Este DPA faz parte integrante dos Termos de Serviço da Megorix, sendo incorporado por referência. Aplica-se automaticamente a partir da aceitação dos Termos de Serviço — não é necessária assinatura separada, salvo se um contrato específico com o cliente disser o contrário.

1. Partes e Definições

“Megorix”, “nós”: MegaPC Informática e Software, Lda., NIPC 504125931, com sede em Ourém, Santarém, Portugal.
“Cliente”, “Responsável pelo Tratamento”, “tu”: a organização com uma subscrição Megorix ativa.
“Legislação de Proteção de Dados”: o Regulamento Geral sobre a Proteção de Dados da UE (RGPD), a Lei Federal Suíça de Proteção de Dados (nDSG) e o respetivo regulamento (DSV), e qualquer outra legislação de proteção de dados aplicável ao tratamento efetuado pelo Cliente.
“Dados Pessoais”, “Tratamento”, “Titular dos Dados”, “Subcontratante”, “Violação de Dados Pessoais”: com o significado que lhes é dado pelo RGPD e, quando aplicável, pela nDSG.
“Serviços”: a plataforma ERP Megorix e os seus módulos, conforme descritos nos Termos de Serviço.

2. Objeto e Duração

A Megorix trata Dados Pessoais em nome do Cliente apenas para prestar os Serviços. Este DPA produz efeitos a partir do momento em que o Cliente começa a usar os Serviços e mantém-se em vigor enquanto a Megorix tratar Dados Pessoais em nome do Cliente, incluindo qualquer período após a cessação durante o qual a Megorix retenha dados nos termos da Secção 11.

3. Papéis das Partes

Relativamente aos Dados Pessoais que o Cliente introduz ou gera dentro dos Serviços (os seus próprios clientes, faturas, funcionários, inventário e registos de negócio semelhantes), o Cliente é o Responsável pelo Tratamento e a Megorix é a Subcontratante. A Megorix só trata estes dados de acordo com as instruções documentadas do Cliente — dadas através do uso dos Serviços ou por escrito — exceto quando a lei da UE ou suíça exigir o contrário, caso em que a Megorix informará previamente o Cliente dessa exigência legal, salvo se estiver legalmente impedida de o fazer.

Relativamente a dados que a Megorix recolhe para gerir a sua própria relação comercial com o Cliente (identidade do titular da conta, dados de faturação, utilização da subscrição, comunicações de marketing), a Megorix atua como Responsável pelo Tratamento independente — ver a Política de Privacidade da Megorix.

4. Categorias de Dados e Titulares

Titulares dos Dados: os próprios clientes, fornecedores, funcionários e outras pessoas cujos dados o Cliente introduz nos Serviços.
Categorias de Dados Pessoais: dados de identificação (nomes, números fiscais/NIF), dados de contacto (moradas, emails, telefones), dados financeiros/de faturação (linhas de fatura, IBAN, referências de pagamento), dados laborais (para utilizadores do módulo de RH), e quaisquer outros dados que o Cliente registe numa entidade ou campo da Megorix. Campos que o Cliente marque como sensíveis (ex.: números de identificação nacional, IBANs) podem ser guardados com encriptação AES-256 ao nível do campo — ver Secção 6.
Categorias especiais de dados (Art. 9.º RGPD / Art. 5.º nDSG): os Serviços não foram concebidos para exigir este tipo de dados. O Cliente é o único responsável por não introduzir dados de categorias especiais, salvo se tiver avaliado de forma independente a base legal e configurado as proteções adequadas.

5. Subcontratantes

O Cliente autoriza a Megorix a recorrer aos seguintes subcontratantes:

Hostinger — alojamento da aplicação e da base de dados — Paris, França (UE).
Stripe — processamento de pagamentos da subscrição — UE/EUA, ver o DPA próprio da Stripe.
Cloudflare — CDN, proteção DDoS, rede de distribuição — rede global.
Google (Firebase Cloud Messaging) — notificações push na aplicação móvel — UE/EUA, ver o DPA próprio da Google.
Fornecedor de email transacional — envio de emails do sistema (faturas, notificações) — UE.

A Megorix avisará o Cliente com pelo menos 30 dias de antecedência (por email ou aviso na aplicação) antes de adicionar ou substituir um subcontratante com acesso a Dados Pessoais, podendo o Cliente opor-se por motivos razoáveis de proteção de dados dentro desse prazo. A Megorix continua responsável pelo cumprimento, por parte de cada subcontratante, de obrigações equivalentes às deste DPA.

6. Medidas Técnicas e Organizativas de Segurança

Isolamento por tenant garantido ao nível da base de dados através de Row-Level Security do PostgreSQL — as consultas de um tenant não conseguem ler as linhas de outro tenant.
Encriptação ao nível do campo (AES-256-GCM) disponível para campos sensíveis, configurável campo a campo pelo Cliente.
Controlos de imutabilidade e integridade para registos de faturação suíços: uma vez emitida, a fatura fica bloqueada contra alterações e eliminação, e cada alteração fica registada num histórico de auditoria conservado durante 10 anos, em conformidade com o Art. 958f CO / GeBüV.
Encriptação em trânsito (TLS) em todas as ligações aos Serviços.
Registo de acessos e trilhos de auditoria para alterações a registos.
Controlo de acesso baseado em papéis e permissões, configurado pelo Cliente.
Cópias de segurança regulares e procedimentos de recuperação de desastre.

A Megorix não reduzirá de forma material o seu nível global de segurança durante a vigência deste DPA.

7. Assistência com Pedidos de Titulares dos Dados

A Megorix prestará assistência razoável ao Cliente, através da própria funcionalidade dos Serviços ou mediante pedido escrito, para responder a Titulares dos Dados que exerçam os seus direitos (acesso, retificação, apagamento, limitação, portabilidade, oposição) ao abrigo da Legislação de Proteção de Dados aplicável. A Megorix pode cobrar uma taxa razoável por assistência que exija trabalho substancialmente além da funcionalidade já existente nos Serviços.

8. Notificação de Violação de Dados Pessoais

A Megorix notificará o Cliente sem atraso indevido, e em qualquer caso no prazo de 48 horas após ter conhecimento, de qualquer Violação de Dados Pessoais que afete os dados do Cliente, incluindo (na medida do conhecido): a sua natureza, as categorias e o número aproximado de Titulares e registos afetados, as consequências prováveis, e as medidas tomadas ou propostas.

9. Auditorias

Mediante pedido escrito razoável, no máximo uma vez por ano civil (salvo exigência de uma autoridade de supervisão ou na sequência de uma Violação de Dados Pessoais), a Megorix disponibilizará a informação razoavelmente necessária para demonstrar o cumprimento deste DPA, incluindo documentação de segurança relevante e, sujeito a confidencialidade, respostas a um questionário de segurança escrito.

10. Transferências Internacionais de Dados

A infraestrutura principal da Megorix está alojada na União Europeia (Paris, França). Quando um subcontratante transferir Dados Pessoais para fora da UE/EEE ou da Suíça, aplica-se o mecanismo de transferência próprio desse subcontratante (como as Cláusulas Contratuais-Tipo da UE ou uma decisão de adequação), conforme descrito no DPA próprio desse subcontratante.

11. Vigência, Cessação, Devolução e Apagamento de Dados

Após a cessação, a Megorix irá, à escolha do Cliente comunicada no prazo de 30 dias, disponibilizar os Dados Pessoais do Cliente para exportação num formato estruturado, ou apagá-los — exceto na medida em que a Megorix seja legalmente obrigada (incluindo regras de conservação comercial suíças, como o Art. 958f CO para registos de faturação) a retê-los por mais tempo, caso em que a Megorix isolará esses dados de qualquer tratamento adicional.

12. Responsabilidade

A responsabilidade de cada parte decorrente ou relacionada com este DPA está sujeita às limitações de responsabilidade previstas nos Termos de Serviço da Megorix.

13. Lei Aplicável

Este DPA rege-se pela mesma lei aplicável aos Termos de Serviço da Megorix. Nada neste DPA reduz os direitos ou obrigações de qualquer das partes ao abrigo de disposições imperativas da Legislação de Proteção de Dados aplicável ao tratamento efetuado pelo próprio Cliente.

Acordo de Processamento de Dados (DPA)