da conformidade da ENROW com o RGPD.

Direito de oposição: o mecanismo de notificação e de direito de oposição previsto na Cláusula 7.2 do presente DPA e na Cláusula 12.2 dos Termos aplica-se integralmente aos fornecedores de enriquecimento. O Cliente é notificado de qualquer alteração com uma antecedência não inferior a quinze (15) dias relativamente à data de produção de efeitos, mesmo quando o nome do novo fornecedor seja comunicado ao abrigo de NDA.

Salvaguardas comuns: a ENROW garante que cada fornecedor de enriquecimento (a) está contratualmente vinculado por obrigações de proteção de dados substancialmente equivalentes às previstas no presente DPA, (b) está localizado no EEE ou coberto por um mecanismo de transferência conforme com o Capítulo V do RGPD, e (c) trata os Dados Pessoais exclusivamente no âmbito estrito das instruções da ENROW e apenas para efeitos de enriquecimento.