Acordo de Tratamento de Dados (art. 28.º RGPD)
Responsável pelo tratamento: o Cliente identificado na proposta aceite (doravante "Cliente")
Subcontratante: Plutão Visionário, Lda · NIF 518783812 · sede Avenida Ruy Luís Gomes 12, 2.º A, 2650-126 Amadora · geral@plutaovisionario.org · representada por Rodrigo Alves da Silva, sócio-gerente (doravante "Plutão")
Este acordo faz parte dos Termos de Prestação de Serviço e aplica-se enquanto a Plutão tratar dados pessoais por conta do Cliente.
1. Objeto e duração
1.1. A Plutão trata dados pessoais por conta do Cliente apenas para prestar o serviço de website com reservas, check-in online e comunicações a hóspedes.
1.2. O acordo vigora enquanto durar o contrato e até à devolução ou eliminação dos dados (cláusula 12).
2. Instruções
2.1. A Plutão trata os dados só segundo instruções documentadas do Cliente. Estes termos, a configuração feita pelo Cliente no painel e os pedidos por email contam como instruções.
2.2. A Plutão avisa o Cliente se considerar que uma instrução viola o RGPD.
3. Categorias de titulares e de dados
| Titulares | Dados |
|---|---|
| Hóspedes e quem reserva | Nome, email, telefone, país, datas da estadia, número de hóspedes, unidade, valor, pedidos especiais e hora de chegada, referência de reserva |
| Hóspedes (check-in online) | Nome completo, data e local de nascimento, nacionalidade, tipo, número e país emissor do documento de identificação, país de residência e outros campos exigidos pelo SIBA |
| Clientes de restaurante | Nome, contacto, data, hora e número de pessoas da reserva de mesa |
| Visitantes do site | Estatísticas agregadas de visitas (sem identificação individual) |
3.1. Dados de cartão: a Plutão não recebe nem guarda dados de cartão de pagamento. O pagamento é feito diretamente na conta Stripe do Cliente, que é o comerciante. A Stripe atua para o Cliente ao abrigo do contrato entre o Cliente e a Stripe, não como subcontratante da Plutão.
3.2. Não são tratadas categorias especiais de dados (art. 9.º).
4. Finalidades
4.1. Os dados são tratados para:
- gerir reservas e pagamentos;
- enviar os emails de confirmação, pré-chegada e pós-estadia;
- recolher no check-in online os dados exigidos pelo SIBA/AIMA, para o Cliente os comunicar;
- dar suporte técnico ao Cliente.
4.2. A Plutão não usa os dados para fins próprios, como marketing ou criação de perfis.
5. Prazos de conservação
| Dados | Prazo |
|---|---|
| Dados do check-in online (documentos de identificação) | Eliminados automaticamente 60 dias após o check-in |
| Reservas | Durante o contrato. Depois, eliminação ou devolução (cláusula 12), salvo obrigação legal a cargo do Cliente |
| Cópias de segurança | Histórico rotativo de 30 dias. Os dados eliminados desaparecem das cópias no fim desse ciclo |
6. Confidencialidade
A Plutão garante que as pessoas autorizadas a tratar os dados estão sujeitas a dever de confidencialidade.
7. Medidas de segurança (art. 32.º)
- Ligações cifradas (HTTPS/TLS) em todos os sites e no painel.
- Links de check-in assinados (HMAC), únicos por reserva. Os dados do check-in só ficam visíveis ao Cliente, autenticado no painel.
- Acesso ao painel com palavra-passe, guardada apenas em formato hash.
- Acesso aos servidores só por chave SSH, limitado à equipa técnica da Plutão.
- Segredos (chaves de API, palavras-passe) guardados fora do código-fonte.
- Cópias de segurança automáticas a cada 30 minutos, com histórico de 30 dias.
- Eliminação automática dos dados de check-in.
- Monitorização da disponibilidade.
- Detalhe interno na Política de Segurança da Plutão.
8. Sub-subcontratantes
8.1. O Cliente autoriza os sub-subcontratantes da tabela.
8.2. A Plutão avisa o Cliente por email com 30 dias de antecedência antes de acrescentar ou substituir um sub-subcontratante. Nesse prazo, o Cliente pode opor-se com fundamento razoável e, se não houver acordo, cessar o contrato sem penalização.
| Entidade | Serviço | Dados | Localização / base de transferência |
|---|---|---|---|
| Google Cloud (Google LLC / Google Ireland) | Servidor da plataforma e cópias de segurança (bucket de backups) | Todos os dados da cláusula 3 | EUA (us-central1): EU-US Data Privacy Framework e Cláusulas Contratuais-Tipo |
| Cloudflare, Inc. | DNS e encaminhamento de domínio | Endereço IP e metadados técnicos | Global: Data Privacy Framework e Cláusulas Contratuais-Tipo |
| Resend (Plus Five Five, Inc.) | Envio de emails transacionais a hóspedes | Nome, email e conteúdo do email (reserva) | UE (Irlanda, eu-west-1) para o envio; empresa nos EUA: Data Privacy Framework e Cláusulas Contratuais-Tipo |
| Google Translate API e Gemini API (Google) | Tradução e melhoria de textos do site | Só textos escritos pelo Cliente; não envia dados de hóspedes | EUA/UE: Data Privacy Framework e Cláusulas Contratuais-Tipo |
| Servidor próprio da Plutão (Portugal) | Estatísticas agregadas e cópia de segurança fora do servidor principal | Estatísticas agregadas e dados das reservas sem nomes nem contactos (datas, n.º de hóspedes, valor). Os backups com dados de hóspedes ficam no bucket Google Cloud, não neste servidor | Portugal (UE) |
9. Transferências internacionais
9.1. Quando os dados são tratados fora do Espaço Económico Europeu, a Plutão assegura uma das garantias do capítulo V do RGPD:
- decisão de adequação, incluindo o EU-US Data Privacy Framework para entidades certificadas;
- ou Cláusulas Contratuais-Tipo da Comissão Europeia.
10. Apoio ao Cliente
A Plutão ajuda o Cliente, dentro do razoável e com a informação de que dispõe, a:
- a) responder a pedidos dos titulares (acesso, retificação, apagamento, portabilidade). Se a Plutão receber diretamente um pedido, reencaminha-o ao Cliente;
- b) cumprir as obrigações de segurança, de notificação de violações e de avaliação de impacto.
11. Violações de dados pessoais
11.1. A Plutão notifica o Cliente sem demora injustificada e, em qualquer caso, no prazo máximo de 48 horas após ter conhecimento de uma violação de dados pessoais.
11.2. A notificação indica, na medida do possível:
- a natureza da violação;
- as categorias e o número aproximado de titulares e de registos afetados;
- as consequências prováveis;
- as medidas tomadas ou propostas.
11.3. A notificação à CNPD e aos titulares cabe ao Cliente, enquanto responsável pelo tratamento. A Plutão dá o apoio necessário.
12. Fim do tratamento: devolução e eliminação
12.1. No fim do contrato, à escolha do Cliente, a Plutão devolve os dados (exportação em CSV/JSON) e/ou elimina-os do servidor no prazo de 30 dias.
12.2. As cópias de segurança são eliminadas no ciclo seguinte, no máximo 30 dias depois.
12.3. A Plutão pode manter os dados que a lei a obrigue a conservar.
13. Auditorias
13.1. A Plutão disponibiliza ao Cliente a informação necessária para demonstrar o cumprimento deste acordo, nomeadamente este documento, a lista de sub-subcontratantes e a descrição das medidas de segurança.
13.2. As auditorias presenciais são feitas com aviso prévio de 30 dias, em horário de expediente, no máximo uma vez por ano, a cargo do Cliente.
Aceitação: o Cliente aceita este acordo, em conjunto com os Termos de Prestação de Serviço, respondendo por email "Aceito" à mensagem que os envia.
Versão de 21/10/2026. Em caso de dúvida de interpretação, prevalece a versão em português. Contacto: geral@plutaovisionario.org.